Informationsförsörjning på skolområdet - Skolverkets ansvar
Integritetsskyddsmyndigheten (IMY) har granskat förslaget huvudsakligen utifrån myndighetens uppgift att arbeta för att människors grundläggande fri- och rättigheter skyddas i samband med behandling av personuppgifter.
Med anledning av betänkandets omfång och det antal frågor som behandlas, har IMY valt att begränsa sitt yttrande till mer övergripande frågor och frågor av väsentlig betydelse för enskildas personliga integritet. Utifrån dessa utgångspunkter lämnar IMY följande synpunkter.
Generella synpunkter (avsnitt 13.1, 13.5.3 och 13.5.4)
IMY anser att den insamling som förslaget innebär för Skolverket är omfattande både till antal registrerade och antal personuppgifter om de registrerade. Insamlingen innebär också att känsliga personuppgifter behandlas. Behandlingen innebär en ytterligare och parallell samling av personuppgifter hos Skolverket. De personuppgifter som ska samlas in är i många fall integritetskänsliga och blir det särskilt då ett flertal uppgifter rörande enskilda samlas från flera källor. Till exempel kan uppgifter om försörjningsförmåga anses vara ömtåliga personliga uppgifter (jfr det regeringen anfört i prop. 2002/03:36 s. 18). Personuppgifterna kommer dessutom att röra barn, en grupp som enligt dataskyddsförordningen ska ges ett särskilt skydd.
IMY har i ett tidigare yttrande (1) till Skolinformationsutredningen pekat på att en behandling endast är tillåten om den kan anses nödvändig för syftet med behandlingen och att den även måste anses proportionerlig mot det integritetsintrång den innebär för de registrerade. För att säkerställa dessa krav behöver det utredas om det finns något alternativ som innebär ett mindre intrång i de registrerades personliga integritet. Utredningen har inte utrett några alternativ med hänvisning till att det övervägts innan direktiven till Skolinformationsutredningen utformades. Utredningen anger även i sin proportionalitetsbedömning att de inte haft möjlighet att överväga mindre integritetsingripande alternativ för informationsförsörjningen utifrån utredningens direktiv. Utredningen pekar dock på möjliga alternativ som t.ex. en permanent sekretessbrytande bestämmelse i anslutning till 24 kap. 8 § offentlighets- och sekretesslagen eller att införa en offentlighetsprincip för enskilda huvudmän och utbildningsanordnare. Dessa är inte utredda i detta delbetänkande.
IMY ifrågasätter inte att Skolverket har ett stort behov av uppgifter för sitt uppdrag eller vad utredningen anger om bakgrunden för sitt uppdrag om alternativ. Regleringen i dataskyddsförordningen innebär emellertid att en behandling enligt artikel 6.1 e i dataskyddsförordningen bara är tillåten om den också är nödvändig. Av såväl EU:s stadga om de grundläggande rättigheterna som datasskyddsförordningen framgår att nationella lagstiftningsåtgärder som ger stöd för behandling av personuppgifter måste vara förenliga med proportionalitetsprincipen. För att uppfylla kravet på proportionalitet i dataskyddsförordningen krävs att inskränkningarna i skyddet av personuppgifter begränsas till vad som är strikt nödvändigt. Behovet av denna prövning understryks då förslaget även innehåller omfattande uppgiftsskyldigheter som förutsätter att man i lagstiftningsarbetet tagit ställning till om ett uppgiftslämnande är oförenligt med det eller de ändamål för vilka uppgifterna samlades in. (2)
Mot bakgrund av att mindre integritetsingripande alternativ inte utvecklats i delbetänkandet är det svårt att bedöma om kraven om nödvändighet och proportionalitet tillgodosetts.
Känsliga personuppgifter (avsnitt 8.11.2)
Utredningen anger att Skolverkets behov av behandling av känsliga personuppgifter kan ske med stöd av undantaget i artikel 9.2 g i dataskyddsförordningen och 3 kap. 3 § första stycket 3 dataskyddslagen. IMY har i det tidigare yttrandet (se ovan) ifrågasatt om den föreslagna behandlingen kan ske med stöd av 3 kap. 3 § första stycket 3 dataskyddslagen. Behandling av personuppgifter inom en myndighet kan inte generellt ske med stöd av 3 kap. 3 § första stycket 3 dataskyddslagen då den bestämmelsen inte är avsedd att tillämpas slentrianmässigt i den löpande verksamheten (se prop. 2017/18:105 s. 194). Skolverkets behov av att kunna behandla känsliga personuppgifter beskrivs i delbetänkandet och anger bl.a. behandling av t.ex. uppgifter om hälsa i form av elevers skolform (såsom gymnasiesärskola), redovisningar av exkluderingar från PISA-undersökningar p.g.a. funktionsnedsättning och uppgifter om att elever använt hjälpmedel vid genomförande av digitala nationella prov vid exempelvis dyslexi. Även uppgifter om religion och etnicitet kan förekomma. Förslaget innebär också en uppgiftsskyldighet till Skolverket från andra myndigheter av känsliga personuppgifter som t.ex. uppgifter om daglig verksamhet enligt LSS från Socialstyrelsen. Eftersom förslaget innehåller uppgiftsskyldighet om känsliga personuppgifter och, vad IMY tolkar vara för behandlingar av känsliga personuppgifter som Skolverket löpande ska utföra som en del i sin kärnverksamhet, anser IMY att behandling av känsliga personuppgifter för informationsförsörjningen ska regleras särskilt, förslagsvis i det föreslagna 26 b kap. skollagen.
IMY vill också framhålla att en särskild reglering om behandling av känsliga personuppgifter vid Skolverket gör det tydligt att myndigheten har ett stöd för den behandling av uppgifter som är nödvändig i myndighetens verksamhet. En ökad tydlighet skapar förutsättningar för Skolverket att utföra sitt uppdrag på bästa möjliga sätt, utan att en möjlig rättslig osäkerhet begränsar arbetet. Tydligheten bidrar också till transparens i förhållande till de registrerade och de aktörer som lämnar uppgifter till myndigheten. (3)
Fotnoter
(1) Se IMY:s yttrande över promemoria från Skolinformationsutredningen U 2021:04, dnr. IMY-2022-11271, daterat den 21 december 2022.
(2) Se HFD 2021 ref. 10, punkterna 30-31.
(3) Jfr skäl 41 till dataskyddsförordningen.
Detta yttrande har beslutats av enhetschefen Linn Sandmark efter föredragning av juristen Anna Hellgren Westerlund. Vid den slutliga handläggningen har även seniora juristen Ulrika Harnesk medverkat.
Linn Sandmark, 2023-09-22 (Det här är en elektronisk signatur)