Endringer i universitets- og høyskoleloven og EUs nye personvernforordning

Transkript

1 Endringer i universitets- og høyskoleloven og EUs nye personvernforordning Sadia Zaka Juridisk seniorrådgiver Kunnskapsdepartementets tjenesteorgan

2 Viktige definisjoner/begreper Personopplysning: Enhver opplysning som kan knyttes til en identifisert eller identifiserbar fysisk person (identifisering kan skje både direkte eller indirekte) Den registrerte: Den fysiske personen som en personopplysning kan knyttes til Behandling: Enhver bruk av personopplysninger, som f.eks. innsamling, registrering, organisering, lagring, endring, tilpasning, gjenfinning, utlevering, overføring, spredning osv. Behandlingsansvarlig: Den som bestemmer formålet med behandlingen av personopplysninger og hvilke hjelpemidler som skal brukes Databehandler: Den som behandler personopplysninger på vegne av den behandlingsansvarlige Behandlingsgrunnlag: Behandlingen må være lovlig og ha et rettslig grunnlag. F.eks. samtykke eller lovhjemmel

3 Hvem er behandlingsansvarlig for de ulike fellessystemene for opptak og studieadministrasjon i sektoren? KDTO er behandlingsansvarlig: GAUS RUST Vitnemålsportalen Samordna opptak Nasjonal vitnemålsdatabase Institusjonen er behandlingsansvarlig: (KDTO er databehandler) Felles studentsystem EVUweb Fagpersonweb Nomination Studentbevis-appen Studentweb Søknadsweb Datavarehus

4 Ny personvernforordning i EU/EØS GDPR Ny personvernforordning trer i kraft i 25. mai 2018 Forordningen pålegger den behandlingsansvarlige flere plikter, mens enkeltpersoner får flere rettigheter Enkeltpersoners rett til personvern skal ikke bli krenket ved (elektronisk) behandling og overføring av personopplysninger

5 Noen hovedtrekk i forordningen - Behandlingsansvarlig og databehandlere får flere plikter, mens den registrerte får flere rettigheter (den registrerte er den personen opplysningene er knyttet til). - Informasjonsplikten til behandlingsansvarlig blir mer omfattende Den registrerte må informeres mer - Den registrerte får flere og styrkede rettigheter: Rett til innsyn, informasjon, korrigering, sletting, begrensning, protestere og i noen tilfeller også rett til dataportabilitet. - Det stilles strengere krav til rettslig grunnlag og informasjon til den registrerte når det gjelder automatisert saksbehandling - Krav til innholdet i databehandleravtaler går direkte frem av forordningen - Krav om innebygd personvern Personvernvennlig funksjonalitet i systemer og applikasjoner - Krav til personvernombud Offentlige organer må ha personvernombud

6 Forordningen stiller strengere krav til: Rettslig grunnlag ved utøving av offentlig myndighet Utøving av offentlig myndighet må ha et supplerende rettslig grunnlag i nasjonal lov eller forskrift Bruk av automatisert saksbehandling (hel-automatisert) Den registrerte har rett til å ikke bli utsatt for at viktige avgjørelser (enkeltvedtak) blir fattet ved bruk av hel-automatisert saksbehandling MEN: Tillatt hvis behandlingen av personopplysninger er hjemlet i lov Behandling av sensitive personopplysninger Utgangspunktet er at behandling av sensitive personopplysninger er forbudt Unntaksreglene stiller strenge krav til rettslig grunnlag Viktige samfunnsinteresser + lovhjemmel = Tillatt behandling Behandling av personopplysninger om straff og lovovertredelser Kun tillatt hvis en lovhjemmel tillater dette

7 Høring om endringer i universitets- og høyskoleloven Høringen om endringer i uhl. er avsluttet. Høringsfristen var 4. desember lovbestemmelser (paragrafer) på høring Bestemmelser som regulerer behandling av personopplysninger: Uhl. 4-15, 4-16 og 7-8 Lovendringene må vedtas av Stortinget før de blir endelige Forhåpentligvis i kraft 1. juli 2018 Regjeringen fremmet forslag til lovvedtak for Stortinget den Prop. 64 L ( ) er tilgjengelig her: Se særlig kap,. 7 Personvern i proposisjonen

8 Nye bestemmelser om behandling av personopplysninger ved opptak og studieadministrasjon Hvorfor var dette nødvendig? EUs nye personvernforordning (GDPR) trer i kraft 25. mai 2018 GDPR stiller krav om et supplerende rettslig grunnlag i nasjonal lovgivning ved utøvelse av offentlig myndighet Behov for at sektoren får en lik praksis Rettslig grunnlag og formål Åpenhet og forutsigbarhet om hvordan personopplysninger blir behandlet Behov for en lovhjemmel for behandling av sensitive personopplysninger ifm opptak og studieadministrasjon Digitale politiattester Behov for nye løsninger for å forhindre forfalskninger Automatisert saksbehandling Behov for lovhjemmel Særlig relevant i det samordnede opptaket hvor det kan bli fattet enkeltvedtak etter helautomatisert saksbehandling, men også for Felles studentsystem hvor det f.eks. skjer innvilgelse av undervisnings- og eksamensmeldinger etter helautomatisert saksbehandling

9 4-15 Innhenting og behandling av personopplysninger i studieadministrative systemer (1) Utdanningsinstitusjonen kan behandle personopplysninger om en søker, student eller doktorgradskandidat når formåletmed behandlingen er å ivareta den registrertes rettigheter, eller å oppfylle institusjonens oppgaver og plikter etter universitets- og høyskoleloven. (2) Utdanningsinstitusjonen kan behandle opplysninger om navn, fødselsnummer, midlertidig fødselsnummer, D-nummer og karakterer fra videregående opplæring og universiteter og høyskoler hentet fra offentlige myndigheter, offentlige systemer for vitnemål, statlige, fylkeskommunale og private utdanningsinstitusjoner når dette er nødvendig for å oppfylle formålet som er nevnt i første ledd. Innhenting av opplysningene kan skje elektronisk. (3) Utdanningsinstitusjonen kan også behandle opplysninger om helse, sosiale forhold og andre sensitive opplysninger som studenten selv har gitt institusjonen, eller har samtykket til at institusjonene skal få, når disse opplysningene er nødvendige for formål som nevnt i første ledd. Disse begrensningene i institusjonens adgang til å behandle opplysninger om helse, sosiale forhold og andre sensitive opplysninger gjelder ikke for nødvendig behandling etter 4-10 og (4) Utdanningsinstitusjonen kan fatte vedtak ved helt eller delvis automatisert saksbehandling i sine studieadministrative systemer. Den personen som vedtaket retter seg mot, kan kreve at vedtaket overprøves manuelt av utdanningsinstitusjonen. (5) Utdanningsinstitusjonen kan motta og behandle studentens politiattest elektronisk i sine studieadministrative systemer på studier der det kreves at studenten skal legge frem politiattest, jf Politiattest som er utstedt og signert digitalt, kan kun leveres til utdanningsinstitusjonen i digital form. Det forutsettes at studenten selv innhenter og formidler politiattesten til utdanningsinstitusjonen. (6) Departementet kan gi forskrift om behandling og registrering av personopplysninger i studieadministrative systemer

10 4-16. Innhenting og behandling av personopplysninger i Samordna opptak (1) Samordna opptak er en nasjonal samordningstjeneste for behandling av søknader om opptak til høyere utdanning. Samordna opptak, utdanningsinstitusjonene og andre organer som deltar i det samordnede opptaket kan behandle personopplysninger om en søker, når formålet er å behandle en søknad om opptak til høyere utdanning. (2) Bestemmelsene i 4-15 annet, tredje og fjerde ledd gjelder tilsvarende for Samordna opptak. (3) Forvaltningsorganet som er ansvarlig for Samordna opptak er behandlingsansvarlig for personopplysningene i det samordnede opptaket. Departementet kan gi forskrift om behandling og registrering for det samordnede opptaket

11 De nye lovbestemmelsene vil fremme digitalisering og effektivisering De nye lovbestemmelsene i uhl og 4-16 vil bidra til å oppfylle kravene i personvernforordningen, og samtidig bidra til økt digitalisering og effektivisering innen områdene opptak og studieadministrasjon: Innhentingen av nødvendige personopplysninger fra andre organer/systemer kan skje på en enklere måte Klarere hjemmel for innhenting Mindre bruk av samtykker når behandlingen kan hjemles direkte i uhl. Enkeltvedtak og avgjørelser kan fattes ved helautomatisert saksbehandling Sensitive personopplysninger kan behandles elektronisk Politiattester vil kunne behandles elektronisk

12 Ny bestemmelse om rapportering av personopplysninger til Database for statistikk om høyere utdanning Formålet til DBH er å legge til rette for statistikk, utredning og forskning om høyere utdanning, og for KDs forvaltning og styring av høyere utdanning Behov for en klar hjemmel for rapportering av personopplysninger (individdata) til DBH GDPR stiller krav om et supplerende rettslig grunnlag i nasjonal lovgivning Ved utøving av offentlig myndighet og utførelse av oppgaver av allmenn interesse Åpenhet og forutsigbarhet om at personopplysninger blir rapportert til DBH, og også hvilke personopplysninger som blir rapportert videre