Høring om endringer i fagskoleloven - personvernforordringen

• Høringsbrev

  Vår ref.: 17/4471

  Høring - endringer i fagskoleloven – rapportering av individdata

  Kunnskapsdepartementet sender med dette forslag om endring av lov om fagskoleutdanning på høring. Database for høyere utdanning (DBH) er en database med et bredt spekter av informasjon om universiteter, høyskoler og fagskoler. Innrapportering og bruk av personopplysningene i sektoren er systematisk, med et klart formål om styring, kontroll og statistikk for departementet og utover dette til bruk i forskning.
  
  For å oppfylle formålene med DBH er det nødvendig at databasen inneholder kvalitetssikrede og fullstendige data om utdanningssektoren på individnivå. Departementet mener at det både er nødvendig og hensiktsmessig å lovfeste en tydelig hjemmel i fagskoleloven for både registrering og annen behandling av personopplysninger om studenter, stipendiater og ansatte i fagskolesektoren.

  Høringsnotatet og personvernkonsekvensutredningen er tilgjengelig på www.regjeringen.no. Vi ber om at høringsuttalelser sendes elektronisk ved bruk av den digitale løsningen for høringsuttalelser på www.regjeringen.no/id2570977. Høringsuttalelser er offentlige og blir publisert. Høringsfristen er mandag 4.desember 2017.

   

  Med hilsen

  Anne Grøholt (e.f.)
  avdelingsdirektør

                                                                              Irene Tveite-Strand
                                                                              seniorrådgiver

   

  Dokumentet er elektronisk signert og har derfor ikke håndskrevne signaturer

• Høringsnotat

  Høringsnotat om endringer i fagskoleloven Personvernforordringen.pdf

Utdrag:

Bestemmelser om behandling av personopplysninger

1.1 Innledning

Kunnskapsdepartementet foreslår en ny lovhjemmel om behandling av personopplysninger i Database for statistikk om høgre utdanning (DBH). Høsten 2016 sendte departementet på høring forslag om nye bestemmelser i universitets- og høyskoleloven og fagskoleloven om rapportering av individdata (opplysninger om enkeltpersoner) til DBH. I høringsnotatet la departementet til grunn at behandlingen av personopplysninger i DBH var nødvendig for departementets offentlige myndighetsutøvelse. Behandlingen kunne således hjemles i personopplysningsloven (popplyl.) § 8 bokstav e. På bakgrunn av uttrykt tvil om dette behandlingsgrunnlaget valgte departementet å foreslå nye bestemmelser i universitets- og høyskoleloven og fagskoleloven.

De foreslåtte lovhjemlene tok sikte på gi departementet et klart behandlingsgrunnlag og stadfeste institusjonenes plikt til å innrapportere fullstendige data til DBH. Selv om de fleste høringsinstansene var positive til å få et tydelig hjemmelsgrunnlag for rapporteringen i sektoren, kom departementet til at det var ønskelig med en grundigere personvernkonsekvensvurdering av forslagene. Departementet ba derfor Norsk senter for forskningsdata (NSD) og Ceres om bistand til å utrede personvernkonsekvensene av forslagene. Dette ble gjort våren 2017 og utredningen ligger på Kunnskapsdepartementets nettside for denne høringen.

Forslaget i dette høringsnotat er omarbeidet sammenlignet med forslaget som ble sendt på høring i 2016. Endringene som er gjort fra forrige høringsrunde er blant annet å gjøre formålet med innrapporteringen av personopplysningene tydeligere, og å angi hvilke personopplysninger som kan rapporteres inn. Dette vil etter departementets vurdering bidra til å redusere personvernulempen ved rapporteringen til DBH. Departementets forslag er utarbeidet med sikte på å ivareta de kravene som vil bli stilt gjennom ny personopplysningslov og den kommende personvernforordningen.

1.2 Personvernregelverket

Personopplysningsloven (popplyl.) regulerer behandling av personopplysninger. Loven skal bidra til at personopplysninger blir behandlet i samsvar med grunnleggende personvernhensyn, herunder behovet for personlig integritet, privatlivets fred og tilstrekkelig kvalitet på personopplysninger.

I april 2016 vedtok EU en ny forordning om behandling av personopplysninger (personvernforordningen). Forordningen erstatter og opphever EUs gjeldende personverndirektiv 95/46, som i dag er innlemmet i EØS-avtalen og gjennomført i norsk rett i gjeldende personopplysningslov. Justis- og beredskapsdepartementet har sendt på høring et
utkast til en ny personopplysningslov som skal gjennomføre personvernforordningen i norsk rett.

Høringsbrevet finnes her. Justis- og beredskapsdepartementet tar sikte på at den nye personopplysningsloven skal tre i kraft i Norge i mai 2018, på samme tidspunkt som forordningen begynner å gjelde i EU. En uoffisiell norsk oversettelse av personvernforordningen finnes her.

Personvernforordningen styrker de registrertes rettigheter på flere punkter. I tillegg bortfaller melde- og konsesjonsplikten og erstattes med en plikt til vurdering av personvernkonsekvenser og forhåndsdrøftinger med tilsynsmyndigheten.

Forordningen viderefører en adgang til å behandle personopplysninger når dette er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt, jf. gjeldende personopplysningslov § 8 første ledd bokstav d og e og forordningen artikkel 6 nr. 1 bokstav e. Etter gjeldende rett kan behandling som gjøres som et ledd i offentlig myndighetsutøvelse eller i allmenhetens interesse hjemles direkte i personopplysningsloven § 8 første ledd bokstav d og e. En sentral endring som følger av den nye personvernforordningen, er at artikkel 6 nr. 1 bokstav e ikke alene kan utgjøre et tilstrekkelig behandlingsgrunnlag. Ut over at behandlingen skjer som et ledd i offentlig myndighetsutøvelse eller i allmenhetens interesse, krever forordningen i tillegg et supplerende rettsgrunnlag. Dette rettsgrunnlaget må finnes i nasjonal rett, jf. artikkel 6 nr. 3 bokstav b.

1.3 Rapportering av individdata til database for statistikk om høyere utdanning

1.3.1 Bakgrunn

Database for høyere utdanning (DBH) er en database med et bredt spekter av informasjon om universiteter, høyskoler og fagskoler. DBH ble opprettet av Kunnskapsdepartementet. Oppgaven med å drifte og forvalte databasen er lagt til NSD, som er et aksjeselskap, underlagt departementet. DBH inneholder data om studenter, utdanning, forskning, ansatte, museum, areal, økonomi og selskaper. Dataene i DBH skal være tilgjengelig for forskning om utdanningssektoren og for planlegging både sentralt i departementer og lokalt ved hver enkelt institusjon. Dataene har noe mindre omfang for fagskolene. Innrapportering og bruk av personopplysningene i sektoren er systematisk, med et klart formål om styring, kontroll og statistikk for departementet og utover dette til bruk i forskning.

Individdata om studenter og ansatte ved utdanningsinstitusjonene er viktig for departementets strategiske arbeid knyttet til utviklingen og oppfølgingen av høyere utdanning og fagskoleutdanning i Norge. Rapportering av disse dataene danner, sammen med rapporteringen av regnskap og resultatdata, grunnlag for utarbeidelse av årlige tilstandsrapporter for henholdsvis høyere utdanning og fagskoleutdanning. Formålet med tilstandsrapportene er å gi en oversikt og en vurdering av tilstanden i universitets- og høyskolesektoren og fagskolesektoren. Tilstandsrapportene er også et redskap for departementet i styringen av sektorene, blant annet i budsjettarbeidet. Innsamlingen av individdata om studenter doktorgradskandidater og ansatte i universitets- og høyskolesektoren, og om studenter og ansatte i fagskolesektoren, legger videre til rette for forskning på utdanningssektoren.

For å oppfylle formålene med DBH er det nødvendig at databasen inneholder kvalitetssikrede og fullstendige data om utdanningssektoren på individnivå.
Datatilsynet og enkelte utdanningsinstitusjoner mener at hjemmelsgrunnlaget for innrapportering og behandling av individdata om studenter og ansatte i DBH er uklart i dag. Dette har ført til at ikke alle utdanningsinstitusjoner har rapportert inn alle individdata. Dette innebærer at de dataene departementet legger til grunn for sin styringsvirksomhet, vil være mangelfulle for flere utdanningsinstitusjoner og vanskeliggjør departements sektorstyring. I lys av tilbakemeldingene fra Datatilsynet og personvernforordningens krav til et supplerende rettsgrunnlag, mener departementet at det er nødvendig å lovfeste en tydelig hjemmel i fagskoleloven og universitets- og høyskoleloven for både registrering og annen behandling av personopplysninger om studenter, stipendiater og ansatte i universitets- og høyskolesektoren og fagskolesektoren. Forslag til hjemmel i universitets- og høyskoleloven er sendt i et eget høringsbrev.

[...]

3. Lovforslagene

Ny bestemmelsen i fagskoleloven

§ 41 Rapportering til database for statistikk om fagskoleutdanning

(1) Formålet med behandling av personopplysninger i en database for statistikk om fagskoleutdanning er å legge til rette for statistikk, utredning og forskning om fagskoleutdanning, og for departementets forvaltning og ansvar for fagskoleutdanning.
(2) For studenter ved fagskoler kan følgende personopplysninger behandles:
- fødselsnummer
- midlertidig fødselsnummer
- navn
- statsborgerskap
- postnummer
- kommunenummer
- bostedsland
- e-postadresse
- karakterer fra videregående opplæring
- opplysninger knyttet til utdanningen som studieprogresjon og karakterer.
(3) For ansatte ved fagskoler kan følgende personopplysninger behandles:
- fødselsnummer
- navn
- statsborgerskap
- postnummer
- kommunenummer
- bostedsland
- e-postadresse
- opplysninger knyttet til utdanning, stillingsforhold, lønn og finansiering av stillingen.

(4) Departementet kan pålegge fagskoler å rapportere personopplysninger som nevnt i annet og tredje ledd til databasen for statistikk om fagskoleutdanning, uten hinder av lovbestemt taushetsplikt. Innhenting av opplysningene kan skje elektronisk.
(5) Personopplysningene i databasen kan utleveres og sammenstilles til forskning og utredning i samsvar med formålet i første ledd. Opplysningene kan også utleveres til andre departementer og statlige organer.
(6) Departementet er behandlingsansvarlig for databasen. Departementet kan gi forskrift om behandlingen av opplysninger i databasen.