Moderniserade dataskyddsbestämmelser – förslag på en mer ändamålsenlig reglering för studiestödsverksamheten

Remisspromemoria

2019-05-22 /UH

Utbildningsdepartementet

Moderniserade dataskyddsbestämmelser – förslag på en mer ändamålsenlig reglering för studiestödsverksamheten

1 Sammanfattning

Centrala studiestödsnämnden (CSN) är en myndighet som i hög utsträckning behandlar personuppgifter i sin studiestödsverksamhet. För att myndigheten ska ges goda förutsättningar att utveckla sin verksamhet behöver myndigheten ha nödvändiga och ändamålsenliga rättsliga verktyg för sin personuppgiftsbehandling. Därför förslås i denna promemoria, som har utarbetats inom Regeringskansliet (Utbildningsdepartementet), vissa ändringar i studiestödsdatalagen (2009:287). Det föreslås att de ändamål för vilka personuppgiftsbehandling är tillåten inte längre ska vara uttömmande reglerade i studiestödsdatalagen. I stället föreslås att den s.k. finalitetsprincipen ska utgöra den yttersta ramen inom vilken personuppgifter får behandlas i studiestödsverksamheten. Den principen innebär att personuppgifter som samlats in för ett visst eller vissa ändamål inte senare får behandlas för något ändamål som är oförenligt med de ursprungliga insamlingsändamålen. Vidare föreslås att vidarebehandling av känsliga personuppgifter och personuppgifter om lagöverträdelser i enlighet med finalitetsprincipen ska vara tillåten, men endast om behandlingen är absolut nödvändig för syftet med behandlingen. Denna ytterligare begränsning syftar till att säkerställa att behandlingen sker med restriktivitet och att behovet av att behandla en sådan personuppgift prövas noga i det enskilda fallet. Därutöver föreslås följande justering i en gallringsbestämmelse. Enligt nuvarande reglering får CSN i enstaka fall besluta att personuppgifter i ett ärende om studiestöd ska bevaras under en längre tid än vad som följer av de generella gallringsfristerna. Bevarandet får dock i sådana fall bara ske på papper eller annat medium som inte är elektroniskt. Det föreslås att bestämmelsen görs teknikneutral, dvs. att det inte längre regleras i vilken form uppgifterna får bevaras. Ändringarna i studiestödsdatalagen föreslås träda i kraft den 1 juli 2020.

2 Förslag till lag om ändring i studiestödsdatalagen (2009:287)

Härigenom föreskrivs i fråga om studiestödsdatalagen (2009:287) dels att 4, 6 och 16 §§ ska ha följande lydelse, dels att det ska införas en ny paragraf, 4 a §, av följande lydelse.

4 §

1. handlägga ärenden i den verksamheten,

4. informera studiestödsberättigade om studiestödsförmåner och studie-

5. ta fram och distribuera bevis om studiestöd för studier till studerande,

6. anmäla oegentligheter inom studiestödsverksamheten till ett offentligt

organ som har att utreda eller beivra oegentligheterna.

Personuppgifter som behandlas enligt första stycket får även behandlas

genom att lämnas ut till den registrerade själv, riksdagen och regeringen

samt, i den utsträckning skyldighet för Centrala studiestödsnämnden att

lämna uppgifter följer av lag eller förordning, till andra. Personuppgifter

som behandlas enligt första stycket och som inte direkt pekar ut den

registrerade får också behandlas för att ge tillgång till vägledande

6 § Personuppgifter som avses i Personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförord- artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) och ning (känsliga personuppgifter) och personuppgifter som avses i personuppgifter som avses i artikel 10 i samma förordning får artikel 10 i samma förordning får behandlas av Centrala studiestöds- behandlas av Centrala studiestödsnämnden för ändamål som avses i nämnden för de ändamål som avses 4 § första stycket 1 och 6 och andra i 4 § första stycket 1 och 6 och stycket. andra stycket samt 4 a § . För de ändamål som avses i 4 a § får dock sådana personuppgifter behandlas endast om det är absolut nödvändigt för syftet med behandlingen .

2 16 § Om återbetalning eller återkrav av studiestöd inte är aktuellt i ett ärende om studiestöd, ska personuppgifterna i ärendet gallras senast tre år efter utgången av det kalenderår då studiestöd senast beviljades i ärendet eller ansökan om studiestöd avslogs. I annat fall ska personuppgifterna i ärendet gallras senast två år efter utgången av det kalenderår då full betalning skedde eller betalningsskyldigheten annars upphörde. Sådana personuppgifter i ärendet som kan ha betydelse i ett nytt ärende om studiestöd eller som kan ha betydelse för återkrav av studiestöd i form av bidrag behöver dock inte gallras förrän de inte längre kan ha sådan betydelse. Personuppgifter som behandlas enligt 4 § första stycket 3 ska, i den utsträckning de inte har tillförts ett ärende om studiestöd, gallras senast ett år efter det att uppgifterna registrerades. Regeringen eller den myndighet Regeringen eller den myndighet som regeringen bestämmer får som regeringen bestämmer får meddela föreskrifter om att person- meddela föreskrifter om att personuppgifter får bevaras för arkivända- uppgifter får bevaras för arkivändamål av allmänt intresse, vetenskap- mål av allmänt intresse, vetenskapliga eller historiska forsknings- liga eller historiska forskningsändamål, statistiska ändamål eller ändamål, statistiska ändamål eller för redovisningsändamål, även om för redovisningsändamål, även om föreskrifterna kommer att avvika föreskrifterna kommer att avvika från första stycket. Centrala studie- från första stycket. Centrala studiestödsnämnden får också , trots stödsnämnden får också, om det första stycket, i enstaka fall besluta bedöms nödvändigt av andra skäl att personuppgifterna i ett ärende än som anges i första stycket , i om studiestöd ska bevaras på enskilda fall besluta att personupppapper eller annat medium som gifterna i ett ärende om studiestöd inte är elektroniskt . får bevaras så länge uppgifterna behövs för ändamålet med behandlingen.

Senaste lydelse 2018:1353. 5 2 Senaste lydelse 2018:1353.

Denna lag träder i kraft den 1 juli 2020.

3 En modernisering av dataskyddsregleringen på studiestödsområdet efterfrågas

Centrala studiestödsnämndens (CSN) efterfrågar en modernisering av det dataskyddsregelverk som gäller vid behandling av personuppgifter i studiestödsverksamheten. I en skrivelse till Utbildningsdepartementet (dnr U2019/00221/GV) lämnar myndigheten förslag på vissa ändringar i regelverket som skulle ge myndigheten en viss utökad rätt att behandla personuppgifter i denna verksamhet. Förslagen syftar enligt myndigheten till att förse CSN med ändamålsenliga och nödvändiga förutsättningar för personuppgiftsbehandlingen i studiestödsverksamheten, utan att integritetsintrånget för de registrerade överstiger vad som i andra sammanhang har bedömts vara rimligt. CSN vill bl.a. att den i EU:s dataskyddsförordning reglerade s.k. finalitetsprincipen ska utgöra den yttersta ramen inom vilken personuppgifter får behandlas i studiestödsverksamheten. I detta avsnitt ges en övergripande redogörelse för det generella dataskyddsregelverket, vad finalitetsprincipen innebär samt något om den särreglering som finns på studiestödsområdet och skälen för CSN:s önskemål. Därefter lämnas en mer ingående redogörelse för dataskyddsregelverket på studiestödsområdet i avsnitt 4. Förslag till ändringar i regelverket lämnas i avsnitt 5–7.

3.1 Det generella dataskyddsregelverket, registerförfattningar och finalitetsprincipen

Den 25 maj 2018 trädde Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) i kraft, nedan benämnd dataskyddsförordningen. Samtidigt upphävdes personuppgiftslagen (1998:204), förkortad PUL, då dataskyddsförordningen ersatte det tidigare dataskyddsdirektivet, som låg till grund för PUL. Dataskyddsförordningen är till alla delar bindande och direkt tillämplig i medlemsstaterna (artikel 99.2). Att en EU-förordning ska ha allmän giltighet och vara till alla delar bindande och direkt tillämplig i varje medlemsstat framgår också av Fördraget om Europeiska unionens funktionssätt (artikel 288 andra stycket). Till skillnad från EU-direktiv ska alltså EU-förordningar inte genomföras i nationell rätt. I stället ska förordningsbestämmelser tillämpas av enskilda, myndigheter och domstolar precis som om de vore nationella författningsbestämmelser. Även om dataskyddsförordningen är direkt tillämplig i medlemsstaterna, innehåller den många bestämmelser som förutsätter eller ger utrymme för kompletterande nationella bestämmelser av olika slag. Möjligheten till kompletterande nationella bestämmelser gäller framför allt behandling av personuppgifter inom den offentliga sektorn i respektive medlemsstat. Medlemsstaterna får behålla eller införa mer specifika bestämmelser för 7

att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen bl.a. när det handlar om behandling av personuppgifter som sker för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.2). Förordningen har därmed i vissa delar en direktivliknande karaktär. Om förordningen föreskriver förtydliganden eller begränsningar av dess bestämmelser genom medlemsstaternas nationella rätt, kan medlemsstaterna, i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, införliva delar av förordningen i nationell rätt (skäl 8). En allmän dataskyddsrättslig princip är att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Enligt den s.k. finalitetsprincipen får uppgifterna inte senare behandlas för något annat ändamål som är oförenligt med insamlingsändamålen. Denna princip kommer till uttryck i artikel 5.1 b i dataskyddsförordningen. Tidigare fanns den bl.a. i 9 § första stycket c och d PUL. Lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) innehåller bl.a. bestämmelser som förtydligar innehållet i dataskyddsförordningen och kompletterar förordningen i vissa delar. Bestämmelser i annan lag eller förordning som avviker från dataskyddslagen ska ha företräde (1 kap. 6 § dataskyddslagen), dvs. lagen är subsidiär till andra författningar. Det innebär att lagen, på motsvarande sätt som PUL, kan kompletteras av s.k. registerförfattningar, dvs. sektorsspecifika författningar som reglerar behandling av personuppgifter inom olika avgränsade områden. Det är vanligt att s.k. ändamålsbestämmelser, dvs. bestämmelser som anger för vilka ändamål personuppgifter får behandlas, tas in i en registerförfattning. Sådana bestämmelser finns bl.a. i studiestödsdatalagen (2009:287), se vidare avsnitt 4.2. Det finns olika sätt att utforma ändamålsregleringen i en registerförfattning. Ett sätt är att uttömmande ange de ändamål för vilken behandling får ske. Ett annat sätt är att de i lagen angivna ändamålen kompletteras med en möjlighet att behandla uppgifter även för ändamål som inte är oförenliga med de för vilka uppgifterna samlades in. Det senare alternativet innebär att finalitetsprincipen utgör den yttersta ramen inom vilken personuppgifter får behandlas.

3.2 Ändamålen för CSN:s personuppgiftsbehandling är uttömmande reglerade

När studiestödsdatalagen infördes gjorde regeringen bedömningen att ändamålen för personuppgiftsbehandlingen i studiestödsverksamheten skulle vara uttömmande reglerade i lagen. I propositionen Behandling av personuppgifter inom studiestödsområdet (prop. 2008/09:96) anförde regeringen bl.a. att de skäl som tidigare hade motiverat förslag med ändamålsregleringar som inte varit uttömmande inte gjorde sig gällande med någon betydande styrka när det gällde studiestöd. De förmåner som rymdes inom studiestödet bedömdes inte vara lika snabbt föränderliga som

många av de förmåner som erbjöds inom t.ex. socialförsäkringens administration. Med hänsyn till bl.a. detta ansåg regeringen att de tillåtna ändamålen för behandling av personuppgifter inom CSN:s studiestödsverksamhet skulle vara uttömmande reglerade i studiestödsdatalagen. Det sagda innebar således att CSN i sin studiestödsverksamhet inte skulle få behandla personuppgifter för några andra ändamål än de som angavs i studiestödsdatalagen. Av förarbetena framgår också att såvitt avser finalitetsprincipens tillämpning innebär detta ställningstagande att en behandling av personuppgifter som inte har stöd i lagens ändamålsbestämmelser inte kan tillåtas även om behandlingens syfte i och för sig kan bedömas vara förenligt med de ändamål för vilka uppgifterna samlats in (samma prop. s. 40 f.). I samband med den översyn som gjordes för att anpassa bl.a. studiestödsdatalagen till dataskyddsförordningen konstaterades i propositionen Behandling av personuppgifter på utbildningsområdet (prop. 2017/18:218) att studiestödsdatalagens bestämmelser om bl.a. ändamål med behandlingen var förenliga med dataskyddsförordningen och borde behållas (s. 188). Något ställningstagande kring den uttömmande ändamålsregleringen eller finalitetsprincipen gjordes inte i samband med den översynen.

3.3 Flera nya förmånstyper har tillkommit sedan lagen infördes

Som nämnts var ett starkt vägande skäl till bedömningen att finalitetsprincipen inte skulle vara tillämplig i studiestödsverksamheten att förmånerna inom studiestödet inte bedömdes vara så snabbt föränderliga. Sedan studiestödsdatalagen infördes har emellertid en rad olika reformer genomförts inom studiestödsverksamheten och flera olika förmånstyper har tillkommit. De helt nya studiestöd som har tillkommit är den s.k. lärlingsersättningen, som regleras i förordningen (2013:1121) om kostnadsersättning till elever i gymnasial lärlingsutbildning och lärlingsliknande utbildning inom introduktionsprogram, och studiestartsstödet, som regleras i lagen (2017:527) om studiestartsstöd. Utöver dessa renodlade studiestöd har också ett nytt körkortslån tillkommit, som regleras i förordningen (2018:1118) om körkortslån. CSN administrerar lånet och studiestödsdatalagen har i departementspromemorian Körkortslån bedömts vara tillämplig på personuppgiftsbehandlingen i ärenden om körkortslån (Ds 2017:35 s. 26). Flera reformer inom det studiestöd som lämnas enligt studiestödslagen (1999:1395) har också skett. Som ett exempel kan nämnas den s.k. utlandsreformen, som rör villkoren för studiemedel för utlandsstudier (prop. 2012/13:152). Studiestödsverksamheten har således under det senaste decenniet visat sig, i motsats till det antagande som gjordes i förarbetena till studiestödsdatalagen, vara en föränderlig verksamhet. Vidare är finalitetsprincipen en grundläggande princip i dataskyddsförordningen och kommer även till uttryck i den kompletterande reglering som gäller i verksamheterna hos en rad olika myndigheter som, liksom CSN, har en omfattande personuppgiftsbehandling och en hög grad av

automatisering. Det gäller bl.a. Skatteverket, Försäkringskassan, Kronofogdemyndigheten, Arbetsförmedlingen och Migrationsverket.

3.4 Den nuvarande regleringen är inte helt ändamålsenlig

3.4.1 CSN önskar att ändamålen inte ska vara uttömmande reglerade

CSN framför i sin hemställan att studiestödsdatalagens restriktiva utformning när det gäller tillåtna ändamål för personuppgiftsbehandling innebär ett återkommande hinder mot utveckling och andra kvalitets- och effektivitetshöjande åtgärder i myndighetens verksamhet. Myndighetens ärendehandläggning och informationshantering är i stort sett helt automatiserad. Den automatiserade behandlingen av personuppgifter är omfattande, avser ett stort antal personer och flera olika förmånstyper. CSN är dessutom statistikansvarig myndighet på området. CSN:s verksamhet är diversifierad och innefattar en omfattande personuppgiftsbehandling. Verksamheten är vidare föränderlig. Detta medför för CSN, liksom för de flesta andra myndigheter med likartade förutsättningar, ett behov av att behandla personuppgifter insamlade i verksamheten för ett flertal olika berättigade ändamål som dock inte alltid är förutsebara. Flera av dessa ändamål har enligt myndigheten inte någon uppenbar koppling till de tillåtna ändamålen i studiestödsdatalagen. Som exempel nämner CSN utförande av tester som avser utveckling av befintlig eller ny it-infrastruktur (testverksamhet), framställning av statistik med uteslutande ett myndighetsinternt syfte och kvalitetsutveckling av handläggning och service genom att t.ex. kunna söka ut och hitta registrerade vars förutsättningar är sådana att de är lämpliga att kontakta för fördjupade undersökningar av hur CSN:s service kan utvecklas. Som andra exempel nämns genomförande av s.k. predikativa analyser för att motverka felaktiga utbetalningar, dvs. att på automatiserad väg identifiera vissa återkommande omständigheter i ärenden där felaktiga utbetalningar har konstaterats, och utökat informationsutbyte om adressuppgifter med studiestödsmyndigheter i andra länder, under förutsättning att uppgifter kan lämnas utan hinder av sekretess. För att CSN ska kunna fullgöra sitt uppdrag, tillhandahålla en säker it-infrastruktur, kontinuerligt söka förbättringspotential och effektiviseringsåtgärder samt utveckla myndighetens handläggning och service behöver personuppgifter som samlats in för handläggning av ärenden även få behandlas för andra ändamål. CSN föreslår därför att myndigheten ska få en vidare rätt att behandla personuppgifter i studiestödsverksamheten. CSN föreslår att rätten att behandla personuppgifter för ytterligare ändamål än de som uttryckligen anges i 4 § studiestödsdatalagen ska utvidgas till att även avse ändamål som inte är oförenliga med det ändamål för vilket personuppgifterna samlats in.

Särskilt om testverksamhet CSN föreslår även att myndighetens rätt att behandla personuppgifter för utförande av testverksamhet uttryckligen ska anges i 4 § studiestödsdatalagen, då det enligt myndigheten inte står klart att denna rätt följer av finalitetsprincipen i samtliga fall då sådan personuppgiftsbehandling inte kan undvikas. CSN hänvisar bl.a. till att testverksamhet som ett särskilt angivet ändamål finns i 11 § utlänningsdatalagen (2016:27).

Särskilt om känsliga personuppgifter CSN framför vidare att om studiestödsdatalagen ändras behöver även ett ställningstagande göras om CSN:s rätt att behandla dels känsliga personuppgifter, dels uppgifter om fällande domar i brottmål samt överträdelser (personuppgifter om lagöverträdelser) för de tillkommande ändamålen. I många fall kommer det avsedda syftet med behandlingen av personuppgifter enligt myndigheten att kunna uppnås utan att känsliga uppgifter eller personuppgifter om lagöverträdelser behöver behandlas. Det kommer dock att förekomma situationer då behandling av framför allt känsliga personuppgifter kommer att vara nödvändig för att uppnå det avsedda syftet. Det kan t.ex. röra sig om framtagande av verksamhetsstatistik för att utveckla handläggningen av ärenden om studiestöd under sjukdom. CSN framför att det är nödvändigt att myndigheten ges en grundläggande rätt att behandla även känsliga personuppgifter för de tillkommande ändamålen, bl.a. för att uppnå den flexibilitet som behövs. CSN föreslår dock att rätten att behandla känsliga personuppgifter och personuppgifter om lagöverträdelser begränsas till att uteslutande avse fall där behandling av sådana uppgifter är absolut nödvändig för syftet med behandlingen.

3.4.2 CSN har även framfört önskemål om en ändring i gallringsbestämmelserna

Utöver förslag till ändringar som rör ändamålsbestämmelser har CSN i en tidigare skrivelse till Utbildningsdepartementet (U2011/01355/GV) framfört att myndigheten gärna skulle se ändringar i 16 § studiestödsdatalagen, som innehåller gallringsbestämmelser. CSN har framfört att det ibland, utöver de tidsfrister för gallring som anges där, kan förekomma att personuppgifter i ett ärende om beviljande av studiestöd eller återbetalning av studiestöd har betydelse för andra ärenden där handläggning fortfarande pågår efter dessa gallringsfrister. Det kan t.ex. gälla situationer där ärendet granskas av en tillsynsmyndighet eller ärenden där beslutet har överklagats och där överprövningen ännu inte är klar. Det kan även gälla andra situationer, t.ex. om någon har begärt skadestånd med anledning av handläggningen av ett ärende hos CSN och handläggningen inte har kunnat slutföras inom de angivna gallringstidpunkterna. För dessa fall kan CSN i dag bevara personuppgifterna på papper eller annat medium som inte är elektroniskt enligt bestämmelsen i 16 § tredje stycket studiestödsdatalagen. CSN har framfört att myndighetens ärendehantering är uppbyggd på en hantering i ett handläggningssystem. Att skriva ut den information som tillhör eller kan påverka ett visst ärende skulle innebära utskrifter av ett stort antal uppgifter, som efter utskrift riskerar att tappa sitt sammanhang.

Uppgifter kan finnas i olika databastabeller. Det är därför inte tillräckligt med ett utdrag ur CSN:s handläggningssystem för att ett gallrat ärende ska kunna registreras på nytt. För att ha en realistisk möjlighet att avsluta de få ärenden som ännu inte har hunnit avslutas inom ramen för gallringsfristen föreslår CSN en ändring som innebär att uppgifterna bör få bevaras i elektroniskt format fram till dess att de inte längre behövs för handläggningen i ärendet.

4 Närmare om dataskyddsregleringen avseende CSN:s studiestödsverksamhet

4.1 Dataskyddsförordningen

Vissa allmänna villkor gäller för personuppgiftsbehandling Vilka principer som gäller för behandling av personuppgifter, dvs. vilka allmänna krav som gäller för all personuppgiftsbehandling, anges i artikel 5.1 i dataskyddsförordningen. Den första principen som slås fast är att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (a). Vidare anges att personuppgifterna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och att de inte senare får behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska dock inte anses vara oförenlig med de ursprungliga ändamålen (b). Uppgifterna ska också bl.a. vara adekvata och korrekta och får inte förvaras under en längre tid än vad som är nödvändigt (c, d och e). Uppgifterna måste också behandlas på ett sätt som säkerställer lämplig säkerhet, med användning av lämpliga tekniska eller organisatoriska åtgärder (f). Det är den personuppgiftsansvarige som ska ansvara för och kunna visa att artikel 5.1 efterlevs (artikel 5.2).

Det måste alltid finnas en rättslig grund för personuppgiftsbehandling Dataskyddsförordningen utgår från att varje behandling av personuppgifter måste vila på någon av de rättsliga grunder som räknas upp i artikel 6.1. Där anges att behandlingen är laglig bl.a. om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (e). När det gäller behandling som är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning måste det även finnas ett annat stöd i rättsordningen än det som ges i dataskyddsförordningen. I artikel 6.3 första stycket anges att den grund för behandlingen som bl.a. avses i artikel 6.1 e ska fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige om-

fattas av. I artikel 6.3 andra stycket anges vidare att syftet med behandlingen ska fastställas i den rättsliga grunden eller ska, i fråga om behandling enligt artikel 6.1 e, vara nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen, bl.a. ändamålsbegränsningar och lagringstid. När det gäller vidarebehandling av personuppgifter anges i skäl 50 till dataskyddsförordningen att behandling av personuppgifter för andra ändamål än de för vilka de ursprungligen samlades in bör endast vara tillåten när detta är förenligt med de ändamål för vilka personuppgifterna ursprungligen samlades in. I dessa fall krävs det inte någon annan separat rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs.

Känsliga personuppgifter Det är förbjudet att behandla uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning (artikel 9.1). Sådana uppgifter benämns i dataskyddsförordningen särskilda kategorier av personuppgifter. I dataskyddslagen benämns de i stället känsliga personuppgifter (3 kap. 1 §). Förbudet ska dock inte tillämpas om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel 9.2 g). Känsliga personuppgifter får också behandlas för statistiska ändamål på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel 9.2 j).

Personuppgifter om lagöverträdelser Behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 får utföras endast under kontroll av en myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs (artikel 10).

Den registrerades rättigheter I tredje kapitlet i dataskyddsförordningen (artiklarna 12–23) anges den registrerades rättigheter i samband med att personuppgifter behandlas. Dessa rättigheter kan under vissa förutsättningar begränsas. 13

I artikel 12 finns bestämmelser om klar och tydlig information och kommunikation samt klara och tydliga villkor för utövandet av den registrerades rättigheter. I artikel 13 finns bestämmelser om information som ska tillhandahållas om personuppgifterna samlas in från den registrerade och i artikel 14 finns bestämmelser om information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade. Artikel 15 reglerar den registrerades rätt till tillgång, som huvudsakligen rör den registrerades rätt att av den personuppgiftsansvarige få bekräftelse på om personuppgifter som rör honom eller henne håller på att behandlas och i så fall få tillgång till personuppgifterna och viss information. Artikel 16 och 17 reglerar rätten till rättelse respektive rätten till radering (”rätten att bli bortglömd”). Rätten till begränsning av behandling regleras i artikel 18. I artikel 19 finns bestämmelser om anmälningsskyldighet avseende rättelse eller radering av personuppgifter och begränsning av behandling. Artikel 20 reglerar rätten till dataportabilitet, dvs. den registrerades rätt att under vissa förutsättningar få ut sina personuppgifter i ett strukturerat, allmänt använt och maskinläsbart format och sedan överföra dessa till en annan personuppgiftsansvarig. Artiklarna 21 och 22 reglerar rätten att göra invändningar respektive automatiserat individuellt beslutsfattande, inbegripet profilering. Av artikel 23.1 följer att såväl unionsrätten som en medlemsstats nationella rätt, under vissa angivna förutsättningar får begränsa tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12– 22 och 34 (information till den registrerade om en personuppgiftsincident), samt artikel 5 (principer för behandling av personuppgifter) i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22.

4.2 Studiestödsdatalagen

Som nämns i avsnitt 3.1 kompletteras dataskyddsförordningen av dataskyddslagen. Den lagen är dock subsidiär i förhållande till annan lagstiftning. Studiestödsdatalagen är den registerförfattning som tillämpas vid behandling av personuppgifter i CSN:s studiestödsverksamhet.

Studiestödsverksamheten är en fastställd uppgift av allmänt intresse och ett viktigt allmänt intresse Studiestödsdatalagen har anpassats till dataskyddsförordningen (prop. 2017/18:218, bet. 2017/18:UbU28, rskr. 2017/18:431). Enligt regeringens bedömning är studiestödsverksamhet en i bl.a. studiestödslagen fastställd uppgift av allmänt intresse i enlighet med artikel 6.1 e i dataskyddsförordningen. Verksamheten utgör vidare ett viktigt allmänt intresse. Vidare utgör studiestödsdatalagen och studiestödsdataförordningen sådana mer specifika bestämmelser om personuppgiftsbehandling som är tillåtna i nationell rätt enligt artikel 6.2 och 6.3 i dataskyddsförordningen (prop. 2017/18:218 s. 108 f.).

Ändamålsbestämmelser och känsliga personuppgifter I studiestödsdatalagen anges samtliga ändamål för vilka personuppgifter får behandlas. Där anges att personuppgifter får behandlas i CSN:s studiestödsverksamhet bara om det behövs för att 1. handlägga ärenden i den verksamheten, 2. administrera handläggningen, 3. förbereda handläggningen, 4. informera studiestödsberättigade om studiestödsförmåner och studiesociala förmåner, 5. ta fram och distribuera bevis om studiestöd för studier till studerande, eller 6. anmäla oegentligheter inom studiestödsverksamheten till ett offentligt organ som har att utreda eller beivra oegentligheterna (4 § första stycket). Personuppgifter som behandlas enligt 4 § första stycket får även behandlas genom att lämnas ut till den registrerade själv, riksdagen och regeringen samt, i den utsträckning skyldighet för CSN att lämna uppgifter följer av lag eller förordning, till andra. Personuppgifter som behandlas enligt första stycket och som inte direkt pekar ut den registrerade får också behandlas för att ge tillgång till vägledande avgöranden (4 § andra stycket). Regeringen får enligt ett bemyndigande meddela föreskrifter om begränsningar av ändamålen i 4 § första stycket och om i vilka fall behandling får göras när det gäller att förbereda handläggningen. Vidare finns en upplysningsbestämmelse om att regeringen meddelar föreskrifter om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål (4 § tredje stycket). Personuppgifter som avses i artikel 9.1 i dataskyddsförordningen (känsliga personuppgifter) och personuppgifter som avses i artikel 10 (personuppgifter om lagöverträdelser) får behandlas av CSN för ändamål som avses i 4 § första stycket 1 och 6 och andra stycket (6 §).

Bestämmelser om sökbegränsning och begränsning av intern elektronisk tillgång till personuppgifter Studiestödsdatalagen innehåller vidare bestämmelser som reglerar begränsningar för användning av olika sökbegrepp. Det är enligt 8 § förbjudet att använda sökbegrepp som avslöjar 1. känsliga personuppgifter, 2. personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning, 3. uppgifter som rör inkomst, förmögenhet eller anledning till studieavbrott, eller 4. uppgift om att det allmänna helt eller till en väsentlig del bekostat en persons uppehälle (första stycket). Sökbegrepp som avslöjar sådana uppgifter får dock användas vid sökning i ett visst ärende om studiestöd, i en viss handling eller i en sådan avskild samling av personuppgifter som avses i 4 § andra stycket andra meningen (8 § andra stycket). Sökbegrepp får också användas om de avslöjar uppgifter som rör 1. hälsa, om det är nödvändigt för att ge behörig personal elektronisk tillgång till pågående ärenden där sjukdom har betydelse, och 2. inkomst och förmögenhet, om det är nödvändigt för att ge behörig personal elektronisk tillgång till ärenden i syfte att kunna genomföra kontroller av uppgifter som har legat till grund för ett beslut i ett ärende (8 § tredje stycket). Regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om villkoren för elektronisk tillgång till personuppgifterna för den som arbetar i CSN:s studiestödsverksamhet (9 §). Sådan tillgång ska begränsas till vad som behövs för att han eller hon ska kunna fullgöra sina arbetsuppgifter inom studiestödsverksamheten (9 § första stycket). CSN

ska vidare se till att elektronisk tillgång till personuppgifter dokumenteras. Myndigheten ska också systematiskt och återkommande kontrollera om någon obehörig åtkomst till uppgifterna har förekommit (9 § andra stycket). Regeringen eller den myndighet som regeringen bestämmer meddelar ytterligare föreskrifter om dokumentation och kontroll (9 § tredje stycket).

Direktåtkomst och annat elektroniskt utlämnande Direktåtkomst till och annat elektroniskt utlämnande av personuppgifter som behandlas i CSN studiestödsverksamhet, är tillåtet bara i den utsträckning som anges i lag eller förordning och under förutsättning att 4, 6 och 8 §§ följs (10 §).

Gallringsbestämmelser Om återbetalning eller återkrav av studiestöd inte är aktuellt i ett ärende om studiestöd, ska personuppgifterna i ärendet gallras senast tre år efter utgången av det kalenderår då studiestöd senast beviljades i ärendet eller ansökan om studiestöd avslogs. I annat fall ska personuppgifterna i ärendet gallras senast två år efter utgången av det kalenderår då full betalning skedde eller betalningsskyldigheten annars upphörde. Sådana personuppgifter i ärendet som kan ha betydelse i ett nytt ärende om studiestöd eller som kan ha betydelse för återkrav av studiestöd i form av bidrag behöver dock inte gallras förrän de inte längre kan ha sådan betydelse (16 § första stycket). Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om att personuppgifter får bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål, statistiska ändamål eller för redovisningsändamål, även om föreskrifterna kommer att avvika från första stycket. CSN får också, trots första stycket, i enstaka fall besluta att personuppgifterna i ett ärende om studiestöd ska bevaras på papper eller annat medium som inte är elektroniskt (16 § tredje stycket).

5 Finalitetsprincipen ska utgöra den yttersta ramen inom vilka personuppgifter får behandlas i studiestödsverksamheten

Förslag: Ändamålen för personuppgiftsbehandling i studiestödsdatalagen ska inte längre vara uttömmande reglerade. I lagen ska det i stället införas en upplysningsbestämmelse som anger att personuppgifter som behandlas enligt ändamålsbestämmelserna i lagen får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Bedömning: Testverksamhet är en administrativ uppgift som CSN behöver utföra för att kunna utföra sin studiestödsverksamhet. Upp- 16 giften har ett sådant samband med CSN:s studiestödsverksamhet i

övrigt att någon särskild ändamålsbestämmelse inte behövs för den verksamheten.

Skälen för bedömningen och förslaget

Testverksamhet är en sådan administrativ uppgift som krävs för att CSN ska kunna utföra studiestödsverksamheten Av CSN:s skrivelse framgår att myndigheten är osäker på vilket rättsligt stöd som finns när det gäller utförande av testverksamhet av myndighetens it-system och vid nyutveckling av sådana system. Myndigheten framför att den därför gärna skulle se att sådan testverksamhet fördes upp som ett särskilt angivet ändamål i 4 § studiestödsdatalagen. För att personuppgifter ska få behandlas måste det, som tidigare nämnts, finnas en rättslig grund för behandlingen. När det gäller behandling enligt artikel 6.1 e, ska syftet med behandlingen vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.3 andra stycket). I propositionen Ny dataskyddslag (prop. 2017/18:105) anför regeringen bl.a., i fråga om den rättsliga grunden allmänt intresse, att alla myndigheter, såväl statliga som kommunala, vidtar en rad administrativa åtgärder som krävs för att myndigheten ska fungera. Krav på myndigheterna att vidta sådana administrativa åtgärder kan framgå direkt eller indirekt av författning eller beslut. Det förekommer dock även att myndigheterna, för att fungera, behöver vidta administrativa åtgärder som varken direkt eller indirekt kan sägas följa av författning eller beslut. Om myndigheten inte fungerar kan den inte utföra sina fastställda uppgifter. Behandling av personuppgifter som utförs som ett led i sådana administrativa åtgärder som är nödvändiga för myndighetens förvaltning och funktion är därmed enligt regeringens uppfattning rättsligt grundad i dataskyddsförordningens mening. Det krävs alltså inte att de administrativa åtgärderna är fastställda i enlighet med svensk rätt. Däremot måste de administrativa åtgärderna vara nödvändiga för att myndigheten ska kunna utföra sina uppgifter. Dessa uppgifter måste vara fastställda i enlighet med gällande rätt (s. 60 f.). För CSN:s del är sådana rättsligt fastställda uppgifter t.ex. att handlägga ärenden i studiestödsverksamheten. Som framgår av avsnitt 3.3 har flera nya typer av studiestödsärenden tillkommit sedan studiestödslagen infördes. Detta innebär att CSN:s it-system kontinuerligt behöver byggas om för att de nya ärendetyperna ska kunna handläggas. I detta sammanhang kan det nämnas att dataskyddsförordningen i sig ställer höga krav på den personuppgiftsansvarige, som enligt artikel 5.2 ska ansvara för och kunna visa att de allmänna villkor som gäller för all personuppgiftsbehandling enligt artikel 5.1 efterlevs. Myndigheten har, som personuppgiftsansvarig, ansvar för att vidta åtgärder för att säkerställa säkerheten i de tekniska systemen. Av artikel 24.1. framgår bl.a. att den personuppgiftsansvarige ska genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen. Vidare finns det i artikel 32.1 bestämmelser om säkerhet i samband med behandlingen. Där anges bl.a. att med beaktande av den senaste utvecklingen, genomförandekostnaderna

och behandlingens art, omfattning, sammanhang och ändamål samt riskerna för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. Ett exempel på en sådan administrativ åtgärd inom vilken personuppgiftsbehandling är tillåten måste, i enlighet med vad som uttalas i de ovan angivna förarbetsuttalandena, kunna vara just när en myndighet, genom utförande av testverksamhet, säkerställer att den har väl fungerande itsystem för att i förlängningen kunna fullgöra de åligganden som vilar på myndigheten i dess verksamhet. För att CSN i studiestödsverksamheten, som är en uppgift av allmänt intresse, ska kunna handlägga ärenden och betala ut den ersättning som studerande har rätt till och samtidigt säkerställa att systemstödet är effektivt också när det gäller återbetalning av studielån krävs att myndigheten har säkra och effektiva system för att kunna fullgöra denna uppgift. Något ytterligare författningsstöd krävs därför inte för att CSN ska kunna utföra denna testverksamhet.

Några särskilda skäl att reglera testverksamheten i just studiestödsverksamheten har inte framkommit CSN har hänvisat till att en ändamålsbestämmelse för testverksamhet finns i utlänningsdatalagen. Registerförfattningar är dock utformade på olika sätt beroende på vilka villkor som gäller för respektive verksamhet. Denna typ av bestämmelse, dvs, behandling av personuppgifter för teständamål, är också något som normalt inte brukar regleras i särskilda registerförfattningar. Det följer, som nämns ovan, av att myndigheter generellt har en skyldighet att ha säkra tekniska lösningar för att kunna utföra de uppgifter som åligger dem. Av propositionen Utlänningsdatalag (prop. 2015/16:65) framgår dock bl.a. att de tester som Migrationsverket utför många gånger krävs för att myndigheten ska kunna delta i det europeiska samarbetet. Det anges vidare att när det gäller behandling av personuppgifter för att bedriva testverksamhet kan det hävdas att sådan verksamhet många gånger måste anses ha ett sådant samband med verksamheten i övrigt att den inte skulle behöva regleras i en särskild ändamålsbestämmelse. Beträffande just testverksamheten inom ramen för utlännings- och medborgarskapslagstiftningen har dock regeringen gjort bedömningen att det bör införas en särskild ändamålsbestämmelse som reglerar den sortens verksamhet (s. 63 f.). Att testverksamhet inte behöver regleras som ett särskilt ändamål måste således anses vara en slags huvudprincip. Den bedömning som görs i denna promemoria är också att det, till skillnad från vad som gäller för utlännings- och medborgarskapslagstiftningen, inte har framkommit några sådana skäl som innebär att testverksamheten inom just studiestödsverksamheten skulle behöva regleras som ett särskilt ändamål. Den måste i stället, som nämns ovan, anses ha ett sådant tydligt och nära samband med verksamheten i övrigt, särskilt handläggningen av ärenden, att någon ändring inte behövs för att CSN ska ha rättsliga förutsättningar att kunna utföra personuppgiftsbehandling vid sådan verksamhet. Denna bedömning gäller således oavsett om registerförfattningen innehåller en uttömmande ändamålsreglering eller inte.

För att ge CSN mer ändamålsenliga förutsättningar ska ändamålsbestämmelsen inte längre vara uttömmande Som nämns i avsnitt 4.1 utgår dataskyddsregleringen från att varje behandling av personuppgifter måste vila på en rättslig grund för att vara laglig. Det är alltså bara om det finns en rättslig grund som personuppgifter överhuvudtaget får behandlas. Denna grund framgår för CSN:s del i studiestödslagen, lagen om studiestartstöd och andra författningar. Som framgått av avsnitt 3.3 är det inte vanligt att en registerförfattning innehåller en sådan uttömmande ändamålsreglering som studiestödsdatalagen gör. Sedan studiestödsdatalagen infördes har en rad olika reformer skett inom studiestödsverksamheten. Det är viktigt att CSN har rättsliga förutsättningar att bedriva studiestödsverksamheten på ett effektivt sätt. För att CSN ska ges goda förutsättningar att utveckla sin verksamhet behöver myndigheten ha nödvändiga och ändamålsenliga rättsliga verktyg för sin personuppgiftsbehandling. Sådana verktyg måste vara rimliga i förhållande till myndighetens behov och verksamhetens komplexitet och till att CSN, precis som många andra myndigheter, behandlar en stor mängd personuppgifter i sin verksamhet. Som CSN har påtalat finns det behov att kunna behandla personuppgifter för att myndigheten ska kunna vidareutveckla sin verksamhet. Det råder dock viss osäkerhet om sådan behandling fullt ut ryms inom de angivna ändamålen. Vissa av de exempel som CSN nämner som skäl för att finalitetsprincipen bör utgöra den yttersta ramen inom vilken personuppgifter får behandlas i studiestödsverksamheten handlar om uppgifter som har ett nära samband med CSN:s verksamhet i fråga om handläggning av ärenden eller andra ändamål som personuppgifter får behandlas för enligt studiestödsdatalagen. Det gäller t.ex. den kvalitetsutveckling av handläggning och service som myndigheten nämner. Andra exempel som CSN nämner är att CSN har behov av att kunna ta fram statistik för myndighetsinterna syften och att använda personuppgifter för att ta fram s.k. predikativa analyser för att motverka felaktiga utbetalningar. I 3 § myndighetsförordningen (2007:515) anges att myndighetens ledning bl.a. ska se till att verksamheten bedrivs effektivt. I 4 § förordningen (2017:1114) med instruktion för Centrala studiestödsnämnden anges att myndigheten ska motverka bidragsbrott och säkerställa att felaktiga utbetalningar inte görs. Att CSN kan behöva behandla personuppgifter för att ta fram statistik som ett led i att säkerställa att myndigheten bedrivs effektivt kan således anses följa av myndighetsförordningen, medan behandlingen av personuppgifter för att genom olika typer av åtgärder motverka felaktiga utbetalningar följer av myndighetens instruktion. Det finns således en rättslig grund för behandling av personuppgifter i dessa förordningar. Frågan är emellertid om studiestödsdatalagen, genom att den innehåller en uttömmande reglering om personuppgiftsbehandling, kan tolkas som att den begränsar eller till och med står i strid med de krav på CSN som följer av t.ex. myndighetsförordningen och myndighetens instruktion. Utan att ta ställning i den frågan föreslås, för att det inte ska finnas några frågetecken kring CSN:s rättsliga stöd för behandling av personuppgifter,

att finalitetsprincipen ska utgöra den yttersta ramen inom vilken personuppgifter får behandlas. En sådan ändring föreslås därför i studiestödsdatalagen. Myndighetens behov av att få behandla personuppgifter måste vidare alltid vägas mot det skydd för enskilda som dataskyddsregleringen syftar till. Det integritetsintrång för enskilda som personuppgiftsbehandling innebär måste alltid stå i proportion både till de åtgärder som myndigheten vidtar och till åtgärder som föreslås på området. Om finalitetsprincipen, som är en huvudprincip enligt dataskyddsförordningen, ska utgöra den yttersta ramen inom vilken personuppgifter får behandlas i studiestödsverksamheten kommer det att innebära att CSN ges en vidare rätt att behandla personuppgifter jämfört med vad som gäller i dag. Detta kommer innebära en ökad inskränkning i den personliga integriteten för enskilda. Vid en avvägning mellan en sådan inskränkning och vikten av att CSN kan bedriva sin verksamhet på ett ändamålsenlig sätt utifrån de olika krav som ställs på myndigheten görs bedömningen att en sådan behandling av personuppgifter är proportionerlig och således förenlig med dataskyddsförordningen. Mot denna bakgrund föreslås att ordet ”bara” styrks i 4 §, för att den bestämmelsen inte uttömmande ska ange de tillåtna ändamålen för personuppgiftsbehandling. För att det inte ska råda någon osäkerhet om att finalitetsprincipen ska utgöra den yttersta ramen inom vilken personuppgifter får behandlas i studiestödsverksamheten föreslås att det av tydlighetsskäl införs en upplysningsbestämmelse i lagen som anger att det är tillåtet att behandla personuppgifter för andra ändamål än de som uttryckligen anges i lagen, så länge behandlingen inte är oförenlig med insamlingsändamålen. En sådan bestämmelse finns i flera andra registerförfattningar, bl.a. i 5 a § lagen (2001:183) om behandling av personuppgifter i verksamhet med val och omröstningar och i 114 kap. 10 § socialförsäkringsbalken. De föreslagna ändringarna utgör sådana bestämmelser som får införas i nationell rätt enligt artikel 6.3 i dataskyddsförordningen.

Särskilt om behandling av personuppgifter för utlämnande till en utländsk myndighet CSN har som ytterligare ett exempel på varför finalitetsprincipen bör utgöra den yttersta ramen inom vilken personuppgifter får behandlas i studiestödsverksamheten nämnt att myndigheten genom en sådan ändring skulle kunna få ökade möjligheter att vidarebehandla personuppgifter i den verksamheten också för att lämna ut adressuppgifter till utländska studiestödsmyndigheter, om ett utlämnade inte hindras av sekretess. När det gäller personuppgiftsbehandling i syfte att lämna uppgifter till utländska myndigheter finns det i vissa registerförfattningar bestämmelser om att ett sådant utlämnande kan ske om utlämnandet av uppgifterna krävs för att myndigheten ska kunna fullgöra ett åliggande som följer av ett för Sverige bindande internationellt åtagande. Det kan handla om ett åtagande som följer av Sveriges medlemskap i EU, av uppgiftsskyldighet enligt en internationell konvention som Sverige har tillträtt eller enligt ett av riksdagen godkänt avtal med främmande stat eller mellanfolklig organisation

(se t.ex. 114 kap. 9 § socialförsäkringsbalken eller 13 § utlänningsdatalagen). Något sådant internationellt åtagande finns inte på studiestödsområdet. Den situation som CSN nämner rör i stället frivilliga samarbeten mellan studiestödsmyndigheter. Frågan är då om en vidarebehandling utifrån sådana förutsättningar skulle kunna vara förenlig med dataskyddsförordningen. Här finns det anledning att iaktta viss försiktighet. Det kan nämligen inte förutsättas att en vidarebehandling i form av utlämnande av uppgifter till utländska myndigheter är förenlig med dataskyddsförordningen enbart mot bakgrund av att finalitetsprincipen kommer att utgöra den yttersta ramen inom vilken personuppgifter får behandlas. För att en sådan behandling inte ska anses stå i strid med det ursprungliga ändamålet för vilka personuppgifterna samlades in måste CSN göra väl avvägda bedömningar för vilka ändamål som uppgifterna i så fall kan lämnas ut. De omständigheter som anges i artikel 6.4 a–e i dataskyddsförordningen måste beaktas vid bedömningen om behandlingen är förenlig med insamlingsändamålen. Det handlar bl.a. om att beakta kopplingar mellan de ändamål för vilka personuppgifterna har samlats in och ändamålen med den avsedda ytterligare behandlingen och eventuella konsekvenser för registrerade av den planerade fortsatta behandlingen. CSN måste alltså bedöma i varje enskilt fall att den tänkta behandlingen inte står i strid med det ursprungliga ändamålet för vilka personuppgifterna samlades in. Om det handlar om att lämna adressuppgifter till utländska studiestödsmyndigheter skulle det kunna anses vara en sådan vidarebehandling som inte är oförenlig med det ursprungliga ändamålet då syftet är att genom ett utökat internationellt samarbete kunna uppnå ökad återbetalning av studielån från låntagare bosatta utomlands. Det bör dock inte anses vara förenligt med finalitetsprincipen att personuppgifter behandlas för att lämnas ut till andra utländska myndigheter än just studiestödsmyndigheter. Detta eftersom det sannolikt innebär att uppgifterna har efterfrågats för ett syfte som helt saknar samband med studiestödsverksamheten, t.ex. för att ingå i en bedömning av om personen i fråga har rätt eller inte rätt till någon annan förmån eller liknande. Som CSN nämner är det i detta avseende också viktigt att myndigheten beaktar frågan om sekretess. Om sekretess gäller för uppgiften får, enligt 8 kap. 3 § offentlighets- och sekretesslagen (2009:400), uppgiften inte röjas för en utländsk myndighet eller en mellanfolklig organisation, om inte utlämnande sker i enlighet med särskild föreskrift i lag eller förordning eller om uppgiften i motsvarande fall skulle få lämnas ut till en svensk myndighet och det enligt den utlämnande myndighetens prövning står klart att det är förenligt med svenska intressen att uppgiften lämnas till den utländska myndigheten eller den mellanfolkliga organisationen. I detta sammanhang bör det också nämnas att det i kapitel V i dataskyddsförordningen finns särskilda bestämmelser som handlar om överföring av personuppgifter till tredjeländer eller internationella organisationer. Bland annat finns där bestämmelser om överföring på grundval av ett beslut om adekvat skyddsnivå (artikel 45), överföring som omfattas av lämpliga skyddsåtgärder (artikel 46) och undantag i enskilda situationer (artikel 49). Det innebär att om CSN planerar att överföra personuppgifter till myndigheter i stater som inte omfattas av dataskyddsförordningen behöver CSN även beakta de bestämmelser som anges i detta kapitel. 21

Vid vidarebehandling behöver CSN säkerställa att behandlingen är förenlig med dataskyddsförordningen De föreslagna ändringarna innebär att finalitetsprincipen kommer utgöra den yttersta ramen inom vilken personuppgifter får behandlas. Av skäl 50 till dataskyddsförordningen framgår också att vid behandling som inte hindras av finalitetsprincipen krävs det inte någon annan separat rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs. Även om det således inte krävs någon separat rättslig grund för sådan vidarebehandling kan det i detta sammanhang ändå förtjänas att påpekas att CSN inför varje vidarebehandling kommer behöva säkerställa att den tänkta behandlingen är förenlig med dataskyddsförordningen. Den personuppgiftsansvarige måste t.ex. enligt förordningen beakta såväl artikel 89.1, som rör skyddsåtgärder och undantag bl.a. för behandling av arkivändamål av allmänt intresse och statistiska ändamål, som övriga bestämmelser i dataskyddsförordningen. Det gäller bl.a. de grundläggande principerna i artikel 5 om uppgiftsminimering m.m., bestämmelser om behandling av känsliga personuppgifter och personuppgifter om lagöverträdelser i artikel 9.2 och 10 (se vidare avsnitt 6) och bestämmelserna i artikel 13.3 och 14.4 som innebär att de registrerade som huvudregel på förhand måste informeras om återanvändning av personuppgifter.

6 Vidarebehandling av känsliga personuppgifter och personuppgifter om lagöverträdelser får endast ske om det är absolut nödvändigt

Förslag: Behandling av känsliga personuppgifter och personuppgifter om lagöverträdelser ska vara tillåten vid vidarebehandling i enlighet med finalitetsprincipen, dock endast om behandlingen är absolut nödvändig för syftet med behandlingen.

Skälen för förslaget

Allmänt om behandling av känsliga personuppgifter i dataskyddsförordningen Om finalitetsprincipen ska utgöra den yttersta ramen inom vilken personuppgifter får behandlas i studiestödsverksamheten har CSN föreslagit att myndigheten också ska ha rätt att vidarebehandla känsliga personuppgifter och personuppgifter om lagöverträdelser, men att denna rätt ska begränsas till att uteslutande avse fall där behandling av sådana uppgifter är absolut nödvändig för syftet med behandlingen. Som nämns i avsnitt 4.1 är det enligt artikel 9.1 i dataskyddsförordningen förbjudet att behandla känsliga personuppgifter. Bestämmelsen är direkt tillämplig och kräver inga åtgärder av medlemsstaterna. Dataskyddsförordningens förbud ska dock enligt artikel 9.2 inte tillämpas om

någon av de situationer som beskrivs i punkterna a–j föreligger. Något utrymme för medlemsstaterna att föreskriva ytterligare undantag från förbudet lämnas inte. Däremot får medlemsstaterna behålla eller införa mer specifika bestämmelser i fråga om behandling som sker med stöd av artikel 6.1 c och e, även när det gäller känsliga personuppgifter (artikel 6.2 och skäl 10). Vissa av undantagen i artikel 9.2 innehåller också uttryckliga hänvisningar till och krav på innehållet i unionsrätten och medlemsstaternas nationella rätt. Detta gäller bl.a. bestämmelserna i artikel 9.2 g (viktigt allmänt intresse), artikel 9.2 j (statistiska ändamål) samt artikel 9.3. Både artikel 9.2 g och j innehåller krav på att behandlingen ska vara nödvändig på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Dessa skyddsbestämmelser aktualiseras både vid insamling av känsliga personuppgifter för de angivna ändamålen och vid vidarebehandling av känsliga personuppgifter för sådana ändamål. Behandling av personuppgifter om lagöverträdelser får enligt artikel 10 i dataskyddsförordningen utföras endast under kontroll av en myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs.

Bedömningar i samband med att dataskyddsförordningen började gälla Enligt 6 § studiestödsdatalagen får känsliga personuppgifter behandlas i CSN:s studiestödsverksamhet för att handlägga ärenden, anmäla oegentligheter inom studiestödsverksamheten till ett offentligt organ som har att utreda eller beivra oegentligheten, lämnas ut till den registrerade själv, riksdagen och regeringen samt i den utsträckning skyldighet att lämna uppgifter följer av lag eller förordning, till andra, och ge tillgång till vägledande avgöranden (om uppgifterna inte direkt pekar ut den registrerade). I propositionen Behandling av personuppgifter på utbildningsområdet (prop. 2017/18:218) gjorde regeringen bedömningen att studiestödsverksamheten är ett viktigt allmänt intresse och att CSN även fortsättningsvis ska få behandla känsliga personuppgifter och uppgifter om lagöverträdelser för vissa ändamål. Där anges att de specifika avgränsningar som gäller för behandlingen enligt regeringens mening också uppfyller dataskyddsförordningens krav på lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Mot denna bakgrund ansåg regeringen att CSN alltjämt ska ha möjlighet att behandla känsliga personuppgifter för de i studiestödsdatalagen angivna ändamålen (s. 174). Vidare gjorde regeringen i samma proposition bedömningen att CSN även i fortsättningen ska få behandla personuppgifter om lagöverträdelser för de ändamål som anges i studiestödsdatalagen. Inom studiestödsverksamheten utförs all behandling av personuppgifter av CSN. Av artikel 10 i dataskyddsförordningen följer att uppgifter om lagöverträdelser får behandlas om det sker under kontroll av myndighet, vilket enligt regeringens bedömning i propositionen Ny dataskyddslag innebär att myndigheter inte

behöver uttryckligt stöd i föreskrifter eller särskilda beslut för att få behandla uppgifter som rör lagöverträdelser (samma prop. s. 187).

Vilka skyddsbestämmelser gäller för studiestödsverksamheten? De specifika avgränsningar som gäller för behandlingen för att säkerställa den registrerades grundläggande rättigheter och intressen finns bl.a. i 8 och 9 §§ studiestödsdatalagen. I 8 § regleras förbud mot användning av vissa sökbegrepp och i 9 § regleras vad som ska gälla hos CSN avseende intern elektronisk tillgång till personuppgifter. I 10 § finns bestämmelser som anger att direktåtkomst till och annat elektroniskt utlämnande av personuppgifter som behandlas i CSN:s studiestödsverksamhet, bara är tillåtet i den utsträckning som anges i lag eller förordning och under förutsättning att 4, 6 och 8 §§ följs. Utöver bestämmelserna i studiestödsdatalagen finns också bestämmelser i offentlighets- och sekretesslagen. Där regleras bl.a. att sekretess gäller i ärende om studiestöd och i ärende hos CSN om körkortslån för uppgift om en enskilds personliga eller ekonomiska förhållanden, om det kan antas att den enskilde lider skada eller men om uppgiften röjs. I andra ärenden än sådana om studiestöd under sjukdom gäller sekretessen inte beslut i ärendet. För uppgift i en allmän handling gäller sekretessen i högst femtio år (28 kap. 9 § offentlighets- och sekretesslagen). Denna sekretessbestämmelse gäller således uppgifter i ärenden om studiestöd. Därutöver finns det också i 21 kap. offentlighets- och sekretesslagen s.k. minimiskyddsbestämmelser, dvs. sekretessbestämmelser till skydd för uppgifter om enskilds personliga förhållanden som är tillämpliga oavsett i vilket sammanhang uppgifterna förekommer. Där finns t.ex. bestämmelser om uppgifter som rör hälsa och sexualliv och uppgifter om förföljda personer m.m. (21 kap. 1 och 3 §§ offentlighets- och sekretesslagen). Bestämmelserna i studiestödsdatalagen, som reglerar personuppgiftsbehandlingen i CSN:s interna verksamhet men också vilka uppgifter som får lämnas mellan CSN och andra myndigheter och på vilket sätt, samt regleringen om sekretess, innebär att kraven på proportionalitet samt lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen är uppfyllda enligt artikel 9.2 g och artikel 10 när CSN behandlar känsliga personuppgifter och uppgifter om lagöverträdelser för de ändamål som är tillåtna enligt studiestödsdatalagen.

Vidarebehandling av känsliga personuppgifter och personuppgifter om lagöverträdelser ska vara tillåten endast om behandlingen är absolut nödvändig för syftet med behandlingen CSN har framfört att vid vidarebehandling av personuppgifter kommer i många fall de syften som avses med vidarebehandlingen av personuppgifter att kunna uppnås utan att några känsliga personuppgifter eller personuppgifter om lagöverträdelser behöver behandlas. Det kan i detta sammanhang också konstateras att känsliga personuppgifter är något som förekommer i förhållandevis liten utsträckning i CSN:s studiestödsverksamhet. I allmänhet rör det sig om uppgifter om hälsotillstånd. Men myndigheten framför att känsliga personuppgifter skulle kunna behöva vidarebehandlas bl.a. för att ta fram intern verksamhetsstatistik för att kunna ut-

veckla handläggningen av ärenden om studiestöd under sjukdom. I undantagsfall kan det enligt myndigheten även finnas behov av att behandla personuppgifter om lagöverträdelser för de tillkommande ändamålen. Det är viktigt att CSN fortlöpande kan bevaka effektiviteten och kvaliteten i verksamheten för att kunna vidareutveckla, effektivisera och förbättra myndighetens verksamhet. Detta förutsätter uppföljning och kontroll av olika slag och då kan känsliga personuppgifter eller personuppgifter om lagöverträdelser i vissa fall vara relevanta. Den bedömning som görs i denna promemoria är därför att myndigheten har behov att i vissa situationer få vidarebehandla sådana personuppgifter även när behandlingen inte hör samman med den direkta handläggningen av ett ärende. För att så långt som möjligt värna om den personliga integriteten finns det dock anledning att, precis som CSN föreslår, begränsa myndighetens möjligheter till vidarebehandling av dessa personuppgifter jämfört med vad som i övrigt gäller enligt studiestödsdatalagen. Detta för att det inte ska bli fråga om en mer omfattande personuppgiftsbehandling än vad som är nödvändigt för att syftet med behandlingen ska uppnås. Det föreslås därför att vidarebehandling av känsliga personuppgifter och personuppgifter om lagöverträdelser ska vara tillåten endast om det är absolut nödvändigt för syftet med behandlingen. Syftet med begränsningen att behandlingen ska vara absolut nödvändig är att markera att behandlingen av känsliga personuppgifter och personuppgifter om lagöverträdelser bör ske med försiktighet och aldrig slentrianmässigt. Rekvisitet, dvs villkoret, innebär emellertid inte att känsliga personuppgifter och personuppgifter om lagöverträdelser endast får behandlas i undantagsfall. Genom rekvisitet markeras dock att behandling ska ske med restriktivitet och att behovet av att behandla personuppgiften ska prövas noga i det enskilda ärendet. Rekvisitet finns redan i vissa andra registerförfattningar (se t.ex. 2 kap. 11 § brottsdatalagen [2018:1177] och prop. 2017/18:232 s. 148–154 samt 14 § utlänningsdatalagen, prop. 2015:16:65:78–81 och prop. 2017/18:254 s. 30 f.). Den föreslagna bestämmelsen bedöms stå i proportion till det eftersträvade syftet med behandlingen och bidrar också till en likartad terminologi i förhållande till andra registerförfattningar. Som ovan konstaterats finns det skyddsåtgärder i regelverket för personuppgiftsbehandling i studiestödsverksamheten i form av bestämmelser om förbud mot användning av vissa sökbegrepp, reglering av intern elektronisk tillgång till personuppgifter och när direktåtkomst till och annat elektroniskt utlämnande av personuppgifter är tillåten samt bl.a. sekretessbestämmelser som är tillämpliga oavsett i vilket sammanhang uppgifterna förekommer. Dessa skyddsbestämmelser kommer att vara tillämpliga också vid vidarebehandling av känsliga personuppgifter och personuppgifter om lagöverträdelser. De befintliga bestämmelserna bedöms därför även vid vidarebehandling i enlighet med finalitetsprincipen uppfylla de krav på proportionalitet samt lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen som krävs enligt dataskyddsförordningen.

7 Några mindre justeringar i gallringsbestämmelserna ska göras så att de blir mer ändamålsenliga

Förslag : CSN ska även fortsättningsvis, om det bedöms nödvändigt av andra skäl än de som anges i gallringsbestämmelserna i studiestödsdatalagen, i enskilda fall få besluta att personuppgifterna i ett ärende om studiestöd får bevaras så länge uppgifterna behövs för ändamålen med behandlingen. Sådant bevarande ska dock inte, till skillnad från nu, behöva ske i pappersform eller på annat medium som inte är elektroniskt, dvs. bestämmelsen görs teknikneutral.

Skälen för förslaget: En allmän dataskyddsprincip enligt 5.2 e dataskyddsförordningen är att personuppgifter inte får förvaras under en längre tid än vad som är nödvändigt. För CSN:s del finns det, i enlighet med artikel 6.1 e och artikel 6.3 första stycket dataskyddsförordningen, en i svensk rätt fastställd uppgift av allmänt intresse att bedriva studiestödsverksamhet. Enligt artikel 6.2 och 6.3 andra stycket är det då också tillåtet att i en registerförfattning behålla specifika bestämmelser i form av lagringstid. I 16 § studiestödsdatalagen första stycket finns bestämmelser om när gallring av personuppgifter ska ske (se avsnitt 4.2). I tredje stycket anges att CSN, trots bestämmelserna i första stycket, i enstaka fall får besluta att personuppgifterna i ett ärende om studiestöd ska bevaras på papper eller annat medium som inte är elektroniskt. CSN har framfört att det kan förekomma att personuppgifter i ett ärende kan ha betydelse för andra ärenden där handläggning fortfarande pågår efter de angivna gallringsfristerna. Det kan exempelvis handla om situationer där ett ärende granskas av en tillsynsmyndighet eller ett ärende där beslutet har överklagats men där överprövningen ännu inte är klar. I sådana fall är alltså CSN hänvisade till att bevara personuppgifter på papper eller annat medium som inte är elektroniskt. Som framgår av CSN:s skrivelse kan detta innebära en stor administration för myndigheten, eftersom uppgifter kan finnas i flera databaser vilket kan innebära utskrifter av ett stort antal uppgifter, som efter en sådan utskrift riskerar att tappa sitt sammanhang. För att göra CSN:s gallringsbestämmelser mer ändamålsenliga och för att undvika den onödiga administration som den nuvarande regleringen innebär i de få undantagsfall det handlar om, föreslås att den aktuella bestämmelsen i 16 § tredje stycket ska göras teknikneutral. Det innebär att CSN i enskilda fall ska få besluta att personuppgifterna i ett ärende om studiestöd ska få bevaras längre än vad de generella gallringsbestämmelserna i studiestödsdatalagen medger, om det bedöms nödvändigt, samt att uppgifterna då inte behöver bevaras på papper eller något annat medium som inte är elektroniskt. Därutöver görs också vissa språkliga ändringar för att göra bestämmelsen tydligare, bl.a. för att tydliggöra att bestämmelsen handlar om att myndigheten ska fatta förvaltningsbeslut i enskilda fall när det bedöms nödvändigt att bevara uppgifterna under en längre tid än

vad som anges i första stycket. De föreslagna ändringarna innebär inte att CSN i sak ska göra någon annan prövning än vad myndigheten redan gör i dag när det gäller att bedöma och besluta huruvida uppgifter behöver bevaras under längre tid än vad de generella gallringsföreskrifterna i 16 § första stycket studiestödsdatalagen medger. Det handlar alltså fortsatt om sådana situationer där t.ex. personuppgifterna i ett ärende om studiestöd även efter gallringstidpunkten i undantagsfall har betydelse därför att handläggningen av ärendet i en eller annan mening kan sägas fortsätta hos CSN eller någon annan myndighet. Som ett exempel, som CSN nämner och som också nämns i förarbetena, kan det handla om att ett beslut om studiestöd har överklagats men där överprövningen ännu inte är klar (jfr prop. 2008/09:96 s.73 och 88). Förslaget innebär inte att fler personuppgifter kommer att behöva behandlas utan handlar enbart om formen för bevarande till dess att uppgifterna gallras. Vid en avvägning mellan den mindre inskränkning i den personliga integriteten som en sådan gallringsbestämmelse möjligtvis skulle kunna anses innebära för enskilda och syftena med de åtgärder som kan bli aktuella bedöms ändringen vara proportionerlig och förenlig med dataskyddsförordningen. Den föreslagna ändringen utgör också en sådan bestämmelse om lagringstid som får införas i nationell rätt enligt artikel 6.3 i dataskyddsförordningen.

8 Ikraftträdande

Förslag : Bestämmelserna ska träda i kraft den 1 juli 2020.

Skälen för förslaget : CSN har framfört att det är angeläget att bestämmelserna träder i kraft så snart som möjligt. Bedömningen i denna promemoria är också att bestämmelserna bör träda i kraft så snart som möjligt för att myndigheten ska ges bättre förutsättningar för en ändamålsenlig personuppgiftsbehandling i studiestödsverksamheten, med vederbörlig hänsyn tagen till den personliga integriteten. Med hänsyn till den tidsåtgång som ett lagstiftningsarbete normalt kräver föreslås att ett ikraftträdande sker den 1 juli 2020.

9 Konsekvenser

I detta avsnitt analyseras konsekvenserna av förslagen i promemorian i den utsträckning konsekvenserna inte har redovisats tidigare i denna promemoria.

Ekonomiska konsekvenser Förslagen föranleder inte några kostnadsmässiga eller andra ekonomiska konsekvenser.

Förslagens förenlighet med EU-rätten Förslagen bedöms vara förenliga med EU-rätten.

Konsekvenser för den personliga integriteten Som nämns i avsnitt 5 kommer införandet av finalitetsprincipen att innebära att personuppgifter kommer att behandlas för fler ändamål jämfört med i dag. Detta innebär naturligtvis en inskränkning i den personliga integriteten. I en proportionalitetsbedömning ska det ändamål för vilket personuppgifterna behandlas alltid ställas mot det integritetsintrång som behandlingen medför. Som framgår i avsnitt 5 och 6 har förslagen ansetts proportionerliga. När det gäller förslaget om en ändring i gallringsbestämmelserna konstateras att förslaget inte innebär att fler personuppgifter bevaras, utan enbart att bestämmelsen blir teknikneutral. I avsnitt 7 görs bedömningen att också detta förslag är proportionerligt.

Konsekvenser för den kommunala självstyrelsen, brottsligheten, sysselsättning, företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt och jämställdheten mellan kvinnor och män Den reglering som föreslås i promemorian bedöms inte få några effekter av betydelse för den kommunala självstyrelsen, brottsligheten och det brottsförebyggande arbetet, sysselsättning, företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i förhållande till större företag eller möjligheterna att nå de integrationspolitiska målen. Regleringen bedöms inte få några konsekvenser för jämställdheten mellan kvinnor och män.

10 Författningskommentar

4 §

Personuppgifter får behandlas i Centrala studiestödsnämndens studiestödsverksamhet om det behövs för att 1. handlägga ärenden i den verksamheten, 2. administrera handläggningen, 3. förbereda handläggningen, 4. informera studiestödsberättigade om studiestödsförmåner och studiesociala förmåner, 5. ta fram och distribuera bevis om studiestöd för studier till studerande, eller 6. anmäla oegentligheter inom studiestödsverksamheten till ett offentligt organ som har att utreda eller beivra oegentligheterna. Personuppgifter som behandlas enligt första stycket får även behandlas genom att lämnas ut till den registrerade själv, riksdagen och regeringen samt, i den utsträckning skyldighet för Centrala studiestödsnämnden att lämna uppgifter följer av lag eller förordning, till andra. Personuppgifter som behandlas enligt första stycket och som inte direkt pekar ut den registrerade får också behandlas för att ge tillgång till vägledande avgöranden. Regeringen får meddela föreskrifter om begränsningar av ändamålen i första stycket och om i vilka fall behandling får göras med stöd av första stycket 3. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål.

I paragrafen anges de ändamål för vilka personuppgifter får behandlas i 28 CSN:s studiestödsverksamhet.

I första stycket tas ordet ”bara” bort. Det innebär att bestämmelsen, till skillnad från den tidigare lydelsen, inte längre uttömmande reglerar för vilka ändamål som personuppgifter får behandlas i studiestödsverksamheten, se vidare kommentaren till 4 a §. I tredje stycket görs en språklig ändring för att det tydligare ska framgå att andra meningen innehåller en upplysningsbestämmelse. Den ändrade ordalydelsen innebär ingen förändring i sak. Övervägandena finns i avsnitt 5.

4 a §

Personuppgifter som behandlas enligt 4 § får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för

vilket uppgifterna samlats in.

Paragrafen, som är ny, innebär att uppgifter som behandlas enligt 4 § under vissa förutsättningar även får behandlas för andra ändamål. I paragrafen anges i förtydligande syfte att uppgifter som behandlas för de ändamål som anges i 4 § får behandlas även för andra ändamål under förutsättning att behandlingen inte är oförenlig med de ändamål för vilka de ursprungligen samlades in. Bestämmelsen, som är ett uttryck för den s.k. finalitetsprincipen, är utformad i nära anslutning till artikel 5.1 b i dataskyddsförordningen och bör tolkas på samma sätt. Detta innebär bl.a. att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i förordningen inte ska anses vara oförenlig med insamlingsändamålen. Det innebär också att de omständigheter som anges i artikel 6.4 a–e i förordningen ska beaktas vid bedömningen om behandlingen är förenlig med insamlingsändamålen. Övervägandena finns i avsnitt 5.

6 §

Personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) och personuppgifter som avses i artikel 10 i samma förordning får behandlas av Centrala studiestödsnämnden för de ändamål som avses i 4 § första stycket 1 och 6 och andra stycket samt 4 a §. För de ändamål som avses i 4 a § får dock sådana personuppgifter behandlas endast om det är absolut nödvändigt för syftet med behandlingen.

I paragrafen anges i vilka fall känsliga personuppgifter och personuppgifter om lagöverträdelse får behandlas av CSN. Paragrafen kompletteras med ett tillägg om att behandling av känsliga personuppgifter och personuppgifter om lagöverträdelser är tillåten vid vidarebehandling i enlighet med finalitetsprincipen, dock endast om behandlingen är absolut nödvändig för syftet med behandlingen. Syftet med begränsningen att behandlingen ska vara absolut nödvändig är att markera att behandlingen av känsliga personuppgifter och personuppgifter om lagöverträdelser bör ske med försiktighet och aldrig slentrianmässigt. Rekvisitet innebär emellertid inte att sådana personuppgifter endast får behandlas i undantagsfall. Genom kravet på absolut nödvändighet markeras dock att behandling ska ske med restriktivitet och att behovet av att behandla personuppgiften ska prövas noga i det enskilda fallet (jfr t.ex. 2 kap. 11 § brottsdatalagen [2018:1177] och prop. 2017/18:232 s. 148–154 samt 14 § utlänningsdatalagen, prop. 2015:16:65:78–81 och

prop. 2017/18:254 s. 30 f.). Vid vidarebehandling av sådana personuppgifter ställs således ett striktare krav för att behandlingen ska vara tillåten jämfört med vad som gäller för de övriga ändamål där sådan behandling är tillåten. Därutöver görs också en språklig ändring. Övervägandena finns i avsnitt 6.

16 §

Om återbetalning eller återkrav av studiestöd inte är aktuellt i ett ärende om studiestöd, ska personuppgifterna i ärendet gallras senast tre år efter utgången av det kalenderår då studiestöd senast beviljades i ärendet eller ansökan om studiestöd avslogs. I annat fall ska personuppgifterna i ärendet gallras senast två år efter utgången av det kalenderår då full betalning skedde eller betalningsskyldigheten annars upphörde. Sådana personuppgifter i ärendet som kan ha betydelse i ett nytt ärende om studiestöd eller som kan ha betydelse för återkrav av studiestöd i form av bidrag behöver dock inte gallras förrän de inte längre kan ha sådan betydelse. Personuppgifter som behandlas enligt 4 § första stycket 3 ska, i den utsträckning de inte har tillförts ett ärende om studiestöd, gallras senast ett år efter det att uppgifterna registrerades. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om att personuppgifter får bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål, statistiska ändamål eller för redovisningsändamål, även om föreskrifterna kommer att avvika från första stycket. Centrala studiestödsnämnden får också, om det bedöms nödvändigt av andra skäl än som anges i första stycket, i enskilda fall besluta att personuppgifterna i ett ärende om studiestöd får bevaras så länge det behövs för ändamålet med behandlingen .

I paragrafen anges de gallringsbestämmelser som gäller för personuppgifter i studiestödsverksamheten. I tredje stycket anges när undantag från gallringsföreskrifterna kan aktualiseras. Andra meningen ändras så att den blir teknikneutral. Det innebär att CSN i enskilda fall får besluta att personuppgifterna i ett ärende om studiestöd får bevaras under en längre tid än vad de generella gallringsbestämmelserna i första stycket medger, om det bedöms nödvändigt för ändamålet med behandlingen, samt att uppgifterna då inte längre behöver bevaras på papper eller något annat medium som inte är elektroniskt. Så snart uppgifterna inte längre bedöms behöva bevaras ska de dock gallras. Därutöver görs vissa språkliga ändringar i meningen för att bestämmelsen ska bli tydligare. De föreslagna ändringarna innebär inte att CSN i sak ska göra någon annan prövning än vad myndigheten redan gör i dag när det gäller att bedöma huruvida uppgifter behöver bevaras under längre tid än vad de generella gallringsbestämmelserna i första stycket medger. Övervägandena finns i avsnitt 7.