Utlåtande
GrUU
31
2017 rd
Grundlagsutskottet
Regeringens proposition till riksdagen med förslag till lag om nationella studie- och examensregister
Till kulturutskottet
INLEDNING
Remiss
Regeringens proposition till riksdagen med förslag till lag om nationella studie- och examensregister (RP 72/2017 rd): Ärendet har remitterats till grundlagsutskottet för utlåtande till kulturutskottet. 
Sakkunniga
Utskottet har hört 
regeringssekreterare
Matti
Sillanmäki
undervisnings- och kulturministeriet
dataombudsman
Reijo
Aarnio
dataombudsmannens byrå
professor
Tomi
Voutilainen.
Skriftligt yttrande har lämnats av 
professor
Juha
Lavapuro
juris magister
Niklas
Vainio.
PROPOSITIONEN
I propositionen föreslår regeringen en lag om nationella studie- och examensregister. Samtidigt ska lagen om antagningsregistret, högskolornas riksomfattande datalager och studentexamensregistret upphävas. 
Lagen avses träda i kraft den 1 januari 2018. 
I motiven till lagstiftningsordning granskas lagförslaget med avseende på skyddet för privatlivet och personuppgifter, så som det garanteras i 10 § i grundlagen. Regeringen anser att lagförslaget kan behandlas i vanlig lagstiftningsordning. Med tanke på kravet att lagstiftningen om de tillåtna användningsändamålen för och utlämnandet av personuppgifter ska vara heltäckande och detaljerad föreslår regeringen ändå att ett utlåtande om propositionen inhämtas hos grundlagsutskottet. 
 
UTSKOTTETS ÖVERVÄGANDEN
Utgångspunkter för bedömningen
Den föreslagna lagen föreskriver om en nationell informationsresurs inom den grundläggande utbildningen, gymnasieutbildningen och yrkesutbildningen. Den innehåller också bestämmelser om studentexamensregistret, antagningsregistret och högskolornas riksomfattande datalager. Dessutom ska det föreskrivas om en tjänst som administreras av Utbildningsstyrelsen och via vilken uppgifter som finns i de ovan avsedda registren och informationsresurserna för kontroll och vidareutnyttjande tillhandahålls personerna själva och lämnas ut till dem som har rätt att få uppgifterna. 
Förslaget är av betydelse för skyddet för privatlivet och skyddet av personuppgifter. I sin bedömning av bestämmelser av det här slaget har grundlagsutskottet brukat anse att bestämmelserna måste granskas mot 10 § i grundlagen. Enligt paragrafens 1 mom. utfärdas närmare bestämmelser om skydd för personuppgifter genom lag. Grundlagsutskottets tolkningspraxis har varit att lagstiftarens handlingsutrymme begränsas både av den här bestämmelsen och av att skyddet för personuppgifter delvis ingår i samma moment som skyddet för privatlivet. På det hela taget handlar det om att lagstiftaren måste tillgodose denna rätt på ett sätt som är godtagbart med avseende på de grundläggande fri- och rättigheterna över lag. Om man ser till skyddet för personuppgifter har grundlagsutskottet ansett det viktigt att reglera åtminstone syftet med registreringen av uppgifterna, uppgifternas innehåll, det tillåtna användningsändamålet inklusive rätten att överlåta registrerade uppgifter, den tid uppgifterna finns kvar i registret och den registrerades rättsskydd. Dessutom ska regleringen av dessa faktorer på lagnivå vara heltäckande och detaljerad (se t.ex. GrUU 13/2016 rd). 
Grundlagsutskottet har också bedömt bestämmelser om myndigheternas rätt att få och skyldighet att lämna ut information med avseende på skyddet för privatliv och personuppgifter i 10 § 1 mom. i grundlagen och då noterat bland annat vad och vem rätten att få information gäller och hur rätten är kopplad till nödvändighetskriteriet. Myndigheternas rätt att få och möjlighet att lämna ut information kan enligt utskottet gälla ”behövliga uppgifter” för ett visst syfte, om lagen ger en uttömmande förteckning över innehållet i uppgifterna. Om innehållet däremot inte anges i form av en förteckning, ska det i lagstiftningen ingå ett krav på att "uppgifterna är nödvändiga" för ett visst syfte (se t.ex. GrUU 17/2016 rd, s.5 och de utlåtanden som nämns där). 
Utskottet har ansett att rätten till information, som går före sekretessbestämmelserna, i sista hand går ut på att den myndighet som är berättigad till informationen i och med sina egna behov åsidosätter de grunder och intressen som är skyddade med hjälp av den sekretess som gäller myndigheten som innehar informationen. Ju mer generella bestämmelserna om rätt till information är, desto större är risken att sådana intressen kan åsidosättas per automatik. Ju fullständigare bestämmelserna kopplar rätten till information till villkor i sak, desto mer sannolikt är det att begäran om information måste motiveras. Då kan också den som lämnar ut informationen bedöma begäran med avseende på de lagliga villkoren för utlämnandet. Genom att de facto vägra att lämna ut informationen kan den som innehar den göra att det uppstår ett läge där en utomstående myndighet måste undersöka skyldigheten att lämna ut information, det vill säga tolka bestämmelserna. Denna möjlighet är viktig då det gäller att anpassa tillgången till information och sekretessintressena till varandra (GrUU 17/2016 rd, s. 6, GrUU 12/2014 rd, s. 3/I, GrUU 62/2010 rd, s. 3/II—4/I och de utlåtanden som nämns där). 
Utöver dessa omständigheter menar grundlagsutskottet att särskild hänsyn bör tas till att inskränkningar i skyddet för privatlivet måste bedömas utifrån de allmänna villkoren för inskränkningar av de grundläggande fri- och rättigheterna (se GrUU 42/2016 rd, s. 2 och de utlåtanden som nämns där). Därför har utskottet tidigare ansett att tillåtande av behandling av känsliga uppgifter berör själva kärnan i skyddet för personuppgifter (GrUU 37/2013 rd, s. 2/II), vilket innebär att inrättandet av register med sådana uppgifter måste bedömas mot villkoren för inskränkningar i de grundläggande fri- och rättigheterna, däribland lagstiftningens acceptabilitet och proportionalitet (GrUU 29/2016 rd och t.ex. GrUU 21/2012 rd, GrUU 47/2010 rd och GrUU 14/2009 rd). I sina analyser av omfattning, exakthet och innehåll i lagstiftning om rätten att få och lämna ut uppgifter trots sekretess har utskottet lagt vikt vid att de uppgifter som lämnas ut är av känslig art (se t.ex. GrUU 38/2016 rd, s. 3). 
Utskottet har lyft fram riskerna med behandlingen av känsliga uppgifter. Exempelvis föranleder registreringen av biometriska kännetecken som anses utgöra känsliga uppgifter ett särskilt behov att se till att de personuppgifter som sparas i systemet blir skyddade mot risker för missbruk och mot alla slag av olaglig åtkomst och användning (GrUU 13/2017 rd, GrUU 29/2016 rd). Utskottet har särskilt påpekat att det bör finnas exakta och noga avgränsade bestämmelser om att det är tillåtet att behandla känsliga uppgifter bara om det är absolut nödvändigt (se t.ex. GrUU 13/2017 rd och GrUU 3/2017 rd). 
Utskottet har också hänvisat till att artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna tillförsäkrar var och en rätt till skydd för personuppgifter. Enligt artikeln ska uppgifterna behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Europeiska unionens allmänna dataskyddsförordning, som trädde i kraft våren 2016, blir tillämplig 2018 och är bindande också för den finländska lagstiftaren, lägger fast reglerna för skydd av fysiska personer vid behandling av personuppgifter och reglerna för fri rörlighet för personuppgifter (se GrUU 42/2016 rd, s. 2—5). Utskottet har framhållit att man vid tillämpningen av EU-lagstiftningen om behandling av personuppgifter måste ta hänsyn till respekten för privatlivet enligt artikel 7 och skyddet för personuppgifter enligt artikel 8 i stadgan om de grundläggande rättigheterna och att EU-domstolens domar på dessa punkter är utslagsgivande för det viktigaste innehållet i respekten för privatlivet och skyddet för personuppgifter (se t.ex. GrUU 21/2017 rd). 
Dataskyddsförordningen är en EU-rättsakt som till alla delar är förpliktande och direkt tillämplig lagstiftning i samtliga medlemsstater. Den är dock inte tillämplig i vissa undantagsfall som definieras särskilt och inte heller på sådan behandling av personuppgifter som utförs i anknytning till verksamhet som inte omfattas av EU-lagstiftningens räckvidd. I EU-domstolens vedertagna rättspraxis har unionslagstiftningen företräde framför nationell rätt i överensstämmelse med de villkor som lagts fast i denna rättspraxis (se även t.ex. GrUU 51/2014 rd, 2/II). Enligt utskottets uppfattning finns det inget hinder för att kraven på räckvidd för, exakthet hos och noggrann avgränsning av bestämmelser om skyddet av personuppgifter till vissa delar kan uppfyllas genom en ändamålsenligt beredd allmän unionsförordning eller genom en allmän nationell lag (se även GrUU 5/2017 rd, s. 9, GrUU 38/2016 rd, s. 4, GrUU 54/2010 rd, s. 2/I—2/II). 
Dataskyddsförordningen föreskriver också om nationellt handlingsutrymme i vissa frågor. Det ingår inte i grundlagsutskottets konstitutionella uppdrag att bedöma regleringen av den nationella verkställigheten med avseende på den materiella EU-rätten. Enligt grundlagsutskottet är det ändå viktigt att det i den mån som EU-lagstiftningen kräver reglering på det nationella planet eller möjliggör sådan tas hänsyn till de krav som de grundläggande fri- och rättigheterna och de mänskliga rättigheterna ställer när det nationella handlingsutrymmet utnyttjas (se GrUU 25/2005 rd). Utskottet har framhållit att det därför finns anledning att särskilt i fråga om bestämmelser som är av betydelse med hänsyn till de grundläggande fri- och rättigheterna tydligt klargöra ramarna för det nationella handlingsutrymmet (GrUU 26/2017 rd, s. 42, GrUU 2/2017 rd, s. 2, GrUU 44/2016 rd, s. 4). 
Bestämmelsernas tydlighet
Grundlagsutskottet har tidigare påpekat att det här sättet att genomföra bestämmelserna leder till att dessa i sak till viss del överlappar bestämmelser om samma teman i de lagar som det hänvisas till. Detta gäller de detaljerade bestämmelserna om dels myndighetens rätt att få uppgifter från vissa register och datasystem, dels rätten att lämna ut uppgifter till andra myndigheter. Den här typen av dubbel reglering leder till en tungrodd struktur och bidrar till att det uppstår tolkningsproblem. Utskottet ansåg ändå att den i det tidigare aktuella sammanhanget i sig inte var problematisk i konstitutionellt hänseende (GrUU 71/2014 rd, s. 2/I). Utskottet anser att det är särskilt viktigt med en tydlig reglering i fråga om denna typ av bestämmelser som har kopplingar till de grundläggande fri- och rättigheterna och som gäller fysiska personers normala dagliga aktiviteter (se också GrUU 45/2016 rd, s. 3, GrUU 41/2006 rd, s. 4/II). Utskottet har i ett bredare perspektiv påpekat att bestämmelserna om behandling av personuppgifter är otydliga, tungrodda och komplicerade (se t.ex. GrUU 46/2016 rd, s. 6 och GrUU 71/2014 rd, s. 3). 
Utskottet vill påminna om att bestämmelserna går ut på att tillgodose de rättigheter som enligt 10 § i grundlagen ska tillförsäkras individen. Enligt propositionsmotiven syftar det aktuella lagförslaget dessutom till att heltäckande ställa uppgifter om studierätt, närvaro, studieprestationer och examina inom den utbildning som står under offentlig tillsyn till myndigheternas och också medborgarnas förfogande. Följaktligen påpekar utskottet att innehållet i lagförslaget vid den fortsatta beredningen bör analyseras även i fråga om regleringsbehov och tydlighet, framför allt i relation till bestämmelserna i dataskyddsförordningen eller i andra allmänna lagar (se också GrUU 38/2016 rd, s. 4). Dessutom bör man ta hänsyn till 16 § 3 mom. i lagen om offentlighet i myndigheternas verksamhet, där det föreskrivs om restriktioner i fråga om utlämnande av personuppgifter ur en myndighets personregister i form av kopior eller utskrifter eller i elektronisk form. 
Utlämnande av uppgifter ur antagningsregistret
Trots sekretessbestämmelserna får uppgifter som avses i 19 § 1 och 3 mom., i den utsträckning det behövs för skötseln av mottagarens uppgifter, lämnas ut ur antagningsregistret, står det i 21 § i lagförslaget. I 19 § 1 mom. finns en förteckning över de uppgifter som får sparas i registret och därmed får lämnas ut. I vart och ett av de delregister som nämns i 17 § 2 mom. kan enligt 19 § 3 mom. förutom uppgifter enligt 17 § 1 och 2 mom. också föras in andra uppgifter som behövs med tanke på ändamålet med delregistret och som är relevanta för bedömningen av de sökandes lämplighet för en utbildning eller ett yrke enligt 17 § eller för antagningen av studerande utifrån utbildningspolitiska grunder eller individuella utbildningsbehov. 
Vissa känsliga uppgifter undantas från rätten att lämna ut uppgifter enligt 21 § 1 mom. I 19 § 2 mom. föreskrivs det att förutom de uppgifter som anges i 1 mom. kan det i antagningsregistret föras in sådana uppgifter om hälsotillstånd som inverkar på yrkesvalet och uppgifter om arbetserfarenhet och fritidsintressen som den sökande själv uppgett. Dessa uppgifter inhämtas och förs in endast i det fall uppgifterna behövs för antagningen av studerande. Uppgifterna får endast lämnas ut till de mottagare som nämns i 21 § 1 mom. 1 punkten om de behövs för antagningen av studerande. 
Men 19 § 3 mom. föreskriver om en möjlighet att registrera andra behövliga uppgifter och där utesluts inte registrering av känsliga uppgifter. Till följd av det som ovan sagts om grundlagsutskottets praxis för analys av bestämmelser om myndigheternas rätt att få och lämna ut uppgifter trots sekretessbestämmelserna måste 21 § i lagförslaget ändras på så sätt att rätten att lämna ut registeruppgifter kopplas till ett krav på att uppgifterna ska vara nödvändiga för syftet till den del rätten gäller uppgifter som avses i 19 § 3 mom. Ändringen är ett villkor för att lagförslaget ska kunna behandlas i vanlig lagstiftningsordning. 
Lagringstid
Lagförslaget innehåller en rad bestämmelser om att uppgifterna permanent ska lagras i de lagfästa registren. Varaktig lagring av uppgifter är enligt grundlagsutskottet inte förenlig med skyddet för personuppgifter om det inte är befogat av skäl som är kopplade till informationssystemets art eller syfte (GrUU 18/2016 rd, s. 2, GrUU 54/2010 rd, s. 2/II och GrUU 3/2009 rd). Information som delvis är oförändrad eller ändras långsamt och som inte uppdateras bara för att tiden gått och som behövs för att uppgifter ska kunna skötas kan enligt utskottets uppfattning lagras varaktigt (GrUU 54/2010 rd). Utskottet har framhållit att framför allt lagringstiden för känsliga uppgifter ska vara begränsad på så sätt att uppgifterna bara får finnas lagrade så länge det är nödvändigt för att fullfölja det syfte för vilket uppgifterna har registrerats (se t.ex. GrUU 13/2017 rd). 
Utskottet har nyligen analyserat ett förslag om varaktig lagring av uppgifter om fristående examen inom yrkesutbildning. Lagringen motiverades i propositionen med att uppgifterna om avlagda yrkesexamina inte förändras över tid och att de kan vara ett villkor för att få utöva ett visst yrke. Med tanke på examinandens rättsskydd är det enligt propositionsmotiven viktigt att uppgifterna om avlagda examina bevaras varaktigt, till exempel i situationer där betyget examinanden erhållit förkommer eller förstörs (GrUU 18/2016 rd, s. 3). Med hänsyn till motiveringen och uppgifternas användningsändamål ansåg utskottet att varaktig lagring inte medför några problem i konstitutionellt hänseende. 
Den varaktiga lagring som det nu är fråga om är också av motsvarande skäl huvudsakligen problemfri i konstitutionellt hänseende. Utskottet påpekar dock att lagförslaget inte innehåller några bestämmelser om att uppgifterna ska strykas efter att den berörda personen avlidit. Även om en avliden person i princip inte är subjekt i vårt system med grundläggande fri- och rättigheter anser utskottet att bestämmelsen i 1 § 2 mom. i grundlagen om människovärdets okränkbarhet har större räckvidd än bara behandlingen av levande människovarelser (GrUU 18/2014 rd, s. 9/I, GrUU 71/2002 rd, s. 2/I). Följaktligen är bestämmelserna om avlidna personer inte helt utan betydelse för deras rätt till skydd för privatlivet (se också GrUU 19/2008 rd, s. 2/I). Grundlagsutskottet anser att kulturutskottet i fråga om varje specifik uppgift bör bedöma behovet av varaktig lagring efter den registrerades död och att kulturutskottet vid behov bör komplettera bestämmelserna. 
FÖRSLAG TILL BESLUT
Grundlagsutskottet anför
att lagförslaget kan behandlas i vanlig lagstiftningsordning, men bara om utskottets konstitutionella anmärkning till 21 § beaktas på behörigt sätt.  
Helsingfors 26.9.2017 
I den avgörande behandlingen deltog
ordförande
Annika
Lapintie
vänst
vice ordförande
Tapani
Tölli
cent
medlem
Maria
Guzenina
sd
medlem
Anna-Maja
Henriksson
sv
medlem
Ilkka
Kantola
sd
medlem
Kimmo
Kivelä
blåa
medlem
Antti
Kurvinen
cent
medlem
Jaana
Laitinen-Pesola
saml
medlem
Markus
Lohi
cent
medlem
Leena
Meri
saf
medlem
Outi
Mäkelä
saml
medlem
Juha
Rehula
cent
medlem
Wille
Rydman
saml
medlem
Ville
Skinnari
sd
medlem
Matti
Torvinen
blåa.
Sekreterare var
utskottsråd
Mikael
Koillinen.
Senast publicerat 16.5.2019 11:18