1.1.1  Lagen om nationella studie- och examensregister

Lagen om nationella studie- och examensregister (884/2017) trädde i kraft den 1 januari 2018. Lagen gjorde det möjligt att lämna ut uppgifter i samlad form för eget bruk och för myndigheter med lagstadgad rätt att få uppgifter. I lagen om nationella studie- och examensregister föreskrivs inte om rätt att få information, utan bestämmelser om detta finns i olika substanslagar. Avsikten har varit att fortsätta utveckla lagen och i synnerhet den så kallade KOSKI-tjänsten bland annat genom att utvidga datainnehållet i tjänsten. 

Lagen om nationella studie- och examensregister innefattar flera olika register. I 1 kap. i lagen finns det bestämmelser om studentnummerregistret, där Utbildningsstyrelsen är personuppgiftsansvarig. Studentnummerregistret används för att identifiera en person när uppgifter som avses i lagen förs in, behandlas och lämnas ut. 

I 2 kap. i lagen finns det bestämmelser om den nationella informationsresursen inom den grundläggande utbildningen, gymnasieutbildningen och yrkesutbildningen. I den nationella informationsresursen inom den grundläggande utbildningen, gymnasieutbildningen och yrkesutbildningen lagras sådana uppgifter som gäller studier, prestationer och examina, närvaro samt anordnandet av undervisning och utbildning i fråga om den grundläggande utbildningen och utbildning på andra stadiet som man behöver vid ansökan till utbildning, under utbildningens tid, i arbetslivet samt vid ansökan om utbildningsrelaterade förmåner. I informationsresursen lagras därtill uppgifter som behövs när finansiering för undervisning och utbildning beviljas. Utbildningsanordnarna fungerar som registeransvariga och Utbildningsstyrelsen som teknisk administratör. Enligt 5 § är Utbildningsstyrelsen teknisk administratör för informationsresursen. Utbildningsstyrelsen svarar också för informationsresursens allmänna funktion och för den tekniska anslutningen för införande, behandling och utlämnande av uppgifter. Utbildningsstyrelsen ska också svara för informationsresursens lättillgänglighet, integritet och oföränderlighet samt för dess skydd och bevarande. Utbildningsanordnarna är registeransvariga för de uppgifter som de har fört in i systemet och svarar för dessa uppgifters innehåll och riktighet. Registerföraren ansvarar för att de uppgifter som införs i registret är aktuella. 

Enligt 10 § i lagen får uppgifter ur informationsresursen lämnas ut till 1) myndigheter som enligt lag eller en lagstadgad uppgift har rätt att av en utbildningsanordnare få sådana uppgifter som finns i informationsresursen, sekretessbelagda uppgifter dock endast om det separat uttryckligen i lag föreskrivs om utlämnande av uppgifterna eller rätten att få uppgifterna, 2) Utbildningsfonden till den del den med stöd av lag har rätt att få uppgifter som finns i informationsresursen, 3) den som med stöd av ett i 29 § 5 mom. avsett specifikt samtycke från den berörda personen har rätt att få uppgifter som finns i informationsresursen. 

I 3 kap. i lagen om nationella studie- och examensregister föreskrivs om studentexamensregistret. Enligt 13 § i lagen är studentexamensnämnden registeransvarig för studentexamensregistret. I 4 kap. i lagen finns bestämmelser om antagningsregistret. Enligt 18 § är Utbildningsstyrelsen registeransvarig för antagningsregistret. 

I 5 kap. i lagen finns det bestämmelser om högskolornas riksomfattande datalager. Enligt 24 § i lagen svarar undervisnings- och kulturministeriet i egenskap av teknisk administratör för datalagret för datalagrets allmänna funktion och för den tekniska anslutning som behövs för att föra in, behandla och lämna ut uppgifter. Datalagrets tekniska administratör svarar för datalagrets lättillgänglighet, integritet och oföränderlighet samt för dess skydd och förvaring. Den tekniska administratören har inte rätt att bestämma över de uppgifter som lagras i datalagret eller att lämna ut dem, om inte något annat föreskrivs i lag. Högskolorna är registeransvariga för den information de fört in och svarar för innehållet i och riktigheten av de uppgifter som de fört in i systemet. 

I 6 kap. i lagen om nationella studie- och examensregister föreskrivs om tjänsten för utlämnande av studie- och examensuppgifter. Via tjänsten kan man granska och använda egna uppgifter som ingår i de register och informationsresurser som avses i lagen. Tjänsten för utlämnande används också för att lämna ut uppgifter till myndigheter. I tjänsten kan man därtill ge samtycke till utlämnande av uppgifter som finns i registret eller informationsresursen till andra aktörer genom tjänsten. Utbildningsstyrelsen svarar för utlämnandet av uppgifter genom tjänsten. 

Enligt 28 § administrerar Utbildningsstyrelsen en tjänst för utlämnande av studie- och examensuppgifter där de uppgifter om personer som finns i de register och informationsresurser som avses i denna lag förs samman och centraliserat för kontroll och vidareutnyttjande tillhandahålls personerna själva och lämnas ut till dem som har rätt att få uppgifterna. 

Enligt 30 § i lagen ska Utbildningsstyrelsen i egenskap av administratör för tjänsten svara för tjänstens allmänna funktion och öppningen av tekniska anslutningar. Utbildningsstyrelsen ansvarar för att utlämnandet av uppgifter ur tjänsten sker på ett lagenligt sätt och för undersökningar angående förutsättningarna för öppnandet av den tekniska anslutningen. Utbildningsstyrelsen svarar för tjänstens användbarhet och skydd och samlar in logguppgifter om användningen av tjänsten. Logguppgifterna bildar ett logguppgiftsregister, som Utbildningsstyrelsen är personuppgiftsansvarig för. Utbildningsstyrelsen är skyldig att anmäla öppnandet av en teknisk anslutning till den registeransvariga. 

1.1.2  Lagen om yrkesutbildning

Personlig tillämpning och andra individuella planer innan lagen om yrkesutbildning trädde i kraft 

Innan lagen om yrkesutbildning (531/2017) trädde i kraft den 1 januari 2018 talade man om personlig tillämpning endast i samband med fristående examina som avses i lagen om yrkesinriktad vuxenutbildning. Utbildningsanordnaren svarade för den personliga tillämpningen när det gällde ansökan till fristående examen och till utbildning som förbereder för sådan, avläggande av examen och förvärv av behövlig yrkesskicklighet samt för handledningen i anslutning till dessa. Bestämmelsen gällde yrkesinriktade grundexamina, yrkesexamina och specialyrkesexamina som avlades i form av fristående examina. Med personlig tillämpning avsågs kundorienterad planering och genomförande av deltagandet i förberedande utbildning, examenstillfällen samt handlednings-, rådgivnings- och stödåtgärder i fråga om en person som avlägger fristående examen och en studerande i utbildning som förbereder för fristående examen. Under den personliga tillämpningens tid skulle utbildningsanordnaren samarbeta förutom med den som söker till utbildning eller avlägger examen även med anordnaren av fristående examen, representanter för arbetslivet och vid behov med andra sakkunniga. I den personliga tillämpningen iakttogs alltid examensgrunderna som Utbildningsstyrelsen fastställt. 

Anordnaren av utbildningen eller den fristående examen utarbetade tillsammans med examinanden ett dokument om den personliga tillämpningen där man sammanställde uppgifter om ansökan, förvärvandet av den yrkesskicklighet som behövs och avläggandet av examen. Bestämmelser om dokumentets minimiinnehåll hade utfärdats genom förordning. 

Som en del av den personliga tillämpningen utreddes det tidigare förvärvade kunnandet hos den som avlade en fristående examen på basis av dokument och andra redogörelser som erhölls av sökanden. På basis av det tidigare förvärvade kunnandet bedömde utbildningsanordnaren tillsammans med sökanden vilken examen som var lämpligast. Därtill bedömde utbildningsanordnaren till vilka delar man på basis av dokumenten kunde göra ett förslag till erkännande av kunnandet, till vilka delar sökanden kunde hänvisas direkt till examenstillfället och till vilka delar sökanden hänvisades till förvärvande av behövlig yrkesskicklighet. 

I den grundläggande yrkesutbildningen talades det inte om personlig tillämpning, men i lagen om grundläggande yrkesutbildning bestämdes dock om den studerandes personliga studieplan. Utbildningsanordnaren skulle tillsammans med den studerande göra upp en personlig studieplan utifrån den studerandes individuella mål och val. Planen skulle uppdateras under studietiden. I den personliga studieplanen antecknades alla ärenden som var viktiga med tanke på studierna. I den personliga studieplanen fastställdes bland annat den studerandes individuella val, sätten och tidpunkterna för fullgörande av studierna, identifierandet och erkännandet av den studerandes kunnande samt platserna för lärande i arbetet och yrkesproven. Det fanns dock inte närmare bestämmelser om dokumentets innehåll. 

I motsats till i systemet med fristående examina identifierades och erkändes tidigare förvärvat kunnande endast på den studerandes ansökan. I samband med ansökan skulle den studerande visa en sådan utredning som identifieringen och erkännandet av kunnandet förutsätter. I läroplanen fattade utbildningsanordnaren närmare beslut om förfarandena vid identifiering och erkännande av kunnandet. 

I läroavtalsutbildning skulle man till den studerandes läroavtal foga ett personligt studieprogram för den studerande av vilket framgick: 1) den examen som ska avläggas, den examensgrund som ska iakttas samt examens omfattning eller målen för annan utbildning än sådan som syftar till examen, 2) de centrala arbetsuppgifterna, 3) den teoretiska undervisning som ingår i utbildningen, 4) hur de teoretiska studierna infaller under utbildningstiden, 5) de ansvariga utbildarna samt 6) övriga omständigheter som är nödvändiga med tanke på ordnandet av studierna. I studieprogrammet skulle den studerandes tidigare utbildning och arbetserfarenhet beaktas och räknas till godo Studieprogrammet utarbetades gemensamt av den studerande, arbetsgivaren och utbildningsanordnaren så att det kunde fogas till läroavtalet när avtalet godkändes. 

I grundläggande yrkesutbildning kunde undervisningen för studerande som för en längre tid eller regelbundet behövde särskilt stöd i sitt lärande och sina studier ordnas som specialundervisning på grund av inlärningssvårigheter, funktionsnedsättning, sjukdom eller av någon annan orsak. Med specialundervisning avsågs systematiskt pedagogiskt stöd som grundade sig på personliga mål och färdigheter samt särskilda undervisnings- och studiearrangemang. Utbildningsanordnaren fattade beslut om att ordna undervisningen för den studerande i form av specialundervisning. Därtill skulle utbildningsanordnaren för genomförandet av specialundervisningen utarbeta för den studerande en individuell plan för hur undervisningen ska ordnas som uppdaterades vid behov. Av planen skulle framgå beslut om anpassning av kraven på yrkeskunskap eller inlärningsmålen eller bedömningen av kunnandet för examensdelarna. Vidare skulle planen innefatta den studerandes individuella studieplan av vilken framgick hur kraven på yrkeskunskap eller inlärningsmålen eller bedömningen av kunnandet för examensdelarna hade anpassats samt uppgifter om pedagogiskt stöd i anknytning till ordnandet av specialundervisning samt särskilda undervisnings- och studiearrangemang, Den studerande och den studerandes vårdnadshavare eller lagliga företrädare skulle höras innan det fattades beslut i ovan avsedda frågor och innan den individuella planen om ordnandet av undervisningen fastställdes. 

Utarbetandet och uppdaterandet av den personliga utvecklingsplanen för kunnandet i den nya yrkesutbildningen 

I 5 kap. i lagen om yrkesutbildning föreskrivs om personlig tillämpning och den personliga utvecklingsplanen för kunnandet (PUK). Enligt 44 § i lagen ska det för en studerande som inleder en utbildning utarbetas en personlig utvecklingsplan för kunnandet, där individuella uppgifter om identifiering, erkännande, förvärvande, utveckling och påvisande av kunnandet och om handlednings- och stödåtgärder förs in. 

Utbildningsanordnaren svarar för att den personliga utvecklingsplanen för kunnandet utarbetas och uppdateras. Utbildningsanordnaren har till uppgift att på basis av den studerandes mål och det tidigare förvärvade kunnande som erkänts planera om den studerande ska avlägga hela examen eller en eller flera examensdelar, om beslut om detta inte fattats i enlighet med 43 § i lagen. I arbetskraftsutbildning är det arbetskraftsförvaltningen som beslutar vad den studerande ska avlägga och studera, i praktiken tillsammans med utbildningsanordnaren. Paragraferna som gäller personlig tillämpning tillämpas även när den studerande förvärvar kunnande på en arbetsplats i utbildning som grundar sig på läroavtal eller i utbildning som grundar sig på utbildningsavtal. 

Enligt 45 § i lagen utarbetar och uppdaterar utbildningsanordnaren den personliga utvecklingsplanen för kunnandet tillsammans med den studerande. I utarbetandet och uppdateringen deltar en lärare som utbildningsanordnaren utser, en studiehandledare eller vid behov någon annan företrädare för utbildningsanordnaren. Arbetsgivaren eller någon annan företrädare för arbetsplatsen deltar i utarbetandet och uppdateringen av den personliga utvecklingsplanen för kunnandet, om utbildningen ordnas som läroavtalsutbildning eller som utbildning som grundar sig på utbildningsavtal eller om kunnandet visas på arbetsplatsen. Om det i arbetskraftsutbildning ingår att förvärva kunnande på en arbetsplats, kan också en företrädare för arbets- och näringsmyndigheten delta i utarbetandet av planen. Därtill deltar de aktörer som samarbetar med utbildningsanordnaren i utarbetandet och uppdateringen av den personliga utvecklingsplanen för kunnandet till den del förvärvandet eller visandet av kunnandet eller styrnings- och stödåtgärderna i enlighet med planen baserar sig på sådan anskaffning av utbildning som avses i 30 § i lagen eller på någon annan form av samarbete mellan utbildningsanordnaren och en annan anordnare av yrkesutbildning, en anordnare av gymnasieutbildning eller andra aktörer. 

Enligt 45 § 4 mom. godkänns den personliga utvecklingsplanen för kunnandet och ändringar i den av utbildningsanordnaren och den studerande samt av ovannämnda aktörer, till den del de deltar i utarbetandet och uppdateringen av planen. En minderårig studerandes vårdnadshavare eller lagliga företrädare ska ha möjlighet att delta i utarbetandet och uppdaterandet av den studerandes personliga utvecklingsplan för kunnandet. 

Enligt 46 § i lagen om yrkesutbildning ska utbildningsanordnaren utreda och identifiera det kunnande som en studerande tidigare har förvärvat med stöd av dokument och annan utredning som den studerande lägger fram. Enligt 47 § ska utbildningsanordnaren erkänna kunnande som en studerande tidigare har förvärvat och som motsvarar kraven på yrkesskicklighet eller målen för kunnandet enligt examens- eller utbildningsgrunderna. Identifiering och erkännande av kunnande beskrivs närmare nedan. 

Enligt 48 § i lagen ska utbildningsanordnaren planera hur den yrkesskicklighet eller det kunnande som förutsätts i examens- eller utbildningsgrunderna ska förvärvas, om den studerande inte har det tidigare förvärvade kunnande som behövs för att kunna visa sitt kunnande. Dessutom ska utbildningsanordnaren planera de handlednings- och stödåtgärder som den studerande behöver, följa upp hur den studerandes kunnande utvecklas och vid behov planera de studier enligt 63 § som stöder studiefärdigheterna, det särskilda stöd och den anpassning av bedömningen av kunnandet som avses i 64 § och den avvikelse från kraven på yrkesskicklighet eller målen för kunnandet som avses i 66 §. Förvärvande av yrkesskicklighet eller kunnande planeras separat för varje examens- eller utbildningsdel. Det som föreskrivs om studerande i 48 § i lagen tillämpas även på sökande till läroavtalsutbildning. 

Utbildningsanordnaren ska även planera hur den yrkesskicklighet eller det kunnande som förutsätts i examens- eller utbildningsgrunderna ska visas. Bestämmelser om detta finns i 49 §. Påvisande av yrkesskickligheten eller kunnandet planeras individuellt och separat för varje examens- eller utbildningsdel. 

Innehållet i den personliga utvecklingsplanen för kunnandet 

Enligt 9 § i statsrådets förordning om yrkesutbildning (673/2017) ska utbildningsanordnaren föra in åtminstone följande uppgifter i den studerandes personliga utvecklingsplan för kunnandet: 

1) den examen eller handledande utbildning eller övriga yrkesutbildning som avses i 8 § i lagen om yrkesutbildning som avläggs, de examens- eller utbildningsgrunder som iakttas, det eventuella kompetensområde som avläggs samt de examens- eller utbildningsdelar som avläggs, 

2) uppgifter om de examensdelar, delområden av gemensamma examensdelar eller övriga studier som en behörig myndighet bedömt och intygat som utbildningsanordnaren inkluderat som en del av den studerandes examen på basis av erkännande av kunnandet, 

3) uppgifter om de examensdelar, delområden av gemensamma examensdelar eller övriga studier som en behörig myndighet bedömt och intygat som utbildningsanordnaren sänt till utnämnda bedömare av kunnandet för erkännande av kunnandet, 

4) annat kunnande som den studerande förvärvat och påvisat tidigare än sådant som ingår i 2 och 3 punkten och som anknyter till den examen eller handledande utbildning som avläggs, 

5) eventuell avvikelse från kraven på yrkesskicklighet eller målen för kunnandet enligt 66 § i lagen om yrkesutbildning, 

6) behovet av examensutbildning och förvärvande av annan nödvändig yrkesskicklighet, 

7) den studerandes eventuella behov av handledning och stöd som avses i 48 § i lagen om yrkesutbildning, 

8) innehållet i det eventuella särskilda stöd enligt 64 § i lagen om yrkesutbildning som erbjuds den studerande, 

9) sådana studier som stödjer studiefärdigheterna som avses i 63 § i lagen om yrkesutbildning som ordnas för den studerande vid behov, 

10) yrkesprovens tidpunkter och innehåll, yrkesprovsmiljöerna samt yrkesprovets anordnare, om denna är någon annan än utbildningsanordnaren, 

11) motsvarande uppgifter om övrigt påvisande av kunnandet samt i fråga om studerande som får särskilt stöd sådan anpassning av bedömningen av kunnandet och individuell bedömning av kunnandet som avses i 64 § 2 mom. i lagen om yrkesutbildning, 

12) bedömarna av kunnandet som avses i 54 § i lagen om yrkesutbildning, samt 

13) karriärplanen som utarbetas för den studerande. 

Om den studerande deltar i examensutbildning eller annat förvärvande av nödvändigt kunnande antecknas i den personliga utvecklingsplanen för kunnandet förutom ovannämnda uppgifter även 

1) målen, innehållen, undervisningen och sätten och tidpunkten för övrigt förvärvande av kunnandet för examensutbildningen eller övrigt förvärvande av nödvändigt kunnande, samt 

2) de åtgärder som behövs i fråga om det särskilda stöd enligt 8 punkten ovan som ges under examensutbildningen eller det övriga förvärvandet av kunnande. 

Om den studerandes förvärvande av kunnande ordnas på en arbetsplats i samband med praktiska arbetsuppgifter som läroavtalsutbildning eller utbildning som grundar sig på utbildningsavtal antecknas i den personliga utvecklingsplanen för kunnandet förutom ovannämnda uppgifter även 

1) den studerandes ansvariga arbetsplatshandledare och den lärare som utbildningsanordnaren utnämnt eller av grundad anledning en annan företrädare för utbildningsanordnaren, 

2) förutom arbetsplatshandeldaren och läraren eller den övriga företrädaren för utbildningsanordnaren som avses i 1 punkten även företrädaren för utbildningsanordnaren som ordnat läroavtalsutbildning, om examen ordnats på basis av läroavtalsutbildning enligt 27 § 1 mom. i lagen om yrkesutbildning, 

3) de viktigaste arbetsuppgifterna som utförs på arbetsplatsen för att förvärva det kunnande som krävs enligt examensgrunderna och den personliga utvecklingsplanen för kunnandet, 

4) i utbildning som grundar sig på utbildningsavtal tidpunkten för förvärvandet av kunnande som ordnas på en arbetsplats, 

5) i läroavtalsutbildning tidpunkten för förvärvandet av kunnande i fråga om förvärvande av kunnande i andra inlärningsmiljöer som anvisats av utbildningsanordnaren samt i fråga om förvärvande av kunnande som ordnas på en arbetsplats. 

Uppgifterna som avses 1—7 punkten i den första förteckningen ska vara antecknade i den personliga utvecklingsplanen för kunnandet när planen godkänns. Om den studerandes förvärvande av kunnande ordnas på en arbetsplats i samband med praktiska arbetsuppgifter som utbildning som grundar sig på läroavtal eller utbildningsavtal ska därtill de uppgifter som avses i 10 punkten i den första förteckningen samt 1—5 punkten i den sista förteckningen vara antecknade i den personliga utvecklingsplanen för kunnandet när planen godkänns. Valbara examensdelar kan dock med undantag för läroavtalsutbildning antecknas i den personliga utvecklingsplanen för kunnandet även när planen uppdateras. 

Identifiering och erkännande av tidigare förvärvat kunnande 

Enligt 46 § i lagen om yrkesutbildning ska utbildningsanordnaren utreda och identifiera det kunnande som en studerande tidigare har förvärvat med stöd av dokument och annan utredning som den studerande lägger fram. Enligt 47 § ska utbildningsanordnaren erkänna kunnande som en studerande tidigare har förvärvat och som motsvarar kraven på yrkesskicklighet eller målen för kunnandet enligt examens- eller utbildningsgrunderna. Erkännandet av kunnandet sker på basis av de dokument och andra redogörelser som avses i 46 §. Närmare bestämmelser om förfaringssätten vid erkännande av kunnande utfärdas i statsrådets förordning om yrkesutbildning. 

Vid bedömning av tidigare förvärvat kunnande tillämpas vad som i 53 § 1—3 mom. i lagen bestäms om bedömning av kunnandet, i 54 § om bedömare av kunnandet, i 55 § om översyn och rättelse av bedömningen och i 56 § om höjning av vitsord. Med avvikelse från 54 § 1 mom. i lagen bedöms kunnandet dock av två lärare eller andra företrädare för utbildningsanordnaren, om det tidigare förvärvade kunnandet bedöms utan att den studerande deltar i ett yrkesprov. Om det tidigare förvärvade kunnandet erkänns utan bedömning av kunnandet tillämpas endast vad som bestäms om höjning av vitsord i 56 §. Utbildningsstyrelsen kan bestämma om principerna för dimensioneringen av identifieringen och erkännandet av kunnande samt om omvandlingen av vitsord. 

Enligt 10 § i statsrådets förordning om yrkesutbildning ska utbildningsanordnaren erkänna de examensdelar eller delområden av gemensamma examensdelar samt gymnasiestudier, högskolestudier eller andra studier som bedömts och intygats av en behörig myndighet som den studerande avlagt enligt de gällande grunderna för yrkesinriktad grundexamen, yrkesexamen eller specialyrkesexamen som kan införlivas i den examen som avläggs på det sätt som anges i examensgrunderna när det gäller uppbyggnaden av examina i fråga om obligatoriska examensdelar och på det sätt som i fråga om valbara examensdelar möjliggörs i examensgrunderna och avtalas i den personliga utvecklingsplanen för kunnandet. 

Om den studerande avlagt andra examina, examensdelar eller delområden av gemensamma examensdelar eller gymnasiestudier, högskolestudier eller andra studier som bedömts och intygats av en behörig myndighet som motsvarar dessa till innehållet än sådana som avses i 1 mom. i nämnda paragraf ska utbildningsanordnaren lämna uppgifter om dessa till de bedömare av kunnandet som avses i 54 § i lagen om yrkesutbildning för erkännande av kunnandet. Bedömarna avgör om ovannämnda intygade kunnande är aktuellt och till vilka delar det motsvarar delar av den examen som avläggs eller delområden av gemensamma examensdelar. Till de delar det intygade kunnandet motsvarar delar av den examen som avläggs eller delområden av gemensamma examensdelar ska bedömarna erkänna kunnandet. 

Om den studerande på basis av sådana handlingar eller andra utredningar som avses i 46 § i lagen om yrkesutbildning har annat kunnande än det som avses i 10 § 1 och 2 mom. i förordningen på basis av vilket en examen, en examensdel eller ett delområde av gemensamma examensdelar kan avläggas utan att förvärva kunnandet ska utbildningsanordnaren hänvisa den studerande till att påvisa sitt kunnande. Kunnandet påvisas endast till den del det inte tidigare bedömts och intygats. 

1.1.3  Personuppgiftslagen

Bestämmelser om behandlingen av personuppgifter finns i personuppgiftslagen (532/1999). Enligt 2 § 1 mom. i personuppgiftslagen ska vid behandling av personuppgifter iakttas vad som bestäms i personuppgiftslagen, om inte annat bestäms någon annanstans i lag. 

Syftet med personuppgiftslagen är att vid behandling av personuppgifter tillgodose skyddet för privatlivet och andra grundläggande fri- och rättigheter som tryggar integritetsskyddet samt att främja utveckling och iakttagande av god informationshantering. I 3 § i personuppgiftslagen finns de viktigaste definitionerna i anknytning till personuppgifter och behandlingen av dem. Enligt paragrafen avses med personuppgifter alla slags anteckningar som beskriver en fysisk person eller hans eller hennes egenskaper eller levnadsförhållanden och som kan hänföras till personen själv eller till personens familj eller någon som lever i gemensamt hushåll med honom eller henne. Med behandling av personuppgifter avses insamling, registrering, organisering, användning, översändande, utlämnande, lagring, ändring, samkörning, blockering, utplåning och förstöring av personuppgifter samt andra åtgärder som vidtas i fråga om personuppgifterna. 

Med personregister avses enligt 3 § 3 punkten i personuppgiftslagen en datamängd som innehåller personuppgifter och som består av anteckningar som hör samman på grund av sitt användningsändamål, och som helt eller delvis behandlas med automatisk databehandling eller har ordnats som ett kartotek, en förteckning eller på ett annat motsvarande sätt så att information om en bestämd person kan erhållas med lätthet och utan oskäliga kostnader. Med registeransvarig avses en eller flera personer, sammanslutningar, inrättningar eller stiftelser för vars bruk ett personregister inrättas och som har rätt att förfoga över registret eller som enligt lag ålagts skyldighet att föra register. Med registrerad avses den som en personuppgift gäller. 

Personuppgiftslagen innehåller bestämmelser om de allmänna principerna för behandlingen av personuppgifter. Dessa är bl.a. aktsamhetsplikt vid behandling av personuppgifter (5 §), principen om planering av behandlingen av personuppgifter (6 §) och principen om ändamålsbundenhet (7 §). Enligt principen om planering av behandlingen ska behandlingen av personuppgifter vara sakligt motiverad med hänsyn till den registeransvariges verksamhet. De ändamål för vilka personuppgifter behandlas samt varifrån personuppgifter i regel samlas in och vart personuppgifter i regel lämnas ut, ska anges innan personuppgifter börjar insamlas eller ordnas som ett personregister. Ändamålet med behandlingen ska preciseras så att av det framgår för vilka av den registeransvariges funktioner personuppgifter behandlas. Enligt principen för ändamålsbegränsning får personuppgifter användas eller i övrigt behandlas endast på ett sätt som inte strider mot de ändamål med behandlingen som avses i 6 §. I 8 § i lagen föreskrivs om allmänna förutsättningar för behandling av personuppgifter. Personuppgifter får behandlas endast på någon grund som anges i 1 mom., till exempel om det bestämts om behandlingen i lag eller om behandlingen föranleds av en uppgift eller förpliktelse som anvisas den registeransvarige i lag eller som påförts denne med stöd av lag. Om rätten att få uppgifter ur myndigheternas personregister och om annat utlämnande av personuppgifter ur dessa personregister gäller vad som föreskrivs om offentlighet för myndighetshandlingar. 

Enligt 9 § i lagen ska de personuppgifter som behandlas vara behövliga med hänsyn till det angivna ändamålet med behandlingen av personuppgifter (relevanskrav).Den registeransvarige ska se till att oriktiga, ofullständiga eller föråldrade personuppgifter inte behandlas (felfrihetskrav). 

Behandling av känsliga personuppgifter är enligt 11 § i princip förbjuden. Med känsliga uppgifter avses personuppgifter som beskriver eller vars syfte är att beskriva 1) ras eller etniskt ursprung, 2) någons samhälleliga eller politiska uppfattning eller religiösa övertygelse eller medlemskap i ett fackförbund, 3) en brottslig gärning eller ett straff eller någon annan påföljd för ett brott, 4) någons hälsotillstånd, sjukdom eller handikapp eller vårdåtgärder eller därmed jämförbara åtgärder som gäller honom eller henne, 5) någons sexuella inriktning eller beteende, eller 6) någons behov av socialvård eller de socialvårdstjänster, stödåtgärder och andra förmåner inom socialvården som någon erhållit. I 12 § i lagen föreskrivs om undantag från förbudet mot behandling av känsliga uppgifter. 

Förutsättningarna för behandling av personbeteckning anges i 13 §. En personbeteckning får behandlas med den registrerades entydiga samtycke eller när behandlingen regleras i lag. Dessutom får en personbeteckning behandlas, om det är nödvändigt att entydigt individualisera den registrerade bland annat för att utföra en i lag angiven uppgift eller för att uppfylla den registrerades eller den registeransvariges rättigheter och skyldigheter. 

I 4 kap. i personuppgiftslagen föreskrivs separat om behandling av personuppgifter för särskilda ändamål, såsom forskning och statistikföring. Den registrerade ska i enlighet med 24 och 25 § i personuppgiftslagen få information om behandlingen av uppgifter som gäller honom eller henne, och har rätt att ta del av sina egna uppgifter (26—28 §). Den registrerade har rätt att förbjuda den registeransvarige att behandla uppgifter som gäller honom själv för direktreklam, distansförsäljning och annan direktmarknadsföring (30 §). Enligt 32 § i lagen ska den registeransvarige garantera datasäkerheten, och i 33 § föreskrivs det om tystnadsplikt för den som behandlar information. 

I 34 § anges det att personregister som inte längre behövs för den registeransvariges verksamhet ska förstöras, om det inte särskilt bestäms eller föreskrivs att de registrerade uppgifterna ska bevaras eller om registret inte ska överföras till ett arkiv på det sätt som avses i 35 §. 

1.1.4  Ändringar i lagstiftningen om skydd för personuppgifter

Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG, nedan dataskyddsförordningen, trädde i kraft den 24 maj 2016. Dataskyddsförordningen blev direkt tillämplig i medlemsstaterna den 25 maj 2018. Förordningen upphävde Europaparlamentets och rådets direktiv 95/46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, som i Finland har genomförts genom personuppgiftslagen. 

I regeringens proposition med förslag till dataskyddslag (RP 9/2018 rd) föreslås det att personuppgiftslagen upphävs och en ny allmän lag om skydd för personuppgifter stiftas. Den nya dataskyddslagen preciserar och kompletterar dataskyddsförordningen inom ramen för det nationella handlingsutrymme som den medger. Den 13 november 2018 antog riksdagen den föreslagna nya dataskyddslagen och de övriga lagar som anknyter till den i ändrad form enligt förvaltningsutskottets betänkande. Enligt förslaget till dataskyddslag förblir lagen om offentlighet i myndigheternas verksamhet (621/1999, nedan offentlighetslagen) i kraft som allmän lag. 

1.2.1  Den allmänna dataskyddsförordningen

Dataskyddsförordningen och dataskyddslagen tillämpas på behandlingen av personuppgifter som ingår i de register som avses i lagen om nationella studie- och examensregister. Förändringarna i lagstiftningen förutsätter därmed att lagen om nationella studie- och examensregister justeras och harmoniseras med den nya lagstiftningen. I detta avsnitt utvärderas den gällande lagens kompatibilitet med dataskyddsförordningen samt eventuella behov av lagändringar till följd av dataskyddsförordningen. 

Personuppgiftsansvarig 

Enligt personuppgiftslagen avses med registeransvarig en eller flera personer, sammanslutningar, inrättningar eller stiftelser för vilkas bruk ett personregister inrättas och vilka har rätt att förfoga över registret eller vilka enligt lag ålagts skyldighet att föra register. Personuppgiftslagen och personuppgiftsdirektivet erkänner möjligheten att det kan finnas flera registeransvariga, men ställer inga särskilda villkor på de registeransvarigas inbördes ansvarsfördelning eller gemensamma verksamhet. 

Dataskyddsförordningen förtydligar de gällande bestämmelserna om personuppgiftsansvariga och deras skyldigheter. I artikel 4.7 i förordningen definieras personuppgiftsansvarig. Enligt förordningen avses med personuppgiftsansvarig en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter; om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller medlemsstaternas nationella rätt. 

Dataskyddsförordningen preciserar den personuppgiftsansvariges skyldigheter. De förtydligade skyldigheterna hänför sig exempelvis till samarbetet med tillsynsmyndigheten (artikel 31), agerandet vid personuppgiftsincidenter (artikel 33), tillgodoseendet av den registrerades rättigheter och förfaranden i samband med detta (artiklarna 12—22) samt skyldigheten att visa att de med dataskyddsförordningen förenliga skyldigheterna fullgörs (artikel 24.1). Alla dessa förpliktelser kan inte entydigt härledas ur lagen om nationella studie- och examensregister som till ordalydelsen behandlar förfaranden och åtgärder med anknytning till registerföring. Det bör särskilt noteras att dataskyddsförordningen betonar en tydlig ansvarsfördelning i fråga om den registrerades rättigheter: en tydlig och transparent fördelning av ansvarsområdena främjar tillgodoseendet av rättigheterna. 

I artikel 26 i dataskyddsförordningen föreskrivs det om gemensamt personregisteransvariga och om krav på gemensamt personregisteransvar. Dataskyddsförordningen förutsätter att de personuppgiftsansvarigas ansvar i förhållande till den registrerades rättigheter fördelas tydligt och transparent. I artikel 26 i förordningen föreskrivs det om gemensamt personuppgiftsansvar då två eller flera personuppgiftsansvariga gemensamt fastställer ändamålen med och medlen för behandlingen. Gemensamt personuppgiftsansvariga ska under öppna former och genom ett inbördes arrangemang fastställa sitt respektive ansvar för att fullgöra skyldigheterna enligt dataskyddsförordningen, såvida inte de personuppgiftsansvarigas respektive skyldigheter fastställs genom unionsrätten eller en medlemsstats nationella rätt som de personuppgiftsansvariga omfattas av. Särskilt vad gäller arrangemangen bör man fastställa ansvaren i fråga om de registrerades utövande av sina rättigheter samt de skyldigheter som gäller utlämnande av de uppgifter som avses i artiklarna 13 och 14 i dataskyddsförordningen. 

Enligt artikel 26.2 ska arrangemanget på lämpligt sätt återspegla de gemensamt personuppgiftsansvarigas respektive roller och förhållanden gentemot registrerade. Det väsentliga innehållet i arrangemanget ska göras tillgängligt för den registrerade. Skyldigheterna måste delas tydligt så att ansvarsfördelningen bidrar till tillgodoseendet av rättigheterna. Tillgodoseendet av den registrerades rättigheter ska inte vara en tolkningsfråga eller svårt att reda ut för medborgare, utan personuppgiftsansvarige ska framgå av lagen. I artikel 26.3 föreskrivs att den registrerade, oavsett formerna för de gemensamt personuppgiftsansvarigas inbördes arrangemang, får utöva sina rättigheter enligt dataskyddsförordningen med avseende på och emot var och en av de personuppgiftsansvariga. 

I skäl 79 i dataskyddsförordningen specificeras dessutom att skyddet av de registrerades rättigheter och friheter samt de personuppgiftsansvarigas ansvar, även i förhållande till tillsynsmyndigheternas övervakning och åtgärder, kräver ett tydligt fastställande av vem som bär ansvaret enligt förordningen, bl.a. när det är fråga om gemensamt personuppgiftsansvariga. 

Å andra sidan är det nödvändigt att föreskriva om en ansvarig aktör även så att aktörerna effektivt kan ordna sin verksamhet så att de inte upprätthåller överlappande resurser för att genomföra förfarandena. I synnerhet i fråga om gemensamt personuppgiftsansvariga är det viktigt att aktörerna i verkligheten kan förutse hur ansvaren, förpliktelserna och den registrerades rättigheter enligt dataskyddsförordningen kommer att verkställas i deras samarbete. På basis av artikel 26.1 måste man dock konstatera att den registrerades subjektiva rätt är tillämplig endast till den del uppgiftsfördelningen inte är lagstadgad. Användningen av rättigheterna i förhållande till en personuppgiftsansvarig, vars skyldighet någon visst ärende inte är enligt avtal eller lag, kommer likaså fram endast i det fall att den som är personuppgiftsansvarig enligt lag eller avtal inte tillgodoser individens rättigheter trots begäran om detta. 

Den gällande lagen om nationella studie- och examensregister reglerar de tekniska administratörerna och de personuppgiftsansvariga i fråga om olika register och informationsresurser. I avsnittet Beskrivning av nuläget behandlas ansvaren enligt den gällande lagen och hur de fördelas i registerföringen. Registerföringen behandlas ur dataskyddsförordningens synvinkel även i detaljmotiveringen till 5, 18 och 24 § i lagen om nationella studie- och examensregister. Efter att dataskyddsförordningen trädde i kraft är nämnda lagar inte längre till alla delar terminologiskt adekvata. Dataskyddsförordningen känner inte till tekniska administratörer. Vid behandling av personuppgifter är de möjliga rollerna följande: personuppgiftsansvarig, gemensamt personuppgiftsansvariga och personuppgiftsbiträde. Det rekommenderas inte att andra termer används i den nationella lagstiftningen. Därför är det nödvändigt att precisera lagen om nationella studie- och examensregister. 

I den gällande lagen kan två olika modeller identifieras. En del register har en tydlig registeransvarig. I fråga om andra register har ansvaren och skyldigheterna fördelats på två olika instanser. I lagen ingår bestämmelser om registeransvariga för studentnummerregistret (3 §) och studentexamensregistret (13 §). Det anses inte föreligga ett behov av att ändra nämnda bestämmelser i fråga om de personuppgiftsansvariga till följd av dataskyddsförordningen, utan enligt förslaget ska Utbildningsstyrelsen och studentexamensnämnden även framöver vara personuppgiftsansvariga. De nämnda personuppgiftsansvariga svarar för skyldigheterna som dataskyddsförordningen ställer för personuppgiftsansvariga direkt med stöd av dataskyddsförordningen. Däremot måste bestämmelserna om personuppgiftsansvariga för informationsresursen inom den grundläggande utbildningen, gymnasieutbildningen och yrkesutbildningen, antagningsregistret och högskolornas riksomfattande datalager ändras till följd av kraven i dataskyddsförordningen. 

Dataskyddsförordningen och den registrerades rättigheter 

Dataskyddsförordningen preciserar delvis även den registrerades rättigheter och förfaranden som används för att tillgodose dessa. Rättigheterna som ingår i dataskyddsförordningen kan genomföras med stöd av förordningen utan separat reglering. Efter behandlingen av uppgifter grundar sig på den nationella lagstiftningen kan alla rättigheter för den registrerade som ingår i dataskyddsförordningen dock inte tillämpas. Artikel 14 om information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade tillämpas inte, inte heller artikel 17 om rätt till radering, artikel 20 om rätt till dataportabilitet och inte artikel 21 om rätt att göra invändningar. Därmed förutsätter dessa artiklar som behandlar registrerades rättigheter inte ändringar i lagen om nationella studie- och examensregister. 

Laglig behandling av personuppgifter 

Behandlingen av uppgifter i de register som ingår i lagen om nationella studie- och examensregister är lagstadgad, eftersom ifrågavarande lag föreskriver om behandlingen. Framöver ska de rättsliga grunderna för behandlingen härledas ur dataskyddsförordningen. 

Enligt artikel 6 i dataskyddsförordningen är behandling av personuppgifter laglig endast om och i den mån som åtminstone ett av de särskilt nämnda villkoren är uppfyllt. Behandlingen av de personuppgifter som avses i denna lag grundar sig på artikel 6.1.c i dataskyddsförordningen. Det rör sig således om behandling som behövs för fullgörandet av den personuppgiftsansvariges lagstadgade skyldigheter. 

Syftet med lagen om nationella studie- och examensregister är att göra det möjligt att smidigt och tryggt använda uppgifter om studier och examina som stöd för det kontinuerliga lärandet. Registren är viktiga för medborgarna, för det nationella utbildningssystemets funktion och för andra myndigheter som behöver dessa uppgifter i sin verksamhet. Dataskyddsförordningen erkänner det samhälleliga behovet av datatjänstverksamhet. Behovet av en datatjänst som produceras av en myndighet eller av den offentliga förvaltningen betonas i skäl 158. Skälet behandlar huvudsakligen behandling för arkiveringssyften, men konstaterar att en aktör inom den offentliga förvaltningen med stöd av medlemsstatens lagstiftning kan ha tjänster med en lagstadgad skyldighet att förvärva, bevara, och ge tillgång till uppgifter av bestående värde för allmänintresset. Bestämmelser om sådan behandling som sker i samband med datatjänstverksamhet kan utfärdas genom nationell lagstiftning och den rättsliga grunden för behandling är i detta fall artikel 6.1 c. 

Därtill bör det noteras att dataskyddsförordningen ställer noggrannare villkor för behandling av särskilda kategorier av personuppgifter. Enligt artikel 9.1 i förordningen ska behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning som utgångspunkt vara förbjuden. 

Enligt artikel 9.2 bestäms dock om avvikelser till denna huvudregel: enligt led g kan avvikelse göras från förbudet mot behandling, om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse på avvägd grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. 

Utgångspunkten är att uppgifterna som lagras inte omfattar i artikel 9 i dataskyddsförordningen avsedda särskilda kategorier av personuppgifter. Enligt 19 § i den gällande lagen kan det i antagningsregistret föras in sådana uppgifter om hälsotillstånd som inverkar på yrkesvalet som den sökande själv uppgett. Enligt förslaget preciseras bestämmelsen på det sätt som beskrivs i detaljmotiveringen nedan. Uppgifterna kan omfatta uppgifter som hör till särskilda kategorier av personuppgifter. Behandlingen är dock tillåten enligt artikel 9.2 a och g. 

Enligt artikel 6.2 i förordningen får medlemsstaterna behålla mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen med hänsyn till behandling för att efterleva artikel 6.1.c och e. Detta behandlas i avsnittet Användning av det nationella handlingsutrymmet i detta kapitel. 

Vidare enligt artikel 6.3 ska lagstiftningen som bildar den grund för behandlingen som avses i artikel 6.1 c uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Sparandet av de uppgifter som avses i denna lag kan anses vara förenligt med det allmänna intresset efter sparandet i första hand är till nytta för individuella medborgare. Genom att spara uppgifterna blir tillgången till utbildningen och utbildningens framskridande smidigare. Likaså går det snabbare att sköta ärenden med olika myndigheter när uppgifter om exempelvis förmåner erhålls smidigt via tjänsten och med stöd av lagen. Därmed behöver enskilda personer inte exempelvis lämna pappersdokument till instanser som beviljar förmåner, utan uppgifterna överförs elektroniskt. Ur individens synpunkt medför sparandet av uppgifter inga betydande datasäkerhetsrisker, och därtill är största delen av uppgifterna som införs i registret offentliga. Utgångspunkten är att sekretessbelagda uppgifter inte sparas och inte heller uppgifter vars lagring kunde skada en person. På nedan beskrivet sätt är exempelvis uppgifterna om den personliga utvecklingsplanen för kunnandet som enligt förslaget ska ges till den ansvariga arbetsplatshandledaren inom yrkesutbildningen förenklade. Avtal om känsliga ärenden, exempelvis innehållet i stödbehovet, sköts genom diskussioner och uppgifterna överförs inte via ePUK-tjänsten. De föreslagna bestämmelserna kan anses vara proportionerliga i förhållande till det eftersträvade målet, eftersom uppgifter ändå behövs i myndigheternas verksamhet och utgångspunkten är att datainnehållet inte omfattar sekretessbelagda uppgifter. 

På basis av de gällande bestämmelserna har informationsresurserna och registren flera användningsändamål. Till exempel enligt den gällande 4 § används de uppgifter som förts in i den nationella informationsresursen inom den grundläggande utbildningen, gymnasieutbildningen och yrkesutbildningen i fråga om den undervisning som avses i lagen om grundläggande utbildning (628/1998), den utbildning som avses i gymnasielagen (1629/1998) och den utbildning som avses i lagen om yrkesutbildning när en person söker till en utbildning, under utbildningen, i arbetslivet och vid ansökan om utbildningsförmåner. I bestämmelsen hänvisas till de uppgifter som utbildningsanordnarna behöver när de fullgör en myndighetsuppgift exempelvis vid antagning av studerande. Därtill behövs uppgifterna under utbildningens tid exempelvis i yrkesutbildningen när den personliga utvecklingsplanen för kunnandet utarbetas och studierna planeras. Med arbetslivet hänvisas till användning av uppgifterna på eget initiativ som behandlas nedan. Användningen av uppgifter vid ansökan om förmåner grundar sig på rätten att få uppgifter enligt lagstiftningen som gäller förmånen i fråga. 

Den registrerades rättigheter med anledning av behandlingsgrunden behandlas närmare i fråga om 5, 18 och 24 § i denna proposition i detaljmotiveringen till 5 §. 

Samtycke 

Enligt dataskyddsförordningen ska samtycke lämnas genom en entydig bekräftande handling som innebär ett frivilligt, specifikt, informerat och otvetydigt medgivande från den registrerades sida om att denne godkänner behandling av personuppgifter rörande honom eller henne, som t.ex. genom en skriftlig, inklusive elektronisk, eller muntlig förklaring. Detta kan inbegripa att en ruta kryssas i vid besök på en internetsida, genom val av inställningsalternativ för tjänster på informationssamhällets område eller genom någon annan förklaring eller något annat beteende som i sammanhanget tydligt visar att den registrerade godtar den avsedda behandlingen av sina personuppgifter. Tystnad, på förhand ikryssade rutor eller inaktivitet bör därför inte utgöra samtycke. 

Samtycket bör gälla all behandling som utförs för samma ändamål. Om behandlingen tjänar flera olika syften, ska samtycke ges för samtliga syften. Om den registrerade ska lämna sitt samtycke efter en elektronisk begäran, måste denna vara tydlig och koncis och får inte onödigtvis störa användningen av den tjänst som den avser. 

När behandlingen av uppgifter grundar sig på den registrerades samtycke, ska den personuppgiftsansvarige kunna påvisa att den registrerade har gett sitt samtycke till behandlingen. Samtycket ska inte betraktas som frivilligt om den registrerade inte har någon genuin eller fri valmöjlighet eller inte utan problem senare kan vägra eller ta tillbaka sitt samtycke. 

I lagen om nationella studie- och examensregister har samtycke använts som grund för att lämna ut uppgifter från de informationsresurser och register som avses i lagen till exempel när en person på eget initiativ vill använda examensuppgifter exempelvis vid ansökan om arbete. Detta kan anses vara utanför dataskyddsförordningens tillämpningsområde eftersom förordningen enligt artikel 2.2 c inte tillämpas på sådan behandling av personuppgifter som en fysisk person utför som ett led i verksamhet av rent privat natur. I detta fall är visandet av uppgifterna jämförbart med att personen visar examensbetyg på papper till en potentiell arbetsgivare eller skickar dem till arbetsgivaren som bilaga till arbetsansökan eller låter en arbetsförmedlingsservice utnyttja uppgifter om studieprestationer. 

I 29 § i den gällande lagen identifieras även möjligheten att en person kan ge en myndighet rätt att få uppgifterna. I dessa situationer bör man i verkställandet av lagen beakta att samtycket ska vara genuint frivilligt. För att kunna säkerställa att samtycket har lämnats frivilligt bör samtycket enligt dataskyddsförordningen inte utgöra giltig rättslig grund för behandling av personuppgifter i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige. Detta gäller särskilt om den personuppgiftsansvarige är en myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar. Såsom ovan konstateras dock i skäl 32 i dataskyddsförordningen att vid val av tekniska inställningar för tjänster på informationssamhällets område kan samtycke vara en grund för behandling av personuppgifter. Därmed måste det anses att samtycke i förhållande till en myndighet inte alltid är en omöjlig grund för behandling, utan endast där det råder en tydlig ojämlikhet mellan parterna. En sådan ojämlikhet kan antas föreligga när en myndighet fattar ett beslut om en registrerad och slutresultatet av beslutet kan bero på personuppgifterna och innefatta prövning. 

Om användningen av samtycke som rättslig grund för behandlingen föreskrivs i 10 och 29 § i lagen om nationella studie- och examensregistret. Bestämmelserna måste ändras så att samtycket som avses i dem motsvarar samtycket som föreskrivs om i dataskyddsförordningen. 

Användning av det nationella handlingsutrymmet 

När artikel 6.1 c eller e används som behandlingsgrund kan medlemsstaterna enligt artikel 6.2 införa mer detaljerade bestämmelser för att anpassa tillämpningen av dataskyddsförordningen. Detta kan betyda t.ex. mer detaljerade krav som gäller behandling av uppgifter eller andra åtgärder och genom vilka man tryggar en laglig och ändamålsenlig behandling av uppgifter. 

Enligt artikel 6.3 i dataskyddsförordningen kan den rättsliga grunden för behandlingen innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen i fråga om allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling. Medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. 

Enligt förslaget används det nationella handlingsutrymmet i lagen om nationella studie- och examensregister i följande frågor: 

I studentnummerregistret används det nationella handlingsutrymmet i fråga om vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka uppgifterna lämnas ut och för vilka ändamål samt i fråga om lagringstiden. I studentnummerregistret förs in förutom studentnumret även personens namn samt personbeteckning eller andra nödvändiga identifikationsuppgifter. De registrerade är personer som har deltagit i småbarnspedagogik, undervisning, utbildning eller fungerat som del av personalen i småbarnspedagogiken. De uppgifter som förs in i studentnummerregistret ska bevaras permanent. 

I fråga om informationsresursen inom den grundläggande utbildningen, gymnasieutbildningen och yrkesutbildningen finns i 2 kap. i lagen mer detaljerade bestämmelser än i dataskyddsförordningen om vilken typ av uppgifter som ska behandlas, de enheter till vilka uppgifterna lämnas ut och för vilka ändamål, lagringstiden samt om vissa typer av behandling och förfaranden för behandling. 

I 3 kap. i lagen finns det bestämmelser om studentexamensregistret. I kapitlet om studentexamensregistret föreslås endast terminologiska ändringar. I studentexamensregistret används det nationella handlingsutrymmet i fråga om vilken typ av uppgifter som ska behandlas, de enheter till vilka uppgifterna lämnas ut och för vilka ändamål, ändamålsbegränsningen och lagringstiden. 

I 4 kap. i lagen finns det bestämmelser om antagningsregistret. I registret används det nationella handlingsutrymmet i fråga om vilken typ av uppgifter som ska behandlas, de enheter till vilka uppgifterna lämnas ut, ändamålsbegränsningen och lagringstiden. 

I 5 kap. i lagen finns det bestämmelser om högskolornas riksomfattande datalager, där det nationella handlingsutrymmet används i fråga om vilken typ av uppgifter som ska behandlas, de enheter till vilka uppgifterna lämnas ut, ändamålsbegränsningen och lagringstiden. 

Ändamålsbegränsning 

Artikel 5.1 b i dataskyddsförordningen har en bestämmelse om principen om ändamålsbegränsning. Enligt punkten ska uppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål ska i enlighet med artikel 89.1 inte anses vara oförenliga med de ursprungliga ändamålen. 

Enligt artikel 6.4 i dataskyddsförordningen ska den personuppgiftsansvarige beakta det som räknas upp i punkten om en behandling sker för andra ändamål än det ändamål för vilket personuppgifterna samlades in och behandlingen inte grundar sig t.ex. på medlemsstatens lagstiftning. Om ändamålet ändras och behandlingen grundar sig på lag måste en bedömning av behovet och proportionaliteten göras i ärendet. 

I lagen om nationella studie- och examensregister bestäms om olika register och olika aktörers skyldigheter att lagra uppgifter i dessa register. I lagen föreskrivs separat för de olika registren om användningsändamålen för uppgifterna. Ändamålet med högskolornas riksomfattande datalager behandlas i 23 §, som måste preciseras för att motsvara kraven i dataskyddsförordningen. Preciseringen är endast teknisk eftersom registret även för närvarande använts endast för lagstadgade ändamål och undervisningssyften. När en uppgift lagrats i något av registren som avses i lagen så ändras inte användningsändamålet för uppgifterna i registret utan förblir det samma som anges i lagen. I fråga om övriga register och informationsresurser anses de lagstadgade användningsändamålen vara tillräckligt exakta. 

Enligt lagen får uppgifter lämnas ut ur registret till mottagare som enligt någon annan lag har rätt att få uppgifterna eller som på basis av en lagstadgad uppgift har rätt att få uppgifterna. Därmed är behandlingsgrunden enligt artikel 6 även efter utlämnandet att behandlingen enligt artikel 6.1 c är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Därtill kan en person på eget initiativ använda och lämna ut uppgifter om sig själv i den s.k. KOSKI-tjänsten. Detta behandlas i större detalj i avsnittet Samtycke nedan. 

Eftersom behandlingsgrunden inte ändras vid behandling av lagrade personuppgifter har det inte ansetts nödvändigt att i denna proposition göra en bedömning av behovet och proportionaliteten i fråga om medlemsstatens lagstiftning. 

Uppgiftsminimering 

Artikel 5.1 c i dataskyddsförordningen gäller uppgiftsminimering. Personuppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Personuppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål som de behandlas för. I lagen om nationella studie- och examensregister bestäms om de personuppgifter som lagras och inga andra uppgifter samlas in. Därmed är behandlingen av personuppgifter begränsad. Syftena som personuppgifter som avses i denna lag används för har specificerats i denna lag eller i andra lagar till de delar som en annan myndighet eller någon annan aktör har rätt att få uppgifter. Därmed förutsätter detta inte ändringar i lagen om nationella studie- och examensregister. 

Begränsning av lagringen 

Artikel 5 i den allmänna dataskyddsförordningen innehåller bestämmelser om begränsning av lagringen. Till denna del används i speciallagstiftningen det nationella handlingsutrymme som avses i artikel 6 i dataskyddsförordningen. Bestämmelsen överensstämmer med artikel 5.1 e i dataskyddsförordningen enligt vilken personuppgifter ska förvaras i en form som möjliggör identifiering av den registrerade endast så länge som det behövs för att iaktta ändamålen med behandlingen. Uppgifter får lagras längre än detta i den mån som personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt förordningen genomförs för att säkerställa den registrerades rättigheter och friheter. Sådana åtgärder kan vara till exempel pseudonymisering om nämnda ändamål kan uppfyllas på det sättet. 

Enligt 3 § i lagen bevaras de uppgifter som förs in i studentnummerregistret permanent. Eftersom det finns mycket uppgifter som lagras permanent i de register och informationsresurser som avses i lagen ska även uppgifterna som förs in i studentnummerregistret lagras permanent. I 11, 16, 22 och 27 § i lagen föreskrivs om bestående förvaring av vissa uppgifter. 

Studentnumret måste användas för att identifiera den studerande under hela livstiden bland annat på grund av det kontinuerliga lärandet. Även efter att en person har avlidit är uppgifterna i registret värdefulla exempelvis för forskningen och för utvärderingen och uppföljningen av utbildningen. Enligt 4 § i lagen kan uppgifterna i informationsresursen inom den grundläggande utbildningen, gymnasieutbildningen och yrkesutbildningen användas vid utvärdering, statistikföring och uppföljning av utbildningen. På grund av detta har det föreskrivits att uppgifterna som är källmaterial för forskning eller av någon annan orsak är värdefulla ska förvaras permanent. 

Enligt skäl 27 i dataskyddsförordningen gäller förordningen inte behandling av personuppgifter rörande avlidna personer. Medlemsstaterna får fastställa bestämmelser för behandlingen av personuppgifter rörande avlidna personer. Inte heller i den regeringsproposition om dataskyddslagen som antagits av riksdagen finns det bestämmelser om behandling av uppgifter rörande avlidna personer. Därmed kan det anses att det i lagen om nationella studie- och examensregister kan föreskrivas om permanent förvaring av uppgifter rörande avlidna personer exempelvis för forskningsändamål och statistik. 

Den 4 oktober 2016 har arkivverket fattat ett beslut om permanent förvaring av uppgifterna i undervisningsväsendets register och riksomfattande datasystem och om förvaringsformerna (AL/18800/07.01.01.03.01/2016). Genom beslutet bestämde arkivverket med stöd av 8 och 11 § i arkivlagen (831/1994) att dokumentuppgifterna i studentnummerregistret, det elektroniska systemet för hantering av elev-, studerande- och examensuppgifter och i antagningsregistret ska förvaras permanent i enbart elektronisk form. 

I lagen om nationella studie- och examensregister föreskrivs i ovannämnda paragrafer om permanent bevaring av uppgifterna och om tiderna för bevarande av uppgifter som ska bevaras en viss tid. Av dessa måste endast 11 § ändras så att ett tillägg görs i fråga om uppgifter som gäller personlig tillämpning. Den föreslagna ändringen avviker inte från resultatet av värderingen som gjordes i beredningen av nämnda beslut. 

Riksarkivet beslutar om permanent förvaring av uppgifterna med stöd av 8 § i arkivlagen (831/1994) eftersom arkivverkets uppgifter överförts till det från den 1 januari 2017 (lag om Riksarkivet 1145/2016, 2 §). I arkivverkets beslut (AL/18800/07.01.01.03.01/2016) konstateras att beslut om överföring av uppgifter och handlingar i register och nationella informationssystem och om tidpunkten för överföring till ett system för långtidsförvaring fattas separat senare. Behandling av uppgifter för arkivändamål av allmänt intresse samt för historisk och vetenskaplig forskning strider inte mot grunderna för den ursprungliga behandlingen. 

1.2.2  Personlig tillämpning i praktiken

Innan lagen om yrkesutbildning trädde i kraft gjorde anordnare av fristående examina redan personlig tillämpning eller motsvarande individuell planering av den studerandes studier och de styrnings- och stödåtgärder som han eller hon behöver. För en del av de nuvarande utbildningsanordnarna är processen dock annorlunda än tidigare. De bästa förutsättningarna för personlig tillämpning enligt lagen om yrkesutbildning har de utbildningsanordnare som tidigare har ordnat fristående examina. 

I utarbetandet av de personliga planerna utnyttjar anordnare av yrkesutbildning huvudsakligen sina elektroniska studiehanteringssystem. Ett litet antal utbildningsanordnare utarbetar dock planerna ännu på papper. Det finns flera studiehanteringssystem på marknaden. På grund av lagändringen har flera utbildningsanordnare under det senaste året tillsammans med leverantörer av studiehanteringssystem utvecklat system för att göra den personliga tillämpningen elektronisk eller utvecklat det elektroniska systemet så att det motsvarar lagstiftningen som trädde i kraft den 1 januari 2018. Studiehanteringssystemens utveckling har framskridit ojämnt hos de olika utbildningsanordnarna. 

Det finns inga bestämmelser om överföring av PUK-uppgifter från en utbildningsanordnare till en annan. Om den studerande flyttar från en utbildningsanordnare till en annan överförs uppgifterna och planerna som gäller den studerandes studier inte mellan utbildningsanordnarna om inte den studerande själv är aktiv. Uppgifter om en studerandes tidigare förvärvade kunnande överförs för närvarande i praktiken på pappersdokument, till exempel på studieregisterutdrag. Dokumenten är inte alltid entydiga. Utbildningsanordnarna upplever att studieregisterutdragen inte berättar tillräckligt om vad som ingår i kunnandet. Utredning av innehållet i kunnandet kräver resurser av lärarna och handledarna som sköter den personliga tillämpningen. Även om den studerande ger sitt samtycke till att överföra uppgifterna till den nya utbildningsanordnaren så är de elektroniska systemen inte nödvändigtvis kompatibla så att överföringen mellan systemen kan genomföras. 

Utbildningsanordnarnas praxis vid utarbetandet av personliga utvecklingsplaner för kunnandet varierar på grund av skillnader i studiehanteringssystemen men också i fråga om vilka som deltar i processen med personlig tillämpning. Svårigheterna med att överföra uppgifterna gör den studerandes övergångsskeden svårare och långsammare och kan i värsta fall dra ut på studietiden i onödan. 

Enligt en utredning som Bästa kunnande-projektet utarbetade våren 2018 behöver undervisnings- och handledningspersonalen inom yrkesutbildningen i synnerhet information om hur den personliga utvecklingsplanen för kunnandet ska utarbetas och om hur PUK-processen ska styras. Om det inte finns tillgång till uppgifterna som behövs för den personliga tillämpningen så är det svårt att sköta processen kring den personliga utvecklingsplanen för kunnandet på ett bra sätt. Utbildningsanordnarna önskar riksomfattande bestämmelser och system som bidrar till smidigare processer och automatisering i mån av möjlighet. 

2.2.1  Sparande av uppgifter som gäller personlig tillämpning

Syftet med propositionen är att utvidga den nationella informationsresursen inom yrkesutbildningen så att uppgifter som gäller personlig tillämpning förs in i den. Bestämmelser om sparande av uppgifter föreslås i 9 §. Detta förenhetligar processen för personlig tillämpning enligt lagen om yrkesutbildning, verksamhetsmodellerna och verksamhetssätten som gäller den personliga tillämpningen. Vidare förenhetligar detta innehållet i den personliga utvecklingsplanen för kunnandet, vilket leder till jämlikare behandling av studerande runtom i landet och hos olika utbildningsanordnare. Därtill är syftet att underlätta utbildningsanordnarnas, arbetslivets och studerandenas arbete när det gäller planeringen, godkännandet, genomförandet, uppföljningen och uppdateringen av de studerandes personliga studievägar. Ett särskilt syfte är att göra övergångsskedena i utbildningen smidigare genom att säkerställa att i de personliga utvecklingsplanerna för alla studerande finns samma uppgifter som behövs i övergångsskedet i enhetlig form oberoende av var den studerande har inlett sina studier. Därtill säkerställs uppgifternas användbarhet och mobilitet mellan olika tjänster och aktörer med beaktande av skyddet av personuppgifter. 

I praktiken uppnås syftet med propositionen genom att utbildningsanordnarna görs skyldiga att spara uppgifterna som gäller de personliga utvecklingsplanerna för kunnandet till de delar som denna lag föreskriver om datainnehållet (nedan ePUK-datainnehållet). Enligt förslaget samlas uppgifterna i nationella informationsresursen inom yrkesutbildningen, som föreskrivs om i 2 kap. i lagen om nationella studie- och examensregister. Därtill utvecklas en tjänst för att utnyttja ifrågavarande uppgifter. Enligt förslaget är utbildningsanordnarna skyldiga att spara aktuella uppgifter om utvecklingsplanerna i informationsresursen när planerna utarbetas och uppdateras. 

I ePUK-datainnehållet ligger fokus på sådana uppgifter om den studerandes personliga studieväg som behövs på riksnivå t.ex. när den studerande övergår från en utbildningsanordnare till en annan eller fortsätter studierna efter ett avbrott eller förvärvar eller visar kunnande på en arbetsplats. I registret förs därmed inte in alla uppgifter som antecknats i PUK i utbildningsanordnarens egna studiehanteringssystem. Sådana uppgifter som finns i de egna studiehanteringssystemen är exempelvis uppgifter om i vilket klassrum eller under vilken lärare förvärvandet av kunnandet sker. 

Avsikten är att anordnare av yrkesutbildning även framöver utarbetar den personliga utvecklingsplanen för kunnandet i sina egna studiehanteringssystem. Uppgifterna i ePUK produceras alltså av utbildningsanordnaren, som också svarar för att uppgifterna i registret är korrekta och uppdaterade. Om utbildningsanordnaren inte har ett elektroniskt studiehanteringssystem kan de uppgifter som behövs i övergångsskedet matas in direkt i ePUK-tjänsten. 

Liksom för närvarande svarar Utbildningsstyrelsen för informationsresursens allmänna funktion och för den tekniska anslutningen för införande, behandling och utlämnande av uppgifter. Uppgifterna som producerats i utbildningsanordnarens studiehanteringssystem överförs till registret automatiskt via gränssnitt. Utbildningsstyrelsen svarar för ePUK-tjänsten där uppgifterna kan granskas och förmedlas vidare. Tjänsten kan användas av anordnare av yrkesutbildning, studerande och arbetsplatser som samarbetar med utbildningsanordnarna. 

I tjänsten kan utbildningsanordnaren granska sina egna studerandes ePUK-uppgifter till de delar som uppgifterna anknyter till utbildning som utbildningsanordnaren ordnar. Med egen studerande avses studerande som utbildningsanordnaren antagit som studerande och som därmed har studierätt till någon examen eller övrig yrkesutbildning som utbildningsanordnaren ordnar. Ändringar i PUK görs alltid i utbildningsanordnarens eget studiehanteringssystem och därifrån överförs uppgifterna via gränssnitten till informationsresursen. Med stöd av lagen om yrkesutbildning kan utbildningsanordnaren därtill se uppgifter om den egna studerandens tidigare utvecklingsplaner. 

I ePUK-tjänsten kan en studerande och en minderårig studerandes vårdnadshavare se den studerandes ePUK-uppgifter. Om den studerande samtidigt studerar vid flera utbildningsanordnare kan han eller hon se alla sina ePUK-uppgifter i tjänsten. Därtill syns tidigare ePUK-uppgifter i fem år efter att studierna avslutats, därefter raderas uppgifterna från informationsresursen. Vidare kan den studerande ge exempelvis en utbildningsanordnare, till vars utbildning han eller hon söker, eller exempelvis en eventuell läroavtalsarbetsplats samtycke till att granska tidigare utarbetade ePUK-datainnehåll i tjänsten. 

Representanter för arbetsplatser som samarbetar med utbildningsanordnarna kan i ePUK-tjänsten se uppgifter om alla de studerande som antingen förvärvar eller påvisar kunnande, dvs. gör yrkesprov, vid ifrågavarande arbetsplats oberoende av vilken utbildningsanordnares studerande det handlar om. En representant för arbetslivet ser den studerandes ePUK-uppgifter endast till de delar som de anknyter till utbildningen eller yrkesprovet som ordnas på arbetsplatsen. Till de delar som den studerandes ePUK innehåller andra uppgifter än sådana som anknyter till förvärvande av kunnande eller påvisande av kunnande som sker på en arbetsplats eller uppgifter som inte i övrigt är väsentliga för arbetsplatsen, är dessa uppgifter inte synliga för en representant för arbetsplatsen utan den studerandes samtycke. 

2.2.2  Sparande av uppgifter som anknyter till övrig yrkesutbildning

Syftet med propositionen är att därtill utvidga den lagstadgade nationella informationsresursen inom yrkesutbildningen så att den även innehåller uppgifter om sådan övrig yrkesutbildning som avses i 8 § i lagen om yrkesutbildning. Som yrkesutbildning kan utöver den i 6 § i lagen om yrkesutbildning avsedda examensutbildning som förbereder för examina som hör till examensstrukturen och de i den lagens 7 § avsedda handledande utbildningar ordnas sådan utbildning som fördjupar eller kompletterar yrkesutbildningen och som inte syftar till avläggande av en examen eller en del av en examen samt sådan utbildning som förbereder för yrkesuppgifter och som förbereder för yrkesuppgifter som yrkes- eller trafikflygare, som flygledare eller som förare i spårbunden stadstrafik. Bestämmelser om sparande av uppgifter föreslås i 9 §. 

Sparandet av uppgifterna gynnar enskilda personer genom att man i tjänsten kan se och visa utbildningar man har fullgjort exempelvis vid ansökan om arbete eller planering av studierna. Detta stöder till exempel sysselsättningen och det kontinuerliga lärandet. Sparandet av uppgifterna stöder därtill beräknandet och beviljandet av finansiering för yrkesutbildningen, eftersom uppgifterna som behövs för att beräkna studerandeåren och uppgifterna som används som viktningsgrund för basfinansieringen finns i informationsresursen och man inte skulle behöva samla in uppgifterna av utbildningsanordnarna genom en separat datainsamling.