Ny lag för personuppgiftsbehandling i skolverksamhet?
Vi har tidigare skrivit om Dataskyddsutredningens betänkande om förslag på en ny dataskyddslag som lämnades i början av maj. Utöver Dataskyddsutredningen har flera andra utredningar tillsatts, med uppgiften att utreda mer sektorsspecifika områden och i vilken mån lagstiftning rörande dessa ska uppdateras med anledning av att dataskyddsförordningen ska börja tillämpas i maj 2018. En av dessa utredningar, som lämnade sitt betänkande under sommaren är Utbildningsdatautredningen. Dess betänkande har nu granskats av Datainspektionen som har riktat skarp kritik mot utredningens slutsatser.
En av de viktigare frågorna vid personuppgiftsbehandling är vilken rättslig grund den personuppgiftsansvarige kan basera sin behandling på. I skolverksamhet kommer en stor del av behandlingen vara möjlig att utföra med stöd av att den är nödvändig för att utföra en uppgift av allmänt intresse. Datainspektionen menar att utredningens betänkande är bristfälligt i förhållande till redovisningen av den rättsliga grunden, och behöver kompletteras med bl.a. en analys som visar närmare vilken behandling som är nödvändig i förhållande till skolornas verksamheter.
Datainspektionen uttalar även att det i skolverksamhet endast är aktuellt att stödja personuppgiftsbehandlingen på den rättsliga grunden samtycke i de fall det rör sig om behandling som inte är relaterad till kärnverksamheten och som innebär att den registrerade kan underlåta att lämna samtycke utan att det medför negativa konsekvenser. I skolverksamhet kan det t.ex. röra sig om skolfotografering.
Utöver Datainspektionens kommentarer rörande den rättsliga grunden för behandling i skolverksamhet finns en röd tråd avseende de lämnade synpunkterna; det borde föreslås en särskild författning för personuppgiftsbehandling i skolverksamhet. Denna synpunkt lämnar även experten Ulrika Harnesk i ett särskilt yttrande till utredningen. Både Datainspektionen och Ulrika Harnesk anser att den behandling som sker i skolverksamhet är att bedöma som ett sådant integritetsintrång som anges i 2 kap. 6 § regeringsformen, vilket innebär att begräsning av den enskildes rättigheter kräver stöd i lag. Detta gäller både skollagsreglerad verksamhet såväl som för universitet, högskolesektorn, yrkeshögskolan och andra eftergymnasiala utbildningar.
En särskild lag för personuppgiftsbehandling i skolverksamhet skulle även innebära att den personuppgiftsansvarige inte behöver pröva sin behandling mot kraven i dataskyddsförordningen vid varje enskild behandling. Att lägga sådant ansvar på respektive huvudman är en svår och betungande uppgift som hade kunnat undvikas om utredningen gjort nödvändiga bedömningar och reglerat behandlingen i en särskild författning.