Senast publicerat 27-11-2021 09:29

Regeringens proposition RP 192/2021 rd Regeringens proposition till riksdagen med förslag till lag om ändring av lagen om nationella studie- och examensregister och till vissa lagar som har samband med den

I denna proposition föreslås det att lagen om nationella studie- och examensregister ändras. Det föreslås att bestämmelserna om användningsändamålet för och meddelandet av studentnummer preciseras. Vidare föreslås det att tillämpningsområdet för lagen ska omfatta utbildningar och examina enligt lagen om Europeiska skolan i Helsingfors. Därtill föreslås en skyldighet för den nämnda skolan att föra in uppgifter i informationsresursen inom undervisning och utbildning. I propositionen föreslås det också att bestämmelserna om gemensamt personuppgiftsansvariga ska preciseras.

I propositionen har beaktats bestämmelserna om elektronisk överföring i lagen om informationshantering inom den offentliga förvaltningen beaktats, och därför föreslås det att parallella bestämmelser om detta elektronisk överföring ska strykas i lagen om nationella studie- och examensregister, samt lagen om grundläggande utbildning, gymnasielagen och lagen om yrkesutbildning.

De föreslagna lagarna avses träda i kraft den 1 januari 2022. Den skyldighet att föra in uppgifter som gäller Europeiska skolan i Helsingfors träder emellertid i kraft först den 1 januari 2023.

MOTIVERING

1 Bakgrund och beredning

1.1 Bakgrund

Enligt regeringsprogrammet för statsminister Sanna Marins regering vill Finland främja EU:s digitaliseringspolitik som på ett hållbart sätt reglerar de multinationella plattformstjänsterna, stärker EU:s digitala inre marknad och konkurrenskraft samt främjar allmänhetens och företagens dataskydd och digitala verksamhetsbetingelser. Enligt programmet ska digitalisering uppmärksammas som ett genomgripande tema på de olika utbildningsstadierna.

Lagen om informationshantering inom den offentliga förvaltningen (nedan även informationshanteringslagen, 906/2019) trädde i kraft den 1 januari 2020. I 22 och 23 § i den lagen finns bestämmelser om informationsöverföring via tekniska gränssnitt och elektronisk förbindelse.

1.2 Beredning

Propositionen har beretts vid undervisnings- och kulturministeriet. Under beredningen har den också behandlats i arbetsgruppen för utveckling av identitetshanteringen inom undervisnings- och utbildningssektorn.

Under beredningen ordnade undervisnings- och kulturministeriet ett diskussionsmöte för Europeiska skolan i Helsingfors om den lagändring som gäller skolan.

Utlåtanden om utkastet till regeringsproposition har begärts av centrala intressentgrupper. Utkastet till proposition har varit på remiss under perioden 22.6.—20.8.2021. Utlåtandena har publicerats i statsrådets projektportal på adressen https://minedu.fi/sv/projekt?tunnus=OKM033:00/2021

2 Nuläge och bedömning av nuläget

2.1 Studentnummer och studentnummerregistret

Lagen om nationella studie- och examensregister (884/2017) innehåller bestämmelser om olika informationsresurser, datalager och register inom utbildningsförvaltningen. Lagen innehåller bestämmelser om bl.a. införande av studieuppgifter inom den grundläggande utbildningen, yrkesutbildningen, gymnasieutbildningen och högskoleutbildningen. Med hjälp av tjänsten för utlämnande av uppgifter enligt 6 kap. kan personer granska sina egna studieprestationer via tjänsten Min Studieinfo och myndigheterna får centraliserat de uppgifter de behöver t.ex. för statistikföring eller finansiering från ett och samma ställe på ett tillförlitligt och kostnadseffektivt sätt. Detta främjar det kontinuerliga lärandet genom att stöda medborgarna i att söka till studier, avlägga studier, placera sig på arbetsmarknaden och söka arbete. Därtill underlättar tjänsten sökandet av studierelaterade förmåner och förbättrar uppgifternas användbarhet och minskar den överlappande dataöverföringen. Uppgifter kan införas i informationsresurser, datalager och register både via ett tekniskt gränssnitt genom automatiserad dataöverföring från läroanstaltens studiehanteringssystem och manuellt genom ett separat användargränssnitt.

I 3 kap. i lagen finns det bestämmelser om studentnummer och studentnummerregistret, som Utbildningsstyrelsen är personuppgiftsansvarig för. Enligt 3 § 1 mom. är ett studentnummer en permanent kod som tilldelas en person och som används för att identifiera personen när uppgifter i en informationsresurs eller ett datalager som avses i denna lag eller i lagen om småbarnspedagogik (540/2018) förs in, behandlas och lämnas ut. När utbildningsanordnare, anordnare av småbarnspedagogik, serviceproducenter inom småbarnspedagogiken, högskolor och huvudmän för läroanstalter utför uppgifter enligt lagen om småbarnspedagogik, lagen om grundläggande utbildning, gymnasielagen, lagen om yrkesutbildning, lagen om utbildning som handleder för examensutbildning, yrkeshögskolelagen, universitetslagen eller lagen om fritt bildningsarbete får de använda sig av studentnumret även för identifikation av personer.

I paragrafens 2 mom. sägs att när sådana uppgifter om en person som avses i denna lag eller i lagen om småbarnspedagogik förs in för första gången ska den som för in uppgiften be Utbildningsstyrelsen om personens studentnummer. Om personen saknar studentnummer ska Utbildningsstyrelsen skapa ett studentnummer. Utbildningsstyrelsen ska meddela den som för in uppgiften studentnumret för kännedom.

Studentnumren bildar ett studentnummerregister som det finns bestämmelser om i 3 mom. I studentnummerregistret ska dessutom personens namn samt personbeteckningen eller andra nödvändiga identifikationsuppgifter föras in. Utbildningsstyrelsen är personuppgiftsansvarig för studentnummerregistret. Studentnummer kan lämnas ut via en teknisk anslutning. De uppgifter som förs in i studentnummerregistret ska bevaras permanent.

Studentnumret är ett unikt identifikationsnummer med 11 tecken som baserar sig på OID-identifikationspraxis och som inte innehåller andra uppgifter som är kopplade personen till skillnad från personbeteckningen. Den OID-gren som ligger till grund för studentnumret upprätthålls och beviljas av Utbildningsstyrelsen.

Med stöd av ovan nämnda bestämmelser har det ansetts vara möjligt att ge ett studentnummer när uppgifter om personen förs in i en informationsresurs eller ett datalager som avses i 1 mom. i den nämnda paragrafen. När en person har tilldelats ett studentnummer, kan utbildningsanordnare eller anordnare av småbarnspedagogik, serviceproducenter inom småbarnspedagogiken och huvudmän för högskolor och läroanstalter använda numret i enlighet med 1 mom. också vid utförandet av de lagstadgade uppgifter som avses i momentet. Enligt regeringens proposition (RP 260/2018 rd) är avsikten inte att användningen av studentnumret ska utvidgas för att numret ska användas i någon annan verksamhet än vad som är motiverat för att genomföra uppgifter som hänför sig till utbildning och småbarnspedagogik i de nämnda lagarna. Den gällande regleringen har dock inte ansetts göra det möjligt att ge studentnumret för det sistnämnda ändamålet. Därför har t.ex. elever i en hel åldersklass i praktiken ett studentnummer senast inom förskoleundervisningen och den grundläggande utbildningen, men av lärarna har endast en del tilldelats ett studentnummer, varvid numret inte kan användas som ett riksomfattande identifikationsnummer.

I framtiden kommer så gott som alla lärare även utan författningsändringar att ha ett studentnummer, även om denna situation infaller tidigast vid den tidpunkt då det har förflutit ca 15 år från det att lagen om nationella studie- och examensregister trädde i kraft. Först då examineras för första gången lärare som hör till den åldersklassen inom vilken alla tilldelats ett studentnummer när de inledde sina studier inom den grundläggande utbildningen.

2.2 Europeiska skolan i Helsingfors

Europeiska skolan i Helsingfors inrättades genom lagen om Europeiska skolan i Helsingfors (1463/2007). Skolan är en statsägd skola av så kallad typ II, vars förskola, lågstadium och klasserna 1—5 i högstadiet har ackrediterats till systemet med Europaskolor. Eleverna kan inleda en tvåårig förskoleundervisning det år då de fyller fyra år och börja på första klassen i lågstadiet som sexåringar. Lågstadiet är indelat i klasserna P1–P5, som motsvarar årskurserna 1—5 inom den grundläggande utbildningen. Undervisningen fortsätter med en högstadieperiod som motsvarar årskurserna 6—9 inom den grundläggande utbildningen (nivåerna S1–S5) och följs av nivåerna S6 och S7 vilka motsvarar gymnasiet. Utbildningen kan utmynna i en europeisk studentexamen. Enligt 3 § i lagen om Europeiska skolan i Helsingfors har skolan i uppgift att erbjuda undervisning enligt läroplanerna för Europaskolorna.

Uppgifter om Europeiska skolan i Helsingfors införs för närvarande inte i informationsresursen inom undervisning och utbildning, utan de statistiska uppgifterna om skolan samlas in genom separat datainsamling. Behovet av att i informationsresursen föra in elev- och studieuppgifter gällande Europeiska skolan i Helsingfors har uppstått i och med att datainsamlingen förenhetligas. Den riksomfattande statistikföringen av verksamhetsuppgifterna inom förvaltningsområdet för utbildning har under de senaste åren övergått till att utnyttja registermaterial i stället för separat datainsamling. Utvecklandet av datainsamlingen vid Europeiska skolan i Helsingfors är en del av denna utveckling av informationshanteringen inom förvaltningsområdet.

2.3 Bestämmelser om elektronisk överföring av uppgifter

Lagen om nationella studie- och examensregister, lagen om grundläggande utbildning (628/1998), gymnasielagen (714/2018) och lagen om yrkesutbildning (531/2017) innehåller bestämmelser om utlämnande av uppgifter via en teknisk anslutning. Bestämmelserna har utfärdats innan informationshanteringslagen trädde i kraft. På elektronisk överföring av uppgifter ska i regel bestämmelserna i den sistnämnda lagen tillämpas.

Enligt 22 § 1 mom. i informationshanteringslagen ska myndigheterna genomföra regelbundet återkommande och standardiserad elektronisk överföring av information mellan informationssystem via tekniska gränssnitt, om den mottagande myndigheten enligt lag har rätt till informationen. Regelbundet återkommande och standardiserad elektronisk överföring av information kan genomföras på något annat sätt, om det inte är tekniskt eller ekonomiskt ändamålsenligt att genomföra eller använda ett tekniskt gränssnitt. En myndighet kan också i andra situationer öppna ett tekniskt gränssnitt för en myndighet som har rätt till information. Det föreskrivs särskilt om överföring av handlingar och information på annat sätt.

Enligt 2 mom. i den paragrafen ska utöver vad som föreskrivs i 4 kap. överföring av information mellan informationssystem via tekniska gränssnitt genomföras så att det tekniskt säkerställs att den information som ska överföras behövs i det enskilda fallet eller är nödvändig för att den mottagande myndigheten ska kunna sköta sina uppgifter, ifall överföringen avser personuppgifter eller sekretessbelagd information. Enligt 3 mom. ska beskrivningen av strukturen för information som överförs via ett tekniskt gränssnitt definieras och uppdateras av den myndighet som lämnar ut informationen. Vid planeringen av informationsöverföring mellan flera myndigheter via tekniska gränssnitt ska beskrivningen av informationsstrukturen definieras och uppdateras under ledning av det ministerium som ansvarar för verksamhetsområdet.

Enligt 23 § 1 mom. i den nämna lagen kan en myndighet öppna en elektronisk förbindelse till en annan myndighet till sådan information i ett informationslager som den mottagande myndigheten har rätt att få tillgång till. Utöver vad som föreskrivs i 4 kap. är en förutsättning för öppnande av en elektronisk förbindelse att 1) förbindelsen begränsas till endast enskild sökning av sådana behövliga eller nödvändiga uppgifter som är förenliga med informationsrätten, samt att 2) informationens användningsändamål utreds i samband med sökningen. Enligt 2 mom. i paragrafen ska myndigheten upprätta en elektronisk förbindelse så att det informationssystem som möjliggör förbindelsen automatiskt identifierar avvikande informationssökningar.

3 Målsättning

Syftet med de ändringsförslag som gäller studentnumret är att möjliggöra användningen av studentnummer som ett allmänt identifikationsnummer för att identifierar personer inom utbildningsförvaltningen. Syftet med den föreslagna skyldigheten att föra in uppgifter som gäller Europeiska skolan i Helsingfors är att säkerställa att det i informationsresursen om elever och studerande vid den nämnda skolan finns motsvarande uppgifter som om elever och studerande inom det finländska skolsystemet. Ett ytterligare syfte med propositionen är att förtydliga och precisera bestämmelserna om gemensamt personuppgiftsansvariga och elektronisk överföring av uppgifter.

4 Förslagen och deras konsekvenser

4.1 De viktigaste förslagen

I denna proposition föreslås det att lagen om nationella studie- och examensregister ändras. Bestämmelserna om studentnummer ändras så att Utbildningsstyrelsen kan ge studentnumret för ett sådant ändamål som anges i lagen. I propositionen föreslås det att studentnumret ska kunna användas inte bara så som anges i de nuvarande bestämmelserna, utan också för identifikation av personer vid utförandet av lagstadgade uppgifter som gäller småbarnspedagogik, undervisning och utbildning samt uppgifter enligt lagen om Utbildningsstyrelsen. Ändringarna gör det möjligt att använda studentnumret som ett allmänt identifikationsnummer för att identifiera en person inom hela utbildningsförvaltningen och bidrar till att förbättra dataskyddet, när identifikationen av en person inom utbildningsförvaltningen inte förutsätter att personbeteckningen används annat än av nödvändiga skäl.

Det föreslås att i studentnummerregistret förutom personens identifieringsuppgifter ska införas även personens kontaktuppgifter, vilka den personuppgiftsansvarige behöver för att fullgöra sin lagstadgade informationsskyldighet. Med denna skyldighet avses särskilt den informationsskyldighet som föreskrivs för den personuppgiftsansvarige i dataskyddsförordningen. Till lagens tillämpningsområde fogas enligt förslaget också lagen om Europeiska skolan i Helsingfors och det föreslås att nämnda skola ska ha en skyldighet att föra in uppgifter i den informationsresurs inom undervisning och utbildning som avses i 2 kap. Lagens bestämmelser om gemensamt personuppgiftsansvariga preciseras i syfte att förtydliga ansvarsfördelningen mellan de personuppgiftsansvariga. I regleringen beaktas dessutom de ändringsbehov som bestämmelserna i informationshanteringslagen medför, vilket innebär att bestämmelserna om elektronisk överföring av uppgifter stryks ur lagen om nationella studie- och examensregister samt lagen om grundläggande utbildning, gymnasielagen och lagen om yrkesutbildning.

4.2 De huvudsakliga konsekvenserna

4.2.1 Ekonomiska konsekvenser

Propositionen har inga konsekvenser för ramarna för statsfinanserna eller budgeten. De föreslagna ändringarna sker inom ramen för rambeslutet och budgeten. Det uppstår kostnader för utbildningsanordnarna om de genomför en integrering av sina egna personuppgiftssystem i studentnummerregistret. Det finns dock ingen skyldighet att göra detta eller att använda studentnummer i större utsträckning än för närvarande.

4.2.2 Konsekvenser för myndigheterna

En utvidgning av användningen av studentnummerregistret medför ändringar i studentnummerregistret som förs av Utbildningsstyrelsen. Om kontaktuppgifter kan införas för alla personer om vilka uppgifter förs in i registret, är de ändringar som genomförs betydligt mindre än om kontaktuppgifter inte kan införas. Genom att kontaktuppgifter förs in i studentnummerregistret säkerställs tjänsternas funktion. Dessutom stödjer modellen Utbildningsstyrelsens arkitektur i webbtjänsterna för lärande.

Studentnumret kan inhämtas datasäkert via ett tekniskt gränssnitt, en elektronisk förbindelse eller på annat sätt i elektronisk form. För detta ändamål behövs ett nytt användargränssnitt för de användare som inhämtar studentnumret via en elektronisk förbindelse. Behövliga ändringar kan genomföras genom en omarbetning av de nuvarande gränssnitten och användargränssnitten med en arbetsinsats på uppskattningsvis fyra personmånader. Den resurs som reserveras för kundservice uppgår dessutom till uppskattningsvis 0,5 årsverken. I initialskedet framskrider man närmast genom att nuvarande gränssnitt och användargränssnitt utnyttjas och sedan, om det framkommer fler behov, kan dessa beaktas i samband med den fortsatta utvecklingen. Det kan uppstå kostnader för underhållet av Utbildningsstyrelsens andra tjänster än studentnummerregistret, om tjänsterna ändras så att de tillåter mera möjliggörande användning av studentnummer i lagstadgade processer. Kostnaderna är dock mindre än ändringsarbeten som föranleds av ett separat register.

Enligt propositionen ska studentnumret kunna användas när uppgifter enligt lagen om Utbildningsstyrelsen utförs. Därmed kan Utbildningsstyrelsen i sin egen verksamhet använda studentnumret som ett identifikationsnummer för personer. Detta förenhetligar identifieringen av personer i Utbildningsstyrelsens verksamhet. Förutom för införande i informationsresurser, datalager eller register ska det också vara möjligt att ge ett studentnummer när numret används för att identifiera en person vid utförandet av uppgifter enligt lagar som gäller småbarnspedagogik, undervisning och utbildning. För Utbildningsstyrelsen innebär detta en uppdatering av datamodellerna och en revidering av förfarandet för givande av studentnummer, när studentnummer kan begäras också för andra ändamål än införande av uppgifter. I praktiken innebär detta att studentnumret, i det syfte som nämns ovan, ska ges också för identifiering av andra personer än de som är elever och studerande.

Det föreskrivs inte någon skyldighet för anordnare av småbarnspedagogik och utbildningsanordnare att använda studentnumret i större utsträckning än för närvarande. Det är således frivilligt att använda studentnumret i större utsträckning än för närvarande och anordnarna kan begära ett studentnummer för en person och använda det för att identifiera personen i enlighet med sina resurser.

För Europeiska skolan i Helsingfors förutsätter ändringen av sättet för datainsamling ändringar antingen i det studiehanteringssystem som används eller alternativt i användningsgränssnittet för införande av uppgifter. Eftersom det datainnehåll som samlas in i och med den föreslagna ändringen är mer omfattande än tidigare, förutsätter detta antingen tilläggsresurser i tid eller alternativt en ändring av studiehanteringssystemet. Den sistnämnda vore av engångsnatur. Ändringarna medför inte en oskälig börda för Europeiska skolan i Helsingfors och deras kostnadseffekter bedöms vara små. För närvarande samlar Utbildningsstyrelsen separat in data om Europeiska skolan i Helsingfors. I propositionen föreslås det att uppgifterna om utbildningar och examina enligt lagen om Europeiska skolan i Helsingfors i fortsättningen ska samlas i informationsresursen inom undervisning och utbildning, vilket ersätter de återkommande separata datainsamlingar som gjorts periodvis.

På grund av det särskilda innehållet i läroplanen för Europeiska skolan i Helsingfors behöver Utbildningsstyrelsen genomföra sådana ändringar i datamodellen för studie- och examensregistret som har små kostnadseffekter och som ingår i utgifterna enligt budgetpropositionen.

4.2.3 Samhälleliga konsekvenser

I propositionen föreslås det att studentnummer ska kunna tilldelas en större grupp personer än enligt de nuvarande bestämmelserna, när studentnummer förutom för identifiering av en person vid införande av uppgifter ska kunna ges till en aktör som utför lagstadgade uppgifter som hänför sig till småbarnspedagogik, undervisning eller utbildning samt till Utbildningsstyrelsen när den utför uppgifter som anges i lagen om Utbildningsstyrelsen. I praktiken innebär detta att studentnummer kan ges också för identifiering av andra personer än elever och studerande. Detta bidrar till att förbättra dataskyddet för dessa personer när personbeteckningen inte behöver användas för identifieringen. Användningen av studentnumret som ett identifikationsnummer för en person minskar således risken för att personens uppgifter ska utnyttjas i olagligt syfte.

I propositionen föreslås inga bestämmelser om vilka grupper av personer som kan tilldelas ett studentnummer. Av studentnummerregistret framgår således inte personens ställning som t.ex. elev, studerande eller lärare. Enligt förslaget ska numret kunna ges och användas när numret behövs för att identifiera en person vid utförande av de lagstadgade uppgifter som avses i förslaget. Den aktör som utför lagstadgade uppgifter svarar för att numret begärs av Utbildningsstyrelsen endast för det ändamål som avses i förslaget och att det används på det sätt som avses i förslaget. De ändringar som föreslås i propositionen inverkar inte på lärarregisterutredningen.

De föreslagna ändringarna gör det bl.a. möjligt tilldela en person ett studentnummer redan i det skede då personen söker till småbarnspedagogik eller utbildning. Således kan t.ex. en utländsk person som söker till någon lagstadgad utbildning tilldelas ett studentnummer. Inte heller den nuvarande regleringen har utgjort något hinder för att tilldela utländska personer ett studentnummer, när det har funnits tillräckliga uppgifter för att identifiera honom eller henne. Dessutom gör den föreslagna regleringen det möjligt att ge studentnummer också t.ex. till lärare som inte har något studentnummer. Då kan lärare identifieras på ett enhetligt sätt i digitala inlärningsmiljöer, på samma sätt som elever och studerande. Studentnumret kan också tilldelas arbetsplatshandledare inom yrkesutbildningen, varvid arbetsplatshandledarna kan logga in sig och se de handleddas eHOKS-uppgifter. Här underlättar studentnumret bl.a. hanteringen av användarrättigheter och roller. Förslaget gör det också möjligt att identifiera tjänstemän inom Studioinfo-tjänsterna med hjälp av studentnumret.

Införandet av elev- och studieuppgifter gällande Europeiska skolan i Helsingfors i informationsresursen förbättrar likabehandlingen av medborgarna i frågor som gäller förvärvande eller påvisande av kunnande genom att uppgifternas jämförbarhet och aktualitet ökar. Samtidigt säkerställs också att utbildningsanordnarna behandlas lika, eftersom uppgifter om studier, prestationer och examina inom den grundläggande utbildningen och utbildningen på andra stadiet redan för närvarande införs i informationsresursen. Införandet av uppgifterna gynnar också enskilda personer genom att man i tjänsten kan se och visa utbildningar man har fullgjort exempelvis vid planering av studierna och ansökan om arbete.

4.2.4 Konsekvenser för behandlingen av personuppgifter

I bestämmelserna i lagen om nationella studie- och examensregister ingår reglering om sådan behandling av personuppgifter som omfattas av tillämpningsområdet för Europeiska unionens allmänna dataskyddsförordning (EU) 2016/679 (nedan dataskyddsförordningen).

Nationell speciallagstiftning är möjlig i de fall då dataskyddsförordningen uttryckligen ger medlemsstaterna nationellt handlingsutrymme. För det första kan handlingsutrymmet användas när behandlingen av personuppgifter grundar sig bl.a. på artikel 6.1 c i dataskyddsförordningen, dvs. när behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Syftet med behandlingen ska fastställas i den rättsliga grunden för behandlingen. Preciserande lagstiftning kan i dessa fall innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen, bl.a. bestämmelser om förutsättningarna för behandlingens lagenlighet, typen av uppgifter som behandlas, de registrerade, bevaringstider, ändamålsbegränsning och behandlingsåtgärder. Medlemsstaternas nationella rätt ska enligt artikel 6 uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Med beaktande av dataskyddsförordningens direkta tillämplighet och grundlagsutskottets tolkningspraxis under senare tid när det gäller bestämmelser i lag bör användningen av speciallagstiftning begränsas enbart till det nödvändigaste.

Enligt artikel 9.1 i förordningen ska behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning som utgångspunkt vara förbjuden (särskilda kategorier av personuppgifter). Enligt artikel 87 i dataskyddsförordningen får medlemsstaterna närmare bestämma på vilka särskilda villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering får behandlas. Ett nationellt identifikationsnummer eller ett annat vedertaget sätt för identifiering ska i sådana fall endast användas med iakttagande av lämpliga skyddsåtgärder för de registrerades rättigheter och friheter enligt denna förordning.

I propositionen föreslås ändringar i lagen om nationella studie- och examensregister i bestämmelserna om studentnummer och studentnummerregistret samt i de uppgifter som ska föras in i det nationella examens- och studieregister som anges i 2 kap. Även om ett studentnummer inte i sig ska betraktas som ett nationellt identifikationsnummer enligt artikel 87 i dataskyddsförordningen, är det i propositionen lämpligt att bedöma skyddsåtgärderna för och konsekvenserna av behandlingen av det i förhållande till den registrerades rättigheter och friheter. De föreslagna bestämmelserna gäller inte i sig sådana särskilda kategorier av personuppgifter som avses i artikel 9.1 i dataskyddsförordningen, och uppgifterna kan inte heller indirekt anses avslöja sådana uppgifter om en person. Däremot kan de kontaktuppgifter som föreslås bli införda i studentnummerregistret vara sådana uppgifter som är sekretessbelagda enligt lagen om offentlighet i myndigheternas verksamhet (nedan även offentlighetslagen, 621/1999).

I förslaget preciseras på det sätt som framgår nedan också 5, 11 b, 18 och 24 § som gäller gemensamt personuppgiftsansvariga. Det föreskrivs om de gemensamt personuppgiftsansvariga och deras ansvarsområden i enlighet med artikel 26.1 och 2 i dataskyddsförordningen.

Studentnummer

I propositionen föreslås det att bestämmelserna om tilldelning av och användningsändamålet för studentnummer ändras. Inom utbildningsförvaltningen har studentnumret använts redan i flera års tid. Även den gällande regleringen har i sig möjliggjort användning av studentnummer även för identifiering av andra än elever eller studerande om det har skapats ett studentnummer för personen när uppgifter om honom eller henne har förts in i ett register eller en informationsresurs eller ett datalager som avses i lagen om nationella studie- och examensregister. Nytt är att ett studentnummer kan ges för något annat ändamål än införande av uppgifter. I regleringen används till denna del det nationella handlingsutrymmet. Den rättsliga grunden för behandlingen av studentnummer är utförande av uppgifter enligt lagar som gäller småbarnspedagogik, undervisning och utbildning samt lagen om Utbildningsstyrelsen.

I de nuvarande bestämmelserna nämns särskilt de aktörer som kan använda studentnumret när de utför uppgifter enligt de lagar som nämns i paragrafen. Detta har gjort att det är oklart huruvida det är möjligt för vissa aktörer, såsom försvarshögskolan och polisyrkeshögskolan, att använda studentnummer, även om dessa aktörer utför lagstadgade uppgifter som hänför sig till utbildning. I fortsättningen hänvisas det i bestämmelserna inte på samma sätt som i de gällande bestämmelserna särskilt till aktörer eller enskilda lagar, utan i bestämmelserna begränsas användningen till att gälla lagstadgade uppgifter som hänför sig till småbarnspedagogik, undervisning och utbildning. Då kan studentnumret användas allmänt som ett identifikationsnummer för personer i verksamhet som hänför sig till småbarnspedagogik, undervisning och utbildning.

I propositionen föreslås det att behandlingen av studentnumret när det gäller utförande av lagstadgade uppgifter ska begränsas till situationer där det är nödvändigt för att identifiera personen. På detta sätt säkerställs det att behandlingsåtgärderna är behövliga och proportionella i förhållande till syftena, dvs. utförande av lagstadgade uppgifter. Bestämmelserna om myndigheternas uppgifter och åtkomsträttigheter bedöms styra behandlingsåtgärderna så att de ska vara behövliga och proportionella med tanke på ändamålen.

Regleringen har ett mål av allmänt intresse, eftersom regleringen gör det möjligt att identifiera personer på ett enhetligt sätt inom utbildningsförvaltningen. Dessutom är användningen av studentnumret som ett identifikationsnummer för en person ett tryggare sätt med tanke på skyddet av personuppgifter än användningen av personbeteckningen. Möjligheten att i större utsträckning än för närvarande använda studentnummer ökar inte i sig riskerna i samband med behandlingen av personuppgifter, eftersom man för närvarande måste använda personbeteckningen för att identifiera sådana personer som inte har något studentnummer eller som inte kan tilldelas något studentnummer enligt den nuvarande regleringen. Användningen av personbeteckning innebär en större risk än användningen av studentnummer, eftersom personbeteckningen kan utnyttjas för att utföra flera rättshandlingar. Av personbeteckningen framgår dessutom födelsetid och kön som övriga personuppgifter. Studentnumret används för att identifiera en person endast inom utbildningsförvaltningen och det kan inte utnyttjas som sådant i något annat syfte. Till skillnad från personbeteckningen framgår inga andra personuppgifter av studentnumret. Därför förbättrar användningen av studentnummer för identifiering av personer inom utbildningsförvaltningen personernas skydd vid behandlingen av personuppgifter, eftersom personbeteckningen endast behövs när personen registreras i studentnummerregistret.

Studentnummerregistrets datainnehåll

I studentnummerregistret införs i enlighet med gällande bestämmelser personens namn, personbeteckning eller andra nödvändiga identifikationsuppgifter. I bestämmelserna preciseras att de nämnda uppgifterna förs in för identifiering av personen. Dessutom föreslås det att det i registret ska kunna föras in personens kontaktuppgifter som den personuppgiftsansvarige behöver för att fullgöra sin lagstadgade informationsskyldighet. Med denna skyldighet avses särskilt de skyldigheter som fastställs för den personuppgiftsansvarige i artiklarna 12—14 i dataskyddsförordningen. Med kontaktuppgifter avses personens e-postadress, postadress eller telefonnummer. Den personuppgiftsansvarige har ingen skyldighet att föra in kontaktuppgifter, utan bestämmelsen gör det möjligt att föra in dem i registret.

Grunden för behandlingen av kontaktuppgifter är i första hand den informationsskyldighet som fastställs för den personuppgiftsansvarige i dataskyddsförordningen. Regleringen har ett mål av allmänt intresse, när uppdaterade kontaktuppgifter gör det möjligt att informera den registrerade utan onödigt dröjsmål. Kontaktuppgifterna kan dessutom användas för utveckling, utvärdering, statistikföring och uppföljning när det gäller utbildningen. Det sistnämnda användningsändamålet gör det möjligt att utnyttja adressuppgifter t.ex. när utbildningsanordnarna skickar enkäter till sina tidigare studerande om placering i arbetslivet eller fortsatta studier. Även detta användningsändamål ska anses uppfylla ett mål av allmänt intresse. Dessutom kan regleringen anses vara proportionell, eftersom regleringen har begränsats till att gälla endast de uppgifter som behövs för att informera personen i överensstämmelse med lagen. Regleringen uppfyller principen om ändamålsbegränsning i artikel 5.1 b i dataskyddsförordningen, enligt vilken det ska vara möjligt att samla in uppgifterna endast för särskilda, uttryckligt angivna och berättigade ändamål.

Uppgiften om personens postadress fås ur befolkningsdatasystemet. Enligt 20 § 1 mom i informationshanteringslagen ska en myndighet sträva efter att utnyttja en annan myndighets informationsmaterial, om den första myndigheten har rätt att via ett tekniskt gränssnitt eller en elektronisk förbindelse få den behövliga informationen från den andra myndigheten. I enlighet med principen om uppgiftsminimering i artikel 5 c i dataskyddsförordningen ska vid inhämtandet av uppgifter i första hand utnyttjas en i 23 § i informationshanteringslagen avsedd elektronisk förbindelse, varvid postadressen inte behöver föras in i studentnummerregistret. Utbildningsstyrelsen har emellertid redan ett gränssnitt till befolkningsdatasystemet, varvid införandet av uppgifterna åtminstone i nuläget tekniskt sett är det snabbaste sättet att få postadressen. Då införs postadressen i studentnummerregistret. Bestämmelserna i 28 § 1 mom. i lagen om befolkningsdatasystemet och de certifikattjänster som tillhandahålls av Myndigheten för digitalisering och befolkningsdata (661/2009) möjliggör att registrets uppgifter enligt användningsändamål kan uppdateras med befolkningsdatasystemets uppgifter utan att det föreskrivs särskilt om detta. Då kan den postadress som fås ur befolkningsdatasystemet föras in i registret, när det ur befolkningsdatasystemets synvinkel är fråga om en myndighets lagstadgade behandling av uppgifter som de nödvändiga uppgifterna kan lämnas ut för med stöd av 29 § i den nämnda lagen.

I registret ska det också vara möjligt att föra in någon annan postadress än den som fås från befolkningsdatasystemet samt e-postadressen och telefonnumret. I praktiken erbjuder en e-postadress och en telefonförbindelse i dagens läge de snabbaste kommunikationskanalerna för att nå en person, och därför är det motiverat att dessa uppgifter förs in i registret. Det är inte möjligt att få e-postadresser och telefonnummer på samma sätt som postadresser från ett centraliserat register och det finns inte någon skyldighet att föra in dessa uppgifter heller. Personen kan t.ex. uppge sin e-postadress eller sitt telefonnummer i någon av de tjänster som Utbildningsstyrelsen tillhandahåller.

Den personuppgiftsansvarige är enligt artikel 5.1 d i dataskyddsförordningen skyldig att se till att uppgifterna är korrekta och om nödvändigt uppdaterade. Utbildningsstyrelsen får uppgifter om förändringar i befolkningsdatasystemet en gång per dygn, vilket säkerställer att de postadressuppgifter som fås från systemet är exakta och uppdaterade. Det säkerställs att de uppgifter som personen själv lämnat är uppdaterade genom att personen erbjuds möjlighet att meddela sina ändrade kontaktuppgifter, varvid dessa uppgifter ska uppdateras i registret och de gamla uppgifterna raderas. Dessutom ska den personuppgiftsansvarige genast radera föråldrade eller onödiga kontaktuppgifter som denne annars upptäcker.

Bevarande av uppgifter i studentnummerregistret

Enligt artikel 5.1 e i dataskyddsförordningen får personuppgifter inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Personuppgifter får lagras under längre perioder i den mån som personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt denna förordning genomförs för att säkerställa den registrerades rättigheter och friheter. I enlighet med de nuvarande bestämmelserna ska de uppgifter som förts in i studentnummerregistret för identifiering av en person bevaras permanent. Grunderna för varaktig lagring av uppgifter som införts i studentnummerregistret har innan dataskyddsförordningen trädde i kraft bedömts i kulturutskottets betänkande (KuUB 9/2017 rd) samt i en regeringsproposition (RP 260/2018 rd) som lämnades efter att dataskyddsförordningen trätt i kraft. Till denna del finns det ingen anledning att i detta sammanhang göra en annan bedömning av bevarandet av uppgifterna.

I propositionen föreslås att de kontaktuppgifter som ska införas i registret ska bevaras så länge personen lever. Efter personens död finns det inte längre grunder för användningen av personens kontaktuppgifter. Det är motiverat att uppgifterna bevaras så länge personen lever, eftersom det primära behovet av att använda uppgifterna är kopplat till en situation där personen bör informeras om en eventuell kränkning av dataskyddet i fråga om de uppgifter som bevaras permanent. Även enkäter som gäller utveckling av utbildningen och utvärdering av utbildningens genomslag kan göras också långt efter det att personen har varit studerande eller arbetat inom utbildningsförvaltningen.

Den personuppgiftsansvarige bör i enlighet med dataskyddsförordningen vidta alla rimliga åtgärder för att rätta eller radera felaktiga personuppgifter. Till denna del föreslås det att föråldrade och onödiga kontaktuppgifter ska raderas genast när den personuppgiftsansvarige blir medveten om dem. Den personuppgiftsansvarige kan få information om att kontaktuppgifterna är föråldrade av den registrerade själv eller av en annan myndighet eller i en situation där kontaktuppgifterna visar sig vara föråldrade när de används. En kontaktuppgift som införts i registret blir onödig t.ex. i det fall att den personuppgiftsansvarige har möjlighet att få motsvarande uppgift utan att föra in uppgiften i registret. Så är fallet t.ex. om Utbildningsstyrelsen i fortsättningen får fram postadressen via en elektronisk förbindelse i stället för att uppgiften skulle införas i registret via ett gränssnitt. Då ska de postadresser som fåtts till registret ur befolkningsdatasystemet raderas.

Utlämnande av uppgifter ur studentnummerregistret

I 6 kap. i lagen om nationella studie- och examensregister finns bestämmelser om tjänsten för utlämnande av studie- och examensuppgifter. I 28 § anges från vilka register, informationsresurser och datalager uppgifter får lämnas ut med hjälp av den nämnda tjänsten. I paragrafen föreskrivs inte att det med hjälp av tjänsten skulle lämnas ut uppgifter som gäller studentnummerregistret, även om personens namn och studentnummer i sig i tjänsten används som uppgifter som specificerar personen. På utlämnandet av uppgifter ur studentnummerregistret tillämpas bestämmelsen i 16 § 3 mom. i offentlighetslagen som blir tillämplig som allmän bestämmelse. Med stöd av det momentet får personuppgifter ur en myndighets personregister, om inte något annat särskilt bestäms i lag, lämnas ut i form av en kopia eller en utskrift eller i elektronisk form om mottagaren enligt bestämmelserna om skydd för personuppgifter har rätt att registrera och använda sådana personuppgifter. Lagligheten när det gäller behandlingen av utlämnade uppgifter bedöms då i princip med stöd av artikel 6.1 c i dataskyddsförordningen, dvs. behandlingen ska vara nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige.

Utlämnande av uppgifter ur registret kan komma i fråga när det gäller de kontaktuppgifter som föreslås bli införda. Till exempel en anordnare av gymnasieutbildning eller yrkesutbildning ska kunna begära adressuppgifter för sina tidigare studerande för enkäter som gäller placering i arbetslivet eller fortsatta studier. Då ska det vara möjligt att lämna ut uppgifter, eftersom anordnarna av gymnasieutbildning och yrkesutbildning enligt de lagar som reglerar de nämnda utbildningarna har skyldighet att utvärdera utbildningens genomslag. Syftet med enkäterna är att genomföra nämnda lagstadgade uppgift. Det bör noteras att det dock inte är möjligt att lämna ut kontaktuppgifter för nämnda ändamål, om det är fråga om sekretessbelagda kontaktuppgifter.

Risker vid behandling av uppgifter

Användningen av studentnummer och de uppgifter som ingår i studentnummerregistret är förknippad med risker med tanke på de registrerades rättigheter och friheter på grund av det stora antalet registrerade och personuppgiftsbiträden samt arten av de uppgifter som behandlas. Dessutom finns det risker förknippade med att studentnumret och uppgifter i studentnummerregistret behandlas av flera olika organisationer inom utbildningsförvaltningen: kommuner, enheter för småbarnspedagogik, skolor, läroanstalter och högskolor samt Utbildningsstyrelsen.

Enligt artikel 5.1 f i dataskyddsförordningen ska personuppgifter behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder. Syftet med dataskyddslagen (1050/2018) som trädde i kraft från ingången av 2019 är att precisera och komplettera dataskyddsförordningen och dess nationella tillämpning. Bestämmelserna om tystnadsplikt i dataskyddslagen samt sanktioneringen av den kan anses vara skyddsåtgärder som minskar riskerna. Dataskyddslagen är en allmän lag, så de skyddsåtgärder som föreskrivs i den gäller också behandlingen av studentnummer och uppgifter i studentnummerregistret. Studentnumret ska användas för att identifiera personer i myndighetsverksamhet eller när en privat aktör utövar offentlig makt genom att utföra lagstadgade uppgifter. Då tillämpas också informationshanteringslagen på verksamheten. På verksamhet där studentnumret används och där det även i fortsättningen kommer att användas tillämpas dessutom de allmänna förvaltningslagarna samt bestämmelserna om tjänsteansvar.

Skyldighet för Europeiska skolan i Helsingfors att föra in uppgifter

I regleringen används det nationella handlingsutrymmet också genom den nya 7 a §, enligt vilken Europeiska skolan i Helsingfors i informationsresursen ska föra in de uppgifter om personens undervisning och studier som anges i förslaget samt genom att utnyttjandet av nämnda uppgifter fogas som ett ändamål för den i 4 § avsedda informationsresursen inom undervisning och utbildning. Den rättsliga grunden för behandlingen av personuppgifterna är fullgörandet av uppgifter enligt lagen om Europeiska skolan i Helsingfors. Regleringen har ett mål av allmänt intresse, eftersom det då registreras motsvarande uppgifter om elever och studerande vid den nämnda skolan som om elever inom den finländska grundskolan och om studerande vid gymnasier, och dessa uppgifter kan utnyttjas på motsvarande sätt. Regleringen kan anses vara proportionell, eftersom den har begränsats till att gälla endast de uppgifter som har ansetts vara nödvändiga för att genomföra ändamålet med informationsresursen.

5 Alternativa handlingsvägar

I propositionen föreslås det att det ska bli möjligt att tilldela alla personer som är verksamma inom utbildningsförvaltningen ett studentnummer, då numret används för att identifiera personen vid genomförandet av användningsändamål som anges i lagen. Ett alternativt sätt kunde vara att skapa ett eget identifikationsnummer för undervisningspersonalen. Detta skulle förutsätta att ett liknande register som studentnummerregistret inrättas samt möjliggörande av förvaltning och kundservice i anslutning till detta register. Det är sannolikt att det tekniska arbetet med studentnummerregistret skulle kunna utnyttjas, vilket skulle sänka kostnaderna för att konstruera tjänsten jämfört med en situation där ett motsvarande register ännu inte finns. Enligt lagen om småbarnspedagogik förs studentnumret in i informationsresursen redan nu i fråga om personalen inom småbarnspedagogiken. Ett separat register skulle förutsätta större ändringar i Utbildningsstyrelsens och de småbarnspedagogiska aktörernas dataregister. I fråga om arbetsmängden vore alternativet mer omfattande och dess konsekvenser skulle sträcka sig ända till de offentliga och privata aktörernas register inom förvaltningsområdet för småbarnspedagogik. Tidsmässigt skulle genomförandet kräva längre tid än det alternativ som föreslås i denna proposition och på grund av det tekniska genomförandet av registret borde en längre tid reserveras för ibruktagandet.

Den utvidgning av användningsområdet för studentnummer som föreslås i denna proposition är möjlig med relativt små ändringar och på så sätt uppnås motsvarande måltillstånd som om det skulle inrättas ett separat register. Dessutom är det möjligt att tilldela även andra personer än de som hör till undervisningspersonalen ett studentnummer. Således är det inte motiverat att inrätta ett sådant separat register enbart för identifiering av personer som hör till undervisningspersonalen.

Vid finansministeriet pågår ett projekt för att revidera finländska personbeteckningar och identitetshanteringen garanterad av staten (VM183:00/2020). Syftet med projektet är att förnya systemet med personbeteckningar och utveckla den av staten garanterade identitetshanteringen med beaktande av att det finns tillräckligt med personbeteckningar, att slopa de nya beteckningarnas könsbundenhet och att göra det lättare för utlänningar att sköta sina ärenden genom att utvidga kretsen av dem som beviljas personbeteckningar samt att förebygga att personbeteckningar används för autentisering. Det utreds fortfarande hur personbeteckningen och identifieringen av personer ska utvecklas, och det är inte säkert hur reformerna ska genomföras och med vilken tidtabell. Således är det i denna situation motiverat med en utvidgning av användningen av studentnummer, då det sannolikt kommer att ta ännu flera år innan personbeteckningen förnyas och det ännu inte är säkert hur reformen genomförs.

6 Remissvar

Utkastet till regeringens proposition med förslag till lag om ändring av lagen om nationella studie- och examensregister och till vissa lagar som har samband med den var på remiss 22.6. —20.8.2021. Det lämnades 31 utlåtanden. Remissinstanserna ansåg allmänt taget att de föreslagna ändringarna är värda att understöda och motiverade. I utlåtandena framfördes dock vissa iakttagelser och ändringsbehov.

Akava ry påpekade i sitt utlåtande att det av texten tydligt ska framgå när användningen av studentnummer är förpliktande och när det inte är förpliktande. Till denna del har bestämmelserna förtydligats vid den fortsatta beredningen så att det av paragrafen om studentnummer framgår när det finns en skyldighet att använda numret och när användningen är frivillig.

Finlands Kommunförbund (nedan Kommunförbundet) fäste i sitt utlåtande uppmärksamhet vid att utkastet till proposition inte på författningsnivå identifierar någon utvidgning av användningen av studentnummer till att omfatta personalen inom undervisningsväsendet. På basis av utkastet till proposition förblir det dessutom oklart vem alla som kan tilldelas ett studentnummer. Också frågan om vem som avgör saken och enligt vilka kriterier samt huruvida personen själv har beslutanderätt i ärendet förblir oklara i utkastet till proposition. Kommunförbundet ansåg dessutom i sitt utlåtande att man i propositionen bör bedöma konsekvenserna av den föreslagna utvidgningen av användningen av studentnummer i förhållande till lärarregisterutredningen. Vid den fortsatta beredningen har Kommunförbundets synpunkter beaktats, och i avsnitt 3.2.3 i propositionen redogörs närmare för konsekvenserna av ändringarna.

Dataombudsmannens byrå konstaterade i sitt utlåtande att de ändringar som föreslås i fråga om användningsområdet för studentnummer och i fråga om studentnummerregistret samt deras behov och konsekvenser i propositionen bör bedömas med tanke på behandlingen av personuppgifter. Dessutom bör grunderna för utlämnande av uppgifter ur studentnummerregistret samt bevaringstiden för uppgifterna bedömas närmare i propositionen. Även Kommunförbundet och Kommunarbetsgivarna fäste i sina utlåtanden uppmärksamhet vid motsvarande behov. Vid den fortsatta beredningen har ovan nämnda iakttagelser beaktats och till propositionen har fogats ett nytt avsnitt 3.2.4 om vilka konsekvenser ändringsförslagen har för behandlingen av personuppgifter. Regleringen har dessutom på basis av detta preciserats i samband med den fortsatta beredningen så att en förutsättning för att studentnumret ska få användas i annat syfte än införande i register är att det är nödvändigt att identifiera personen vid utförandet av de lagstadgade uppgifterna. Dessutom har bestämmelserna om bevaringstid för och radering av de kontaktuppgifter som föreslås bli införda preciserats.

Enligt justitieministeriets utlåtande är det inte nödvändigt att i speciallagstiftning föreskriva om elektronisk förbindelse, tekniskt gränssnitt eller andra sätt för elektronisk överföring, utan bestämmelserna om elektronisk överföring av uppgifter grundar på bestämmelserna i informationshanteringslagen som för närvarande är allmän lag. Enligt justitieministeriet bör de föreslagna bestämmelserna om elektronisk överföring av uppgifter strykas helt och hållet. Propositionen har till denna del ändrats vid den fortsatta beredningen så att bestämmelserna som gäller elektronisk överföring av uppgifter i lagen om nationella studie- och examensregister liksom paragraferna om elektronisk överföring av uppgifter i lagen om grundläggande utbildning, gymnasielagen och lagen om yrkesutbildning föreslås bli upphävda.

Studentexamensnämnden konstaterade i sitt utlåtande att dess namn skrivs med en stor begynnelsebokstav, och att detta bör rättas till i lagen. Detta har beaktats i propositionen och det föreslås att nämndens skrivsätt ändras till rätt form i den finskspråkiga paragrafen.

7 Specialmotivering

7.1 Lagen om nationella studie- och examensregister

2 §.Tillämpningsområde. Det föreslås att till 1 mom. i paragrafen fogas en ny 9 punkt, enligt vilken lagen i fortsättningen också ska tillämpas på utbildning och examina om vilka det föreskrivs i lagen om Europeiska skolan i Helsingfors. Momentets 1—8 punkter motsvarar den gällande bestämmelsen i övrigt, men efter 8 punkten fogas ett kommatecken i stället för punkten.

3 §.Studentnummer. I paragrafen finns det bestämmelser om studentnummer. Bestämmelserna om studentnummerregistret flyttas till den nya 3 a §, varför rubriken för paragrafen ändras så att den motsvarar det som föreskrivs i paragrafen.

I 1 mom. preciseras att studentnumret är en kod som används för att identifiera en fysisk person. Momentet motsvarar i övrigt den gällande regleringen, enligt vilken ett studentnummer används för att identifiera personen när uppgifter i en informationsresurs eller ett datalager som avses i denna lag eller i lagen om småbarnspedagogik förs in, behandlas och lämnas ut.

Enligt 2 mom. kan studentnumret användas när lagstadgade uppgifter som hänför sig till småbarnspedagogik, undervisning eller utbildning utförs. Enligt den gällande bestämmelsen kan studentnumret användas när uppgifter enligt lagen om grundläggande utbildning, gymnasielagen, lagen om yrkesutbildning, lagen om utbildning som handleder för examensutbildning, yrkeshögskolelagen, universitetslagen eller lagen om fritt bildningsarbete utförs. Det föreslås att bestämmelsen förenklas så att lagarna inte specificeras i lagen, utan att det allmänt talas om utförande av lagstadgade uppgifter. Användningen av studentnumret för att identifiera en person vore då möjligt inte bara vid utförandet av uppgifter enligt de lagar som nämns i den nuvarande bestämmelsen, utan också vid utförandet av uppgifter enligt andra lagar som gäller undervisning och utbildning, såsom lagen om Europeiska skolan i Helsingfors, lagen om Polisyrkeshögskolan (1164/2013) och lagen om Försvarshögskolan (1121/2008). Med lagstadgade uppgifter avses t.ex. ansökan till småbarnspedagogik, undervisning eller utbildning eller anordnande av undervisningsverksamhet. Också eventuella uppgifter som föreskrivs i en författning på lägre nivå än lag kommer i fråga. Genom regleringen säkerställs det att studentnumret vid behov kan användas för att identifiera personen i all lagstadgad verksamhet som hänför sig till småbarnspedagogik, undervisning och utbildning.

I den sistnämnda punkten anges inte på samma sätt som i den gällande bestämmelsen vilka aktörer som kan använda studentnumret när det utför lagstadgade uppgifter, utan det är möjligt att använda numret om det behövs för att utföra de uppgifter som avses i momentet. Således kan även undervisnings- och kulturministeriet använda studentnumret för att identifiera personer, om ministeriet utför sådana lagstadgade uppgifter som avses i punkten. Avsikten med ändringen är inte att i övrigt ändra nuläget, och i praktiken kommer studentnumret att användas av utbildningsanordnare, anordnare av småbarnspedagogik, serviceproducenter inom småbarnspedagogiken, högskolor och huvudmän för läroanstalter, vilka redan för närvarande använder studentnumret. I det sistnämnda momentet föreslås dessutom att studentnumret ska kunna användas vid utförandet av uppgifter enligt lagen om Utbildningsstyrelsen. Bestämmelser om Utbildningsstyrelsens uppgifter finns i 2 § i den lagen, enligt vilken Utbildningsstyrelsen bl.a. ska ansvara för de datalager, dataregister och datasystem som behövs för dess lagstadgade eller på annat sätt beslutade uppgifter. Andra än i denna lag avsedda register som förs av Utbildningsstyrelsen är t.ex. registret över allmänna språkexamina, registret över rättstolkar och registret gällande examen i undervisningsförvaltning. Den föreslagna ändringen gör det möjligt för Utbildningsstyrelsen att använda studentnumret för att identifiera personer när den med stöd av en uppgift som anges i den nämnda lagen förvaltar andra informationsresurser, datalager eller register än sådana som avses i denna lag. Dessutom ska det enligt förslaget bli möjligt att använda studentnumret allmänt i Utbildningsstyrelsens lagstadgade verksamhet.

Det förslås att det till 3 mom. fogas en bestämmelse om att Utbildningsstyrelsen på begäran av den som för in uppgifter enligt 1 mom. eller en aktör som utför uppgifter enligt 2 mom. ska meddela personens studentnummer för kännedom för ett sådant ändamål som avses i 1 mom. Med aktörer som utför uppgifter avses t.ex. utbildningsanordnare eller serviceproducenter inom småbarnspedagogiken. Begäran anses komma från den nämnda aktören också i det fall att den person som begäran gäller själv fyller i en blankett som aktören har gjort och som automatiskt delges Utbildningsstyrelsen. Utbildningsstyrelsen ska dock alltid få information om för vilket ändamål studentnumret ska användas. För detta räcker t.ex. ett omnämnande av den lag där de uppgifter som ska utföras anges. Utbildningsstyrelsen ska meddela studentnumret, om det används för ett ändamål som anges i 1 eller 2 mom. Om personen inte har något studentnummer, ska Utbildningsstyrelsen i enlighet med gällande bestämmelser skapa ett studentnummer. Till denna del preciseras det att Utbildningsstyrelsen är skyldig att skapa ett studentnummer för den person som begäran gäller.

De föreslagna ändringarna gör det möjligt att meddela studentnumret för identifiering av en person även för det syfte som avses i 2 mom. och att meddelandet av studentnumret inte längre är bundet till införande av uppgifter på samma sätt som enligt de nuvarande bestämmelserna. Enligt gällande bestämmelser ska den som för in uppgifter be Utbildningsstyrelsen om personens studentnummer när sådana uppgifter om en person som avses i denna lag eller i lagen om småbarnspedagogik förs in för första gången. Skyldigheten kvarstår oförändrad, men ordalydelsen i bestämmelsen föreslås bli ändrad så att den motsvarar den formulering som används i momentet. Det finns ingen skyldighet att begära och använda studentnumret i något annat syfte än det nämnda registreringssyftet. Förutsättningen för att ett studentnummer ska ges är fortfarande att man känner till de uppgifter om personen som avses i den föreslagna 3 a § och som behövs för att identifiera personen.

Det föreslås att bestämmelserna om studentnummerregistret i gällande 3 mom. fogas till den nya 3 a §.

3 a §.Studentnummerregister. Enligt förslaget fogas en ny 3 a § till lagen. Paragrafen föreslås innehålla reglering om studentnummerregister i överensstämmelse med gällande 3 § 3 mom. Konsekvenserna av de föreslagna bestämmelserna för behandlingen av personuppgifter har bedömts ovan i avsnitt 4.2.4.

I 1 mom. föreslås bestämmelser om de uppgifter som ska föras in i registret. Enligt gällande bestämmelse ska i registret föras in personens namn samt personbeteckning eller andra nödvändiga identifikationsuppgifter. I bestämmelserna preciseras det att uppgifterna förs in för identifiering av personen. Dessutom ska i registret kunna föras in sådana kontaktuppgifter för en person som den personuppgiftsansvarige behöver för att fullgöra sin lagstadgade informationsskyldighet. Med kontaktuppgifter avses personens postadress, e-postadress eller telefonnummer. Kontaktuppgifterna för en person om vilken uppgifter förts in i registret behövs i första hand för att den registrerade ska kunna informeras om eventuella ändringar i behandlingen av personuppgifter i enlighet med artiklarna 12—14 i dataskyddsförordningen och för att den registrerade vid behov ska kunna underrättas om eventuella kränkningar av dataskyddet och datasäkerheten. Dessutom kan kontaktuppgifterna utnyttjas för eventuella andra lagstadgade meddelanden. Uppgifterna i studentnummerregistret kan dessutom användas för utveckling, utvärdering, statistikföring och uppföljning när det gäller utbildningen. Detta gör det t.ex. möjligt att följa upp karriärerna när det gäller placeringen i arbetslivet i syfte att utveckla utbildningen, när man kan skicka enkäter till personen med hjälp av personens kontaktuppgifter som förts in i registret.

I 2 mom. föreskrivs om den personuppgiftsansvarige och bevarande av uppgifter. Till de delar som gäller den personuppgiftsansvarige och bevarande av uppgifter som införts för identifiering av en person motsvarar bestämmelsen den gällande regleringen. Det föreslås dock att de kontaktuppgifter som förts in i registret ska bevaras under personens livstid. Dessutom ska den personuppgiftsansvarige radera föråldrade eller onödiga kontaktuppgifter genast när den personuppgiftsansvarige har blivit medveten om dem. Genom bestämmelserna säkerställs att det i registret inte finns felaktiga eller annars onödiga personuppgifter.

Det föreslås att bestämmelserna om elektronisk överföring av uppgifter slopas. Efter att informationshanteringslagen trädde i kraft har avsikten varit att begreppet teknisk anslutning ska slopas och i samband med att lagen trädde i kraft upphävdes flera bestämmelser i speciallagstiftningen som gällde utlämnande av uppgifter genom teknisk anslutning. Enligt den gällande lagen kan studentnummer lämnas ut via en teknisk anslutning. Uppgifter ska få lämnas ut via ett tekniskt gränssnitt, en elektronisk förbindelse eller på annat sätt i elektronisk form i enlighet med 22 och 23 § i lagen om informationshantering inom den offentliga förvaltningen. Eftersom det i informationshanteringslagen, som ska tillämpas som en allmän lag, finns bestämmelser om under vilka förutsättningar man kan öppna tekniska gränssnitt eller elektroniska förbindelser, ska särskilda bestämmelser om denna typ av informationsöverföring inte längre utfärdas genom speciallag. Således finns det inte längre grunder för bestämmelser om elektronisk överföring av uppgifter.

4 §.Ändamålet med informationsresursen. Det föreslås att det användningsändamål för informationsresursen som anges i 1 mom. utvidgas så att också uppgifter om undervisning som avses i lagen om Europeiska skolan i Helsingfors kan användas när en person söker till en utbildning, under utbildningen, i arbetslivet och vid ansökan om utbildningsförmåner.

5 §.De gemensamt personuppgiftsansvariga för informationsresursen samt ansvarsfördelningen mellan dem. Det föreslås att skrivfel i rubriken för den finskspråkiga paragrafen korrigeras. Till den svenskspråkiga versionen fogas i enlighet med den gällande finska versionen också kommuner som personuppgiftsansvarig. Enligt 1 mom. i den gällande paragrafen ska Utbildningsstyrelsen svara för informationsresursens allmänna funktion och för den tekniska anslutning som behövs för att föra in, behandla och lämna ut uppgifter. I momentet föreskrivs inte i sig på det sätt som anges i informationshanteringslagen om sättet att lämna ut uppgifter, utan om upprätthållandet av sådan teknisk infrastruktur som möjliggör utlämnandet. Eftersom begreppet teknisk anslutning dock kan förväxlas med bestämmelser om utlämnande av uppgifter, föreslås det att momentet ändras så att Utbildningsstyrelsen svarar för de tekniska förutsättningarna för att föra in, behandla och lämna ut uppgifter.

Enligt 2 mom. i den gällande paragrafen svarar Utbildningsstyrelsen för den personuppgiftsansvariges övriga skyldigheter enligt den allmänna dataskyddsförordningen. Det föreslås att momentet preciseras så att Utbildningsstyrelsen utöver det som nämns ovan också svarar för tillgodoseendet av den registrerades övriga rättigheter. I skäl 79 i dataskyddsförordningen specificeras dessutom att skyddet av de registrerades rättigheter och friheter samt de personuppgiftsansvarigas skyldigheter och ansvar, även i förhållande till tillsynsmyndigheternas övervakning och åtgärder, kräver ett tydligt fastställande av vem som bär ansvaret enligt förordningen, bl.a. när det är fråga om gemensamt personuppgiftsansvariga. Genom det tillägg som föreslås i momentet beaktas de krav som ställs på bestämmelser om myndigheters befogenheter och rätt att få uppgifter.

Paragrafens 3 mom. motsvarar gällande bestämmelser.

7 a §. Uppgifter om Europeiska skolan i Helsingfors. Det föreslås att det till lagen fogas en ny 7 a § om de uppgifter som Europeiska skolan i Helsingfors är skyldig att föra in i informationsresursen. Skolan ska för de elever som den ger undervisning i enlighet med lagen om Europeiska skolan i Helsingfors i informationsresursen föra in de uppgifter som anges i paragrafen. I 5 § 1 mom. i lagen om Europeiska skolan i Helsingfors finns det bestämmelser om indelningen av undervisningen i en tvåårig förskola, en femårig primärnivå med inledande grundskoleundervisning och en sjuårig sekundärnivå med fortsatt grundskoleundervisning och gymnasieundervisning. Dessutom är undervisningen indelad i språkavdelningar. Bestämmelser om antalet språkavdelningar och undervisningsspråken finns i statsrådets förordning om Europeiska skolan i Helsingfors (15/2008). Skyldigheten att föra in uppgifter gäller alla skolstadier och språkavdelningar.

Enligt 1 punkten ska uppgift om den undervisning som eleven deltar i föras in i informationsresursen. Med denna undervisning avses undervisning som det föreskrivs om i 4—8 § i lagen om Europeiska skolan i Helsingfors. Den undervisning som avses i punkten omfattar också studier som leder till en europeisk studentexamen (European Baccalaureate, nedan EB-examen) som avläggs efter sekundärnivån (högstadium-gymnasium). Bestämmelser om EB-examen finns i konventionen om Europaskolorna samt i det reglemente för EB-examen som godkänts av direktionen för Europaskolorna. Finland anslöt sig till konventionen om Europaskolorna 1995 och ratificerade den reviderade konventionen 2004 (lag 591/2004 och förordning 798/2004, FördrS 105—106/2004). I enlighet med lagen om studentexamen (502/2019) ger avläggande av EB-examen samma rättigheter som avläggande av en finländsk studentexamen.

Enligt 2 punkten ska i informationsresursen föras in uppgift om när studierna inletts, tillfälligt avbrutits och avslutats. Den huvudsakliga dagen för inledandet av studierna är i mitten av augusti när skolarbetet de facto inleds. Dagen för inledandet av studierna är alltså inte samma som den tidpunkt för inledande av läsåret som anges i 4 § i förordning 15/2008. I regel avslutas undervisningen när de studier som avses i 1 punkten har slutförts. Eleven kan också t.ex. flytta till en annan ort och därför övergå till undervisning hos en annan utbildningsanordnare. Då är det fråga om avslutande av studierna på det sätt som avses i bestämmelsen. Eleven kan också avbryta studierna. Om eleven avbryter studierna helt och hållet, är det fråga om avslutande av studierna. I informationsresursen förs emellertid inte in uppgifter om sedvanliga kortvariga frånvaroperioder t.ex. på grund av sjukdom, utlandsresa eller någon annan motsvarande orsak.

Enligt 3 punkten ska i informationsresursen föras in uppgifter om genomgångna studier och bedömningen av eleven. Med genomgångna studier hänvisas till den undervisning som avses i 1 punkten och som genomgåtts helt eller delvis. Med bedömningen av eleven avses bedömning av elevens studieprestationer på alla skolstadier. Enligt 17 § 2 mom. i lagen om Europeiska skolan i Helsingfors fastställs regler om bedömning av studieprestationerna, om de uppgifter som ska antecknas i betygen och om godkänt resultat i studierna i läroplanen, i tillämpliga delar med iakttagande av de bestämmelser som gäller för Europaskolorna. Utbildningsstyrelsen utarbetar och fastställer läroplanen.

Eleven uppflyttas till följande årskurs vid läsårets slut under de förutsättningar som anges i 18 § i lagen om Europeiska skolan i Helsingfors. En förutsättning för att en elev ska kunna uppflyttas från årskursen är att eleven slutfört studierna i sin årskurs med godkänt resultat. Regler om godkänt resultat i studierna fastställs i läroplanen. Även uppgiften om att eleven uppflyttas till följande årskurs infös i informationsresursen. Dessutom ska i informationsresursen föras in uppgift om huruvida studier som avlagts någon annanstans räknas till godo för eleven i enlighet med 19 § i lagen om Europeiska skolan i Helsingfors.

I skolan används inte något betyg som motsvarar avgångsbetyget inom den grundläggande utbildningen. I informationsresursen införs emellertid uppgifter om den EB-examen som avlagts efter sekundärnivån (högstadium-gymnasium) och om bedömningen av de prov som ingår i examen.

11 b §. De gemensamt personuppgiftsansvariga för registret samt ansvarsfördelningen mellan dem. I paragrafen föreskrivs om de gemensamt personuppgiftsansvariga för läropliktsregistret och om ansvarsfördelningen mellan dem. Det föreslås att skrivfel i rubriken för den finskspråkiga paragrafen korrigeras.Till den svenskspråkiga versionen fogas i enlighet med den gällande finska versionen också kommuner som registeransvarig.Det föreslås att 1 och 2 mom. ändras. på motsvarande sätt som 5 § 1 och 2 mom. Paragrafens 3 mom. motsvarar gällande bestämmelser.

13 §. Personuppgiftsansvarig för studentexamensregistret. Det föreslås att skrivsättet för Studentexamensnämnden korrigeras i den finskspråkiga paragrafen så att nämndens namn skrivs med en stor begynnelsebokstav.

18 §.De gemensamt personuppgiftsansvariga för antagningsregistret samt ansvarsfördelningen mellan dem. Det föreslås att 2 mom. i paragrafen ändras på motsvarande sätt som 5 § 2 mom.

23 §.Ändamålet med högskolornas riksomfattande datalager. Det föreslås att skrivfel i rubriken för den finskspråkiga paragrafen korrigeras. Det föreslås att 1 mom. ändras så att det innehåll som avses i momentet tillhandahålls datasäkert genom ett tekniskt gränssnitt, en elektronisk förbindelse eller på annat sätt i elektronisk form. I momentet stryks begreppet teknisk anslutning och ersätts med en formulering som överensstämmer med informationshanteringslagen.

24 §. De gemensamt personuppgiftsansvariga för datalagret samt ansvarsfördelningen mellan dem. I paragrafen finns det bestämmelser om de personuppgiftsansvariga för högskolornas riksomfattande datalager samt om ansvarsfördelningen mellan dem. Det föreslås att 1 och 2 mom. ändras. i sak på motsvarande sätt som 5 § 1 och 2 mom. Här gäller ändringarna undervisnings- och kulturministeriet, som är gemensamt personuppgiftsansvarig för datalagret.

29 §. Utlämnande av uppgifter via tjänsten. Det föreslås att 3 mom. upphävs. Det är inte längre nödvändigt att i en speciallag föreskriva om elektronisk överföring av uppgifter, förutsättningarna för utlämnande och om de skyldigheter som ålagts den myndighet som tar emot uppgifterna.

Det föreslås att 4 mom. ändras så att uppgifter via tjänsten för utlämnande i enlighet med 2 mom. kan lämnas ut också till Studenternas hälsovårdsstiftelse. Enligt 2 mom. i paragrafen kan uppgifter lämnas ut till myndigheter via tjänsten med stöd av den rätt att få uppgifter myndigheten har enligt lag eller på grundval av en lagstadgad uppgift. Med stöd av 31 a § i lagen om studerandehälsovård för högskolestuderande (695/2019) har studenternas hälsovårdsstiftelse rätt att av de personuppgiftsansvariga för högskolornas riksomfattande datalager få de uppgifter som specificeras i den bestämmelsen. Eftersom Studenternas hälsovårdsstiftelse inte är en myndighet, måste det föreskrivas särskilt om utlämnande av uppgifter via tjänsten ur nämnda informationsresurs eller datalager.

30 §. Administratörens uppgifter.I 1, 2 och 4 mom. stryks begreppet teknisk anslutning och ersätts med begreppen tekniskt gränssnitt och elektronisk förbindelse på motsvarande sätt som i 22 och 23 § i informationshanteringslagen.

7.2 Lag om upphävande av 41 a § i lagen om grundläggande utbildning

Det föreslås att 41 a §, som gäller dataöverföring med hjälp av teknisk anslutning, i lagen om grundläggande utbildning ska upphävas. I lagen stryks bestämmelserna om elektronisk överföring av uppgifter på motsvarande sätt som det föreslås att dessa bestämmelser ska strykas i lagen om nationella studie- och examensregister.

7.3 Lag om upphävande av 60 § i gymnasielagen

Det föreslås att 60 §, som gäller dataöverföring med hjälp av teknisk anslutning, i gymnasielagen ska upphävas på motsvarande sätt som 41 a § i lagen om grundläggande utbildning.

7.4 Lag om upphävande av 110 § i lagen om yrkesutbildning

Det föreslås att 110 §, som gäller dataöverföring med hjälp av teknisk anslutning, i lagen om yrkesutbildning ska upphävas på motsvarande sätt som 41 a § i lagen om grundläggande utbildning och som 60 § i gymnasielagen.

8 Ikraftträdande

Det föreslås att lagarna träder i kraft den 1 januari 2022. Det bör reserveras tillräckligt med tid för att genomföra de ändringar som införandet av uppgifter om Europeiska skolan i Helsingfors förutsätter. Därför föreslås det att 7 a § i lagen om nationella studie- och examensregister ska träda i kraft först den 1 januari 2023.

9 Förhållande till grundlagen samt lagstiftningsordning

Bestämmelserna i 10 § i grundlagen tryggar vars och ens privatliv som en grundläggande rättighet. Enligt 1 mom. i den paragrafen utfärdas närmare bestämmelser om skydd för personuppgifter genom lag. Enligt grundlagsutskottets vedertagna tolkning ingår skyddet för personuppgifter delvis i skyddet för privatlivet, som tryggas i samma moment. Propositionen innehåller bestämmelser som har samband med personuppgifter, då det blir möjligt att ge studentnummer till en större personkrets än för närvarande. I propositionen föreslås dessutom att kontaktuppgifter ska föras in i studentnummerregistret och att Europeiska skolan i Helsingfors i nationella informationsresursen inom undervisning och utbildning ska föra in uppgifter om elevernas och studerandenas studier och utbildning. I propositionen preciseras också bestämmelserna om gemensamt personuppgiftsansvariga.

Grundlagsutskottet har i sitt utlåtande GrUU 14/2018 rd ansett att det i princip räcker med att bestämmelserna om skydd för och behandling av personuppgifter är harmoniserade med dataskyddsförordningen. Tillgodoseendet av skyddet för personuppgifter ska enligt utskottet i framtiden i första hand garanteras med stöd av den allmänna dataskyddsförordningen och den nationella allmänna lag som ska stiftas. I det sammanhanget bör man undvika nationell speciallagstiftning, som bör reserveras för situationer då den är dels tillåten enligt dataskyddsförordningen, dels nödvändig för att tillgodose skyddet för personuppgifter. (se även GrUU 2/2018 rd s.5, GrUU 1/2020 rd s. 2 och GrUU 4/2020 rd s. 8).

Enligt grundlagsutskottet är det klart (se t.ex. GrUU 20/2020 rd) att behovet av nationell speciallagstiftning i enlighet med det riskbaserade synsätt som också krävs i dataskyddsförordningen måste bedömas utifrån de hot och risker som behandlingen av personuppgifter orsakar. Ju större risk fysiska personers rättigheter och friheter utsätts för på grund av behandlingen, desto mer motiverat är det med mer detaljerade bestämmelser. Denna omständighet är av särskild betydelse när det gäller behandling av känsliga uppgifter (se GrUU 14/2018 rd, s. 5). Utskottet lägger vikt vid att det i den mån som EU-lagstiftningen kräver reglering på det nationella planet eller möjliggör sådan tas hänsyn till de krav som de grundläggande fri- och rättigheterna och de mänskliga rättigheterna ställer när det nationella handlingsutrymmet utnyttjas (se t.ex. GrUU 1/2018 rd, GrUU 25/2005 rd). Utskottet har därför framhållit att det i regeringens propositioner finns anledning att särskilt i fråga om bestämmelser som är av betydelse med hänsyn till de grundläggande fri- och rättigheterna tydligt klargöra ramarna för det nationella handlingsutrymmet (GrUU 26/2017 rd, s. 42, GrUU 2/2017 rd, s. 2, GrUU 44/2016 rd, s. 4).

Grundlagsutskottet har särskilt påpekat att inskränkningar i skyddet för privatlivet måste bedömas utifrån de allmänna villkoren för inskränkningar av de grundläggande fri- och rättigheterna (GrUU 14/2018 rd, s. 5 och de utlåtanden som nämns där). Det har varit av betydelse att grundlagsutskottets etablerade praxis har varit att lagstiftarens handlingsutrymme vid utfärdandet av bestämmelser om behandling av personuppgifter i synnerhet begränsas av att skyddet för personuppgifter delvis ingår i skyddet för privatlivet som tryggas i samma moment i 10 § i grundlagen. Lagstiftaren bör tillgodose denna rätt på ett sätt som är godtagbart med avseende på de grundläggande fri- och rättigheterna överlag. Utskottet har därför särskilt bedömt att tillåtelse att behandla känsliga personuppgifter berör själva kärnan i skyddet för personuppgifter som hör till privatlivet (GrUU 37/2013 rd, s 2/I). Bestämmelserna om behandling av personuppgifter måste vara detaljerade och omfattande, inom de ramar som dataskyddsförordningen tillåter (GrUU 20/2020 rd, s. 4, GrUU 65/2018 rd, s. 45 och GrUU 15/2018 rd s. 40).

Viktiga regleringsobjekt, som inskränker lagstiftarens möjlighet till egna överväganden och som också är betydelsefulla med avseende på skyddet av personuppgifter, har enligt utskottets vedertagna tolkningspraxis varit åtminstone registreringens syfte, innehållet i de registrerade personuppgifterna, tillåtna användningsändamål, inbegripet möjligheterna att lämna ut uppgifterna och bevaringstiden för uppgifterna i personregistren samt den registrerades rättsskydd. Regleringen av dessa faktorer på lagnivå ska dessutom vara omfattande och detaljerad (se t.ex. GrUU 14/2002 rd, s.12, GrUU 27/2006 rd,s. 2/I, GrUU 11/2016 rd, s. 8 och GrUU 13/2016), s. 3—4. Grundlagsutskottet har dessutom ansett att alltför ospecificerade och omfattande bestämmelser om rättigheter att få uppgifter strider mot 10 § 1 mom. i grundlagen (t.ex. GrUU 7/2000 rd, GrUU 14/2002 rd, GrUU 15/2002 rd och GrUU 74/2002 rd).

I propositionen utgår man från att det i fråga om personuppgifter är möjligt att utfärda bestämmelser som kompletterar dataskyddsförordningen, eftersom det är fråga om en sådan behandlingsgrund som avses i artikel 6.1 c i förordningen, dvs. behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Enligt artikel 6 i dataskyddsförordningen ska användningen av det nationella handlingsutrymmet dessutom uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. I avsnitt 4.2.4 redogörs det närmare för och motiveras användningen av det nationella handlingsutrymmet. På de grunder som anges i det nämnda avsnittet anses det att de särskilda bestämmelser om personuppgifter som föreslås i propositionen är förenliga med det allmänna intresset och står i rätt proportion till det eftersträvade målet. I propositionen föreslås inga bestämmelser som gäller känsliga personuppgifter.

Den nationella specialregleringen anses nödvändig också utifrån ett riskbaserat perspektiv, eftersom det är fråga om omfattande behandling av personuppgifter, och det finns en risk för den registrerade om det inte finns detaljerade bestämmelser. I fråga om de uppgifter som förs in i studentnummerregistret och informationsresursen inom undervisning och utbildning är det nödvändigt med nationella specialbestämmelser även med tanke på registrens användningsändamål och enhetlighet i fråga om datainnehållet så att enskilda personer och myndigheterna kan använda dem som en täckande nationell informationsresurs.

På de grunder som anges ovan kan lagförslagen behandlas i vanlig lagstiftningsordning.

Kläm

Med stöd av vad som anförts ovan föreläggs riksdagen följande lagförslag:

Lagförslag

1. Lag om ändring av lagen om nationella studie- och examensregister

I enlighet med riksdagens beslut

upphävs i lagen om nationella studie- och examensregister (884/2017) 29 § 3 mom.,

ändras 2 § 1 mom. 8 punkten, 3 §, 4 § 1 mom., 5, 11 b och 13 §, 18 § 2 mom., 23 och 24 §, 29 § 4 mom. samt 30 § 1, 2 och 4 mom., av dem 2 § 1 mom. 8 punkten, 4 § 1 mom. och 11 b § sådana de lyder i lag 1221/2020, 3 § sådan den lyder i lagarna 568/2019 och 1221/2020, 5 § sådan den lyder i lag 478/2021 samt 13 §, 18 § 2 mom., 23 och 24 § samt 29 § 4 mom. sådana de lyder i lag 568/2019, och

fogas till 2 § 1 mom., sådant det lyder i lag 1221/2020, en ny 9 punkt samt till lagen nya 3 a och 7 a § som följer:

2 § Tillämpningsområde

Denna lag ska tillämpas på utbildning och examina om vilka det föreskrivs i

8) lagen om utbildning som handleder för examensutbildning (1215/2020),

9) lagen om Europeiska skolan i Helsingfors (1463/2007).

3 § Studentnummer

Ett studentnummer är en permanent kod som tilldelas en fysisk person och som används för att identifiera personen när uppgifter i en informationsresurs eller ett datalager som avses i denna lag eller i lagen om småbarnspedagogik (540/2018) förs in, behandlas och lämnas ut.

Studentnumret kan användas för att identifiera personer vid utförandet av lagstadgade uppgifter som hänför sig till småbarnspedagogik, undervisning eller utbildning och vid utförandet av uppgifter enligt lagen om Utbildningsstyrelsen (564/2016), om det är nödvändigt att identifiera personen vid utförandet av uppgifterna.

Utbildningsstyrelsen meddelar för kännedom personens studentnummer för ett i 1 mom. avsett ändamål på begäran av den som för in uppgifter enligt 1 mom. När uppgifterna om en person förs in för första gången ska den som för in dem be Utbildningsstyrelsen om personens studentnummer. Utbildningsstyrelsen meddelar studentnumret för kännedom för ett i 2 mom. avsett ändamål på begäran av den som utför uppgifter som avses i det momentet. Om den person som begäran gäller saknar studentnummer, ska Utbildningsstyrelsen skapa ett studentnummer för personen.

3 a § Studentnummerregister

Studentnumren bildar ett studentnummerregister, i vilket för identifiering av personen förs in personens namn samt personbeteckning eller andra nödvändiga identifikationsuppgifter. I registret kan införas den registrerades sådana kontaktuppgifter som den personuppgiftsansvarige behöver för att fullgöra sin lagstadgade informationsskyldighet. Uppgifterna i registret kan även användas för utveckling, utvärdering, statistikföring och uppföljning när det gäller utbildningen.

Utbildningsstyrelsen är personuppgiftsansvarig för studentnummerregistret. De uppgifter som förs in i studentnummerregistret ska bevaras permanent, med undantag av personens kontaktuppgifter som bevaras under personens livstid. Föråldrade eller onödiga kontaktuppgifter ska dock raderas genast när den personuppgiftsansvarige har blivit medveten om att uppgifterna är föråldrade eller onödiga.

4 § Ändamålet med informationsresursen

De uppgifter som förts in i nationella informationsresursen inom undervisning och utbildning i fråga om den undervisning som avses i lagen om grundläggande utbildning, den utbildning som avses i gymnasielagen, den utbildning som avses i lagen om yrkesutbildning, den utbildning som avses i lagen om utbildning som handleder för examensutbildning, den utbildning som avses i lagen om fritt bildningsarbete och den undervisning som avses i lagen om Europeiska skolan i Helsingfors används när en person söker till en utbildning, under utbildningen, i arbetslivet och vid ansökan om utbildningsförmåner.

5 § De gemensamt personuppgiftsansvariga för informationsresursen samt ansvarsfördelningen mellan dem

Utbildningsanordnarna, huvudmännen för läroanstalterna, de aktörer som avses i 9 § 6 mom. och Utbildningsstyrelsen är gemensamt personuppgiftsansvariga för informationsresursen. Utbildningsstyrelsen ska svara för informationsresursens allmänna funktion och för de tekniska förutsättningarna för att föra in, behandla och lämna ut uppgifter.

Utbildningsanordnarna och huvudmännen för läroanstalterna samt de aktörer som avses i 9 § 6 mom. svarar svarar i fråga om de uppgifter som de fört in för korrektheten enligt artikel 5.1 d och för den registrerades rätt till rättelse enligt artikel 16 i Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), nedan den allmänna dataskyddsförordningen. Utbildningsstyrelsen svarar för den personuppgiftsansvariges övriga skyldigheter enligt den allmänna dataskyddsförordningen och för tillgodoseendet av den registrerades övriga rättigheter.

Om den verksamhet som bedrivs av en utbildningsanordnare, en huvudman för en läroanstalt eller en aktör som avses i 9 § 6 mom. läggs ner och den personuppgiftsansvariges uppgifter inte överförs på någon annan juridisk person, blir Utbildningsstyrelsen personuppgiftsansvarig för de berörda uppgifterna i informationsresursen och för de samtycken som avses i 9 d §.

7 a § Uppgifter om Europeiska skolan i Helsingfors

Europeiska skolan i Helsingfors ska för de elever som den ger undervisning i enlighet med lagen om Europeiska skolan i Helsingfors föra in följande uppgifter i informationsresursen:

1) den undervisning som eleven deltar i,

2) när studierna inletts, tillfälligt avbrutits och avslutats,

3) genomgångna studier och bedömningen av eleven.

11 b § De gemensamt personuppgiftsansvariga för registret samt ansvarsfördelningen mellan dem

Utbildningsanordnarna, huvudmännen för läroanstalterna, kommunerna och Utbildningsstyrelsen är gemensamt personuppgiftsansvariga för registret. Utbildningsstyrelsen svarar för registrets allmänna funktion och för de tekniska förutsättningarna för att föra in, behandla och lämna ut uppgifter.

Utbildningsanordnarna, huvudmännen för läroanstalterna och kommunerna svarar i fråga om de uppgifter som de fört in för korrektheten enligt artikel 5.1 d och för den registrerades rätt till rättelse enligt artikel 16 i den allmänna dataskyddsförordningen. Utbildningsstyrelsen svarar för den personuppgiftsansvariges övriga skyldigheter enligt den allmänna dataskyddsförordningen och för tillgodoseendet av den registrerades övriga rättigheter.

Om den verksamhet som bedrivs av en utbildningsanordnare eller en huvudman för en läroanstalt läggs ner och den personuppgiftsansvariges uppgifter inte överförs på någon annan juridisk person, blir Utbildningsstyrelsen personuppgiftsansvarig för de berörda uppgifterna i registret.

13 § Personuppgiftsansvarig för studentexamensregistret

Personuppgiftsansvarig för studentexamensregistret är Studentexamensnämnden.

18 § De gemensamt personuppgiftsansvariga för antagningsregistret samt ansvarsfördelningen mellan dem

Utbildningsstyrelsen svarar för insamlingen av uppgifter till antagningsregistret och för det nationella genomförandet av ansökningssystemen samt för den allmänna informationen, vägledningen och rådgivningen i samband med ansökan till utbildning och antagningen av studerande. Utbildningsanordnarna och högskolorna svarar för att de uppgifter som de fört in är korrekta i enlighet med artikel 5.1 d samt för den registrerades rätt till rättelse i enlighet med artikel 16 i den allmänna dataskyddsförordningen. Utbildningsstyrelsen svarar för den personuppgiftsansvariges övriga skyldigheter enligt den allmänna dataskyddsförordningen och för tillgodoseendet av den registrerades övriga rättigheter.

23 § Ändamålet med högskolornas riksomfattande datalager

För ett centraliserat bevarande och centraliserad användning av högskolornas uppgifter om studierätt, anmälningar, examina och studieprestationer ska det finnas ett riksomfattande datalager, i vilket datainnehållet i högskolornas register över uppgifter om studerande samlas och genom vilket antagningsregistret och högskolornas gemensamma antagningstjänster ges tillgång till detta innehåll på ett datasäkert sätt genom ett tekniskt gränssnitt, en elektronisk förbindelse eller annars i elektronisk form. Högskolorna får använda datalagret också när de sköter övriga uppgifter som de har enligt 2 § i universitetslagen och 4 § i yrkeshögskolelagen och när de lämnar ut uppgifter till myndigheter och andra högskolor.

24 § De gemensamt personuppgiftsansvariga för datalagret samt ansvarsfördelningen mellan dem

Undervisnings- och kulturministeriet samt universiteten och yrkeshögskolorna är gemensamt personuppgiftsansvariga för datalagret. Undervisnings- och kulturministeriet svarar för datalagrets allmänna funktion och för de tekniska förutsättningarna för att föra in, behandla och lämna ut uppgifter.

Universiteten och yrkeshögskolorna svarar för att de uppgifter som de fört in är korrekta i enlighet med artikel 5.1 d samt för den registrerades rätt till rättelse i enlighet med artikel 16 i den allmänna dataskyddsförordningen. Undervisnings- och kulturministeriet svarar för den personuppgiftsansvariges övriga skyldigheter enligt den allmänna dataskyddsförordningen och för tillgodoseendet av den registrerades övriga rättigheter.

29 § Utlämnande av uppgifter via tjänsten

Via tjänsten kan uppgifter i enlighet med 2 mom. lämnas ut också till Sysselsättningsfonden och Studenternas hälsovårdsstiftelse.

30 § Administratörens uppgifter

Utbildningsstyrelsen svarar i egenskap av administratör för tjänsten för tjänstens allmänna funktion och för öppnandet av tekniska gränssnitt eller elektroniska förbindelser.

Utbildningsstyrelsen svarar för lagenligheten vid utlämnandet av uppgifter via tjänsten och för klarläggandet av förutsättningarna för att öppna ett tekniskt gränssnitt eller en elektronisk förbindelse.

Utbildningsstyrelsen är skyldig att underrätta de personuppgiftsansvariga om att ett tekniskt gränssnitt eller en elektronisk förbindelse öppnas.

Denna lag träder i kraft den 20 . Bestämmelserna i 7 a § träder dock i kraft först den 1 januari 2023.

2. Lag om upphävande av 41 a § i lagen om grundläggande utbildning

I enlighet med riksdagens beslut föreskrivs:

1 §

Genom denna lag upphävs i lagen om grundläggande utbildning (628/1998) 41 a §, sådan den lyder i lag 1288/2013.

2 §

Denna lag träder i kraft den 20 .

3. Lag om upphävande av 60 § i gymnasielagen

I enlighet med riksdagens beslut föreskrivs:

1 §

Genom denna lag upphävs 60 § i gymnasielagen (714/2018).

2 §

Denna lag träder i kraft den 20 .

4. Lag om upphävande av 110 § i lagen om yrkesutbildning

I enlighet med riksdagens beslut föreskrivs:

1 §

Genom denna lag upphävs 110 § i lagen om yrkesutbildning (531/2017).

2 §

Denna lag träder i kraft den 20 .

Helsingfors den 21 oktober 2021

Statsminister Sanna Marin

Undervisningsminister Li Andersson

Kakinställningar

RP 192/2021 rd // <![CDATA[ _spBodyOnLoadFunctionNames.push("setupPageDescriptionCallout"); // ]]>

Regeringens proposition RP 192/2021 rd Regeringens proposition till riksdagen med förslag till lag om ändring av lagen om nationella studie- och examensregister och till vissa lagar som har samband med den

MOTIVERING

1 Bakgrund och beredning

1.1 Bakgrund

1.2 Beredning

2 Nuläge och bedömning av nuläget

2.1 Studentnummer och studentnummerregistret

2.2 Europeiska skolan i Helsingfors

2.3 Bestämmelser om elektronisk överföring av uppgifter

3 Målsättning

4 Förslagen och deras konsekvenser

4.1 De viktigaste förslagen

4.2 De huvudsakliga konsekvenserna

4.2.1 Ekonomiska konsekvenser

4.2.2 Konsekvenser för myndigheterna

4.2.3 Samhälleliga konsekvenser

4.2.4 Konsekvenser för behandlingen av personuppgifter

5 Alternativa handlingsvägar

6 Remissvar

7 Specialmotivering

7.1 Lagen om nationella studie- och examensregister

7.2 Lag om upphävande av 41 a § i lagen om grundläggande utbildning

7.3 Lag om upphävande av 60 § i gymnasielagen

7.4 Lag om upphävande av 110 § i lagen om yrkesutbildning

8 Ikraftträdande

9 Förhållande till grundlagen samt lagstiftningsordning

1. Lag om ändring av lagen om nationella studie- och examensregister

2 § Tillämpningsområde

3 § Studentnummer

3 a § Studentnummerregister

4 § Ändamålet med informationsresursen

5 § De gemensamt personuppgiftsansvariga för informationsresursen samt ansvarsfördelningen mellan dem

7 a § Uppgifter om Europeiska skolan i Helsingfors

11 b § De gemensamt personuppgiftsansvariga för registret samt ansvarsfördelningen mellan dem

13 § Personuppgiftsansvarig för studentexamensregistret

18 § De gemensamt personuppgiftsansvariga för antagningsregistret samt ansvarsfördelningen mellan dem

23 § Ändamålet med högskolornas riksomfattande datalager

24 § De gemensamt personuppgiftsansvariga för datalagret samt ansvarsfördelningen mellan dem

29 § Utlämnande av uppgifter via tjänsten

30 § Administratörens uppgifter

2. Lag om upphävande av 41 a § i lagen om grundläggande utbildning

1 §

2 §

3. Lag om upphävande av 60 § i gymnasielagen

1 §

2 §

4. Lag om upphävande av 110 § i lagen om yrkesutbildning

1 §

2 §

RP 192/2021 rd