Dir. 2016:63

Personuppgiftsbehandling inom utbildningsområdet

Kommittédirektiv

Personuppgiftsbehandling inom utbildningsområdet

Beslut vid regeringssammanträde den 30 juni 2016.

Sammanfattning

Under våren 2016 beslutades inom EU en förordning som är en ny generell reglering för personuppgiftsbehandling inom unionen. Dataskyddsutredningen (Ju 2016:04) har i uppdrag att föreslå anpassningar och kompletterande författningsbestämmelser på generell svensk nivå. En särskild utredare får nu i uppdrag att föreslå kompletterande regleringar för behandling av personuppgifter inom utbildningsområdet, med undantag för forskningsverksamhet. Syftet är att regleringen ska möjliggöra en ändamålsenlig behandling av personuppgifter inom utbildningsområdet samtidigt som den skyddar den enskildes fri- och rättigheter.

Utredaren ska bl.a.

  • undersöka vilken reglering av personuppgiftsbehandling inom utbildningsområdet som är möjlig och kan behövas utöver dataskyddsförordningen och den generella reglering som Dataskyddsutredningen kommer att föreslå,
  • analysera om det utöver dessa regleringar finns ett behov av kompletterande regleringar för behandling av känsliga personuppgifter inom utbildningsområdet,
  • analysera behovet av reglering för vissa register inom utbildningsområdet, och
  • lämna de författningsförslag som behövs.

Uppdraget ska redovisas senast den 1 juni 2017.

Nuvarande regleringar av betydelse för behandling av personuppgifter inom utbildningsområdet

EU:s dataskyddsdirektiv och personuppgiftslagen

Den allmänna regleringen om behandling av personuppgifter inom EU finns i dag i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter (dataskyddsdirektivet). Direktivet syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter, samt att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Dataskyddsdirektivet har genomförts i svensk rätt huvudsakligen genom personuppgiftslagen (1998:204), förkortad PUL. Bestämmelserna i PUL har till syfte att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter.

PUL följer i princip dataskyddsdirektivets struktur och innehåller liksom direktivet bestämmelser om bl.a. personuppgiftsansvar, grundläggande krav för behandling av personuppgifter, i vilka fall behandling av personuppgifter är tillåten, behandling av känsliga personuppgifter, information till den registrerade, skyldighet för den personuppgiftsansvarige att rätta, blockera eller utplåna personuppgifter samt om skadestånd och straff.

PUL är tillämplig även utanför EU-rättens område och gäller för både myndigheter och enskilda som behandlar personuppgifter. PUL är samtidigt subsidiär vilket innebär att lagens bestämmelser inte ska tillämpas om det finns avvikande bestämmelser i en annan lag eller förordning. Sådana avvikande bestämmelser kan bl.a. finnas i s.k. registerförfattningar som avser begränsade områden, t.ex. studiestödsdatalagen (2009:287).

Regeringsformen och kravet på lagreglering för viss personuppgiftsbehandling

Enligt regeringsformen (RF) är var och en gentemot det allmänna skyddad mot betydande intrång i den personliga integri-

teten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden (2 kap. 6 §). Begränsningar av denna fri- och rättighet får enligt 2 kap. 20 § första stycket under vissa förutsättningar göras genom lag.

EU:s dataskyddsförordning

Europaparlamentet och rådet har under våren 2016 antagit en ny förordning, Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning). Förordningen, nedan kallad dataskyddsförordningen, ska tillämpas från och med den 25 maj 2018. Det huvudsakliga syftet med förordningen är att ytterligare harmonisera och effektivisera skyddet för personuppgifter för att förbättra den inre marknadens funktion och öka enskildas kontroll över sina personuppgifter. Dataskyddsförordningen är direkt tillämplig i medlemsstaterna. Den både förutsätter och möjliggör kompletterande nationella bestämmelser av olika slag. Det finns ett förhållandevis stort utrymme att behålla eller införa särregleringar för sådan personuppgiftsbehandling som är nödvändig för att den personuppgiftsansvarige ska kunna uppfylla en rättslig skyldighet, utföra en arbetsuppgift av allmänt intresse eller behandla uppgifter i samband med myndighetsutövning.

Dataskyddsförordningen kommer att utgöra grunden för generell personuppgiftsbehandling inom EU. Genom förordningen upphävs det nu gällande dataskyddsdirektivet. Direktivet ska upphöra att gälla med verkan från den 25 maj 2018. Detta innebär bl.a. att personuppgiftslagen måste upphävas.

En särskild utredare fick den 25 februari 2016 regeringens uppdrag att bl.a. föreslå de anpassningar och kompletterande författningsbestämmelser på generell nivå som dataskyddsförordningen ger anledning till. I uppdraget ingår att lämna förslag till upphävande av den nuvarande generella personuppgiftsregleringen (dir. 2016:15). Utredningen har tagit sig namnet Dataskyddsutredningen (Ju 2016:04). I utredningens

uppdrag ingår bl.a. att analysera om det behövs kompletterande bestämmelser som ger ett generellt stöd för myndigheters och andra organs behandling av personuppgifter och överväga vilka kompletterande bestämmelser om undantag från förbudet att behandla känsliga personuppgifter som bör finnas i den generella regleringen. Det ingår också i utredningens uppdrag att bl.a. analysera vilka kompletterande bestämmelser om myndigheters bevarande av allmänna handlingar, användning av uppgifter i dessa och överlämnande av arkivmaterial till en arkivmyndighet som behövs i den generella regleringen samt analysera vilka övriga kompletterande bestämmelser om behandling av personuppgifter för arkivering i allmänhetens intresse samt för vetenskapliga eller historiska forskningsändamål eller för statistiska ändamål som bör finnas i den generella regleringen. I uppdraget ingår inte att se över eller lämna förslag till förändringar av sådan sektorsspecifik reglering om behandling av personuppgifter som bl.a. finns i de särskilda registerförfattningarna.

När det gäller utbildningsområdet kommer regeringen att besluta att uppdra åt en särskild utredare att föreslå en kompletterande reglering av behandling av personuppgifter för forskningsändamål. Syftet är att regleringen ska möjliggöra en ändamålsenlig behandling av personuppgifter för forskningsändamål samtidigt som den skyddar den enskildes fri- och rättigheter.

Uppdraget att undersöka vilken nationell kompletterande reglering av behandlingen av personuppgifter som kan behövas på utbildningsområdet

Vad är utbildningsområdet?

Utbildningsområdet omfattar bl.a. skolväsendet, den verksamhet som bedrivs av universitet och högskolor, yrkeshögskolan och folkbildningen.

Skolväsendet omfattar skolformerna förskola, förskoleklass, grundskola, grundsärskola, specialskola, sameskola, gymnasie-

skola, gymnasiesärskola, kommunal vuxenutbildning och särskild utbildning för vuxna. I skolväsendet ingår också fritids-hem som kompletterar utbildningen i förskoleklassen, grund-skolan, grundsärskolan, specialskolan, sameskolan och vissa särskilda utbildningsformer (1 kap. 1 § skollagen [2010:800]). Kommuner är huvudmän för förskola, förskoleklass, grund-skola, grundsärskola, gymnasieskola, gymnasiesärskola, kom-munal vuxenutbildning, särskild utbildning för vuxna och fritidshem. Staten är huvudman för specialskola och sameskola och för förskoleklass och fritidshem vid en skolenhet inom dessa skolformer. I viss utsträckning får ett landsting vara huvudman för gymnasieskola, gymnasiesärskola, kommunal vuxenutbildning och särskild utbildning för vuxna. Efter ansökan som prövas av Statens skolinspektion, eller i vissa fall av kommunen där utbildningen ska bedrivas, får en enskild godkännas som huvudman för förskola, förskoleklass, grundskola, grundsärskola, gymnasieskola, gymnasiesärskola och fritidshem. Det finns också vissa möjligheter för huvudmän inom skolväsendet att bl.a. lägga ut vissa uppgifter på entreprenad till enskilda fysiska och juridiska personer (23 kap. skollagen).

Vid universitet och högskolor ges eftergymnasial utbildning på grundnivå, avancerad nivå och forskarnivå. Examina utfärdas på grundnivå, avancerad nivå och forskarnivå. I vissa fall krävs tillstånd för att utfärda examina. De flesta universitet och högskolor har staten som huvudman. Tillstånd att utfärda examina kan också ges till enskilda utbildningsanordnare. Universitetskanslersämbetet prövar frågor om examenstillstånd.

Inom yrkeshögskolan ges eftergymnasiala yrkesutbildningar. Utbildning inom yrkeshögskolan får anordnas av statliga universitet och högskolor, kommuner, landsting och enskilda fysiska eller juridiska personer. En anordnare av utbildning får ansöka om att utbildningen ska ingå i yrkeshögskolan och beslut fattas av Myndigheten för yrkeshögskolan. En utbildning inom yrkeshögskolan ska svara mot behov av kvalificerad arbetskraft i arbetslivet som inte tillgodoses genom en utbildning enligt högskolelagen (1992:1434) eller en utbildning som kan leda fram till en examen enligt lagen (1993:792) om tillstånd att utfärda vissa examina. En anordnare av utbildning

inom yrkeshögskolan får efter anmälan bedriva sådan utbildning även som uppdragsutbildning.

Till folkbildningen räknas bl.a. folkhögskolor och studieförbund. De flesta folkhögskolor drivs av folkrörelser eller andra organisationer. Övriga folkhögskolor ägs och drivs av regioner, landsting eller kommuner. Studieförbunden är ideella organisationer som driver bl.a. studiecirkelverksamhet och kulturverksamhet.

Till utbildningsområdet hör även studiestödet. Studiestödet består framför allt av ekonomiskt stöd till enskilda i form av bl.a. studiehjälp och studiemedel.

Finns det behov av kompletterande regleringar på utbildningsområdet?

När myndigheter och enskilda behandlar personuppgifter inom utbildningsområdet sker det huvudsakligen med stöd av PUL. När dataskyddsförordningen träder i kraft kommer möjliga grunder för behandling av personuppgifter huvudsakligen att vara antingen att den registrerade har lämnat sitt samtycke till att hans eller hennes personuppgifter behandlas för ett eller flera specifika ändamål (artikel 6.1 a i dataskyddsförordningen) eller att behandlingen är nödvändig för att fullföra en rättslig skyldighet (artikel 6.1 c) eller för att utföra en arbetsuppgift av allmänt intresse eller i samband med myndighetsutövning (artikel 6.1 e).

För att säkerställa att ett samtycke lämnas frivilligt bör enligt beaktandesats 43 i dataskyddsförordningen samtycke inte utgöra en giltig rättslig grund för behandling av personuppgifter i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den personuppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar.

Medlemsländerna har enligt artikel 6.2 i dataskyddsförordningen rätt att i nationell rätt behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen för att efterleva artikel 6.1 (c) och (e) genom att

närmare fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling.

Enligt artikel 6.3 ska grunden för den behandling av personuppgifter som avses i artikel 6.1 c och 6.1 e fastställas i enlighet med unionsrätten eller den nationella rätten som den personuppgiftsansvarige omfattas av. Denna rättsliga grund kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen, bland annat de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling av uppgifter, vilken typ av uppgifter som ska behandlas, berörda registrerade, till vilka uppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling. Den nationella lagstiftningen måste uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas.

Det behöver analyseras vad dataskyddsförordningens krav i denna del innebär i fråga om nationell författningsreglering. Dataskyddsutredningen ska analysera om det behövs kompletterande bestämmelser som ger ett generellt stöd för myndigheters och andra organs behandling och lämna behövliga och lämpliga författningsförslag. Som nämnts tidigare har regeringen beslutat att uppdra åt en särskild utredare att föreslå en kompletterande reglering av behandling av personuppgifter för forskningsändamål. När det gäller behandling av personuppgifter som utförs av myndigheter, kommuner, landsting och enskilda inom utbildningsområdet i övrigt behöver det analyseras om en eller flera regleringar på nationell nivå är möjlig och kan behövas, utöver den generella reglering som Dataskyddsutredningen kommer att föreslå, för att säkerställa att nödvändig behandling av personuppgifter inom utbildningsområdet kan ske på ett ändamålsenligt sätt samtidigt som enskildas fri- och rättigheter skyddas.

Utredaren ska därför

  • undersöka vilken reglering på nationell nivå av person-

uppgiftsbehandling inom utbildningsområdet, med undan-

tag från forskningsverksamhet, som är möjlig och kan behövas utöver dataskyddsförordningen och den generella reglering som Dataskyddsutredningen kommer att föreslå, och

  • lämna de författningsförslag som behövs.

Finns det behov av särskild reglering av behandling av känsliga personuppgifter inom utbildningsområdet?

Liksom i det nu gällande dataskyddsdirektivet och 13 § PUL finns det i artikel 9.1 i dataskyddsförordningen ett principiellt förbud mot att behandla särskilda kategorier av personuppgifter. I PUL används uttrycket känsliga personuppgifter för sådana uppgifter. Med särskilda kategorier av personuppgifter avses personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening liksom behandling av genetiska uppgifter eller biometriska uppgifter för att entydigt identifiera en person eller uppgifter som rör hälsa, sexualliv eller sexuell läggning. Förbudet är förenat med en rad viktiga undantag som fastställs i artikel 9.2–9.4. Förbudet gäller inte om den registrerade uttryckligen lämnat sitt samtycke till behandlingen av dessa personuppgifter för ett eller flera specifika ändamål (artikel 9.2 a). Förbudet gäller inte heller om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionslagstiftningen eller medlemsstaternas nationella rätt. Unionlagstiftningen och medlemsstatens nationella rätt ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel 9.2 g). Vidare gäller inte förbudet om behandlingen av personuppgifterna är nödvändig av skäl som hör samman med bl.a. förebyggande hälso- och sjukvård och tillhandahållandet av hälso- och sjukvård (artikel 9.2 h). Dessutom får det i medlemsstaternas lagstiftning införas särskilda bestämmelser om dataskydd för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen i syfte att fullgöra en rättslig skyldighet

eller en uppgift av allmänt intresse eller som ett led i myndighetsutövning som den personuppgiftsansvarige har fått i uppgift att utföra (artikel 6.2).

I direktiven till Dataskyddsutredningen konstateras att möjligheten att göra undantag från förbudet mot att behandla känsliga personuppgifter i svensk rätt i stor utsträckning kommer att utnyttjas genom sektorsspecifik lagstiftning men att utgångspunkten bör vara att det även i fortsättningen kommer att behövas vissa bestämmelser om undantag från förbudet av det slag som i dag finns i personuppgiftslagen och personuppgiftsförordningen (1998:1191). Dataskyddsutredningen ska därför överväga vilka kompletterande bestämmelser om undantag från förbudet att behandla känsliga personuppgifter som bör finnas i den generella regleringen som utredaren ska lämna förslag till.

Inom utbildningsområdet är det i vissa fall nödvändigt att behandla s.k. känsliga personuppgifter. Inom skolväsendet kan det exempelvis handla om sådana uppgifter i samband med modersmålsundervisning eller om elever i sameskolan som anses avslöja etniskt ursprung eller uppgifter som rör hälsa, t.ex. inom elevhälsan eller i de utredningar som ska göras inför antagning till specialskolan och grundsärskolan och i vissa fall till gymnasiesärskolan. Det behöver därför analyseras om det finns behov av kompletterande bestämmelser som reglerar behandling av känsliga personuppgifter inom utbildningsområdet utöver den generella reglering som Dataskyddsutredningen kommer att föreslå. Eftersom behandling av känsliga personuppgifter förekommer hos flera olika myndigheter och enskilda behöver det i detta sammanhang också övervägas om en sådan reglering i så fall behöver finnas i en eller flera olika registerförfattningar.

Utredaren ska därför

  • analysera om det utöver dataskyddförordningen och den

generella reglering som Dataskyddsutredningen kommer att föreslå finns ett behov av kompletterande regleringar för behandling av känsliga personuppgifter inom utbildningsområdet, och

  • lämna de författningsförslag som behövs.

Uppdraget att analysera behovet av reglering för vissa register

När myndigheter och enskilda behandlar personuppgifter inom utbildningsområdet sker det huvudsakligen med stöd av PUL. Inom området finns det också några registerförfattningar. Studiestödsdatalagen (2009:287) tillämpas vid behandling av personuppgifter i Centrala studiestödsnämndens (CSN) studiestödsverksamhet. Lagen kompletteras av studiestödsdataförordningen (2009:321). Förordningen (1993:1153) om redovisning av studier m.m. vid universitet och högskolor reglerar bl.a. register som förs av universitet och högskolor. Förordningen (2011:268) om lärar- och förskollärarregister reglerar det register Statens skolverk ska föra över legitimerade och tidigare legitimerade lärare och förskollärare. Förordningen (2006:39) om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar reglerar det register kommunerna ska föra över de ungdomar som omfattas av aktivitetsansvaret.

Behandling av personuppgifter sker vidare i några register som inte regleras av någon särskild registerförfattning. I dessa fall sker således behandlingen av personuppgifter med stöd av PUL. Universitets- och högskolerådet administrerar betygsdatabasen BEDA där uppgifter om examensbevis från gymnasieskolan registreras. Myndigheten för yrkeshögskolan för register över uppgifter om de studerande i utbildningarna inom yrkeshögskolan och i de utbildningar som bedrivs som uppdragsutbildningar samt de studerandes studieresultat, betyg, examina och utbildningsbevis. Dessutom finns det ett centralt register över deltagare i studiecirklar och annan folkbildningsverksamhet hos studieförbunden.

Behandling av personuppgifter på studiestödsområdet

Studiestödsdatalagen tillämpas vid behandling av personuppgifter i CSN:s studiestödsverksamhet. Den innehåller bl.a. bestämmelser om förhållandet till PUL, ändamålet med behandlingen av personuppgifter enligt lagen, begränsningar i rätten att behandla personuppgifter, sökbegrepp som får användas, di-

rektåtkomst och gallring av uppgifter. I den mån PUL innehåller bestämmelser om behandling av personuppgifter som saknar motsvarighet i studiestödsdatalagen ska PUL tillämpas vid behandling av personuppgifter i CSN:s studiestödsverksamhet. I studiestödsdataförordningen finns bestämmelser som kompletterar lagens bestämmelser.

När dataskyddsförordningen träder i kraft kommer PUL att upphävas.

Utredaren ska därför

  • se över vilka anpassningar av studiestödsdatalagen och studiestödsdataförordningen som behövs med anledning av dataskyddsförordningen, den generella reglering som Dataskyddsutredningen kommer att föreslå och de övriga förslag utredaren kan komma att lämna, och
  • lämna de författningsförslag som behövs.

Register som rör universitet och högskolor

Förordningen om redovisning av studier m.m. vid universitet och högskolor innehåller bestämmelser om registrering av uppgifter om studier inom utbildning på grundnivå, avancerad nivå och forskarnivå vid statliga universitet och högskolor, rapportering av uppgifter till Statistiska centralbyrån (SCB) om studenter för officiell statistik, framställning vid SCB av personalstatistik över högskolornas personal och registrering av uppgifter i antagningsregistret vid Universitets- och högskolerådet.

Förordningen gäller utöver PUL. Bestämmelserna i PUL om rättelse och skadestånd gäller vid behandling av personuppgifter enligt förordningen. När dataskyddsförordningen träder i kraft kommer PUL att upphävas.

Utredaren ska därför

  • se över vilka ändringar i förordningen om redovisning av studier m.m. vid universitets- och högskolor som behöver göras med anledning av dataskyddsförordningen, den generella reglering som Dataskyddsutredningen kommer att föreslå och de övriga förslag utredaren kan komma att lämna, och
  • lämna de författningsförslag som behövs.

Betygsdatabasen BEDA

Dåvarande Verket för högskoleservice fick 1996 i uppdrag att skapa och förvalta ett system för inhämtning, kontroll och lagring av presumtiva studenters slutbetyg från gymnasieskolan. Detta blev den nationella betygsdatabasen (BEDA). Härigenom skapades ett enkelt sätt att föra över slutbetyg från gymnasieskolor till SCB och högskolornas antagningssystem. Databasen administreras av Universitets- och högskolerådet (UHR).

För att fylla det statliga behovet av uppföljning och statistik när det gäller skolväsendet finns det bestämmelser om uppgiftsskyldighet för skolhuvudmännen. Nästan alla skolhuvudmän har kommit att, när det gäller vissa uppgifter, fullgöra sin uppgiftsskyldighet enligt bestämmelserna genom att skicka in uppgifter till BEDA. Dessutom har kommuner använt sig av uppgifter ur BEDA för att på ett enkelt sätt få uppgift om ungdomar som har gymnasieexamen och därmed inte omfattas av kommunernas aktivitetsansvar för ungdomar.

Det är frivilligt för en gymnasieskola att ansluta sig till BEDA men 95 procent av gymnasieskolorna har anslutit sig och 40–45 procent av dem som bedriver kommunal vuxenutbildning. De skolor som inte är anslutna till BEDA fullgör sin skyldighet att lämna uppgifter genom att själva lämna uppgifter om slutbetyg direkt till Statistiska centralbyrån. När en person söker till en högskoleutbildning överförs uppgiften om gymnasieexamen från BEDA till UHR:s antagningsregister. BEDA är emellertid inte en del av antagningsregistret och regleras inte av förordningen om redovisning av studier m.m. vid universitet och högskolor, där behandlingen av personuppgifter i antagningsregistret regleras.

Förutom en bestämmelse i förordningen om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar, om utlämnande av uppgifter från BEDA till kommuner, finns det ingen särskild författning som reglerar behandlingen av personuppgifter i BEDA. Behandlingen av personuppgifter i registret regleras således av PUL. När dataskyddsförordningen träder i kraft kommer PUL att upphävas.

Utredaren ska därför

  • analysera om det behövs något författningsstöd, utöver dataskyddsförordningen, den generella reglering som Dataskyddsutredningen kommer att föreslå och de övriga förslag utredaren kan komma att lämna, för att personuppgifter ska kunna behandlas i betygsdatabasen BEDA även fortsättningsvis, och
  • lämna de författningsförslag som behövs.

Statens skolverks register över legitimerade lärare och förskollärare

Enligt förordningen om lärar- och förskollärarregister ska Statens skolverk föra ett register över legitimerade och tidigare legitimerade lärare och förskollärare. PUL gäller vid behandling av personuppgifter i registret om inte annat följer av förordningen. I förordningen regleras vilka ändamål uppgifterna i registret får behandlas för, vilka uppgifter registret får innehålla, utlämnande av uppgifter från registret och information till den registrerade om registret.

När dataskyddsförordningen träder i kraft kommer PUL att upphävas.

Utredaren ska därför

  • analysera vilka ändringar i förordningen om lärar- och förskollärarregister som behöver göras med anledning av dataskyddsförordningen, den generella reglering som Dataskyddsutredningen kommer att föreslå och de övriga förslag utredaren kan komma att lämna, och
  • lämna de författningsförslag som behövs.

Behandlingen av personuppgifter hos Myndigheten för yrkeshögskolan

Enligt förordningen (2011:1162) med instruktion för Myndigheten för yrkeshögskolan ska myndigheten svara för ett register över uppgifter om de studerande i utbildningarna inom yrkeshögskolan och i de utbildningar som bedrivs som uppdragsutbildningar samt de studerandes studieresultat, betyg, examina och utbildningsbevis (2 § 5). Myndigheten ska också pröva frågor om stöd enligt förordningen (2013:871) om stöd för

konst- och kulturutbildningar och vissa andra utbildningar samt svara för ett register över uppgifter om de studerande i utbildningarna och de studerandes studieresultat, betyg, intyg och utbildningsbevis (2 § 6). Myndigheten är personuppgiftsansvarig för behandlingen av personuppgifter i sin verksamhet (9 § 4). Någon särskild författning som reglerar behandlingen av personuppgifter i de register som myndigheten ska svara för finns inte. Behandlingen av personuppgifter regleras således av PUL. När dataskyddsförordningen träder i kraft kommer PUL att upphävas.

Utredaren ska därför

  • analysera om det behövs något författningsstöd utöver dataskyddsförordningen, den generella reglering som Dataskyddsutredningen kommer att föreslå och de övriga förslag utredaren kan komma att lämna för att personuppgifter ska kunna behandlas även fortsättningsvis i de register som Myndigheten för yrkeshögskolan svarar för , och
  • lämna de författningsförslag som behövs.

Kommunernas register över de ungdomar i kommunen som omfattas av aktivitetsansvaret för ungdomar

En hemkommun ska enligt skollagen löpande under året hålla sig informerad om hur de ungdomar i kommunen är sysselsatta som har fullgjort sin skolplikt men inte har fyllt 20 år och inte genomför eller har fullföljt utbildning på nationella program i gymnasieskola eller gymnasiesärskola eller motsvarande utbildning. Ansvaret benämns kommunernas aktivitetsansvar för ungdomar. Hemkommunen har inom ramen för ansvaret uppgiften att erbjuda de ungdomar som berörs lämpliga individuella åtgärder. Åtgärderna ska i första hand syfta till att motivera den enskilde att påbörja eller återuppta en utbildning. Kommunen ska dokumentera sina insatser på lämpligt sätt. Kommunen ska också föra ett register över de ungdomar som omfattas av ansvaret. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om den dokumentation och den behandling av personuppgifter som är nödvändig för att kommunen ska kunna fullgöra sina skyldigheter

(29 kap. 9 §). Regeringen har meddelat sådana föreskrifter i förordningen om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar. Förordningen innehåller bl.a. bestämmelser om förhållandet till personuppgiftslagen, ändamålet med behandlingen av personuppgifter, vilka uppgifter som får behandlas och om uppgiftsskyldighet. När dataskyddsförordningen träder i kraft ska PUL upphävas.

Utredaren ska därför

  • analysera vilka ändringar i förordningen om register och dokumentation vid fullgörandet av kommunernas aktivitetsansvar för ungdomar som behöver göras med anledning av dataskyddsförordningen, den generella reglering som Dataskyddsutredningen kommer att föreslå och de övriga förslag utredaren kan komma att lämna, och
  • lämna de författningsförslag som behövs.

Registret över deltagare i studieförbundens verksamhet

Genom 7 b § lagen (1976:1046) om överlämnande av förvaltningsuppgifter inom Utbildningsdepartementets verksamhetsområde har Folkbildningsrådet (FBR) anförtrotts förvaltningsuppgiften att pröva frågor om fördelning av statsbidrag mellan folkhögskolor, studieförbund och studerandeorganisationer inom folkhögskolan. Fördelningen av statsbidrag till folkbildningen regleras i förordningen (2015:218) om statsbidrag till folkbildningen. Enligt förordningen ska FBR kontinuerligt följa upp och utvärdera verksamheten i förhållande till de syften med folkbildningen som anges i förordningen och de villkor som föreskrivs för att statsbidrag ska lämnas. FBR ska också i enlighet med de riktlinjer som regeringen meddelar lämna regeringen sådana sakuppgifter om verksamheten och sådan verksamhetsredovisning som behövs för uppföljning och utvärdering. Folkbildningsrådet ska redovisa hur statsbidraget har använts för studieförbundens verksamhet.

Detta har lett till att ett centralt register över deltagare i studiecirklar och annan folkbildningsverksamhet hos studieförbunden har skapats. FBR är personuppgiftsansvarigt för registret och SCB är personuppgiftsbiträde och förvaltar registret.

Ändamålet med detta centrala register är dels att kunna presentera den statistik och göra den återrapportering som FBR är skyldigt att göra, dels att skapa underlag för fördelningen av statsbidrag och att med detta som underlag göra det möjligt att tillföra folkbildningsverksamheten i övrig offentlig utbildnings- och kulturstatistik.

Studieförbunden rapporterar årligen in personuppgifter för deltagarna till SCB, som förvaltar registret. SCB sammanställer aggregerade avidentifierade data som med sekretessförbehåll används av FBR. FBR har inte tillgång till personuppgifter utan personuppgifter och kod för att knyta uppgift till en enskild individ finns hos SCB. Till registret rapporteras ca 2,4 miljoner deltagare per år. År 2013 var det fråga om 914 763 unika individer. I registret kompletteras uppgifter om bl.a. namn och personnummer med uppgift om utländsk eller svensk bakgrund, världsdelskod samt ålder och utbildningsnivå. Dessa uppgifter tillförs av SCB genom att uppgifterna hämtas ur register över rikets totalbefolkning (RTG) och utbildningsregistret. Någon särskild registerförfattning som reglerar behandlingen av personuppgifter i registret finns inte. Datainspektionen har en i skrivelse till regeringen konstaterat att det är fråga om ett mycket omfattande register och har påtalat att myndigheten anser att ett centralt register av denna omfattning och detta slag behöver regleras i en särskild registerförfattning. Bedömningen av om registret behöver regleras i en särskild registerförfattning behöver göras mot bakgrund av att PUL kommer att upphävas när dataskyddsförordningen träder i kraft. Bestämmelserna i en eventuell registerförfattning behöver också vara anpassade till bestämmelserna i dataskyddsförordningen och till den generella reglering som Dataskyddsutredningen kommer att föreslå och de regleringar på utbildningsområdet som utredaren kan komma att föreslå.

Utredaren ska därför

  • analysera om det behövs något författningsstöd utöver dataskyddsförordningen, den generella reglering som Dataskyddsutredningen kommer att föreslå och de övriga förslag utredaren kan komma att lämna för att personuppgifter ska kunna behandlas i registret över deltagare i studiecirklar

och annan folkbildningsverksamhet hos studieförbunden, och

  • lämna de författningsförslag som behövs.

Övriga frågor

Utredaren är oförhindrad att inom de ramar som angetts för uppdraget ta upp och belysa även andra frågeställningar som är relevanta för uppdraget. Om utredaren kommer fram till att det krävs eller är lämpligt med kompletterande eller ändrade nationella bestämmelser i andra delar än de som ska utredas särskilt, ska sådana föreslås.

Konsekvensbeskrivningar

Utredaren ska redogöra för ekonomiska och andra konsekvenser av sina förslag. Utöver vad som följer enligt 14–15 a §§kommittéförordningen (1998:1474) ska utredaren redovisa förslagens konsekvenser för den personliga integriteten.

Samråd och redovisning av uppdraget

Vid anpassningen av svensk rätt till den nya EU-regleringen bör en enhetlig tolkning eftersträvas. Det är viktigt att den nationella regleringen är så enhetlig som möjligt i sin utformning när det t.ex. gäller begrepp, uttryck och struktur samt hänvisningar till dataskyddsförordningen. Utredaren ska därför hålla sig informerad om arbetet i övriga utredningar som har i uppdrag att anpassa svensk rätt till reformen av EU:s dataskyddsregelverk, särskilt Dataskyddsutredningen (Ju 2016:04) och den kommande utredningen om personuppgiftsbehandling för forskningsändamål.

Under genomförandet av uppdraget ska utredaren, i den utsträckning som bedöms lämpligt, inhämta upplysningar från CSN, Statens skolverk, Statens skolinspektion, Specialpedagogiska skolmyndigheten, Sameskolstyrelsen, Myndigheten för yrkeshögskolan, Universitets- och högskolerådet, Universitets-

kanslersämbetet, Datainspektionen, SCB, Sveriges kommuner och landsting, Folkbildningsrådet, Sveriges Universitets- och högskoleförbund, Ladokkonsortiet och andra myndigheter och organsationer som är relevanta för uppdraget.

Uppdraget ska redovisas senast den 1 juni 2017.

(Utbildningsdepartementet)