Promemoria från Skolinformationsutredningen
Integritetsskyddsmyndigheten (IMY) har granskat promemorian huvudsakligen utifrån myndighetens uppgift att arbeta för att människors grundläggande fri- och rättigheter skyddas i samband med behandling av personuppgifter.
IMY lämnar följande synpunkter.
Generella synpunkter
Utredningen har i promemorian redogjort för ett av två alternativ för att långsiktigt säkerställa myndigheters, kommuners och andra aktörers tillgång till skolinformation. Alternativet innebär att Skolverket inrättar en ny insamling av uppgifter om verksamhet i skolväsendet.
IMY kan konstatera att den insamling som utredningen har föreslagit är mycket omfattande både till antal registrerade och till antal personuppgifter om dessa registrerade. De personuppgifter som ska samlas in är i många fall synnerligen integritetskänsliga. Personuppgifterna kommer dessutom röra barn, en grupp som enligt dataskyddsförordningen ska ges ett särskilt skydd. Sammantaget medför detta att lagstödet för behandlingen av dessa personuppgifter måste analyseras både noggrant och ingående.
En grundläggande princip vid all behandling av personuppgifter är att behandlingen är tillåten endast om den kan anses nödvändig för syftet med behandlingen. Behandlingen måste även anses proportionerlig mot det integritetsintrång den innebär för de registrerade. För att säkerställa att dessa krav uppfylls måste det därför utredas om det finns något alternativ som innebär ett mindre intrång i de registrerades personliga integritet.
Av promemorian framkommer att det enda alternativ som i nuläget utreds är att Skolverket åläggs att inrätta en ny mycket omfattande insamling av personuppgifter. Personuppgifter som i många fall är synnerligen integritetskänsliga. Av promemorian framkommer dessutom att bakgrunden till utredningens förslag är att vissa uppgifter som redan finns hos och tidigare kunnat lämnas ut från Statistiska centralbyrån (SCB), på grund av ändrad sekretessbedömning inte längre kan göras tillgängliga i ett längre perspektiv. Det verkar enligt promemorian även i vissa fall vara fråga om uppgifter som samlas in av SCB just på uppdrag av Skolverket.
Att mot denna bakgrund endast presentera ett förslag som innebär en ny omfattande insamling och vidarebehandling av personuppgifter utan att analysera andra alternativ kan enligt IMY:s mening inte anses uppfylla dataskyddsförordningens krav på nödvändighet och proportionalitet i lagstiftningsarbetet. Utredningen bör utreda om tillgången till skolinformation kan lösas utan att det byggs upp en ytterligare, omfattande och parallell personuppgiftssamling hos Skolverket. IMY ifrågasätter om en sådan behandling av personuppgifter utan vidare analys kan anses förenlig med dataskyddsförordningen.
Övrigt
Utredningen har i promemorian angett att Skolverket ska kunna behandla känsliga personuppgifter enligt artikel 9 i dataskyddsförordningen med stöd av 3 kap. 3 § första stycket 3 dataskyddslagen. Utformningen av denna bestämmelse innebär dock att den inte kan utgöra grund för slentrianmässig behandling av personuppgifter i löpande verksamhet. (1) Mot denna bakgrund samt att den aktuella behandlingen är omfattande och synnerligen integritetskänslig anser IMY att det starkt kan ifrågasättas om behandlingen av känsliga personuppgifter kan stödja sig på bestämmelsen i 3 kap. 3 § första stycket 3 i dataskyddslagen. Den behandling av känsliga personuppgifter som Skolverket kan behöva behandla bör regleras särskilt.
För kännedom har IMY tagit fram en ny och uppdaterad Vägledning för integritetsanalys i lagstiftningsarbete (pdf, 532 kB), vilken bifogas.
Fotnot
1) Se Prop 2017/18:105 s. 91.
Detta yttrande har beslutats av den tillförordnade enhetschefen Linn Sandmark efter föredragning av seniora juristen Ulrika Harnesk.
Linn Sandmark, 2022-12-21 (Det här är en elektronisk signatur)