Statens skolverks förslag till ändringar i förordningen (2020:833) om skolenhetsregister

Integritetsskyddsmyndigheten (IMY) har granskat förslaget huvudsakligen utifrån myndighetens uppgift att arbeta för att människors grundläggande fri- och rättigheter skyddas i samband med behandling av personuppgifter.

IMY lämnar följande synpunkter.

En del i en integritetsanalys är att bedöma de krav som dataskyddsförordningen ställer på att den behandling som utförs av myndigheter har en särskild rättslig grund i nationell rätt (artikel 6.3). Artikel 6.3 ställer krav på att den rättsliga grunden för behandlingen som avses i artikel 6.1 c och e ska fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt. Den absoluta merparten av myndigheternas personuppgiftsbehandling sker med stöd av artikel 6.1 c och e. Den rättsliga grunden måste utformas utifrån de krav som förordningen ställer på tydlighet, precision, förutsebarhet och proportionalitet (artikel 6.3 och skäl 41). Kravet på förutsebarhet ska ses på från den registrerades perspektiv (skäl 41). IMY saknar en analys utifrån dataskyddsförordningen om rättslig grund för behandlingen av personuppgifter.

En grundläggande princip är att personuppgifter endast får samlas in för särskilda, uttryckligt angivna och berättigade ändamål och att de inte senare får behandlas på ett sätt som är oförenligt med dessa ändamål (artikel 5.1 b, principen om ändamålsbegränsning). Ändamålsbestämmelser kan fylla flera funktioner. Den viktigaste funktionen är att begränsa integritetsintrånget genom att ange den yttersta ram inom vilken personuppgifter får behandlas. IMY anser att författningsförslagets 6 § p. 3 är så allmänt hållen att den inte ger någon tydlighet eller förutsebarhet för de registrerade.

IMY har tagit fram en vägledning för integritetsanlys i lagstiftningsärenden (1) som kan användas vid det fortsatta arbetet med föreskrifterna. Vägledningen innehåller en metod för att analysera om ett förslag är förenligt med framför allt bestämmelserna i dataskyddsförordningen.

Avslutningsvis är det positivt att förslaget syftar till att begränsa vilka personuppgifter som får behandlas. Vilket är i linje med den grundläggande principen om uppgiftsminimering, om att personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (artikel 5.1 c i dataskyddsförordningen).

Fotnot

(1) Vägledning för integritetsanalys i lagstiftningsarbete 

Detta yttrande har beslutats av enhetschefen Linn Sandmark efter föredragning av juristen Anna Hellgren Westerlund.

Linn Sandmark, 2023-09-14 (Det här är en elektronisk signatur)