2.3.2 Tillåtna grunder för behandling av personuppgifter inom utbildning

Vad gäller de rättsliga grunderna är utgångspunkten att det flesta fall av behandling inom utbildningsområdet utförs med grunden ”uppgift av allmänt intresse”, ”del i myndighetsutövning” eller ”rättslig förpliktelse”.

Grunden samtycke kan ofta inte användas i de fall den registrerade står i en beroendeställning till den personuppgiftsansvarige. Detta är fallet vad gäller utbildning, varför behandling av ex. studenters personuppgifter endast i undantagsfall kan baseras på samtycke. Att utbildningen vilar på frivilligt deltagande påverkar inte. Samtycke kan endast användas som grund om inga negativa konsekvenser, oavsett dess form, infinner sig som ett resultat av att samtycket inte lämnas. Dessa konsekvenser behöver inte vara formella, utan kan vara av karaktären ”Det är frivilligt… Men alla gör det” och alltså syfta på sociala förhållanden. Det finns dock några tillåtna grunder som är aktuella för arbetet inom lärosätets utbildningar.

Allmänna intressen

Som sagt kan ett allmänt intresse fungera som en rättslig grund för personuppgiftsbehandling. Mot bakgrund av svensk myndighetstradition är det oftast så att allt ett lärosäte gör är av allmänt intresse. Enligt dataskyddslagstiftningen måste dock detta allmänna intresse vara utskrivet i svensk rätt, antingen genom lag, förordning, myndighetsföreskrifter eller kollektivavtal. Vidare måste det vara nödvändigt att behandla personuppgifter för att uppnå det allmänna intresset, för att man ska få använda det som grund för behandling.

Led i myndighetsutövning

Inledningsvis ska sägas att detta myndighetsutövningsbegrepp inte är detsamma som det som används i förvaltningslagen, utan det är det EU-rättsliga begreppet myndighetsutövning som används. Begreppet är då bredare i sin mening. Om en åtgärd inom ramen för myndighetsutövningen hos ett lärosäte kräver personuppgiftsbehandling så kan detta läggas som grund för behandlingen. Exempel på detta är så gott som all verksamhet som en högskola ska utföra enl. Högskoleförordningen. Viktigt att tänka på är dock att personuppgiftsbehandlingen måste ha ett tydligt samband med uppgiften som är en del av myndighetsutövningen. Går uppgiften att utföra utan personuppgifter ska vi göra det.

Rättslig förpliktelse

För att en rättslig förpliktelse ska få läggas till grund för personuppgiftsbehandling krävs att förpliktelsen är fastställd i svensk rätt, inklusive i kollektivavtal, regerings- eller myndighetsbeslut. Skillnaden gentemot de två grunderna som behandlas ovan är att den rättsliga förpliktelsen måste vara så pass tydlig att den enskilde kan förstå vilken typ av behandling som kommer utföras med stöd av den rättsliga förpliktelsen. Typexempel på denna typ av förpliktelse är förordning (1993:1153) om redovisning av studier m.m. vid universitet och högskolor, även känd som Ladok-förordningen.