3 Behandling av personopplysninger og digitale tjenester

3.1 Bakgrunn

Det behandles mange personopplysninger innenfor de høyere utdanningssektorene. Slik behandling er i hovedsak nødvendig for å ivareta de registrertes egne interesser. Den digitale utviklingen i samfunnet medfører forventninger om at også det offentlige skal digitalisere sin virksomhet og kommunikasjon med innbyggerne. Dagens elever og studenter har i større grad forventninger om at saksbehandling, kommunikasjon og deling av opplysninger skal skje både digitalt og der det er mulig også automatisk. Dette vil gjelde alt fra å ha tilgang til vitnemål og karakterer, søknadsbehandling ved opptak til utdanninger, godkjenning av annen utdanning til å gjennomføre eksamen. Digitaliseringen har ført til en utvikling i hvordan oppgaver utføres og tjenester videreutvikles. Behovet for deling av data og samarbeid er blitt større. Automatisering av saksbehandling er blitt en viktig del av digitaliseringen.

Kunnskapsdepartementet la høsten 2017 fram Digitaliseringsstrategi for universitets- og høyskolesektoren. Strategien innebærer mål om at utdanningsinstitusjoner skal være i stand til å ta i bruk relevante digitale verktøy. Videre legger strategien opp til en målrettet styrking av informasjonssikkerheten i sektoren gjennom et tydeligere rammeverk for styringen av informasjonssikkerhet på sektornivå. Strategien følges opp bl.a. gjennom Handlingsplan for digitalisering i høyere utdanning og forskning 2019–2021 som har et eget kapittel 7 om informasjonssikkerhet og personvern med flere målbilder og initiativ. Handlingsplanen slår fast at informasjonssikkerhet og personvern er et prioritert område og et fundament for vellykket digitalisering. Kunnskapsdepartementet vil legge fram en ny strategi for perioden 2021–2025 i løpet av våren 2021.

Universitets- og høyskolelovutvalget (NOU 2020: 3) foreslo å videreføre dagens bestemmelser i universitets- og høyskoleloven om behandling av personopplysninger med noen språklige justeringer og å samle bestemmelser om behandling av personopplysninger i et eget kapittel. Utvalget anbefalte videre at endringer som har personvernmessige konsekvenser må bli vurdert i forbindelse med departementets egen gjennomgang av personvernbestemmelsene og behovet for nye lovbestemmelser i underliggende etater. Forslagene her tar utgangspunkt i dagens universitets- og høyskolelov og kartlagte behov. Departementet vil i det videre arbeidet med oppfølging av utredningen vurdere utvalgets forslag om blant annet å samle bestemmelser om behandling av personopplysninger i et eget lovkapittel.

Om høringen

Departementet sendte 6. oktober 2020 på høring forslag til endringer i utdanningsstøtteloven, universitets- og høyskoleloven og fagskoleloven som gjaldt behandling av personopplysninger på enkelte områder innenfor utdanningsstøtte og høyere utdanning. Forslagene var i hovedsak knyttet til regulering av nødvendig supplerende rettsgrunnlag til behandlingsgrunnlagene i personvernforordningen artikkel 6 c og e. I tillegg ble det foreslått enkelte endringer i opplæringsloven og i studiekvalitetsforskriften, da de henger faglig sammen med innholdet i høringsnotatet.

Høringsnotatet hadde svarfrist 10. desember 2020 og ble sendt til følgende høringsinstanser:

• Departementene

• Arbeids- og velferdsdirektoratet

• Datatilsynet

• Diku – Direktoratet for internasjonalisering og kvalitetsutvikling i høyere utdanning

• Foreldreutvalget for barnehager

• Foreldreutvalget for grunnopplæringen

• Integrerings- og mangfoldsdirektoratet

• Kompetanse Norge

• Nasjonalt fagskoleråd

• NOKUT – Nasjonalt organ for kvalitet i utdanningen

• Norges forskningsråd

• Norsk senter for forskningsdata AS (NSD)

• Riksarkivet

• Statens lånekasse for utdanning

• Unit

• Utdanningsdirektoratet

• Statsforvalterne

• Fylkeskommunene

• Universitetene og høyskolene

• Fagskolene

• Akademikerne

• Arbeidsgiverforeningen Spekter

• Association of Norwegian Students Abroad (ANSA)

• Elevorganisasjonen

• Folkehøgskolerådet

• Forskerforbundet

• Forum for fagskoler – Abelia

• Hovedorganisasjonen Virke

• KS

• Landsorganisasjonen i Norge

• Lærernes Yrkesforbund

• Norsk Lektorlag

• Norsk studentorganisasjon

• Norske fag- og friskolers forbund

• Næringslivets Hovedorganisasjon

• Organisasjon for norske fagskolestudenter

• Rådet for offentlige fagskoler

• Skolelederforbundet

• Skolenes landsforbund

• Unio

• Universitets- og høgskolerådet

• Utdanningsforbundet

• YS

Departementet mottok 23 høringsinnspill. Disse høringsinstansene hadde merknader til forslagene:

• Justis- og beredskapsdepartementet

• Digitaliseringsdirektoratet

• Direktoratet for internasjonalisering og kvalitetsutvikling i høyere utdanning (Diku)

• Kompetanse Norge

• NOKUT

• NSD – Norsk senter for forskningsdata AS

• Statens lånekasse for utdanning

• Unit – Direktoratet for IKT og fellestjenester i høyere utdanning og forskning

• Norges miljø- og biovitenskapelige universitet (NMBU)

• Nord universitet

• Universitetet i Oslo

• Universitetet i Tromsø Norges Arktiske universitet

• Fagskolen Aldring og helse

• Norsk studentunion

Disse høringsinstansene uttalte at de ikke hadde merknader til forslagene:

• Helse- og omsorgsdepartementet

• Samferdselsdepartementet

• Utenriksdepartementet

• Arbeids- og veldferdsdirektoratet

• Statsforvalteren i Innlandet

• Handelshøyskolen BI

• Høyskolen i Innlandet

• Rogaland fylkeskommune

• Trøndelag fylkeskommune

3.2 Kort om personvernregelverket

Personopplysningsloven som trådte i kraft i 2018, gjør EUs personvernforordning (kjent som GDPR) til norsk rett og utfyller samtidig forordningen på noen punkter. Forordningen åpner for at det generelle personopplysningsregelverket kan utfylles i særlovgivningen, jf. forordningen artikkel 6 nr. 2. Formålet med personvernforordningen er å verne fysiske personers grunnleggende rettigheter og friheter ved behandlingen av personopplysninger, samtidig som den skal sikre fri flyt av personopplysninger mellom medlemsstatene.

Personopplysninger defineres i forordningen som enhver opplysning om en identifisert eller identifiserbar fysisk person, jf. forordningen artikkel 4 nr. 1. Datatilsynet informerer på sine nettsider om regelverket, blant annet om hva en personopplysning er, og om hva som er særlige kategorier av personopplysninger.

Alle former for behandling av personopplysninger er omfattet av forordningen. Med «behandling» er ment enhver operasjon eller rekke av operasjoner som gjøres med personopplysninger, enten den er automatisert eller ikke. Typiske behandlinger er innsamling, registrering, lagring, tilpasning eller endring, gjenfinning, bruk, utlevering, sammenstilling eller samkjøring og sletting. Flere eksempler er regnet opp i forordningen artikkel 4 nr. 2.

Reglene for behandling av personopplysninger bygger på noen grunnleggende prinsipper, som er fastsatt i forordningen artikkel 5. Alle som behandler personopplysninger, må overholde disse prinsippene, og det er et krav at den som behandler personopplysninger, skal kunne dokumentere at prinsippene overholdes.

All behandling av personopplysninger må være lovlig, rettferdig og gjennomsiktig. Det betyr blant annet at det må foreligge et rettslig grunnlag før behandling av personopplysninger kan skje, et såkalt behandlingsgrunnlag. Et sentralt prinsipp er at personopplysninger bare skal behandles for spesifikke, uttrykkelige, angitte og legitime formål, og at personopplysninger ikke kan gjenbrukes til formål som er uforenlige med det opprinnelige formålet (formålsbegrensning). Prinsippet om dataminimering innebærer at mengden innsamlede personopplysninger skal begrenses til det som er nødvendig for å oppnå innsamlingsformålet. Personopplysninger som behandles skal være korrekte. Opplysningene skal også oppdateres hvis det er nødvendig. Prinsippet om lagringsbegrensning innebærer at personopplysninger ikke skal lagres lenger enn det som er nødvendig for formålet de ble innhentet for. Personopplysninger skal behandles slik at opplysningenes integritet og konfidensialitet beskyttes (sikring av personopplysningene). Prinsippet om ansvarlighet betyr at den behandlingsansvarlige har ansvar for å overholde reglene for behandling av personopplysninger og skal kunne dokumentere dette.

Reglene om behandlingsgrunnlag følger av forordningen artikkel 6.

I offentlig forvaltning vil behandlingsgrunnlagene i artikkel 6 nr. 1 bokstav c og e være mest aktuelle. Artikkel 6 nr. 1 bokstav c gir grunnlag for behandling som er nødvendig for å oppfylle en rettslig forpliktelse som påhviler den behandlingsansvarlige. Artikkel 6 nr. 1 bokstav e gir adgang til behandling når dette er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt. Det følger av forordningen artikkel 6 nr. 3 at «grunnlaget for behandlingen» nevnt i nr. 1 bokstav c og e «skal fastsettes» i unionsretten eller i medlemsstatenes nasjonale rett. Dette innebærer at artikkel 6 nr. 1 bokstav c eller e ikke alene kan utgjøre behandlingsgrunnlag. Den behandlingsansvarlige må i tillegg kunne vise til et supplerende rettsgrunnlag for behandlingen. Departementet drøfter i dette punktet behovet for supplerende rettsgrunnlag og foreslår nødvendige endringer.

Formålsbegrensningsprinsippet innebærer at personopplysninger ikke kan viderebehandles på en måte som er uforenlig med det angitte formålet. Artikkel 5 nr. 1 bokstav b slår fast at viderebehandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål, i samsvar med artikkel 89 nr. 1, ikke skal anses som uforenlig med de opprinnelige formålene. Det kreves derfor ikke supplerende rettsgrunnlag for å benytte personopplysninger til statistikk eller til forskning. Ved utlevering av personopplysninger (fra den behandlingsansvarlige) må det imidlertid påses at mottaker også har et rettslig grunnlag for sin behandling. Personopplysningsloven §§ 8 og 9 vil kunne utgjøre et supplerende grunnlag for behandling av personopplysninger for formål knyttet til forskning og statistikk. Datatilsynet anbefaler at det i størst mulig grad gis klare hjemler også for slik viderebehandling.

Justis- og beredskapsdepartementet har uttalt at det må det legges til grunn at i alle fall lov- og forskriftsbestemmelser kan utgjøre supplerende rettsgrunnlag etter forordningen artikkel 6 nr. 3, og at det synes å være tilstrekkelig at det supplerende rettsgrunnlaget pålegger den behandlingsansvarlige en rettslig forpliktelse som det er nødvendig å behandle personopplysninger for å oppfylle. Se Prop. 56 LS (2017–2018) kapittel 6.3.2.

Det stilles særlige krav til behandling av såkalte særlige kategorier av personopplysninger. Forordningen artikkel 9 definerer særlige kategorier av personopplysninger som opplysninger om rasemessig eller etnisk opprinnelse, politisk oppfatning, religion, filosofisk overbevisning, fagforeningsmedlemskap, genetiske og biometriske kjennetegn som entydig identifiserer en fysisk person, helseopplysninger og en fysisk persons seksuelle forhold eller seksuelle orientering.

Disse personopplysningskategoriene er gitt et særskilt vern. Behandling av særlige kategorier av personopplysninger er i utgangspunktet forbudt etter artikkel 9 nr. 1, med mindre en av unntaksbestemmelsene i artikkel 9 nr. 2 åpner for behandlingen, eventuelt i kombinasjon med nasjonale lovbestemmelser.

Særlig aktuell for offentlige organer er forordningen artikkel 9 nr. 2 bokstav g. Den åpner for behandling av særlige kategorier av personopplysninger når dette er nødvendig av hensyn til «viktige allmenne interesser», på grunnlag av unionsretten eller nasjonal rett som skal stå i et rimelig forhold til det målet som søkes oppnådd, være forenlig med det vesentligste innholdet i retten til vern av personopplysninger og sikre egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser.

Justis- og beredskapsdepartementet har lagt til grunn at det som utgangspunkt må foreligge en lov eller forskrift som åpner for behandling av særlige kategorier av personopplysninger. Forordningen gir ikke noe klart svar på hvor klart eller spesifikt slike nasjonale bestemmelser må være utformet. På samme måte som når det gjelder kravet om supplerende rettsgrunnlag etter artikkel 6 nr. 3, må det vurderes konkret om en bestemmelse er tilstrekkelig for en gitt behandling. Det at slike opplysninger trenger et særlig vern, kan tilsi at det må kreves klarere rettslig grunnlag enn etter artikkel 6 nr. 3. Personopplysningenes sensitivitet vil i denne sammenhengen være et moment i vurderingen av inngrepets art og omfang, som igjen har betydning for hvilke krav som stilles til behandlingsgrunnlaget. Se Prop. 56 LS (2017–2018) kapittel 7.

Forordningen artikkel 10 fastsetter ytterligere krav til behandling av opplysninger om straffedommer og lovovertredelser. Behandling av personopplysninger om straffedommer og lovovertredelser eller tilknyttede sikkerhetstiltak på grunnlag av artikkel 6 nr. 1, skal bare utføres under en offentlig myndighets kontroll eller dersom behandlingen er tillatt i henhold til unionsretten eller medlemsstatenes nasjonale rett som sikrer nødvendige garantier for de registrertes rettigheter og friheter. Det kreves et supplerende rettsgrunnlag i nasjonal rett for at slik behandling skal være tillatt.

3.3 NOKUT – automatisering, særlige kategorier av personopplysninger og oppkobling til vitnemålsportalen

3.3.1 Generelt

NOKUT – Nasjonalt organ for kvalitet i utdanningen – er et forvaltningsorgan under Kunnskapsdepartementet med kompetanse innenfor norsk og utenlandsk høyere yrkesfaglig utdanning (fagskoleutdanning) og høyere utdanning, i tillegg til utenlandsk opplæring. NOKUTs formål og oppgaver er forankret i uhl. § 2-1. Flere av NOKUTs oppgaver og hvordan de skal utføres er også beskrevet i andre bestemmelser i samme lov, i tillegg til fagskoleloven, opplæringsloven, yrkeskvalifikasjonsloven og i forskrifter tilhørende de enkelte lovene.

Én av oppgavene til NOKUT er å godkjenne enkeltpersoners utenlandske utdanning og fagopplæring. NOKUT gir generell godkjenning av utenlandsk høyere utdanning etter uhl. § 3-4, av utenlandsk fagskoleutdanning etter fagskoleloven § 7 og godkjenning av utenlandsk fag- og yrkesopplæring etter opplæringsloven § 3-4 a. En generell godkjenning innebærer at NOKUT vurderer utdanningenes nivå og omfang, og hva den eventuelt kan sammenliknes med i det norske utdanningssystemet. Vedtak om generell godkjenning av høyere utdanning og fagskoleutdanning er hensiktsmessig for søkere som vil bruke godkjenningen mot det ikke-regulerte arbeidsmarkedet. Vedtak om sidestilling av utenlandsk fag- og yrkesopplæring gjør at fagarbeidere med slikt opplæringsgrunnlag kan brukes på lik linje med norske fagarbeidere. Det fører til fagarbeidertillegg for enkeltindividene også mot det ikke-regulerte arbeidsmarkedet. NOKUTs godkjenning i disse ordningene er et viktig hjelpemiddel for å bekrefte og synliggjøre kompetanse enkeltpersoner besitter fra utlandet.

NOKUT mottar årlig i underkant av 10 000 søknader for de ulike godkjenningsordningene. De siste årene har søknadsbehandlingen blitt digitalisert. NOKUT har satset stort på digitalisering og har utviklet et eget saksbehandlingssystem for behandling av søknader om godkjenning av utenlandsk utdanning og opplæring. Søkerne logger seg på en sikker søkerportal hvor de laster opp relevante dokumenter og fyller inn informasjon om seg selv og sin utdanning som er nødvendig for å kunne vurdere søknadene. Pålogging skjer ved bruk av ID-porten som sikrer identifisering. For søkere som ikke har norsk fødselsnummer eller D-nummer, opprettes en profil manuelt. For egenregistrerte brukere kreves at søker laster opp et gyldig pass eller annet identitetsdokument.

3.3.2 Godkjenning av utenlandsk opplæring og utdanning – behandling av personopplysninger og automatisert saksbehandling

3.3.2.1 Dagens regler

Godkjenning av utenlandsk fag- og yrkesopplæring

Godkjenningsordningen for utenlandsk fag- og yrkesopplæring er hjemlet i opplæringsloven § 3-4 a. NOKUT skal, etter søknad fra enkeltpersoner, avgjøre om utenlandsk fag- eller yrkesopplæring kan godkjennes som sidestilt med norsk fag- eller svennebrev eller vitnemål. Departementet er gitt hjemmel til å fastsette forskrift om vilkår for godkjenning, saksbehandling, klage og avgrensning i klageretten. Departementet har foreløpig ikke fastsatt slik forskrift.

Godkjenning av utenlandsk fagskoleutdanning

Det følger av fagskoleloven § 7 at NOKUT, etter søknad fra enkeltpersoner, skal avgjøre om en utdanning fra en utenlandsk fagskole eller annen yrkesfaglig utdanning fra utlandet på tilsvarende nivå, skal gis en generell godkjenning slik at den ut fra nivå og omfang godkjennes som sidestilt med akkreditert fagskoleutdanning i Norge.

At utdanningen er sidestilt betyr at den må være på samme nivå og ha samme omfang som den norske utdanningen. Hensikten med formuleringen i lovbestemmelsen er at den skal være romslig nok til å ivareta det store mangfoldet i strukturer og systemer, da utdanningssystemene i andre land er svært ulike på dette nivået, samtidig som det skal være mulig å gjenkjenne fagskolenes nivå og innretning. Det er også viktig at det i, eller i forbindelse med, godkjenningsvedtaket opplyses om hvilket yrke, bransje eller sektor den utenlandske fagskoleutdanningen kvalifiserer for i det landet den er avlagt. Det skal også foretas en verifisering og vurdering av utdanningen i henhold til akkrediteringsstatus, omfang og nivå.

Generell godkjenning av utenlandsk høyere utdanning

Etter uhl. § 3-4 skal NOKUT, etter søknad fra enkeltpersoner, avgjøre om utdanning fra utenlandsk høyere utdanningsinstitusjon eller norsk institusjon som ikke går inn under loven, skal gis generell godkjenning. At det gis generell godkjenning innebærer at utdanningen i nivå og omfang godkjennes som likestilt med akkreditert norsk høyere utdanning. En generell godkjenning sier imidlertid ikke noe om selve kvaliteten på utdanningen til den enkelte søkeren, eller om resultatene søkeren har oppnådd i utdanningen sin.

Generell godkjenning av utdanningen vil i utgangspunktet være basert på den dokumentasjonen søkeren legger fram. Det følger av studiekvalitetsforskriften kapittel 6 hvordan NOKUT skal behandle søknader om godkjenning av høyere utenlandsk utdanning. I behandlingen av søknader vurderer NOKUT om dokumentasjonen er ekte, om den utenlandske utdanningsinstitusjonen er godkjent av en offentlig myndighet i det aktuelle landet (akkreditert), og om søkeren faktisk har gjennomført den utdanningen vedkommende har papirer på.

Se punkt 2.5.3 for utfyllende omtale av generell godkjenning etter uhl. § 3-4.

3.3.2.2 Høringsforslag

Behandlingsgrunnlag for særlige kategorier av personopplysninger

I høringsnotatet foreslo departementet å lovfeste et supplerende rettsgrunnlag for å gjøre det tydelig at NOKUT kan behandle særlige kategorier av personopplysninger ved vurdering av søknader om godkjenning av utenlandsk utdanning og opplæring. Opplysningene må enten være gitt av søkeren selv eller være innhentet med samtykke fra søker. NOKUT skal aldri ellers innhente slike opplysninger på eget initiativ, men vil av og til måtte behandle slike fordi de inngår i dokumenter som er nødvendige for å vurdere søknaden.

Behandlingsgrunnlag for automatisert saksbehandling

NOKUT har igangsatt en omfattende digitaliseringsprosess, blant annet ved etablering av et eget saksbehandlingssystem. Digitaliseringen fører til betydelige effektiviseringsgevinster og forenkling av saksbehandlingen for både NOKUT og søkerne. Et naturlig skritt i den videre utviklingen er å automatisere saksbehandlingen der det er mulig. Automatisert saksbehandling innebærer at et datasystem fatter beslutninger som er avgjørende for rettighetene og pliktene til en enkeltperson. Ved automatisert saksbehandling er rettsreglene blitt formalisert og programmert i datasystemet. Rettsanvendelsen skjer gjennom datasystemet og ikke ved manuell menneskelig behandling.

Departementet foreslo å lovfeste et supplerende rettsgrunnlag for at NOKUT skal kunne fatte vedtak om godkjenning av utenlandsk opplæring og utdanning basert på automatisert saksbehandling. Departementet foreslo også at det skal tas inn en presisering av at personen vedtaket retter seg mot kan kreve at det overprøves manuelt.

3.3.2.3 Høringsinnspill

Det er tre høringsinstanser som har gitt innspill til forslagene. Disse er Kompetanse Norge, NOKUT og Digitaliseringsdirektoratet (Digdir).

Kompetanse Norge støtter forslaget om at NOKUT skal kunne behandle særlige kategorier av personopplysninger, men oppfatter at departementets forslag krever samtykke for deler av behandlingen av slike opplysninger, noe de mener ikke er et tilfredsstillende behandlingsgrunnlag.

NOKUT støtter forslagene, men stiller spørsmål om formålsbegrensning til bestemmelsen om behandling av særlige kategorier av personopplysninger, og har forslag til ny ordlyd. NOKUT mener ordlyden bør si at det er adgang til å behandle personopplysninger «når det er nødvendig for å utøve oppgaver etter loven», i stedet for departementets forslag som sier at behandling kan skje ved vurdering av søknader etter § 3-4 første ledd. NOKUT bruker tidligere vedtak når de vurderer nye søknader for å unngå usaklig forskjellsbehandling.

NOKUT mener det er behov for særskilt behandlingsgrunnlag for særlige kategorier av personopplysninger, automatisering og deling via vitnemålsportalen også for godkjenninger etter yrkeskvalifikasjonsregelverket.

Digitaliseringsdirektoratet mener bestemmelsen om automatisering må ha tilsvarende ordlyd som forslaget til bestemmelsen om automatisering i utdanningsstøtteloven.

3.3.2.4 Departementets vurdering

Krav til behandlingsgrunnlag etter personvernforordningen

Forordningen artikkel 6 nr. 1 bokstav e gir adgang til behandling av personopplysninger når dette er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt. Det følger videre av artikkel 6 nr. 3 at supplerende rettsgrunnlag må fastsettes i unionsretten eller i nasjonal rett. Departementet vurderer at NOKUT har behandlingsgrunnlag for å behandle personopplysninger som er nødvendig for å vurdere og fatte vedtak i godkjenningssaker etter henholdsvis uhl. § 3-4, fagskoleloven § 7 og opplæringsloven § 3-4 a som supplerende rettslig grunnlag. Departementet har videre vurdert at det foreliggende rettsgrunnlaget er avgrenset til behandling av ordinære personopplysninger med det formålet å behandle godkjenningssøknader. I dette ligger også at NOKUT kan behandle personopplysninger når det er nødvendig for å oppfylle forvaltningsrettslige plikter som for eksempel å sørge for at det ikke forekommer usaklig forskjellsbehandling. Departementet mener derfor det ikke er behov for å utvide formålet i bestemmelsen slik NOKUT foreslår.

Behandlingsgrunnlag for særlige kategorier av personopplysninger

For at NOKUT skal kunne tilby godkjenningsordninger til dem som ønsker det, slik NOKUT er pålagt i lov, er det i noen tilfeller også nødvendig å behandle særlige kategorier av personopplysninger. NOKUT etterspør ikke slike personopplysninger. Imidlertid kan det både ved utfylling av søknadsskjemaet og i vedleggene framkomme opplysninger som regnes som særlige kategorier av personopplysninger etter forordningen artikkel 9. Opplysninger om religion, seksuell legning og helse er eksempler på opplysninger som kan framkomme av søknaden. Et eksempel er at det i vigselsattester som brukes til å bekrefte en navneendring også er informasjon om en persons religion, etnisitet eller helse.I slike tilfeller vil disse opplysningene i seg selv ikke være relevante for behandling av søknadene, men dokumentet som sådant (for eksempel vigselsattest eller utdanningsdokumenter) er nødvendig for å sikre at den som leverer søknaden er den samme som har fullført utdanningen. For at NOKUT skal kunne utstede et positivt vedtak, er det avgjørende at det foreligger tilstrekkelig dokumentasjon på navnehistorikk.

Det forekommer også at særlige kategorier av personopplysninger blir oppgitt i søknaden selv om NOKUT ikke har bedt om dette. At slike opplysninger blir gitt av søkeren på eget initiativ, kan for eksempel skje når søkeren skal begrunne hvorfor NOKUT av ulike grunner ikke kan kontakte tidligere utdanningsinstitusjoner for å få verifisert utdanningsdokumenter. Det kan være personer som har vært på flukt på grunn av sin religion, seksuelle legning eller politiske overbevisning. Helseopplysninger kan også bli nevnt av søkeren selv som en del av søknaden. Slik informasjon kan for eksempel søkeren ha oppgitt i fritekstfelt i søknadsskjemaet.

Norge er etter Lisboakonvensjonen artikkel 7 forpliktet til å legge til rette for at flyktninger og personer i en lignende situasjon kan få vurdert sine kvalifikasjoner også dersom de ikke har nødvendig dokumentasjon.

I de tilfeller der det ikke er mulig å dokumentere gjennomført utdanning på en tilfredsstillende måte, tilbyr NOKUT alternative ordninger. Dette er viktig for at flest mulig som kommer til Norge skal kunne benytte sin utdanning. I enkelte tilfeller kan ikke søkeren dokumentere utdanningen sin, eller dokumentasjonen kan være ufullstendig. I andre tilfeller anses ikke dokumentasjonen som tilstrekkelig pålitelig. Dette vil for eksempel gjelde utdanningsdokumenter fra land hvor infrastrukturen på utdanningsområdet er dårlig eller har brutt sammen. NOKUT har utviklet et tilbud for å sørge for at også disse søkerne skal få vurdert sine kvalifikasjoner. Intervjubaserte ordninger som UVD (uten verifiserbare dokumenter) og NOKUTs kvalifikasjonsvurdering brukes til å sannsynliggjøre at søkeren besitter kvalifikasjoner tilsvarende den utdanningen vedkommende oppgir å ha fullført.

Etter forordningen artikkel 9 nr. 1 er behandling av særlige kategorier av personopplysninger i utgangspunktet forbudt. Disse personopplysningene er etter sin karakter særlig sensitive og er derfor gitt et særskilt vern. Dette skyldes at sammenhengen de behandles i kan skape betydelig risiko for den enkeltes grunnleggende rettigheter og friheter. For at behandling av opplysninger som nevnt i artikkel 9 nr. 1 skal være lovlig, må vilkårene i ett av unntakene i artikkel 9 nr. 2 være oppfylt. Et slikt grunnlag kan være for eksempel samtykke eller lov. I tillegg må det foreligge behandlingsgrunnlag etter artikkel 6.

Samtykke bør som et utgangspunkt ikke brukes som behandlingsgrunnlag for behandling av personopplysninger i situasjoner hvor det utøves offentlig myndighet. NOKUTs vedtak om godkjenning er enkeltvedtak. Dersom en person nekter å samtykke til behandlingen, vil NOKUT kunne avslå søknaden på grunn av manglende dokumentasjon.

En godkjenning fra NOKUT er ikke et formelt krav for å få jobb eller søke utdanning. Det er imidlertid på det rene at en NOKUT-godkjenning i flere typer bransjer ofte settes som krav når stillinger blir utlyst. En godkjenning fra NOKUT gjør at arbeidsgiveren selv slipper å vurdere dokumentasjonen på den utenlandske utdanningen. Det er for øvrig noe de færreste arbeidsgivere har kompetanse til å gjøre.

Formålet med behandling av særlige kategorier av personopplysninger er å oppfylle NOKUTs oppgaver med å godkjenne utenlandsk utdanning, høyere yrkesfaglig utdanning og fagutdanning.

Det er søkeren som gir sine personopplysninger til NOKUT, eller som gir tillatelse til at de hentes inn fra andre. Dette gir søkeren en stor grad av kontroll over hvilke opplysninger som skal behandles. Videre bidrar løsninger som tar utgangspunkt i prinsippene for selvbetjent forvaltning til at den registrerte vil ha innsyn i egne personopplysninger. Søknader om godkjenning fra NOKUT skjer i en søkerportal hvor søkeren selv har full oversikt over de personopplysningene som inngår i beslutningsgrunnlaget. Dette sikrer at de grunnleggende personverninteressene om innsyn og kunnskap, kontroll og opplysnings- og behandlingskvalitet ivaretas.

Dataminimeringsprinsippet (se omtale i punkt 3.2) ivaretas ved at NOKUT gir god og tydelig informasjon og veiledning om hvilke opplysninger og dokumenter som er nødvendige for å belyse søkerens sak tilstrekkelig. Dette vil redusere mengden av overskuddsinformasjon.

Opplysninger som har vært en del av beslutningsgrunnlaget til et vedtak, må som utgangspunkt kunne oppbevares så lenge klagefristen på et vedtak løper. Det kan også være andre grunner til å oppbevare opplysninger lenger. Det er et generelt krav om at behandlingsansvarlig foretar en vurdering av hvor lenge man har et lovlig formål til å oppbevare opplysningene, eventuelt hvor lenge man er pålagt å oppbevare disse etter annen lovgivning. Vurderingen må dokumenteres.

Risikoen for eventuelt misbruk av personopplysninger må reduseres med tilfredsstillende informasjonssikkerhet, innebygd personvern og rutiner for internkontroll, jf. bestemmelser i forordningen kapittel IV. Departementet legger til grunn at NOKUT til enhver tid sørger for å oppfylle forordningens krav til informasjonssikkerhet, innebygd personvern og rutiner for internkontroll i sine systemer.

Behandlingsgrunnlag for automatisert saksbehandling

En automatisering og effektivisering av NOKUTs saksbehandling for godkjenningsordningene vil sørge for bedre utnyttelse av samfunnets ressurser fordi saksbehandlingstiden blir betydelig kortere. Det vil også bidra til bedre opplysningskvalitet, likebehandling og riktig rettsanvendelse. Dette vil igjen øke rettssikkerheten for søkerne. Departementet legger til grunn at ved å gi alle søkere mulighet til å be om en manuell overprøving av vedtaket, vil rettighetene og interessene til de registrerte bli ivaretatt på en tilfredsstillende måte. NOKUT utvikler løsninger for automatisering framover. Departementet mener det er gode grunner for å åpne opp i regelverket for automatisering av alle godkjenningsordningene, slik at NOKUT kan igangsette og videreutvikle løsninger.

Forordningen artikkel 22 nr. 1 fastsetter at den registrerte skal ha rett til ikke å være gjenstand for en avgjørelse som utelukkende er basert på automatisert behandling som har rettsvirkning for vedkommende. Etter nr. 2 i samme artikkel vil dette ikke gjelde dersom det foreligger unntak i nasjonal rett. Den registrerte skal uansett ha rett til menneskelig inngripen fra den behandlingsansvarlige, til å uttrykke sine synspunkter og til å motsette seg avgjørelsen, se artikkel 22 nr. 3.

For at helautomatiserte avgjørelser skal være tillatt, krever artikkel 22 nr. 2 bokstav b at det fastsettes egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser. Utformingen av tiltakene må være basert på en konkret vurdering av den aktuelle behandlingen. Forvaltningslovens regler om veiledningsplikt, kontradiksjon, innsyn, begrunnelse og klage må i utgangspunktet vurderes som et vesentlig bidrag til å oppfylle forordningens krav om egnede tiltak. Garantiene i forvaltningsloven er minimumsgarantier. I tillegg kan derfor andre tiltak vurderes tatt i bruk for å redusere den økte risikoen som automatisert behandling kan medføre. Departementet forutsetter at det må foreligge tilstrekkelige kvalitetssikringsmekanismer for å sikre at opplysninger som ligger til grunn for avgjørelsen, er riktige og dekkende.

Departementet vil vurdere om det er behov for regulering i forskrift til opplæringsloven av NOKUTs supplerende rettsgrunnlag i saker om godkjenninger etter yrkeskvalifikasjonsregelverket.

3.3.2.5 Departementets forslag

Departementet foreslår å lovfeste et supplerende rettsgrunnlag for å tydeliggjøre at NOKUT kan behandle personopplysninger etter som nevnt i personvernforordningen artikkel 9 ved vurdering av søknader om godkjenning av utenlandsk utdanning og opplæring. NOKUT skal aldri innhente slike opplysninger på eget initiativ, men vil av og til måtte behandle slike fordi de inngår i dokumenter som er nødvendige for å vurdere søknaden. Tilsvarende vil gjelde for opplysninger etter artikkel 10.

Departementet foreslår å lovfeste et uttrykkelig behandlingsgrunnlag for at NOKUT skal kunne fatte vedtak om godkjenning av utenlandsk opplæring og utdanning basert på automatisert saksbehandling. Departementet foreslår at det tas inn en presisering om at søkeren kan kreve at det overprøves manuelt.

Forvaltningslovens regler om saksbehandling vil også gjelde i tilfeller hvor det fattes vedtak ved bruk av automatisert saksbehandling. Den personen som vedtaket retter seg mot, vil derfor ha rettigheter både som «den registrerte» etter personvernregelverket og som «part» etter forvaltningsloven.

Departementets forslag innebærer at det fastsettes en egen bestemmelse i henholdsvis universitets- og høyskoleloven, fagskoleloven og opplæringsloven som åpner for automatiserte avgjørelser. Departementet legger til grunn at dette oppfyller kravet i forordningen art. 22 nr. 2 bokstav b.

Departementets forslag om å innføre en rett for søkeren til å kreve manuell overprøving av vedtaket er et tiltak som kan avhjelpe eventuelle ulemper. Forvaltningslovens regler om veiledningsplikt, kontradiksjon, innsyn, begrunnelse og klage må i utgangspunktet anses å være et vesentlig bidrag til å oppfylle forordningens krav om egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser. Departementet forutsetter at det må foreligge tilstrekkelige kvalitetssikringsmekanismer for å sikre at opplysninger som ligger til grunn for avgjørelsen er riktige og dekkende.

Departementet foreslår at «departementet» i opplæringsloven § 3-4 a første ledd blir endret til «NOKUT», for å synliggjøre hvem som har ansvaret i dag.

Departementet viser til forslag til endringer i uhl. § 3-4 fjerde og femte ledd, fagskoleloven § 7 andre og tredje ledd og i opplæringsloven § 3-4 a andre og tredje ledd.

3.3.3 Behandlingsgrunnlag for å koble NOKUTs vedtak til vitnemålsportalen

3.3.3.1 Bakgrunn

Vitnemålsportalen gir enkeltpersoner mulighet til å dele sine karakterer og vitnemål fra høyere utdanning på en sikker og effektiv måte. Portalen og reguleringen av denne er nærmere beskrevet i punkt 3.5.1 og 3.5.2. NOKUT har lagt til rette teknisk for at vedtak om godkjenning av utenlandsk utdanning og opplæring skal kunne deles gjennom vitnemålsportalen. For at dette skal kunne gjennomføres, må NOKUTs database med vedtak være tilknyttet portalen. Fødselsnummer eller D-nummer og informasjon om at NOKUT har et vedtak om den registrerte i sitt system, må overføres. Dette innebærer en behandling av personopplysninger med et annet formål enn det de ble samlet inn for. Det er nødvendig at det foreligge et behandlingsgrunnlag.

3.3.3.2 Dagens regler

I dag er vitnemålsportalen regulert i uhl. § 4-14 og fagskoleloven § 41. Departementet viser til omtalen av dette i 3.5.2.

3.3.3.3 Høringsforslaget

I høringsnotatet foreslo departementet egne behandlingsgrunnlag for at NOKUT skal kunne formidle vedtak om godkjenning etter henholdsvis uhl. § 3-4, fagskoleloven § 7 og opplæringsloven § 3-4 a gjennom portalen.

Departementet foreslo et nytt ledd i uhl. § 3-4 som sier at fødselsnummer, D-nummer og informasjon om at en person har godkjenningsvedtak hos NOKUT, kan registreres i vitnemålsportalen. Videre foreslo departementet å presisere at vedtak bare kan deles når dette blir bestemt av den registrerte selv.

Tilsvarende bestemmelser ble foreslått inntatt i både fagskoleloven § 7 for godkjenning av utenlandsk fagskoleutdanning og opplæringsloven § 3-4 a for godkjenning av fag- og yrkesopplæring.

3.3.3.4 Høringsinnspill

Det er tre høringsinstanser som har gitt innspill til forslaget om å koble NOKUTs vedtak til vitnemålsportalen. Disse er NOKUT, Kompetanse Norge og NMBU. Alle tre støtter forslaget.

NOKUT mener at det også bør fastsette behandlingsgrunnlag for at vedtak om yrkesgodkjenninger kan deles via portalen.

3.3.3.5 Departementets vurdering

Dersom NOKUT kobler seg til vitnemålsportalen, vil framtidige søkere med et godkjenningsvedtak fra NOKUT, få mulighet til å dele dette på en sikker og praktisk måte med for eksempel studiesteder og arbeidsgivere. Dette vil gi samme tilgangsmuligheter som dem med vitnemål og karakterer fra norske utdanningsinstitusjoner. Vitnemålsportalen blir beskrevet i punkt 3.5. Denne kan forhindre dokumentforfalskninger og gjøre det lettere for arbeidsgivere og utdanningsinstitusjoner å kontrollere at en persons utdanning er ekte. I tillegg gir denne den enkelte en enkel, sikker og varig tilgang til egne godkjenninger.

Oppkobling til vitnemålsportalen vil innebære at fødselsnummer eller D-nummer til alle som får et godkjenningsvedtak fra NOKUT, og informasjon om at personen har fått et vedtak fra NOKUT, for den registrerte vil bli tilgjengelig i portalen. Først når en person logger seg på og aktivt velger å dele vedtaket med andre, vil selve vedtaket deles fra NOKUTs systemer i en tidsbegrenset periode. Opplysningene oppbevares ikke i vitnemålsportalen, og de må hentes fra NOKUTs systemer hver gang de ønskes delt.

Delingen av innholdet i vedtaket vil skje med samtykke som behandlingsgrunnlag. Det er derfor ikke nødvendig å regulere dette nærmere. Samtykke er derimot ikke et praktisk alternativ for koblingen mellom NOKUTs system og portalen som overfører fødselsnummer/D-nummer. Dersom det skal være mulig for enkeltpersoner å bruke portalen til å dele sine vedtak, må det fastsettes et tilsvarende behandlingsgrunnlag i lov som det allerede er for universiteter og høyskoler etter uhl. § 4-14 og for fagskoler etter fagskoleloven § 42.

Departementet vil komme tilbake til spørsmål om også vedtak om yrkesgodkjenninger bør deles via portalen.

3.3.3.6 Departementets forslag

Departementet foreslår at det for godkjenningsordningene etter uhl. § 3-4, fagskoleloven § 7 og opplæringsloven § 3-4 a, fastsettes et uttrykkelig behandlingsgrunnlag for å koble vedtakene til portalen.

Departementet foreslår et nytt ledd i uhl. § 3-4 som sier at fødselsnummer, D-nummer og informasjon om at en person har godkjenningsvedtak hos NOKUT, kan registreres i vitnemålsportalen. Videre foreslår departementet å presisere at vedtak bare kan deles når dette blir bestemt av den registrerte selv. Tilsvarende bestemmelser foreslås inntatt i nye ledd i både fagskoleloven § 7 og opplæringsloven § 3-4 a.

Se forslag til endringer i uhl. § 3-4 fjerde ledd, fagskoleloven § 7 femte ledd og opplæringsloven § 3-4 a fjerde ledd.

3.4 Register over vedtak om godkjenning av utenlandske studier (GAUS)

3.4.1 Bakgrunn

Norge er forpliktet av Konvensjonen om godkjenning av kvalifikasjoner vedrørende høyere utdanning i Europaregionen (Lisboakonvensjonen). Se nærmere omtale av konvensjonen i 2.5.2.2. Lisboakonvensjonen legger vekt på at saksbehandlingen av søknader om godkjenning av utdanning skal skje på en rettferdig og åpen måte etter et system som er åpent for innsyn, er forutsigbart og ikke-diskriminerende. Avgjørelsene skal være konsekvente og pålitelige, og kriteriene for vurderingene skal være tilnærmet like for alle godkjenningsinstanser.

GAUS er et register som inneholder enkeltvedtak om godkjenning av utenlandske studier. I Norge er godkjenning av utenlandsk utdanning og kvalifikasjoner organisert etter formålet med godkjenningen. Dersom formålet er godkjenning av høyere utdanning for det ikke-regulerte arbeidsmarkedet, er det NOKUT som vurderer utdanningen (generell godkjenning). Dersom formålet er godkjenning for å oppnå en norsk grad eller innpassing for videre studier i Norge, skal det universitetet eller den høyskolen man ønsker å studere ved, behandle søknaden (faglig godkjenning). GAUS inneholder godkjenningsvedtak både fra universiteter og høyskoler og fra NOKUT. Med GAUS kan saksbehandlere som jobber med godkjenning av utenlandsk utdanning ved utdanningsinstitusjoner, få tilgang til å lese andre institusjoners vedtak.

Formålet med GAUS er blant annet å bidra til kvalitet og likebehandling ved vurdering av godkjenning av utenlandsk utdanning i forbindelse med opptak til utdanninger. Deler av begrunnelsen for å opprette en slik database var også å få et bedre statistikkgrunnlag for myndighetenes planlegging for bruk av innvandreres kompetanse.

Forløperen til GAUS var Nasjonal database for godkjenning av høyere utenlandsk utdanning (NAG). NAG ble opprettet i 2002 som et ledd i regjeringens fornyelsesprogram og var også en del av oppfølgningen av Lisboakonvensjonen. Universitetet i Oslo utviklet databasen, og daværende Informasjonssenteret for internasjonal utdanning var systemeier og ansvarlig for kvalitetssikringen. NAG ble lansert som en frittstående database som fikk data overført fra universitetenes felles studentsystem (FS). Det skulle inneholde alle vedtak i saker som gjelder både generell godkjenning og faglig innpassing av utenlandsk høyere utdanning.

Ansvaret for NAG ble overført til NOKUT da dette ble opprettet i 2003. NOKUT har som en av sine oppgaver å fremme gjennomføringen av Lisboakonvensjonen i Norge. Det skal blant annet bidra til å sikre gode rutiner for saksbehandling av søknader om godkjenning av utenlandsk utdanning, slik at denne oppleves som åpen og rettferdig.

NAG fungerte ikke som ønsket, og en arbeidsgruppe vurderte hvordan basen kunne restruktureres for å bli et nyttig redskap for forenkling og effektivisering av godkjenningsarbeidet, likebehandling av søkere, bedre informasjon om godkjenninger og redusert saksbehandlingstid. Resultatet var at GAUS ble opprettet i 2013. Forvaltningen av databasen ble først flyttet fra NOKUT til samarbeidstiltaket FS ved Universitetet i Oslo. Deretter ble basen overtatt av Ceres, nå Unit.

Unit – direktoratet for IKT og fellestjenester i høyere utdanning og forskning – har ansvaret for å forvalte og drifte GAUS. Vedtak blir hentet til GAUS både fra det felles studentsystemet (FS) som universiteter og høyskoler bruker, og fra NOKUTs saksbehandlingssystem. Institusjonene bruker en webapplikasjon til å søke i GAUS. Det er mulig å søke på saker og personer.

Personopplysninger som registreres om studenter og søkere i GAUS i dag er: navn, fødselsdato, fødselsnummer, kjønn, statsborgerskap, adresse hjem, adresse studiested. I tillegg registreres selve vedtakene.

I tillegg til å få tilgang til praksis for godkjenning fra andre institusjoner for lettere å kunne likebehandle og sikre en nasjonal samordningspraksis på godkjenningsfeltet, brukes registeret også til å finne ut om en søker allerede har fått godkjenning av en annen institusjon eller av NOKUT. Dette sikrer at enkeltpersoner ikke får flere vedtak om godkjenning av samme utdanning fra ulike institusjoner.

Det er tilgangsstyring til GAUS, og hver institusjon gir tilgang for de saksbehandlerne som trenger det. Det er bare saksbehandlere som jobber med godkjenning på institusjonene og som har særskilt behov for å søke i GAUS, som får tilgang.

3.4.2 Dagens regler

Universiteter og høyskoler har etter uhl. § 3-5 tredje ledd i oppgave å vurdere søknader fra enkeltpersoner om godkjenning av annen høyere utdanning som faglig jevngod med utdanning som tilbys ved den enkelte institusjonen. Etter andre ledd kan det gis fritak for deler av utdanning på grunnlag av utenlandsk utdanning. Se nærmere omtale av faglig godkjenning i 2.5.4. NOKUT har etter § 3-4 ansvar for å gi generell godkjenning av utenlandsk høyere utdanning ved at utdanningens nivå og omfang godkjennes som likestilt med akkreditert norsk høyere utdanning.

Etter uhl. § 3-5 femte ledd har NOKUT ansvar for å formidle informasjon om institusjonenes vedtak om godkjenning av høyere utdanning og legge til rette for en samordnet nasjonal praksis. Dette framkommer også av forskrift om kvalitetssikring og kvalitetsutvikling i høyere utdanning og fagskoleutdanning (studiekvalitetsforskriften) § 1-5 fjerde ledd og § 6-2 andre ledd. Etter forskriften § 6-2 første ledd har institusjonene som gir faglig godkjenning etter uhl. § 3-5, plikt til å rapportere om sine avgjørelser til NOKUT. NOKUT har også plikt til å tilgjengeliggjøre egne vedtak om generell godkjenning etter § 6-1 fjerde ledd. Disse to pliktene utgjør grunnlaget for å ha et register som GAUS. Gjeldende bestemmelser samsvarer ikke med dagens praksis ettersom NOKUT ikke har ansvar for registeret og dermed ikke kan samordne en nasjonal praksis.

3.4.3 Høringsforslaget

Det ble i høringsnotatet vist til at bestemmelsene om deling av vedtak om godkjenning av utenlandsk utdanning i lov og forskrift ikke er oppdatert i tråd med de endringene som er gjort i forvaltningen av registeret. Bestemmelsene viser til at vedtak skal rapporteres til NOKUT. Men det er Unit som forvalter GAUS i dag og som dermed formidler informasjon om institusjonenes vedtak om godkjenning.

Departementet foreslo en tydeligere regulering av GAUS i universitets- og høyskoleloven og i studiekvalitetsforskriften. Dette ble gjort for å ivareta krav om et rettslig grunnlag for behandlingen av personopplysninger som skjer i GAUS, og plikten til å innrapportere opplysninger.

Departementet foreslo at det skal lovfestes en plikt for NOKUT og institusjonene til å samordne sin praksis om godkjenning av utenlandsk høyere utdanning etter §§ 3-4 og § 3-5 og registrere vedtak. Videre foreslo departementet at GAUS, registeret som brukes for å tilrettelegge for en samordnet nasjonal praksis, blir inntatt i bestemmelsen. Departementet foreslo å omtale GAUS som et register.

Departementet foreslo at det skal inntas en forskriftshjemmel til å fastsette nærmere regulering av GAUS, herunder hvilke personopplysninger som kan registreres. Departementet tar sikte på å fastsette utfyllende regulering i studiekvalitetsforskriften, basert på forslaget som ble hørt.

3.4.4 Høringsinnspill

Fire høringsinstanser har kommentert forslaget om å regulere GAUS. Unit og NOKUT støtter forslaget. UiT Norges arktiske universitet støtter forslaget og mener det er positivt at det blir fastsatt at Unit har behandlingsansvar. Nord universitet støtter at NOKUT kan dele vedtak med GAUS. Men det støtter ikke at NOKUTs ansvar for å samordne praksisen skal bli redusert, heller ikke at det innføres en samordningsplikt for de enkelte institusjonene.

3.4.5 Departementets vurdering

Departementet mener at det er behov for et tydeligere behandlingsgrunnlag for registrering og behandling av opplysninger i registeret enn det som følger av dagens regelverk. Dette er viktig for å ivareta kravene til behandlingsgrunnlag i personvernforordningen.

Formålet med registeret er å kunne dele opplysninger om hvilke utdanninger som er blitt godkjent, slik at praksisen for godkjenning blir samordnet. I tillegg er det behov for at opplysninger kan deles for å sikre at enkeltpersoner ikke får ulike vedtak fra flere institusjoner.

Departementet mener at det er behov for å tydeliggjøre i regelverket hvilke opplysninger som skal behandles i et slikt register, hvem som har plikt til å rapportere, og hvem som er ansvarlig for GAUS. Dette vil sikre at både institusjonene, NOKUT og Unit har gode behandlingsgrunnlag for å dele og behandle personopplysninger, i samsvar med formålene med registeret.

Den nye bestemmelsen i universitets- og høyskoleloven vil være behandlingsgrunnlaget for behandling av personopplysninger i registeret. I tillegg vil den fastsette en plikt for NOKUT og utdanningsinstitusjonene til å registrere opplysninger og også gi rett til innsyn i opplysninger fra andre institusjoner.

GAUS er et viktig register for å kunne dele informasjon om godkjenning av utenlandsk utdanning mellom institusjoner og NOKUT, og mellom institusjoner. For at registeret skal fungere etter sin hensikt er det nødvendig at alle institusjoner deler slik informasjon. GAUS sørger for forenkling og effektivisering av godkjenningsarbeidet, likebehandling av søkere, og bedre informasjon om godkjenninger og redusert saksbehandlingstid.

Nord universitet er uenig i at NOKUTs ansvar reduseres og at det innføres en plikt for den enkelte institusjonen til å samordne sin praksis. Departementet påpeker at forslaget i praksis ikke innebærer en endring av NOKUTs ansvar, eller at NOKUTs rolle som nasjonalt kompetansesenter for utenlandsk utdanning blir endret. NOKUT skal fortsatt tilby informasjon og råd om godkjenningsfaglige spørsmål. Videre følger det i dag av studiekvalitetsforskriften § 6-2 første ledd at institusjoner som etter uhl. § 3-5 femte ledd godkjenner utenlandsk utdanning, skal rapportere sine avgjørelser til NOKUT. Forslaget innebærer derfor ingen ny plikt for institusjonene, men det blir presisert at rapporteringen skal skje til GAUS (Unit), og ikke til NOKUT. Institusjonenes del av ansvaret for samordning av praksis er altså å bruke registeret som verktøy i saksbehandlingen og å registrere godkjenningsvedtakene der.

Forslagene som ble sendt på høring innebærer ingen nye former for behandling av personopplysninger, men tydeliggjør dagens praksis. Behandling av personopplysninger i GAUS er nødvendig for å oppfylle Norges forpliktelser etter Lisboa-konvensjonen. Registeret bidrar til samordning av praksis og likebehandling. I tillegg sikrer det at enkeltpersoner ikke får flere vedtak om godkjenning av samme utdanning fra ulike institusjoner.

GAUS er et lukket register, og det innebærer blant annet at det bare er saksbehandlere med særskilt behov for opplysningene i registeret som har tilgang. Det lagres ikke personopplysninger av særlig kategori i GAUS.

Departementet forutsetter at Unit (fra 1. juli 2021: Direktoratet for høyere utdanning og kompetanse) som behandlingsansvarlig og forvalter av registeret, fastsetter rutiner for registering og tilgang til registeret i samsvar med øvrig personvernregelverk. Det er videre viktig at utdanningsinstitusjonene og NOKUT sørger for å informere sine søkere om at vedtak som fattes i godkjenningssaker vil bli registrert i GAUS.

3.4.6 Departementets forslag

Departementet foreslår en tydeligere regulering av GAUS i universitets- og høyskoleloven. Forslaget innebærer at behandlingen av personopplysninger som skjer i registeret og plikten til å rapportere opplysninger, får et behandlingsgrunnlag i samsvar med dagens praksis og i tråd med personvernforordningen. Departementet foreslår at det lovfestes en plikt for NOKUT og institusjonene til å samordne sin praksis om godkjenning av utenlandsk høyere utdanning og registrere vedtak i registeret.

Videre foreslår departementet at det inntas en hjemmel til å fastsette forskrift med nærmere regulering av registeret, herunder hvilke personopplysninger som kan registreres.

Ordlyden i bestemmelsen er justert for å reflektere forslaget til omredigering av godkjenningsregler i nåværende § 3-5.

Departementet viser til forslaget til ny § 3-5 h.

3.5 Portal for deling av vitnemål og dokumentasjon av oppnådd kompetanse

3.5.1 Bakgrunn

Nasjonal vitnemåls- og karakterportal (vitnemålsportalen) er en portal som skal sikre sannferdig formidling av vitnemål og karakterer og forhindre bruk av forfalskede vitnemål og karakterutskrifter. Portalen ble tatt i bruk i 2017 og er regulert i universitets- og høyskoleloven, fagskoleloven og i forskrift om nasjonal vitnemåls- og karakterportal. Målet med etableringen av et digitalt system for utveksling av informasjon om vitnemål og karakterer var å skape en tjeneste der personer på en enkel måte kan synliggjøre sine resultater for arbeidsgiver, utdanningsinstitusjoner og andre som har bruk for dem, og der mottakerne kan stole på at resultatene er korrekt gjengitt.

Selve portalen inneholder det minimumet av informasjon som er nødvendig for at tjenesten skal kunne fungere på en tilfredsstillende måte. Informasjonen som formidles gjennom tjenesten hentes fra datakilden der informasjonen opprinnelig er lagret, det vil si den enkelte utdanningsinstitusjonen Dette betyr at systemet ikke inneholder resultater i form av vitnemål og karakterer, men bare er et system for å hente denne informasjonen fra utdanningsinstitusjonenes databaser og dele informasjonen med en mottaker.

Før en person logger inn og tar i bruk systemet, vil det bare ha informasjon om hvilke institusjoners databaser som inneholder resultater fra hvilke personer, altså bare fødselsnummer koblet til en identifiseringsinformasjon som viser til en utdanningsinstitusjons database. Informasjon om karakterer og vitnemål vil bare overføres fra utdanningsinstitusjonen til portalen når den som informasjonen gjelder, selv tar initiativ til det. Når en person velger å dele resultatene sine, for eksempel med en bedrift eller utdanningsinstitusjon, vil portalen formidle de resultatene som vedkommende har bestemt å dele, og i den perioden vedkommende har bestemt at disse skal være tilgjengelig.

De fleste universiteter og høyskoler, inkludert alle de statlige, benytter seg av det studieadministrative systemet Felles studentsystem (FS). Det er FS som er koblet til vitnemålsportalen, og det er der resultatene hentes fra. De fleste fagskolene mangler et tilsvarende system. Foreløpig er det derfor i hovedsak bare resultater fra universiteter og høyskoler som kan deles gjennom vitnemålsportalen.

Portalen er under utvikling. Som ledd i arbeidet med såkalte tjenestekjeder (digitalt samarbeid til det beste for brukeren) har Unit i samarbeid med andre etater utarbeidet et forslag til tjenesten Min kompetanse, som inngår i rapporten Tjenestekjeder i kunnskapssektoren (september 2020). En slik tjeneste kan gi innbyggerne en samlet oversikt og kontroll over egen formell kompetanse, autorisasjoner og sertifiseringer, og mulighet for å dele videre ved behov. For å kunne utvide vitnemålsportalen til Min kompetanse er det blant annet nødvendig at de enkelte utstederne av dokumentasjon av kompetanse har behandlingsgrunnlag for å utlevere og gi tilgang til personopplysningene.

3.5.2 Dagens regler

I dag er vitnemålsportalen regulert i uhl. § 4-14, fagskoleloven § 41 og i forskrift om nasjonal vitnemåls- og karakterportal. Lovbestemmelsene i de to lovene er utformet på lik måte og regulerer adgangen til å behandle personopplysninger i portalen. Etter de to lovbestemmelsene er det høyskoler, universiteter og fagskoler som kan koble seg til portalen for å kunne dele vitnemål og karakterer. Forskriften regulerer blant annet portalens virkeområde, formål, behandlingsansvarlig og hvilke opplysninger den kan inneholde.

3.5.3 Høringsforslaget

3.5.3.1 Regulering av portalen

Departementet foreslo at formålet til portalen utvides til å omfatte vitnemål, karakterer, annen dokumentasjon av oppnådd kompetanse og vedtak om godkjenning av utenlandsk utdanning. Dette er ment å omfatte alle former for dokumentasjon av kompetanse fra grunnskole til og med høyere utdanning. Dokumentasjon av oppnådd kompetanse kan også gjelde dokumentasjon utenfor det formelle utdanningssystemet.

Departementet foreslo videre at det i andre ledd framgår at Unit er behandlingsansvarlig for portalen.

3.5.3.2 Behandlingsgrunnlag for deling av personopplysninger

Forslaget til endringene i regulering av portalen innebærer at det også må gjøres tekniske endringer i utformingen av behandlingsgrunnlaget slik at opplysninger fra universiteter, høyskoler og fagskoler kan bli innhentet til portalen.

I høringsnotatet foreslo departementet at behandlingsgrunnlag for at universiteter og høyskoler kan levere opplysninger til portalen videreføres i ny § 4-14 a i universitets- og høyskoleloven. Bestemmelsen viderefører dagens behandlingsgrunnlag. Rettsgrunnlaget for at fødselsnummer eller D-nummer og opplysninger om at utdanningsinstitusjonen har opplysninger om personens vitnemål og karakterer som kan innhentes automatisk til portalen, blir videreført. Departementet foreslo at det blir presisert at opplysninger om vitnemål og karakterer bare kan deles når dette initieres av den registrerte. Dette er fastsatt i forskriften i dag.

Departementet foreslo videre fagskoleloven § 41 andre ledd endret slik at det gis et særskilt behandlingsgrunnlag for at fagskolene kan dele opplysninger med portalen. Dette er på samme måte som for universiteter og høyskoler ment å videreføre dagens behandlingsgrunnlag.

Fagskoler har som nevnt over ikke koblet seg til portalen i dag fordi de ikke har noe system – verken eget eller felles – som kan gjøre dette mulig. Departementet har i en høring 3. november 2020 fremmet forslag om at fagskoler skal få tilgang til å lagre sine vitnemål mv. i den nasjonale databasen for lagring av vitnemål (NVB). NVB inneholder i dag vitnemål fra videregående opplæring. Dersom fagskolevitnemål lagres i NVB, vil det være mulig å koble resultater fra fagskolen til vitnemålsportalen, slik det i dag er supplerende rettsgrunnlag for i fagskoleloven § 41. Departementet forslo i høringsnotatet det nødvendige behandlingsgrunnlaget slik at fagskoler kan overføre opplysninger om vitnemål og karakterer til NVB, se forslag til fagskoleloven § 41 nytt første ledd.

Kompetanse Norge skal sørge for avvikling av prøver i norsk og samfunnskunnskap etter introduksjonsloven med forskrifter. De har etablert integrasjon mellom sitt prøvesystem og vitnemålsportalen, for å kunne tilby god tilgang for brukerne og sikker digital deling av offentlige prøveresultater. Kompetanse Norge har supplerende rettsgrunnlag for å behandle personopplysninger i integreringsloven §§ 41 til 44. Supplerende rettsgrunnlag for deling av opplysninger med vitnemålsportalen er inntatt i integreringsforskriften § 63.

3.5.3.3 Navn

I lovforslagene som ble sendt på høring, foreslo departementet å benytte en generell betegnelse for portalen: nasjonal portal for deling av vitnemål og dokumentasjon av kompetanse. Departementet mente at det kan være hensiktsmessig at portalen reguleres uten egennavn, og at det må være opp til ansvarlig forvaltningsorgan å vurdere hva som er et godt og dekkende navn.

3.5.4 Høringsinnspill

Det er fire høringsinstanser som har uttalt seg om forslagene knyttet til portalen. NOKUT og Unit støtter forslagene. Norsk senter for forskningsdata (NSD) støtter også forslagene, men er skeptisk til å bruke begrepet «nasjonal» i navnet når det ikke er noen plikt for alle institusjoner til å benytte portalen. Norsk studentunion (NSO) er positive til å utvide portalens mandat, men støtter ikke at det skal bli mulig å dele dokumentasjon på kompetanse oppnådd utenfor det formelle utdanningssystemet. NSO støtter heller ikke forslaget om å bytte navn.

Unit støtter forslagene, og spesielt utvidelse av ordlyden som gjør at også informasjon om annen oppnådd kompetanse kan deles. Unit viser til at portalen snart vil være klar til at NOKUT kan dele sine vedtak, og at det vil bli mulig å dele dokumentasjon på sikkerhetsopplæring fra Stiftelsen Sentralregisteret. Unit er også i dialog med Vegvesenet og Mesterregisteret for å kunne muliggjøre deling av førerkort og mesterbrev. Unit er opptatt av at ordlyden i loven ikke må sette begrensninger for hvilke typer kvalifikasjoner som kan deles. Unit antar at mange aktører i fremtiden vil ønske å koble seg til.

Unit tolker den foreslåtte ordlyden i § 4-14 første ledd slik at også sertifiseringer og dokumentasjon på uformell kompetanse som kursbevis fra offentlige eller private aktører og vitnemål fra folkehøyskoler, vil kunne deles.

I tillegg støtter Unit endring av navnet på portalen. Videre foreslår Unit enkelte ordlydsendringer i bestemmelsen, blant annet at det i andre ledd tredje punktum brukes «dokumentasjon» i stedet for «dokumenter».

Unit foreslår å legge til «annen personidentifikator» i tillegg til fødsels- eller D-nummer i bestemmelsene om portalen. Dette fordi det vil bli behov for å bruke andre former for identifikatorer, for eksempel eID etter eIDAS-forordningen. Forordningen skal legge til rette for bruk av samme identifikator for elektroniske løsninger innad i EU/EØS.

3.5.5 Departementets vurdering

Departementet mener at dagens regulering av vitnemålsportalen ikke er hensiktsmessig, og bærer preg av en oppstart med bare vitnemål fra universitet og høyskoler. Portalen er et godt verktøy med potensiale til å bli brukt på flere områder. Vitnemål, kompetansebevis og annen dokumentasjon om kompetanse fra videregående opplæring er eksempler på hva som kan være relevant å formidle gjennom portalen. Vedtak om godkjenning av utenlandsk utdanning fra NOKUT er et annet.

Departementet mener det er viktig å legge til rette for at portalen kan kobles til flere kilder og dermed dele andre type dokumenter. Det innebærer at formålet med portalen må utvides, og at andre kilder må få behandlingsgrunnlag for å dele opplysninger med portalen. Departementet foreslår at selve portalen og dens (utvidede) formål blir hjemlet i uhl. § 4-14 første ledd. Behandlingsgrunnlag for deling av personopplysninger gjennom portalen må fastsettes i det regelverket der det naturlig hører hjemme.

Departementet mener at det ikke er behov for å ha en egen forskrift om portalen, og foreslår å oppheve dagens forskriftshjemmel. Enkelte bestemmelser i nåværende forskrift foreslås tatt inn i loven. Dette gjelder bestemmelsen om at dokumenter som kan deles via portalen, bare kan verifiseres i sin opprinnelige form. Dette betyr at opplysningene bare kan bekreftes som ekte når det gis tilgang til dem via den tidsavgrensede lenken som genereres når den registrerte tar initiativ til deling. En utskrift eller et skjermbilde fra portalen er ikke gyldig og kan ikke brukes som bekreftelse på kompetanse.

Departementet mener det ikke er nødvendig å ta inn hvem som er behandlingsansvarlig for vitnemålsportalen i bestemmelsen, men ser på det som nyttig. Departementet foreslår imidlertid at behandlingsansvarlig ikke blir omtalt ved navn, men som «forvaltningsorganet som er ansvarlig for portalen».

Unit har foreslått at det er behov for å legge til «annen personidentifikator» i bestemmelsene om portalen for å kunne inkludere for eksempel eID etter eIDAS-forordningen. Departementets vurdering er at dette er et forslag som krever egen utredning og eventuell høring.

NSO støtter ikke at det skal være mulig å dele dokumentasjon på kompetanse oppnådd utenfor det formelle utdanningssystemet. Departementet mener det vil være klare fordeler for både enkeltpersoner, arbeidsgivere, utdanningsinstitusjoner og andre at også annen type dokumentasjon kan deles på en sikker måte via portalen. Tilgjengeliggjøring via portalen skal ikke innebære noen form for godkjenning. Det er likevel viktig å sikre at det ved vurderingen av hvilke kilder og hvilken type dokumentasjon som skal kunne tilgjengeliggjøres tas hensyn til at portalen skal opprettholde sin troverdighet som relevant formidler av kvalitetssikret og sannferdig dokumentasjon.

Fordi departementet foreslår at portalens formål og virkeområde blir utvidet, mener departementet at navnet bør endres. Departementet ser at «nasjonal» ikke bør være en del av navnet ettersom det ikke er en plikt for alle utdanningsinstitusjoner å bruke den.

3.5.6 Departementets forslag

Departementet foreslår at portalen blir regulert i uhl. § 4-14, slik at det blir tilrettelagt for formidling av vitnemål, karakterer, annen dokumentasjon av oppnådd kompetanse og vedtak om godkjenning av utenlandsk utdanning og opplæring. Det er den registrerte personen som bestemmer hvilke resultater og hvilken dokumentasjon som kan deles gjennom portalen, hvem dette skal deles med og i hvilket tidsrom.

Departementet viser til forslaget til endringer i uhl. § 4-14.

Utdanningsinstitusjoner og andre virksomheter som skal koble seg til portalen, må ha selvstendig behandlingsgrunnlag for å kunne gjøre det. Nåværende behandlingsgrunnlag for universiteter og høyskoler videreføres i forslag til ny § 4-14 a.

Departementet foreslår å endre fagskoleloven § 41 i samsvar med de endringene som er foreslått i uhl. § 4-14. Videre foreslår departementet at det i fagskoleloven § 41 nytt første ledd åpnes for at fagskolene skal kunne overføre opplysninger om vitnemål og karakterer til den nasjonale databasen for vitnemål og dokumentasjon av kompetanse (NVB). Denne regelen vil ikke kunne settes i verk før et forslag om å regulere NVB i opplæringsloven er vedtatt. Et slikt forslag legges fram for stortinget våren 2021. Videre foreslår departementet et nytt andre ledd som gir behandlingsgrunnlag for at opplysninger som kan identifisere en persons identitet og opplysninger om at personen har resultater i NVB eller hos en fagskole, kan deles med vitnemålsportalen.

Departementet viser til forslaget til endringer i fagskoleloven § 41.

3.6 Database for statistikk om høgre utdanning og fagskoleutdanning

3.6.1 Bakgrunn

Database for statistikk om høgre utdanning (DBH) er en database med et bredt spekter av informasjon om universiteter og høyskoler. DBH ble opprettet av Kunnskapsdepartementet i 1991 og inneholder data om studenter, søkere, utdanning, forskning, personale, museum, areal, økonomi og selskapsdata.

I tillegg har departementet opprettet en egen database for fagskoler kalt DBH-fagskolestatistikk. Den har et mye mindre omfattende datasett enn den opprinnelige DBH for universiteter og høyskoler. Den inneholder data om institusjoner, studiesteder, studenter og noe om økonomi. Forskjellene skyldes dels ulikheter i mandat (fagskolene skal ikke forske eller drive museum), dels at fagskolene ikke er statsinstitusjoner, slik at det er eierne (fylkeskommuner og private) som skal ha mesteparten av økonomirapporteringen, og dels at fagskolestatistikken er ferskere.

I det følgende benyttes DBH som fellesbetegnelse, da forslagene gjelder opplysninger om individer. Det er derfor ikke nødvendig å skille mellom de to betegnelsene.

DBH forvaltes og driftes i dag av Norsk senter for forskningsdata AS (NSD), som utfører denne oppgaven. NSD er et selskap eid og finansiert av Kunnskapsdepartementet, og departementet er behandlingsansvarlig for personopplysninger som behandles i DBH.

Formålet med DBH er å legge til rette for statistikk, utredning og forskning, og for departementets forvaltning og styring av høyere utdanning og av høyere yrkesfaglig utdanning.

Individdata om søkere, studenter og ansatte ved utdanningsinstitusjonene er viktig for departementets strategiske arbeid knyttet til utviklingen og oppfølgningen av høyere utdanning og fagskoleutdanning i Norge. Rapportering av disse dataene danner, sammen med rapporteringen av regnskap og resultatdata, grunnlag for departementets vurdering av institusjonenes måloppnåelse og etatsstyring av de statlige universitetene og høyskolene. Dette gir grunnlag for utarbeidelse av Kunnskapsdepartementets årlige tilstandsrapporter for henholdsvis høyere utdanning og fagskoleutdanning. Formålet med tilstandsrapportene er å gi oversikt og en vurdering av tilstanden i både universitets- og høyskolesektoren og fagskolesektoren. Data på individnivå er også viktig for forskning og analyser av blant annet søkning og gjennomstrømning av studenter i fagskoler og høyere utdanning og om hvordan kandidater fra fagskoler og høyere utdanning lykkes i arbeidsmarkedet.

For å oppfylle formålene med DBH er det nødvendig at databasen inneholder kvalitetssikrede og fullstendige data om utdanningssektoren på individnivå. Etter departementets syn er det behov for å ha data både om søkere til og studenter ved universitetene, høyskolene og fagskolene. Det er også behov for data om de ansatte.

3.6.2 Dagens regler

Behandling av personopplysninger i DBH og grunnlaget for universiteter, høyskoler og fagskolers rapportering til DBH er i dag lovregulert i henholdsvis uhl. § 7-8 og fagskoleloven § 42. Disse bestemmelsene ble vedtatt i 2018 som følge av kravene til supplerende behandlingsgrunnlag i personvernforordningen. Fram til 2018 var behandlingen av personopplysninger hjemlet i personopplysningsloven av 2000 § 8 bokstav e.

Dagens bestemmelser regulerer hvilke personopplysninger om studenter og om ansatte som kan behandles i databasen, at departementet kan pålegge utdanningsinstitusjonene å rapportere slike opplysninger til DBH, hvem som er behandlingsansvarlig og departementets adgang til å fastsette forskrift om behandlingen av opplysninger i databasen.

Loven gir i dag supplerende rettsgrunnlag for behandling av personopplysninger om studenter og ansatte. For universitets- og høyskolesektoren inneholder databasen også data om søkere, da begrepet «studenter» tidligere er blitt tolket til å omfatte også det.

3.6.3 Høringsforslaget

3.6.3.1 Behandlingsgrunnlag for rapportering av opplysninger om søkere

Universiteter og høyskoler rapporterer i dag opplysninger om søkere, studenter og ansatte. Ordlyden i uhl. § 7-8 nevner imidlertid ikke søkere spesifikt. Til sammenligning nevner uhl. § 4-15 både søkere og studenter, og departementet mener det ikke er riktig å innfortolke søkere i student-begrepet i § 7-8. Fagskolene rapporterer i dag opplysninger bare om studenter. Departementet mener det er behov for at de også skal rapportere opplysninger om søkere.

I høringsnotatet foreslo departementet at uhl. § 7-8 andre ledd endres slik at det i DBH skal kunne behandles opplysninger om søkere til universiteter og høyskoler i tillegg til studenter. Tilsvarende endring om søkere til fagskoleutdanning ble foreslått inntatt i fagskoleloven § 42 andre ledd.

Departementet foreslo videre at fagskolene pålegges å rapportere søknadsdata, men med en adgang for departementet til å gi dispensasjon til enkelte fagskoler. Dispensasjonsadgangen vil først og fremst være aktuell å bruke for små fagskoler med begrensede studieadministrative systemer, for å unngå høy rapporteringsbyrde.

3.6.3.2 E-postadresser til studenter

Uhl. § 7-8 andre ledd og fagskoleloven § 42 andre ledd fastsetter hvilke personopplysninger om studenter som utdanningsinstitusjonene kan utlevere til DBH. Det er fødselsnummer, midlertidig fødselsnummer, navn, statsborgerskap og opplysninger knyttet til utdanning som studieprogresjon og karakterer.

E-postadresser til søkere og studenter ble lagret i DBH fram til juli 2018, da bestemmelsen i uhl. § 7-8 trådte i kraft. I forarbeidene til denne ble det drøftet og konkludert med at Datatilsynet mente at blant annet e-postadresser var konfidensiell informasjon. Høringsnotatets forslag om å innrapportere e-postadresser (og en del annen informasjon) ble ikke fulgt opp i lovforslaget.

Etter Justis- og beredskapsdepartementets vurdering er i dag e-postadresser å se på som kontaktinformasjon som til vanlig ikke er underlagt taushetsplikt etter forvaltningsloven. I lys av dette mener departementet at det bør gis adgang til å innhente og lagre også e-postadresser i DBH.

Departementet foreslo å ta inn i universitets- og høyskoleloven og i fagskoleloven at søkere og studenters e-postadresser kan behandles i DBH.

3.6.3.3 Plikt til å rapportere opplysninger

I høringsnotatet foreslo departementet at fagskolers plikt til å rapportere opplysninger til DBH som i dag følger av fagskoleforskriften § 6, bør flyttes til bestemmelsen om DBH i fagskoleloven § 42. Det samme gjelder departementets rett til å fastsette frister for rapporteringen.

3.6.3.4 Utlevering av opplysninger

De statistiske dataene i DBH som ikke inneholder personopplysninger, er tilgjengelig for alle. For personopplysninger (det vil si opplysninger som direkte eller indirekte kan knyttes til en person, som definert i personvernforordningen), må det foreligge en særskilt utleveringsadgang og et behandlingsgrunnlag for den som skal få opplysninger utlevert.

Fagskoleloven § 42 femte ledd regulerer slik utlevering av personopplysninger fra DBH. Foruten utlevering og sammenstilling til forskning og utredning, kan opplysningene også utleveres til «andre departementer og statlige organer». Det er også behov for at opplysninger fra fagskoler kan utleveres til fylkeskommunen. Etter fagskoleloven § 29 kan fagskoler søke om offentlig tilskudd fra den fylkeskommunen der fagskolen har sitt studiested. Dette er en tilskuddsordning (fra 2018) som inneholder en resultatbasert del som beregnes på bakgrunn av antall avlagte studiepoeng ved alle studiestedene i fylket. Fylkeskommunene har i tillegg ansvar for dimensjoneringen av fagskoleutdanningene, jf. fagskoleloven § 3. Fylkeskommunene har derfor behov for fullstendige data om søkere og studenter (inkl. avlagte studiepoeng) ved fagskolene i sitt fylke. Departementet mener det kan argumenteres for at fylkeskommunene i egenskap av ansvarlig for dimensjonering og for tilskudd, har behandlingsgrunnlag. Hensynet til klare hjemler tilsier at det bør presiseres i lovteksten at opplysninger fra DBH-F også kan utleveres til fylkeskommuner. Dette vil lette fagskolenes rapportering ved at de private slipper å rapportere direkte til fylkeskommunene. Fylkeskommunene vil få samlet data om alle sine fagskoler fra ett sted (DBH-F).

3.6.4 Høringsinnspill

Fire høringsinstanser har kommentert forslagene om DBH. Det er Kompetanse Norge, NOKUT, NSD og UiT Norges arktiske universitet. I tillegg støtter NMBU forslagene uten videre merknader.

Kompetanse Norge støtter forslagene og er særlig positive til at søkere blir inntatt i bestemmelsene om DBH, men bemerker at de anser Kontakt- og reservasjonsregisteret for å være en bedre kilde til e-postadresser enn DBH vil være.

NOKUT støtter også forslagene, men påpeker at e-postadressene som samles inn for studenter bør være private e-postadresser. NOKUT mener videre at departementet bør vurdere å åpne for rapportering av e-postadresser til ansatte ved universiteter, høyskoler og fagskoler. NOKUT gjennomfører undersøkelser blant ansatte, og det er tidkrevende å be om å få kontaktinformasjon fra hver enkelt institusjon.

NSD støtter deler av forslagene. De støtter ikke forslaget i fagskoleloven om at enkelte fagskoler kan få fritak fra å rapportere opplysninger om søkere.

UiT mener det er positivt at det skal rapporteres opplysninger om søkere. De støtter ikke at e-postadresser skal inn og mener at det ikke er et godt nok formål til å innhente opplysninger om e-postadresser. Det bør til i tilfelle begrenses til uteksaminerte studenter. Universitetet viser til at e-postadresser også brukes av utdanningsinstitusjonene selv til å gjennomføre undersøkelser, og at flere undersøkelser kan medføre lavere deltakerprosent. De påpeker videre at behandling av private e-postadresser vil være mer inngripende enn student-adresser.

3.6.5 Departementets vurdering

3.6.5.1 Registrere opplysninger om søkere

Behovet for individdata om søkere er det samme som behovet for data om studenter. Statistikk produsert på disse dataene er nødvendig for politikkutviklingen og styringen av institusjonene. Forskning på sektoren er nødvendig for en kunnskapsbasert politikkutvikling. Data om søkere brukes også i budsjettsammenheng for å vurdere etterspørselen etter høyere utdanning, og i styringssammenheng for å vurdere oppnåelsen av målet om god tilgang til utdanning.

Dataene brukes av departementet i form av statistikk (aggregerte data). Det er imidlertid nødvendig å registrere individuelle opplysninger på tvers av institusjonene for å produsere slik statistikk. Registrering av aggregerte tall om søkere fra hver institusjon er ikke tilstrekkelig, blant annet fordi hver person kan søke ved flere institusjoner og ulike utdanningstyper. Videre har ikke alle høyere utdanningsinstitusjoner opptak gjennom det samordnede opptaket. Noen har også lokale opptak. Individdata er nødvendig for mye av forskningen på sektoren, for eksempel for å vurdere søknadstilbøyelighet, opptak, gjennomføring på tvers av sosioøkonomiske eller demografiske grupper og om de ulike veiene gjennom utdanningssystemet. Gjennom DBH er det for eksempel kartlagt at det er mange som begynner på universitet eller høyskole etter endt fagskoleutdanning, og omvendt.

DBH innhenter samlet søknadsstatistikk både gjennom Unit/Samordna opptak (SO) og lokale opptak. Data om de lokale opptakene finnes ikke hos Unit. Det er en stor fordel for departementet at det kan lages samlet statistikk om søkerne, uavhengig av opptaksform, siden personer kan opptre i begge statistikkene. SO etablerer nå sletterutiner, og søkerdata der er tilgjengelige for forskning bare i en kort periode.

Felles studentsystem (FS) er et studieadministrativt system som blir benyttet av de fleste universiteter og høyskoler i Norge, inkludert alle de statlige. Dette driftes i dag av Unit. Videre er det institusjoner i sektoren som bruker andre studieadministrative systemer enn FS, som også må inngå i helhetlig statistikk. Det er derfor behov for en sentral database som DBH. Avlevering til DBH gjør at dataene hos institusjonene kan oppbevares i mye kortere tid.

For offisiell statistikk om høyere utdanning og fagskoleutdanning, henter SSB data fra DBH der det er aktuelt. SSB publiserer ikke jevnlig statistikk om søkere. Det produseres ikke statistikker i dag som er avhengig av at individdataene om søkere lagres i lang tid. Behovene her er større når det gjelder studenter. For forskningen er det imidlertid nødvendig med historiske data, for å kunne studere utdanning i et livsløpsperspektiv. For å kunne analysere tilgangen på høyere utdanning, er det for eksempel nødvendig å sammenligne karriereutfall for søkere med avslag eller tilbud, og hvordan personer søker over tid.

DBH-F inneholder i dag ikke opplysninger om søkere til fagskolene. Behovet for slik informasjon er like stort som for universiteter og høyskoler.

For de (for tiden) tretti fagskolene som deltar i det samordnede opptaket, er slik innrapportering enkel å få til. Dette gjelder alle offentlige fagskoler som er pålagt deltakelse i SO etter fagskoleforskriften § 3. For private fagskoler er det valgfritt. Fem private fagskoler deltok i det samordnede opptaket i 2020, og tallet kan bli større. Av de om lag femti fagskolene som ikke er med i SO, så har de større skolene egne studieadministrative systemer som også håndterer søkere. For de mange små, frittstående fagskolene kan de administrative kostnadene ved slik innrapportering være vesentlig større. Departementet foreslår at fagskolene pålegges å rapportere søknadsdata, men med en adgang for departementet til å gi dispensasjon til enkeltfagskoler. Dispensasjonsadgangen vil først og fremst være aktuell å bruke for små fagskoler med begrensede studieadministrative systemer, for å unngå høy rapporteringsbyrde.

Departementet mener at den foreslåtte endringen er en mindre utvidelse som ikke innebærer et stort inngrep i enkeltpersoners personvern. Det behandles ikke personopplysninger av særlig kategori. Individdataene i DBH brukes som nødvendig grunnlag for statistikk og forskning. Departementet legger vekt på at det er stort behov for opplysningene for å kunne utøve sentrale samfunnsfunksjoner som styring av utdanningssystemet og politikkutvikling. Det gir også grunnlag for forskning som ikke vil være mulig uten slike data.

3.6.5.2 E-postadresser

Det er et klart behov for å ha tilgang til e-postadresser. I dag blir ulike kandidatundersøkelser gjennomført etter endte utdanninger, noe som er viktig for å følge sysselsettingssituasjonen både for nyutdannede kandidater og noen år etter fullført utdanning. Det er også nyttig for å få tilbakemelding på relevans og kvalitet i utdanningene. Dette er avgjørende for å evaluere resultatet av gjennomført høyere utdanning og for framtidig politikkutvikling og styring av sektoren. E-postadressene benyttes for å spørre kandidater (uteksaminerte studenter) om de vil delta i ulike undersøkelser.

I dag gjennomføres kandidatundersøkelser og lignende etter at e-postadresser er innhentet fra de enkelte institusjonene. Institusjonene har rettsgrunnlag for å utlevere disse så sant mottakende institusjon har et behandlingsgrunnlag. Dette vil typisk være forskning etter personopplysningsloven § 8.

Kontakt- og reservasjonsregisteret (KRR) gir tilgang til innbyggernes digitale kontaktinformasjon som telefonnummer og e-postadresse, og har også oversikt over reservasjoner mot digital kontakt. Registeret er hjemlet i eForvaltningsforskriften § 29. Det er Digitaliseringsdirektoratet (Digdir) som er behandlingsansvarlig etter § 30. Etter § 29 andre ledd kan opplysninger benyttes i forbindelse med saksbehandling og utføring av forvaltningsoppgaver for øvrig. For å bruke opplysninger i registeret må formålet med utsendelsen være forankret i virksomhetens samfunnsoppdrag og videre at en slik bruk kan være fastsatt i lov, tildelingsbrev eller andre relevante kilder. Dette følger av retningslinjer for bruk av registeret. Det må gjøres en vurdering for hvert enkelt tilfelle av ønsket bruk. Det skal blant annet legges vekt på at innbyggernes behov er viktigere enn forvaltningens.

Departementet mener at det kan være mer hensiktsmessig at opplysninger om studenter og uteksaminerte kandidater hentes fra KRR når de skal brukes, framfor at opplysningene blir rapportert til DBH. Dette vil sikre at personvernforordningens krav til opplysningenes kvalitet, herunder at de skal være korrekte, oppfylles. KRR har opplysninger om alle som er registrert med D-nummer og som bruker ID-porten. Dette vil trolig omfatte en stor andel av de utenlandske studentene i Norge.

3.6.5.3 Plikt til å rapportere opplysninger

Både bestemmelsen i uhl. § 7-8 tredje ledd og i fagskoleloven § 42 tredje ledd åpner for at departementet kan pålegge henholdsvis universiteter og høyskoler og fagskoler å rapportere opplysninger om studenter og ansatte til DBH. I fagskoleforskriften § 6 er det fastsatt en plikt for fagskolene til å rapportere opplysninger om studenter.

I Prop. 64 L (2017–2018) framgår det at uhl. § 7-8 skal forstås som at universiteter og høyskoler har en plikt til å rapportere opplysninger som nevnt i bestemmelsens andre ledd. I merknaden står det: «Utdanningsinstitusjonene skal rapportere om sine studenter, doktorgradskandidater og ansatte til DBH». I dag praktiseres dette også som en plikt til å rapportere slike opplysninger. Statlige universiteter og høyskoler er forvaltningsorganer underlagt departementets styring, og departementet kan pålegge slik rapportering som del av etatsstyringen. Uhl. § 8-6 har bestemmelser om private høyskolers rapporterings- og meldeplikt.

Fagskoler er private, fylkeskommunale eller statlige. Etter fagskoleloven § 42 tredje ledd kan departementet pålegge fagskoler å rapportere opplysninger om studenter og ansatte til DBH-F. Da ny fagskoleforskrift kom i 2019 ble det med hjemmel i fagskoleloven § 42 fastsatt en slik plikt for fagskolene i forskriften § 6 til å rapportere «opplysninger som nevnt i fagskoleloven § 42 andre ledd». Det følger av samme bestemmelse at departementet kan fastsette frister for rapporteringen. Dette var en oppfølgning av ny fagskolelov hvor det i proposisjonen ble forutsatt at fagskoler skulle ha en plikt til å rapportere opplysninger om studenter og ansatte. Ved en feil viser imidlertid fagskoleforskriften § 6 kun til § 42 andre ledd, og ikke tredje ledd. Dette innebærer at plikten ikke omfatter ansatte. Departementet mener det er nødvendig å rette denne feilen, slik at det ikke skal være tvil om hvilke opplysninger fagskolene skal rapportere. Departementet mener videre at rapporteringsplikten for fagskoler burde reguleres i fagskoleloven § 42, ikke bare i forskrift.

3.6.5.4 Utlevering av opplysninger

De statistiske dataene i DBH som ikke inneholder personopplysninger, er tilgjengelige for alle. For personopplysninger, det vil si opplysninger som direkte eller indirekte kan knyttes til en person, må det foreligge en særskilt utleveringsadgang og et behandlingsgrunnlag for den som skal få opplysninger utlevert.

Fagskoleloven § 42 femte ledd regulerer slik utlevering av personopplysninger fra DBH. Foruten utlevering og sammenstilling til forskning og utredning, kan opplysningene også utleveres til «andre departementer og statlige organer». Det er også behov for at opplysninger fra fagskoler kan utleveres til fylkeskommunen. Etter fagskoleloven § 29 kan fagskoler søke om offentlig tilskudd fra fylkeskommunen hvor fagskolene har sitt studiested. Dette er en egen tilskuddsordning fra 2018 som inneholder en resultatbasert del som beregnes på bakgrunn av antall avlagte studiepoeng ved alle studiestedene i fylket. Fylkeskommunene har i tillegg ansvar for dimensjoneringen av fagskoleutdanningene, jf. fagskoleloven § 3. Fylkeskommunene har derfor behov for fullstendige data om søkere og studenter (inkl. avlagte studiepoeng) ved fagskolene i sitt fylke. Departementet mener det kan argumenteres for at fylkeskommunene har behandlingsgrunnlag i egenskap av å være ansvarlig for dimensjonering og for tilskudd. Hensynet til klare hjemler tilsier at det bør presiseres i lovteksten at opplysninger fra DBH-F også kan utleveres til fylkeskommuner. Dette vil lette fagskolenes rapportering ved at de private slipper å rapportere direkte til fylkeskommunene. Fylkeskommunene vil få samlet data om alle sine fagskoler fra ett sted (DBH-F).

3.6.6 Departementets forslag

Departementet foreslår at det i uhl. § 7-8 andre ledd inntas at det i DBH kan behandles opplysninger om søkere til universiteter og høyskoler i tillegg til studenter. I fjerde ledd foreslår departementet at innhenting erstattes med rapportering, for en mer presis formulering. Dette er en språklig endring som ikke er ment å endre realiteter.

Departementet viser til forslaget til endringer i uhl. § 7-8.

Departementet foreslår at innholdet i fagskoleforskriften § 6 Informasjonsplikt om fagskolenes rapporteringsplikt til DBH flyttes til fagskoleloven § 42. Det foreslås at rapporteringsplikten fastsettes ved at ordlyden i fagskoleloven § 42 fjerde ledd endres til «Fagskoler skal rapportere», og at det i samme ledd inntas at departementet kan fastsette frister for rapporteringen. Samtidig vil dette rette feilen i fagskoleforskriften § 6, hvor rapporteringsplikten bare viser til § 42 andre ledd om studenter og ikke tredje ledd om ansatte.

Departementet foreslår at det i § 42 andre ledd inntas at det kan behandles opplysninger om søkere til fagskoleutdanning i tillegg til studenter, på samme måte som for universiteter og høyskoler. Departementet foreslår derfor at det i fjerde ledd åpnes for at departementet kan gi fritak for rapportering av opplysninger om søkere. Slik dispensasjon kan gis som enkeltvedtak der departementet vurderer at de administrative byrdene vil være vesentlige for den enkelte fagskolen.

I fagskoleloven § 42 femte ledd foreslås det å presisere at fylkeskommuner kan få utlevert opplysninger som fagskolene i fylkeskommunens geografiske område har rapportert.

Departementet viser til forslaget til endringer i fagskoleloven § 42.

3.7 Utdanningsstøtte og behandling av personopplysninger

3.7.1 Bakgrunn

Lov 3. juni 2005 nr. 37 om utdanningsstøtte (utdanningsstøtteloven) gir overordnede bestemmelser om lån og stipend til opplæring og utdanning, og om tilbakebetaling av utdanningslån. Forskrift 15. april 2020 om utdanningsstøtte gir bestemmelser om vilkår for lån og stipend, og forskrift 17. desember 2020 har bestemmelser om tilbakebetaling av utdanningslån. Forskrift 28. august 2014 om Lånekassens innhenting av personopplysninger gir nærmere bestemmelser med hjemmel i utdanningsstøtteloven § 23.

Statens lånekasse for utdanning (Lånekassen) er underlagt Kunnskapsdepartementet og har det forvaltningsmessige ansvaret knyttet til utbetaling av lån og stipend og tilbakebetaling av studielån. Med forvaltningsmessig ansvar menes også evaluering av gjeldende ordninger. I tillegg til forvaltning av gjeldende ordninger har Lånekassen også et ansvar for å utvikle gode og enkle tjenester for kundene og for å bidra til utviklingen av nye støtteordninger.

Skoler, utdanningsinstitusjoner og fylkeskommuner medvirker til den praktiske gjennomføringen av forvaltningen, bl.a. gjennom rapportering til Lånekassen og ved å gi elever og studenter informasjon om deres rettigheter. Statens innkrevingssentral (SI) har et ansvar for innkreving av misligholdte studielån.

Lånekassen hadde 1 158 500 aktive kunder ved utgangen av 2020. 418 000 elever, studenter og lærlinger søkte om støtte for undervisningsåret 2019–2020. Det kom inn 1 013 500 søknader om utdanningsstøtte, betalingsutsettelse, sletting av renter og sletting av lån i 2020. Lånekassen delte ut 34,3 milliarder kroner i stipend og lån i 2019–2020.

Svært mye av kundenes informasjonsbehov dekkes av Lånekassens nettjenester. Lanekassen.no hadde mer enn 8,1 millioner besøk i 2020, og det var 5,7 millioner innlogginger til selvbetjeningssidene Dine sider.

Systemet for utdanningsstøtte er et sentralt utdanningspolitisk virkemiddel. Lånekassen må behandle personopplysninger for å gjennomføre sine lovpålagte oppgaver. Det er ikke mulig å gi enkeltpersoner de rettighetene de har til lån og stipend, og sørge for at de overholder sine plikter til nedbetaling av lånet, uten å behandle personopplysninger. Det kan likevel være gode grunner for å fastsette tydeligere behandlingsgrunnlag i utdanningsstøtteloven. Klare behandlingsgrunnlag vil være i samsvar med personvernprinsippene og kravene ellers i personvernforordningen.

For å oppfylle utdanningsstøttelovens formål har Kunnskapsdepartementet satt følgende overordnede mål for Lånekassen i 2021:

• Like muligheter til utdanning gjennom finansiering av den enkeltes og samfunnets kompetansebehov

• En enklere hverdag for alle i utdanning og alle med utdanningslån

3.7.2 Generelt grunnlag for behandling av personopplysninger

3.7.2.1 Bakgrunn

Lånekassen behandler personopplysninger ved forvaltningen av utdanningsstøtteordningene og tilbakebetalingen av utdanningsgjeld. Dette omfatter personopplysninger som er gitt av søkeren selv, eller som er hentet inn fra andre offentlige organer, private institusjoner, registre og læresteder i Norge eller fra myndigheter som forvalter studiestøtteordninger i utlandet.

Ut fra søkerens situasjon og om det gjelder støtte til vanlig videregående opplæring, støtte til høyere og annen utdanning eller spørsmål om lettelser i nedbetaling av utdanningslån, behandles det opplysninger om søkeren selv, og om søkerens forsørgere, foreldre, søsken, ektefelle, samboer, verge, om barn av søkeren selv eller av ektefelle eller samboer, om søkerens forsørger har samboer eller ektefelle som ikke er søkerens forsørger, og om referanseperson som søkeren har familieinnvandring med etter utlendingsloven. Behandlingen kan også omfatte opplysninger om personer i nærmeste familie som er uføre, har nedsatt funksjonsevne eller er eldre med stort pleiebehov.

Siden Lånekassen gir støtte til søkere som går i videregående utdanning, kan personer som sender inn søknad om støtte være 15 år og oppover. Personopplysninger om mindreårige behandles på samme måte som for søkere som er fylt 18 år, bortsett fra at personer med foreldreansvar for den mindreårige får kopi av vedtak og ellers personopplysninger om vedkommende etter vergemålsloven og barneloven.

Personopplysninger fra søkerens historikk for støttetildeling i Lånekassen som er relevant i vurderingen av saken, behandles også. Det kan for eksempel være hvilke tidligere perioder søkeren har fått støtte eller betalingslettelser for og hvilke ytelser eller lettelser som er gitt og grunnlaget for dette. Det kan også gjelde progresjon i utdanningen, forsinkelse og årsak til forsinkelsen i tidligere utdanning der det er gitt støtte fra Lånekassen og betalings- og innkrevingshistorikk.

Lånekassen behandler også opplysninger om helseforhold som omfattes av definisjonen av særlige kategorier av personopplysninger, jf. personvernforordningen artikkel 9. I tillegg behandles opplysninger om straffedommer og lovovertredelser, jf. artikkel 10 i samme forordning.

Lånekassen behandler personopplysninger utover ren saksbehandling av søknader om lån og stipend eller betalingslettelser. Dette gjelder ved etterkontroll av at innvilgede ytelser er berettiget, ved behandlingen av klagesaker, ved krav om tilbakebetaling av utdanningslån, utarbeidelse av årsoppgaver og lignende. Lånekassen behandler også personopplysninger for å effektivisere søknadsprosessen for søkerne i Lånekassens sikre, innloggede systemer. Endelig behandler Lånekassen personopplysninger for teknologisk utvikling og annen vitenskapelig forskning for å effektivisere og forbedre studiestøtteordningene.

I den ordinære saksbehandlingen av søknader om lån og stipend eller om lettelser i tilbakebetalingen behandles blant annet følgende opplysninger om søkeren eller låntakeren som er nødvendig for saksbehandlingen:

• hvilken utdanningsstøtte søkeren søker om, dvs. hva slags lån eller stipend

• søker har opptak i en utdanning og rett til å gå opp til eksamen

• søkerens utdanningsopplegg

• lærested for elever/studenter eller lærebedrift og lærekontrakt for lærling

• søkeren har bestått eksamen og fullført grad

• betalte skolepenger til utenlandsk lærested (etterkontroll)

• endringer, fravær og avbrudd i søkerens utdanning og årsak til avbrudd

• hvilken rett til opplæring søkeren har etter opplæringsloven

• tidligere utdanning søkeren har gått på eller fått utdanningsstøtte til og forsinkelse i utdanningen

• søkeren har generell studiekompetanse, eller årsaker til at generell studiekompetanse ikke er oppnådd, realkompetanse, fritak for fag

• folkeregisteradresse og adressehistorikk for søkeren selv og familiemedlemmer

• søkerens foreldre eller ektefelle har et tidsbegrenset opphold i utlandet

• søkeren bor med foreldre og når han eller hun eventuelt flyttet

• adresse ved lærestedet eller postadresse og avstand eller reisetid mellom lærested og foreldres folkeregistrerte adresse

• søkeren bor i institusjon eller tilrettelagt botilbud med kost og losji dekket av det offentlige

• søkeren er forsørget av barnevernet, er i barnevernsinstitusjon eller bor i fosterhjem

• søkeren avtjener militærtjeneste

• hvem søkeren bor sammen med av forsørgere og eventuell ny ektefelle eller samboer, søsken og søkerens eller ektefelles eller samboers barn

• søkeren har delt bosted

• årsaker av personlig eller sosial karakter som gjør at søkeren ikke kan bo med foreldre

• statsborgerskap

• nåværende og tidligere oppholdsgrunnlag etter utlendingsloven for søker som er utenlandsk statsborger

• sivilstand for søkeren og søkerens forsørgere

• fødselsnummer for søkeren og for forsørgere, søsken, ektefelle eller samboer, barn av søkeren eller ektefelle eller /samboer

• søkerens adopsjon av barn

• søkeren har forsørgere som har samboer eller ny ektefelle som ikke er søkerens forsørger

• foreldreansvar for søkeren

• dødsfall

• søkerens omsorgsarbeid for pleietrengende i nærmeste familie

• særlig tyngende sosiale forhold som fører til at søkeren ikke kan få tilskudd fra forsørgerne

• om søkerens forsørgere har frivillig eller tvungen eller utenrettslig gjeldsordning

• om søkerens forsørgere mangler bidragsevne

• om søkeren skal oppholde seg i utlandet og hvilket land

• søkerens leiekontrakter, skjøte etc., dvs. ved kontroll av at søkeren ikke bor sammen med foreldre

• opptak, landkode, retur for søkere med støtte etter kvoteordningen

• søkeren har bodd i Norge i en sammenhengende periode på minst to år i løpet av de siste fem årene

• søkerens graviditet og termindato, samt fødselsdato for barn

• sykdom og sykemelding, periode og grad av studieuførhet eller arbeidsuførhet

• sykdom hos egne barn under 12 år

• uførhet, uføregrad og dato for vedtak om uføretrygd

• om søkeren har nedsatt funksjonsevne

• låntakeres soning i fengsel eller sikringsanstalt

• kontonummer til søker eller forsørgere eller verge

• søkeren har tillitsverv i landsomfattende elev- eller studentorganisasjon eller i tilknytning til utdanningsinstitusjon eller studentsamskipnad

• søkerens praksis i frivillig rettshjelptiltak

• mottak av studentstipend fra Norges forskningsråd

• skattefastsettingsopplysninger for søkeren selv, ektefelle eller samboer og forsørger

• søkerens økonomiske situasjon ved gjeldsordning

• erstatnings- eller forsikringsutbetaling som følge av kritisk sykdom eller personskade på søkeren, ektefelle, forsørger

• brutto månedsinntekt for søkeren og ektefelle eller samboer

• søkerens ektefelle har særeie

• søkerens ektefelle eller samboer mottar foreldrepenger, periode og gradering

• inntekt for søker, ektefelle eller samboer og forsørgere fra a-ordningen

• gjennomsnittlig månedsinntekt

• at formue for søkeren, søkerens søsken eller søkerens barn forvaltes av statsforvalteren

• søkerens estimering av egen årsinntekt eller ektefelle eller samboerens forventede årsinntekt

• søkeren mottar andre ytelser fra det offentlige i form av stønader, trygd, pensjon, statlig eller kommunal bostøtte eller formuesverdi og vurdering av behov for trygdefinansiert bil

• søkeren mottar stønader fra Erasmus+, Norad, mfl., skolepenger fra andre eller ytelser fra andre norske eller utenlandske offentlige støtteordninger

• arbeidsledighet, arbeidsforhold, yrkesaktivitet, stillingsprosent, arbeidsgivers virksomhets navn, kommunenummer for arbeidsgiver, virksomhetsnummer for arbeidsgiver, arbeidsledighet med periode

Dette er opplysninger som det kan være nødvendig å behandle for å vurdere om søkeren eller låntakeren har rettigheter eller plikter etter regelverket om lån og stipend. I mange saker er det et fåtall av opplysningene som behandles, mens det i andre saker er nødvendig å behandle flere. Enkelte av opplysningene som behandles, er såkalte særlige kategorier av personopplysninger som nevnt i forordningens artikkel 9 nr. 1, i hovedsak helseopplysninger, og opplysninger som er omfattet av artikkel 10, nærmere bestemt opplysninger om soning.

3.7.2.2 Dagens regler

Utdanningsstøtteloven inneholder ingen generell bestemmelse om behandling av personopplysninger. Utdanningsstøtteloven § 23 gir lovgrunnlag og viktige rammer for Lånekassens innhenting av opplysninger fra andre enn søkeren selv. Forskrift om Lånekassens innhenting av opplysninger er fastsatt med hjemmel i lovens § 23, se omtale i punkt 3.7.6.

Lånekassens grunnlag for behandling av personopplysninger følger av personvernforordningen artikkel 6 nr. 1 bokstav e som bestemmer at behandling er lovlig dersom den er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt, sammenholdt med et supplerende rettsgrunnlag, jf. artikkel 6 nr. 3. Det supplerende rettsgrunnlaget følger av lovreguleringen av de oppgavene som Lånekassen skal utføre, jf. formålsbestemmelsen i lovens § 1 og den nærmere reguleringen av ytelsene i loven og tilhørende forskrifter.

Utdanningsstøtteloven § 1 angir det samfunnsmessige formålet med selve utdanningsstøtteordningene. Formålet med utdanningsstøtteordningene er å bidra til like muligheter til utdanning uavhengig av geografiske forhold, alder, kjønn, funksjonsdyktighet, økonomiske og sosiale forhold. Ordningene skal også bidra til å sikre samfunnet og arbeidslivet tilgang på kompetanse, og bidra til at utdanningen skjer under tilfredsstillende arbeidsforhold, slik at studiearbeidet kan bli effektivt. Se utdanningsstøtteloven § 1.

Lovens § 2 bestemmer at den som fyller vilkårene i loven med forskrifter, har rett til utdanningsstøtte. Utdanningsstøtteordningen er et viktig verktøy for å gjøre utdanning mulig for alle, og for å sikre det norske samfunnet tilgang på kompetent arbeidskraft. Oppgaven med å forvalte ordningen er lagt til Lånekassen som statlig myndighet, og den er regulert i lov og forskrift. Formålet med Lånekassens behandling av personopplysninger er primært å sørge for at den lovfestede retten til utdanningsstøtte blir oppfylt, men også å sikre at mottakeren overholder sine plikter knyttet til vilkår for utdanningsstøtten og tilbakebetalingen av utdanningslån. Se utdanningsstøtteloven § 18.

Lånekassen er behandlingsansvarlig for personopplysninger som behandles i Lånekassen. Lånekassen har satt ut innkreving av oppsagte lån og forvaltning av panteheftelser, utenrettslige og rettslige gjeldsordninger og ettergivelse av fordringer som ikke anses mulig å inndrive på ikke oppsagte lån, til Skatteetaten (tidligere Statens innkrevingssentral). Utdanningsstøtteloven med forskrifter regulerer også behandling som gjøres av Skatteetaten. Behandlingsansvaret er delt og nærmere regulert i samarbeidsavtale mellom Lånekassen og Skatteetaten. Lånekassen utleverer nødvendige personopplysninger til Skatteetaten og deres underleverandører for at de skal være i stand til å utføre lovpålagte innkrevingstiltak.

3.7.2.3 Høringsforslaget

Departementet foreslo i § 20 første ledd et supplerende rettsgrunnlag for Lånekassens behandling av personopplysninger. Departementet begrunnet dette med behovet for å tydeliggjøre det rettslige grunnlaget for behandlingen (behandlingsgrunnlaget).

Behandlingsgrunnlaget vil angi rammene for Lånekassens adgang til behandling av personopplysninger, herunder personopplysninger som nevnt i personvernforordningen artikkel 9 og 10. Det ble foreslått å klargjøre at det er adgang til slik behandling når dette er nødvendig for å kontrollere om vilkår for rettigheter eller plikter etter utdanningsstøtteloven med forskrifter er oppfylt. Bestemmelsen skulle tydeliggjøre at Lånekassen har det behandlingsgrunnlaget som kreves etter forordningen artikkel 6 nr. 1 bokstav e, jf. artikkel 6 nr. 3, og etter artikkel 9 nr. 2 bokstav g. Grunnlaget ville dekke både de opplysningene Lånekassen henter inn fra søkeren og låntakeren selv og fra andre, og personopplysninger som oppstår gjennom Lånekassens behandlinger og vedtak.

Det ble understreket at personvernforordningens grunnprinsipper gjelder. Dette gjelder blant annet kravet til at opplysningene skal behandles for et bestemt formål, at opplysningene skal være nødvendige for at forvaltningsorganet skal utøve oppgaver det er pålagt og at opplysningene skal være riktige.

Det ble pekt på at Lånekassens behandling av personopplysninger er en forutsetning for å gi enkeltpersoner de rettighetene de har etter utdanningsstøtteregelverket. Personvernforordningen og forslaget til ny lovbestemmelse ville avgrense behandlingen til det som er nødvendig for å kontrollere om rettigheter eller plikter foreligger. Behandling av personopplysninger som er nødvendig for å kontrollere om vilkår for rettigheter og plikter er oppfylt, må anses som forholdsmessig. Sikker håndtering av personopplysninger i samsvar med forordningens krav, taushetsplikt, tilgangskontroll og andre tiltak for å sikre personopplysningene medfører at risikoen for inngrep i den registrertes rettigheter og friheter ikke ble ansett som høy.

Det ble ikke ansett som aktuelt å bruke samtykke som behandlingsgrunnlag. En søker vil ikke ha mulighet til å få oppfylt sine rettigheter etter utdanningsstøtteordningene uten et slikt samtykke, og samtykket ville dermed ikke vært reelt og frivillig. Det ville ikke være mulig å vurdere søkerens rettigheter og plikter uten slikt samtykke, og søkeren ville uten samtykke ikke få oppfylt sine rettigheter.

Departementet pekte på at forslaget om et generelt rettsgrunnlag for behandling av personopplysninger ikke medfører større konsekvenser for personvernet enn det som følger av dagens regler, fordi Lånekassen ikke ble gitt utvidet mulighet til å behandle personopplysninger. Et klart rettslig grunnlag vil imidlertid bidra til økt åpenhet og forutsigbarhet for de registrerte.

I tillegg til rettsgrunnlaget for behandling av personopplysninger foreslo departementet å videreføre det særskilte rettsgrunnlaget for Lånekassens innhenting av opplysninger fra andre enn søkeren og låntakeren selv. Det ble foreslått å presisere at innhenting av personopplysninger fra andre må ha grunnlag i den særskilte bestemmelsen om dette som ble foreslått i § 21. Forslaget til supplerende rettsgrunnlag for behandling gikk fram av § 20 første ledd.

Nærmere om nødvendighetskravet

Forslaget til supplerende rettsgrunnlag for behandling av personopplysninger var begrenset til behandling av personopplysninger som er nødvendig for å vurdere om vilkår for rettigheter eller plikter etter utdanningsstøtteloven med forskrifter er oppfylt.

At behandlingen skal være nødvendig, følger av forordningen artikkel 6 nr. 1 bokstav e. Den stiller vilkår om at behandlingen må være nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve myndighet som den behandlingsansvarlige er pålagt. Prinsippet om dataminimering i forordningen artikkel 5 nr. 1 bokstav c innebærer også et krav om at opplysningene må være nødvendige for de formålene de behandles for.

Dette kravet innebærer blant annet at det ikke skal behandles flere opplysninger enn det som trengs for formålene. Behandlingen må være nødvendig for å vurdere om vilkår for rettigheter eller plikter etter utdanningsstøtteloven med forskrifter er oppfylt.

Det er de enkelte vilkårene for rett til lån og stipend eller til betalingslettelser som bestemmer hvilke opplysninger som er nødvendige for å vurdere om vilkår for en rett eller plikt er oppfylt. Som eksempler kan nevnes at for å vurdere om en søker har rett til sykestipend, må Lånekassen ha dokumentasjon på at vedkommende er minst 50 prosent studieufør på grunn av sykdom i en del av støtteperioden. For å vurdere om en låntaker har rett til ettergivelse av utdanningslån på grunn av uførhet, må Lånekassen ha dokumentasjon på at låntakeren er minst 50 prosent ufør. Det er imidlertid ikke nødvendig at Lånekassen behandler opplysninger om sykdommens art eller årsaken til uførheten.

Formuleringen dekker behandling av enkeltsaker etter forskrift om utdanningsstøtte og forskrift om tilbakebetaling av utdanningsstøtte. Slik behandling gjøres på bakgrunn av konkrete søknader om lån og stipend fra elever og studenter, og om lettelser i tilbakebetalingen av utdanningslånet fra personer som er i gang med tilbakebetalingen av lånet. Utdanningsstøtteordningen er imidlertid utformet slik at det også i mange tilfeller er nødvendig å behandle personopplysninger uten at dette er på direkte oppfordring fra en søker eller låntaker i form av en søknad. Lån og stipend til høyere utdanning m.m. gis som lån, og deler av lånet kan gjøres om til stipend etter hvert som eksamen er avlagt eller en grad er oppnådd. Slik omgjøring kan også gjøres for perioder med støtte lenger bakover i tid som søkeren ikke har fått full omgjøring for, dersom vedkommende tar eksamen senere. For å gi søkeren slike rettigheter må Lånekassen behandle opplysninger om faglig progresjon også uten at det foreligger en konkret søknad. En forutsetning for omgjøringen er også at søker ikke har inntekt og formue over visse grenser. Dette blir kontrollert når skattelikningen foreligger for den perioden som det er gitt støtte for.

Kontrollen av rettigheter etter utdanningsstøtteordningen kan dermed ikke knyttes bare til konkrete søknader, da det kan være nødvendig å behandle personopplysninger for å avklare slike rettigheter i en lang periode etter den opprinnelige søknaden. Dersom søkeren selv skulle søke om og dokumentere disse rettighetene, ville det kreve mer ressurser til informasjon og saksbehandling. Det ville trolig ført til at færre søkte om og fikk sine rettigheter etter regelverket. Behandling uten søknad kan også være nødvendig ut over den perioden vedkommende mottar lån eller stipend fra Lånekassen, i noen tilfeller også etter at utdanningslån er tilbakebetalt.

I noen tilfeller er det nødvendig å foreta en etterkontroll av tidligere vedtak. Oppfyllelse av enkelte vilkår er vanskelig å dokumentere på forhånd og vanskelig å kontrollere gjennom opplysninger som hentes inn fra andre. Dette gjelder særlig for utdanningsstipend til studenter i høyere utdanning m.m., som har som vilkår at søkeren ikke bor sammen med foreldrene. Studenter plikter ikke å melde flytting til studiestedet til Folkeregisteret. Det finnes heller ikke andre registre som gir korrekte opplysninger om studenters bosted. Når en student søker om lån og stipend til utdanning, skal vedkommende selv opplyse om han eller hun skal bo sammen med foreldrene i studieåret. Lånekassen gjennomfører årlige etterkontroller av disse opplysningene, gjennom å velge ut et antall mottakere til kontroll. Disse må sende inn dokumentasjon på at vedkommende faktisk har bodd borte slik det ble opplyst i søknaden. Slik etterkontroll av opplysninger fra søkeren for å kontrollere om en ytelse er gitt i samsvar med vilkårene, anses som nødvendig for å vurdere om vilkår for rettigheter eller plikter etter utdanningsstøtteloven med forskrifter var oppfylt ved tildelingen.

Formuleringen dekker også behandling av personopplysninger i klagesaker og vurdering av omgjøring av vedtak etter vanlige forvaltningsrettslige regler. Også slike behandlinger er nødvendige for å vurdere om vilkår for rettigheter eller plikter etter utdanningsstøtteloven med forskrifter er oppfylt.

Nærmere om hvem det kan behandles personopplysninger om

Det ble i § 20 første ledd ikke foreslått å regulere direkte hvem Lånekassen kan behandle personopplysninger om. De personopplysningene Lånekassen behandler, er opplysninger som er sendt inn av søkeren og låntakeren selv, opplysninger som er hentet inn om søkeren og låntakeren og andre med grunnlag i bestemmelsen om innhenting av opplysninger og de personopplysningene som Lånekassen selv produserer. Det siste vil for eksempel være opplysninger om hvor mye lån og stipend en person har fått, hvor mye utdanningsgjeld personen har, opplysninger om nedbetaling og mislighold av betalingsplikter osv.

Det vil være de fastsatte vilkårene for rettigheter og plikter som setter grensene for hvilke personer det kan behandles personopplysninger om. I hovedsak vil dette være opplysninger om søkeren eller låntakeren selv, men også opplysninger om andre må behandles når dette er fastsatt i vilkårene for rettigheten eller plikten. Innhenting av opplysninger fra andre enn søkeren og låntakeren selv vil være regulert i den særskilte bestemmelsen om innhenting av opplysninger, se punkt 3.7.6 og forslag til § 21.

Siden de konkrete vilkårene for de ulike ytelsene og rettighetene avgrenser hvilke personopplysninger Lånekassen kan behandle, mente departementet det ikke var nødvendig å regulere dette uttrykkelig i § 20 første ledd.

3.7.2.4 Høringsinnspill

Det er bare én høringsinstans som har hatt innspill til forslaget til generelt grunnlag for behandling av personopplysninger i forslagets § 20 første ledd.

Lånekassen viser til at det er nødvendig å behandle visse personopplysninger som ikke ser ut til å være omfattet av forslaget til generelt behandlingsgrunnlag i § 20 første ledd. Dette gjelder kontaktinformasjonen til søkere og låntakere, og i noen tilfeller til kundens fullmektig, oppnevnte verge eller representant for enslig mindreårig flyktning. Tilsvarende vil gjelde enkelte opplysninger om kundens eller for eksempel vergens kontoforhold. I et fåtall saker som Lånekassen behandler kan det forekomme at kunden ikke har bankkonto. I slike tilfeller kan Lånekassen ha behov for å behandle Utlendingsdirektoratets vurdering av kundens identitet for å ta stilling til om Lånekassen likevel kan utbetale lån og stipend gjennom kontantkortordningen. Lånekassen peker på at behandling av slike opplysninger ikke vil være nødvendig for å vurdere om vilkår for rettigheter eller plikter etter utdanningsstøtteloven og tilhørende forskrift er oppfylt, slik forslaget til § 20 krever.

Behandling av kontaktinformasjon og opplysninger om kontoforhold og identitet er imidlertid nødvendig for å forvalte de rettighetene og pliktene som søkere og låntakere har etter utdanningsstøtteregelverket. Lånekassen peker på hensynet til åpenhet og forutsigbarhet for de registrerte tilsier at bestemmelsen som definerer det generelle grunnlaget for behandling av personopplysninger, har en ordlyd som også omfatter Lånekassens behandling av disse opplysningene.

På bakgrunn av ovennevnte foreslår Lånekassen følgende endring av ordlyden i den foreslåtte § 20 første ledd første punktum:

«Lånekassen kan behandle personopplysninger, herunder personopplysninger som nevnt i personvernforordningen artikkel 9 og 10, når det er nødvendig for å forvalte rettigheter eller plikter fastsatt i eller i medhold av denne lov.»

3.7.2.5 Departementets vurdering

Departementet opprettholder forslaget om et generelt rettsgrunnlag for behandling av personopplysninger knyttet til rettigheter og plikter etter utdanningsstøtteloven og forskrifter med hjemmel i denne, og viser til omtalen av forslaget slik det ble sendt på høring.

På bakgrunn av innspill fra Lånekassen mener departementet behandling av visse personopplysninger er nødvendig selv om opplysningene isolert sett ikke har direkte betydning i vurderingen av om rettigheter og plikter etter utdanningsstøtteregelverket er oppfylt. Det er klart at det er nødvendig å behandle kontaktinformasjon, opplysninger om identitet og kontoopplysninger for å sikre at rettigheter og plikter etter utdanningsstøtteregelverket blir oppfylt. Det kan også tenkes at det kan være nødvendig å behandle andre opplysninger av liknende art.

Departementet foreslår å endre forslaget slik at det er et vilkår at behandlingen skal være nødvendig for å forvalte rettigheter eller plikter fastsatt i eller i medhold av utdanningsstøtteloven. Behandlingen skal fremdeles være nødvendig for å forvalte enkeltpersoners rettigheter og plikter etter regelverket om utdanningsstøtte. Dette innebærer ingen utvidelse ut over at det blir klarere at visse opplysninger som ikke isolert sett er nødvendig for å kunne vurdere selve vilkårene for rettighetene eller pliktene, også kan behandles. Forutsetningen er at det er nødvendig å behandle også disse opplysningene for å forvalte rettigheten eller plikten.

3.7.2.6 Departementets forslag

Departementet foreslår at det fastsettes et generelt grunnlag for behandling av personopplysninger når dette er nødvendig for å forvalte rettigheter eller plikter fastsatt i eller i medhold av utdanningsstøtteloven.

Departementet viser til forslag til ny § 20 første ledd i utdanningsstøtteloven.

3.7.3 Automatisert behandling

3.7.3.1 Bakgrunn

Lånekassen benytter både helt og delvis automatisert saksbehandling for lån og stipend til utdanning og for saksbehandling knyttet til tilbakebetaling av utdanningslån. Automatiseringsarbeidet er i tråd med regjeringens Digitaliseringsrundskriv som forutsetter systematisk digitaliserings- og effektiviseringsarbeid i det offentlige.

Lånekassen behandler de fleste søknadene om utdanningsstøtte automatisk på grunnlag av de opplysningene som oppgis i søknaden, og opplysninger som hentes inn fra andre. I 2018 ble 73 prosent av søknadene om lån og stipend og 88 prosent av søknadene om betalingsutsettelse behandlet helautomatisk.

Lånekassen bruker i dag en såkalt regelmotor til å vurdere om opplysningene gitt av søkeren eller innhentet fra tredjeparter gir søkeren rett til støtte. Regelmotoren avgjør om søkeren har rett til lån eller stipend, beregner støttebeløpet, lager utbetalingsplan og oppretter vedtaket til søkeren. Dersom søkeren ikke har krav på støtte, eller ikke får så mye støtte som det er søkt om, vil systemet i noen tilfeller avslå søknaden helt eller delvis. I andre tilfeller vil systemet gi beskjed om at en saksbehandler må se nærmere på saken. Da blir søknaden lagt inn i behandlingskøen, med en forklaring på hvorfor søknaden ikke ble avgjort av systemet. Adgangen til automatisert behandling og til å hente inn opplysninger fra tredjeparter er avgjørende for effektiv forvaltning av utdanningsstøtteordningene.

Mange avgjørelser som treffes etter regelverket om utdanningsstøtte, er basert på klare, forhåndsdefinerte kriterier, som for eksempel faste grenser for forsørgeres inntekt ved behovsprøving av stipend til elever i videregående skole. Slike saker er godt egnet for automatisk behandling, noe som gir både økt effektivitet og bedre ressursutnyttelse. Automatisering av beslutningsprosesser i Lånekassen er helt nødvendig for forvaltningen av utdanningsstøtteordningene og har i mange år gitt store effektivitetsgevinster. Automatisering bidrar også til økt likebehandling og kortere saksbehandlingstid for søkerne. Lånekassen har som målsetting å øke automatiseringen av avgjørelser.

3.7.3.2 Dagens regler

Behandling av personopplysninger ved helautomatiserte avgjørelser er regulert i personvernforordningen artikkel 22. Den registrerte har i utgangspunktet rett til å ikke være gjenstand for avgjørelser som utelukkende baserer seg på automatisert saksbehandling, herunder profilering, som har rettsvirkning for eller på tilsvarende måte i betydelig grad påvirker vedkommende, se artikkel 22 nr. 1. Forbudet gjelder ikke hvis en av unntaksbestemmelsene kommer til anvendelse, se artikkel 22 nr. 2.

Delvis automatiserte avgjørelser omfattes ikke av bestemmelsen i artikkel 22. Avgjørelsen må ha «rettsvirkning for» eller «på tilsvarende måte betydelig påvirke» den registrerte. Et enkeltvedtak vil ha slik virkning for den registrerte. Det kan også forekomme avgjørelser som ikke er enkeltvedtak i forvaltningslovens forstand, men som er omfattet av forordningens definisjon av avgjørelser.

For at helautomatiserte avgjørelser som har rettsvirkning for eller på annen tilsvarende måte betydelig påvirker den registrerte skal være tillatt, stiller personvernforordningen artikkel 22 nr. 2 bokstav b krav om at det fastsettes egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser.

Automatiserte avgjørelser kan etter forordningen ikke bygge på særlige kategorier av personopplysninger med mindre behandlingen er nødvendig av hensyn til «viktige allmenne interesser» etter artikkel 9 nr. 2 bokstav g, jf. artikkel 22 nr. 4, og det er innført egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter, friheter og berettigede interesser.

Departementet legger til grunn at effektiv saksbehandling i Lånekassen omfattes av «viktige allmenne interesser». Der det tas i bruk automatiserte avgjørelser som innebærer bruk av særlige kategorier av personopplysninger, må det kunne godtgjøres at behandlingen er «nødvendig av hensyn til viktige allmenne interesser», og at behandlingen er forholdsmessig ut fra formålet med behandlingen.

Forvaltningslovens regler om veiledningsplikt, kontradiksjon, innsyn, begrunnelse og klage må i utgangspunktet anses å være et vesentlig bidrag til å oppfylle forordningens krav om egnede tiltak. Garantiene i forvaltningsloven er minimumsgarantier, og i tillegg kan det derfor måtte kreves andre tiltak som er egnet til å redusere den økte risikoen en automatisert behandling anses å medføre. Utformingen av tiltakene må være basert på en konkret vurdering av den aktuelle behandlingen.

Det forutsettes at det må foreligge tilstrekkelige kvalitetssikringsmekanismer for å sikre at opplysninger som ligger til grunn for avgjørelsen, er riktige og dekkende. Hva som kreves av egnede tiltak, må vurderes i lys av betydningen som behandlingen har for den enkelte, holdt opp imot samfunnets og forvaltningens behov.

Profilering

Med profilering menes «enhver form for automatisert behandling av personopplysninger som innebærer å bruke personopplysninger for å vurdere visse personlige aspekter knyttet til en fysisk person, særlig for å analysere eller forutsi aspekter som gjelder nevnte fysiske persons arbeidsprestasjoner, økonomiske situasjon, helse, personlige preferanser, interesser, pålitelighet, atferd, plassering eller bevegelser», se personvernforordningen artikkel 4 første ledd nr. 4.

Profilering kan benyttes på ulike måter. Det europeiske personvernrådet (EDPB), som består av datatilsynsmyndighetene i EØS-landene og datatilsynsmyndigheten for EU-organene (EDPS), kategoriserer disse behandlingene i tre: Generell profilering, avgjørelser som bygger på profilering, og helautomatiserte avgjørelser, inkludert profilering. Helautomatiserte avgjørelser som inkluderer profilering, og som har rettsvirkning for den registrerte eller på tilsvarende måte i betydelig grad påvirker vedkommende, er underlagt særlige krav i forordningen artikkel 22.

Profilering kan være en del av helautomatisert og manuell saksbehandling. Profilering kan brukes i systemer med både helautomatiserte og delautomatiserte spor, for eksempel ved at kurante søknader automatisk innvilges, og at andre saker skilles ut til manuell behandling.

Profilering innebærer sammenstilling eller tolkning av informasjon og påfølgende kategorisering. Noen ganger vil profilering og vedtak skje i én og samme prosess. Andre ganger vil profileringen skje forut for et vedtak. Profilen kan danne grunnlag for et senere vedtak, enten ved å være faktisk beslutningsgrunnlag for det eller ved å peke ut kategorier som det skal rettes oppmerksomhet mot. Profilering i offentlig forvaltning kan særlig være aktuelt i kontrollrutiner, for eksempel for å skille ut grupper som er aktuelle eller ikke aktuelle for videre oppfølging.

Når profilering inngår i en helautomatisert saksbehandlingsprosess, vil behandlingen av personopplysninger måtte fylle kravene i personvernforordningen artikkel 22, i tillegg til øvrige krav i forordningen. Behandling ved profilering som ikke inngår i en helautomatisert saksbehandlingsprosess, må fylle de øvrige kravene i personvernforordningen.

3.7.3.3 Høringsforslaget

Departementet foreslo at det i § 20 andre ledd ble gitt en uttrykkelig hjemmel i utdanningsstøtteloven som tillater at det tas avgjørelser som utelukkende er basert på automatisert behandling av personopplysninger. Automatiserte avgjørelser omfatter både enkeltvedtak i forvaltningslovens forstand og andre beslutninger som «i betydelig grad påvirker» den registrerte. Departementet foreslo at slike avgjørelser må bygge på bestemmelser som er egnet for automatisert behandling, og behandlingen må sikre partens krav til forsvarlig saksbehandling. Behandlingen må være forenlig med retten til vern av personopplysninger.

Departementet foreslo videre at særlige kategorier av personopplysninger etter personvernforordningen artikkel 9 nr. 1, som blant annet helseopplysninger, kan inngå i avgjørelsen. Dette forutsetter at det innføres egnede tiltak for å verne den registrertes grunnleggende rettigheter og interesser i den konkrete behandlingen.

Departementet pekte på at kravet om at avgjørelsen må bygge på bestemmelser som er egnet for automatisert behandling, innebærer at de aktuelle bestemmelsene i hovedsak vil være objektive vilkår som ikke krever skjønnsutøvelse eller andre vurderinger. Bestemmelser som er objektive og ikke inneholder rom for skjønn eller vurderinger, vil være egnet for helautomatisering. I den grad det finnes regler som er skjønnspregede, vil de bare kunne bli gjenstand for automatisering dersom de lar seg operasjonalisere og avgjørelsen dermed er utvilsom. Kravet om forsvarlighet innebærer også at avgjørelsene skal la seg forklare og begrunne i samsvar med forvaltningsrettslige regler og prinsipper.

Departementet ga uttrykk for at disse tiltakene skulle være tilstrekkelige for å verne den registrertes grunnleggende rettigheter, friheter og berettigede interesser.

3.7.3.4 Høringsinnspill

Det er tre høringsinstanser som har hatt innspill til forslaget om automatisert behandling av personopplysninger i forslaget § 20 andre ledd.

Justis- og beredskapsdepartementet peker på at det går fram av høringsnotatet at adgangen til automatisert behandling også vil omfatte avgjørelser som ikke er enkeltvedtak. Justis- og beredskapsdepartementet viser til personvernforordningen artikkel 22 nr. 2 bokstav b og fortalepunkt 71 og peker på at i den grad den registrerte ikke vil ha klagerett etter forvaltningsloven, bør det fastsettes i lov eller forskrift at den registrerte har rett til manuell overprøving av avgjørelsen.

Prinsipielt mener Digitaliseringsdirektoratet at regler som gir behandlingsgrunnlag for automatisert behandling i offentlig sektor, burde vært regulert i forvaltningsloven og ikke i særlovgivningen. Digitaliseringsdirektoratet mener det er vesentlig at reglene som vedtas i særlovgivningen, så langt som mulig er likelydende, og at departementet ikke har begrunnet hvorfor formuleringene i forslagene om automatisert behandling i universitets- og høyskoleloven, fagskoleloven og utdanningsstøtteloven ikke er likelydende. Digitaliseringsdirektoratet anbefaler at formuleringen i utdanningsstøtteloven brukes fordi den er tett opp mot forslaget fra mindretallet i forvaltningslovutvalget, se NOU 2019: 5 Ny forvaltningslov punkt 18.3.3.3.

Lånekassen har ikke innvendinger mot forslaget, men kommenterer omtalen av bruk av kunstig intelligens og profilering i høringsnotatet.

3.7.3.5 Departementets vurdering

Retten til manuell overprøving er et vesentlig bidrag til å oppfylle forordningens krav om egnede tiltak for å redusere konsekvenser for personvernet ved helautomatisert behandling. De aller fleste avgjørelsene i forvaltningen av regelverket om utdanningsstøtte som har rettsvirkning for, eller som i betydelig grad påvirker en person, vil være enkeltvedtak i forvaltningslovens forstand. Klageretten etter forvaltningsloven vil i slike tilfeller være et viktig tiltak. Det vil imidlertid også kunne forekomme avgjørelser som i betydelig grad påvirker den registrerte, men som ikke er enkeltvedtak i forvaltningslovens forstand. I slike tilfeller er det viktig å sikre at den registrerte har en ubetinget rett til å få en manuell overprøving av avgjørelsen. Departementet slutter seg til vurderingen fra Justis- og beredskapsdepartementet og foreslår at bestemmelsen endres for klart å få fram at den registrerte har rett til manuell overprøving av slike avgjørelser.

Lånekassen gir uttrykk for at det er uklart om forslaget som ble sendt på høring, er ment å gi adgang til å benytte profilering som del av en helautomatisert behandling. Som omtalt i punkt 3.7.3.2, kan profilering være en del av en helautomatisert saksbehandlingsprosess som munner ut i en avgjørelse som har rettsvirkning for, eller som i betydelig grad påvirker, den registrerte. I slike tilfeller må behandlingen, inkludert profileringen, fylle vilkårene i forordningen artikkel 22. Forslaget som ble sendt på høring, gir grunnlag for slike avgjørelser som utelukkende er basert på automatisert behandling, inkludert behandling som i større eller mindre grad baseres på profilering. Departementet ser ikke behov for å omtale profilering i bestemmelsen.

Kravet om at avgjørelsen må bygge på bestemmelser som er egnet for automatisert behandling, innebærer at avgjørelsene i hovedsak vil tas etter objektive vilkår som ikke krever skjønnsutøvelse eller andre vurderinger. Bestemmelser som er objektive og ikke inneholder rom for skjønn eller vurderinger, er egnet for helautomatisering. Departementet pekte på at regler som er skjønnspregede, bare ville kunne bli gjenstand for automatisering dersom de lar seg operasjonalisere og avgjørelsen dermed er utvilsom. I enkelte andre regelverk er dette formulert som et krav om at avgjørelsen ikke kan bygge på skjønnsmessige lov- eller forskriftsvilkår, med mindre avgjørelsen er utvilsom. Eksempler på dette er lov om arbeids- og velferdsforvaltningen § 4 a og utlendingsforskriften § 17-7 c. Departementets oppfatning er at formuleringene i disse bestemmelsene har det samme innholdet som kommer til uttrykk i forslaget som ble sendt på høring og omtalen av dette. Departementet er enig med Digitaliseringsdirektoratet i at det er hensiktsmessig at lover og forskrifter som regulerer slike spørsmål, er mest mulig likelydende. Departementet legger fram forslag til § 20 andre ledd i tråd med dette.

Rettigheter til lån og stipend og i forbindelse med nedbetaling av utdanningslån er i all hovedsak basert på objektive og klare vilkår. Men det kan ikke ses bort fra at det i framtiden kan være aktuelt å benytte kunstig intelligens og maskinlæring for enkeltvedtak og liknende avgjørelser under utdanningsstøtteordningen. Departementet mener at dette krever nærmere vurdering, blant annet av om rammene for slik behandling bør gå tydelig fram av konkrete bestemmelser om dette. Slike bestemmelser kan fastsettes i forskrift, se punkt 3.7.5.

3.7.3.6 Departementets forslag

Departementet foreslår at det fastsettes grunnlag for at Lånekassen kan ta avgjørelser etter regelverket om utdanningsstøtte som utelukkende er basert på automatisert behandling av personopplysninger. For å verne den registrertes grunnleggende rettigheter og interesser foreslås det at avgjørelsen ikke kan bygge på skjønnsmessige lov- eller forskriftsvilkår, med mindre avgjørelsen er utvilsom. Videre må behandlingen sikre partens krav til forsvarlig saksbehandling, og den må være forenlig med retten til vern av personopplysninger. Det foreslås å fastsette at den registrerte har rett til manuell overprøving av avgjørelsen.

Departementet viser til forslag til ny § 20 andre ledd i utdanningsstøtteloven.

3.7.4 Viderebehandling av personopplysninger

3.7.4.1 Bakgrunn

I tillegg til saksbehandling er Lånekassen også pålagt andre forvaltningsoppgaver som innebærer behandling av personopplysninger. Lånekassen utarbeider statistikk og foretar utredninger og analyser for å vurdere og foreslå endringer i utdanningsstøtteregelverket, og for å evaluere eksisterende ordninger.

Evaluering og utredning av støtteordninger

Den norske staten bruker om lag 13,8 milliarder kroner årlig på utdanningsstøtteordningene. For å sikre oppfyllelsen av ordningenes samfunnsmessige formål om å gi like muligheter til utdanning og om tilgang på kompetent arbeidskraft, og for å kunne benytte ordningene på best mulig måte som et utdanningspolitisk virkemiddel, må de jevnlig evalueres og mulige endringer må utredes. Dette er kjerneoppgaver for å sikre at departementet og Stortinget har nødvendig og korrekt beslutningsgrunnlag ved justeringer i ordningene. Utredninger skal legge et godt grunnlag for beslutninger om endringer gjennom blant annet å identifisere alternative tiltak og utrede og vurdere virkningene av aktuelle tiltak, se instruks om utredning av statlige tiltak (utredningsinstruksen). Evalueringer gjennomføres for å få informasjon om effektivitet, måloppnåelse og resultater for å finne ut om lover og andre reguleringer virker etter hensikten, se reglement for økonomistyring i staten § 16. Datagrunnlaget for slike utredninger og evalueringer bygger blant annet på personopplysninger, men gjennomføres for å avklare virkninger av utdanningsstøtteordningene på et overordnet nivå. Det finnes per i dag ingen løsning for å fremstille kunstige (syntetisere) opplysninger på en slik måte at de vil kunne erstatte personopplysninger i utredning og evaluering.

Lånekassen arbeider med å lage retningslinjer for arbeidet med å utrede og evaluere ulike sider ved støtteordningene. Retningslinjene skal ivareta kravene til informasjonssikkerhet og garantier mot at opplysninger kommer på avveie, herunder at arbeidet dersom det er mulig, skal foregå med opplysninger som ikke kan identifisere de registrerte. Lånekassen har også tiltak for å minske inngrepet i personvernet, for eksempel ved å pseudonymisere opplysningene og gjennom datakryptering.

Utvikling og test av IT-systemer

Personopplysninger behandles også i utvikling og test av IT-systemer. Lånekassens saksbehandlingssystemer utvikles kontinuerlig, både når eksisterende systemer må byttes ut, når Lånekassen pålegges nye oppgaver og for å følge opp endringer i regelverk. Dersom dette ikke gjøres på en tilfredsstillende måte, vil ikke Lånekassen kunne behandle saker korrekt, og rettigheter og plikter vil ikke bli ivaretatt. Alle endringer i IT-systemer må testes underveis i utviklingen og før de kan tas i bruk. Med utvikling menes i denne sammenhengen det å lage eller oppgradere et IT-system som skal brukes i forvaltningen av ordningene. Med test menes det å foreta kontroll av at IT-systemet fungerer slik det skal, både underveis i utviklingen og før systemet settes i produksjon. Hovedbildet er at Lånekassen benytter både pseudonymiserte og fiktive data til slike formål. I noen grad benytter imidlertid Lånekassen også opplysninger om identifiserte personer til både utvikling og test.

Lånekassen deltar i et bredt, tverretatlig samarbeid for å etablere fiktive data som i fremtiden kan erstatte bruk av personopplysninger til test og utviklingsformål, og som skal kunne benyttes på tvers av etatene. Dette er et omfattende arbeid som vil ta noe tid.

Tilpasset informasjon

Lånekassen har som målsetting å gi søkere og støttemottakere mest mulig relevant informasjon slik at den enkelte kan ivareta sine egne interesser. Regelverket om utdanningsstøtte kan være krevende å forstå, for eksempel for personer som får barn, er syke eller blir forsinket i løpet av utdanningen. Personer som nedbetaler utdanningslån, og som kommer i en vanskelig økonomisk situasjon, kan ha rettigheter til lettelser i nedbetalingen.

Dersom Lånekassen har adgang til å bruke personopplysninger til å gi tilpasset informasjon til studenter eller tilbakebetalere, vil disse kunne bli bedre i stand til å ivareta sine rettigheter.

Tilpasset informasjon kan gis på grunnlag av enkle kategorier av opplysninger om personer, for eksempel alder, hva slags utdanning det er gitt støtte til osv. Dersom personopplysninger brukes for å vurdere visse personlige aspekter knyttet til en person, særlig for å analysere eller forutsi aspekter som gjelder for eksempel vedkommendes personlige preferanser, interesser eller atferd, regnes dette som profilering etter personvernforordningen. Profilering er definert i forordningen artikkel 4 nr. 4. Den er omtalt ovenfor i punkt 3.7.3.2.

Bruk av personopplysninger til profilering må være i samsvar med de generelle personvernprinsippene. Behandlingen må blant annet være lovlig, rettferdig og gjennomsiktig. Dette innebærer blant annet at den registrerte skal kunne få tydelig og forståelig informasjon om hvordan personopplysningene er behandlet. Prinsippet om formålsbegrensning gjelder, slik at opplysninger som opprinnelig er samlet inn for ett formål, ikke kan benyttes til et annet formål dersom det nye formålet ikke er forenlig med det opprinnelige. Det må i tilfelle foreligge et rettslig grunnlag for slik viderebehandling.

3.7.4.2 Dagens regler

Forordningen artikkel 5 nr. 1 bokstav b bestemmer at personopplysninger skal samles inn for spesifikke, uttrykkelig angitte og berettigede formål (prinsippet om formålsbegrensning). Videre slår bestemmelsen fast at opplysningene ikke kan viderebehandles på en måte som er uforenlig med disse formålene. Forordningen artikkel 6 nr. 4 bokstav a til e viser til en skjønnsmessig vurdering av om ny bruk av opplysningene er forenlig eller ikke med den opprinnelige behandlingen. Dersom det nye formålet er forenlig med det opprinnelige formålet, vil det ikke være behov for et nytt behandlingsgrunnlag eller supplerende rettsgrunnlag for det nye formålet. Viderebehandling til uforenlige formål er lovlig dersom det foreligger særskilt behandlingsgrunnlag i lov eller samtykke fra den registrerte, jf. artikkel 6 nr. 4. Det stilles videre krav om at bestemmelser som åpner for viderebehandling for uforenlige formål, må være nødvendige og forholdsmessige.

Viderebehandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål, skal ikke anses som uforenlig med de opprinnelige formålene med behandlingen, jf. artikkel 5 nr. 1 bokstav b.

Opplysningene som Lånekassen innhenter, skal i utgangspunktet brukes til å vurdere om en søker eller låntaker har rettigheter eller plikter etter utdanningsstøtteregelverket, inkludert etterkontroller og behandling av klagesaker eller saker om omgjøring av vedtak.

Personvernforordningen artikkel 6 nr. 4 inneholder flere momenter som skal vektlegges ved vurderingen av om det nye formålet er forenlig med det opprinnelige. Det skal foretas en konkret vurdering av om behandlingen er forenlig med det formålet opplysningene opprinnelig ble innhentet for. Det skal legges vekt på:

• enhver forbindelse mellom formålene som personopplysningene er blitt samlet inn for, og formålene med viderebehandlingen,

• i hvilken sammenheng personopplysningene er blitt samlet inn, særlig med hensyn til forholdet mellom de registrerte og den behandlingsansvarlige,

• personopplysningenes art, især om det er tale om særlige kategorier av personopplysninger etter artikkel 9 eller personopplysninger om straffedommer og lovovertredelser etter artikkel 10,

• de mulige konsekvensene av viderebehandlingen for de registrerte,

• om det foreligger nødvendige garantier, som kan omfatte kryptering eller pseudonymisering.

Utredningsinstruksen (fastsatt ved kgl.res. 19. februar 2016 med hjemmel i instruksjonsmyndigheten) og reglementet for økonomistyring i staten pålegger offentlige myndigheter å utrede alternativer til og konsekvenser av ulik bruk av statlige midler. Utredning og evaluering er oppgaver som er pålagt offentlige myndigheter gjennom instruks og reglement, og som myndighetene dermed ikke kan unnlate å gjennomføre. Lånekassen har en forvaltningsmessig plikt til å gjennomføre utredninger og evalueringer på instruks fra departementet. Personopplysninger kan lovlig viderebehandles til enkelte nye formål som er definert i personopplysningsloven § 8, nemlig til «arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål», jf. forordningen artikkel 5 nr. 1 bokstav b.

3.7.4.3 Høringsforslaget

Utvikling og test

Departementet foreslo i høringen at det skulle gå fram av utdanningsstøtteloven at Lånekassen kan bruke personopplysninger, herunder særlige kategorier av personopplysninger, til utvikling og test av IT-systemer. Adgangen ble foreslått begrenset til situasjoner der det var umulig eller uforholdsmessig vanskelig å bruke anonyme eller fiktive opplysninger.

Departementet pekte på at det er ønskelig at Lånekassen i størst mulig grad benytter anonyme eller fiktive opplysninger i arbeidet med utvikling og test av IT-systemer.

Det ble pekt på at det ikke er realistisk å etablere et testmiljø som er fullstendig anonymisert, og at det heller ikke er mulig eller at det er svært ressurskrevende for Lånekassen å bruke fiktive opplysninger for å gjennomføre all utvikling og test av IT-systemer.

Et fullstendig syntetisk datagrunnlag for utvikling og test er svært ressurskrevende både i etablering og forvaltning. Et nøyaktig arbeid med utvikling og test er en forutsetning for at Lånekassen skal kunne utføre sine oppgaver. At Lånekassens systemer fungerer slik de skal, har stor betydning for svært mange personer, og konsekvensene av feil er betydelige. Inntil det foreligger syntetiske data med tilfredsstillende kvalitet, er det derfor nødvendig at Lånekassen på visse vilkår kan bruke personopplysninger til disse oppgavene.

Departementet pekte på at det er uheldig at personopplysninger brukes i prosesser som den registrerte ikke er kjent med, selv om behandlingen ikke har direkte konsekvenser for den enkelte ut over dette. Personvernhensyn taler for at det bør være klart for de registrerte hvordan personopplysningene deres blir brukt. Viderebehandlingen av personopplysninger til utvikling og test har etter departementets vurdering begrensede konsekvenser for de registrerte, men det er likevel ikke heldig at slik behandling ikke er synliggjort.

Departementet viste til at forordningen artikkel 9 nr. 2 bokstav g på visse vilkår åpner for behandling av særlige kategorier av personopplysninger når dette er nødvendig av hensyn til «viktige allmenne interesser». Det vil være nødvendig å behandle personopplysninger som er omfattet av forordningen artikkel 9 ved utvikling og testing av IT-systemer. Også deler av systemet som behandler denne typen opplysninger, må utvikles og testes. Departementet ga uttrykk for at slik behandling er omfattet av artikkel 9 nr. 2 bokstav g, fordi den er nødvendig av hensyn til viktige allmenne interesser. Uten slik utvikling og test kan ikke Lånekassen utføre sine oppgaver på en måte som sikrer den enkeltes rettigheter og plikter etter utdanningsstøtteloven med forskrifter.

Forordningen stiller krav om «egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser». Opplysningene vil være underlagt forvaltningsmessig taushetsplikt, og de vil være sikret i tråd med kravene til personopplysningssikkerhet. Prinsippet om dataminimering medfører at det bare er de nødvendige opplysningene som brukes, for eksempel perioden for sykmelding, og ikke årsaken til sykmeldingen. Systemene er også underlagt tilgangskontroll, slik at bare personer med tjenstlig behov vil ha tilgang. I den grad det er mulig, skal opplysningene også pseudonymiseres. Lånekassen har også retningslinjer som setter rammer for bruken av personopplysninger. Dette er konkretisert i prosedyrer for behandling av personopplysninger og protokollføring, og prosedyrer for varsling av eventuelle personvernbrudd. Dersom behandlingen kan medføre høy risiko for den registrerte, er det også etablert et rammeverk for vurdering av personvernkonsekvenser. Disse retningslinjene skal videreutvikles slik at de gir klare retningslinjer for bruken av personopplysninger i utvikling og test.

På bakgrunn av dette foreslo departementet en ny lovbestemmelse i § 20 tredje ledd som skulle fastslå at Lånekassen kan bruke personopplysninger, herunder særlige kategorier av personopplysninger, til utvikling og test av IT-systemer. Adgangen skulle begrenses til situasjoner der det er umulig eller uforholdsmessig vanskelig å bruke anonyme eller fiktive opplysninger. Utgangspunktet skulle fremdeles være at anonyme eller fiktive data skal brukes der det er mulig.

Utredning og evaluering

I forslaget til § 20 fjerde ledd som ble sendt på høring, viste departementet til at det hadde vært ønskelig at Lånekassen kunne benytte anonyme eller fiktive opplysninger i arbeidet med utredning og evaluering av støtteordningene. Dette er imidlertid ikke mulig i dagens situasjon.

Departementet viste til at bruk av anonyme eller fiktive opplysninger for å gjennomføre utredning og evaluering av elementer i støtteordningene, er vanskelig. Det er også usikkert om det vil være mulig å utvikle syntetiske data som kan brukes til dette formålet. Dette skyldes at det er krevende å skape et syntetisk datagrunnlag som i stor nok grad for utrednings- og evalueringsformålet gjenspeiler virkeligheten. Lånekassens utredninger og evalueringer må være faktabaserte og derfor bygge på opplysninger fra fagsystemene. Dette omfatter også personopplysninger.

Utarbeiding av statistikk er å anse som et forenlig formål etter forordningen artikkel 5 nr. 1 bokstav b. Personopplysningsloven §§ 8 og 9 gir rettslig grunnlag for behandling av personopplysninger når dette er nødvendig, blant annet til statistiske formål. For behandling av særlige kategorier av personopplysninger kreves det etter § 9 at samfunnets interesse i at behandlingen finner sted, klart overstiger ulempene for den enkelte. Behandlingen skal være omfattet av nødvendige garantier i samsvar med personvernforordningen artikkel 89 nr. 1.

På samme måte som beskrevet ovenfor for utvikling og test, viste departementet til at konsekvensene for den registrerte er at personopplysninger brukes til en oppgave som den registrerte ikke er kjent med. Behandlingen vil ikke ha konsekvenser for den enkeltes rettigheter eller plikter eller videre kundeforhold i Lånekassen. Viderebehandlingen av personopplysninger til utredning og evaluering har etter departementets vurdering begrensede konsekvenser for de registrerte.

På samme måte som ved utvikling og test av IT-systemer vil det være nødvendig å behandle personopplysninger som er omfattet av forordningen artikkel 9 ved utredning og evaluering av støtteordningene. Også elementer i støtteordningene som for eksempel angår søkere som blir syke, må utredes og evalueres. Uten slik utredning og evaluering kan ikke Lånekassen utføre sine oppgaver på en måte som sikrer at statlige midler blir brukt på ønsket måte.

Som omtalt ovenfor for utvikling og test stiller forordningen krav om «egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser». Bruk av personopplysninger av særlig kategori til utredning og evaluering vil være underlagt samme tiltak som bruk til utvikling og test av IT-systemer.

Departementet foreslo på bakgrunn av dette at det skulle gå fram av utdanningsstøtteloven at Lånekassen kan bruke personopplysninger, herunder særlige kategorier av personopplysninger, til utredning og evaluering. Forutsetningen var at dette skulle være nødvendig for å oppfylle plikten til å utrede mulige endringer i regelverket om studiestøtte og for å evaluere eksisterende ordninger. Formålet med bruken av opplysningene er at myndighetene skal ha det nødvendige kunnskapsgrunnlaget om virkningene av utdanningsstøtteordningene, både ved vurdering av endringer og ved evaluering av eksisterende ordninger. Lånekassen har en forvaltningsmessig plikt til å gjennomføre slike oppgaver.

Også for utredning og evaluering er utgangspunktet at anonyme eller fiktive data skal brukes der det er mulig, og opplysninger skal pseudonymiseres i størst mulig grad.

Tilpasset informasjon

I forslaget som ble sendt på høring, viste departementet til at et komplekst regelverk medfører et stort behov for å gi målrettet informasjon til personer som kan ha rettigheter etter regelverket. Slik informasjon vil treffe bedre enn generell informasjon.

Viderebehandling av personopplysninger vil ha som formål å gi støttemottakere og låntakere bedre informasjon og bedre muligheter til å ivareta sine egne interesser. Dersom det benyttes profilering i viderebehandlingen, må det sikres at de grunnleggende prinsippene i forordningen artikkel 5 overholdes.

Departementet foreslo at Lånekassen gis supplerende rettsgrunnlag for å behandle personopplysninger for å forbedre informasjonen til kundene. Behandlingen kan ikke omfatte personopplysninger som er omfattet av forordningen artikkel 9 og 10. Lånekassen kan ikke hente inn opplysninger til dette formålet.

3.7.4.4 Høringsinnspill

Det er to høringsinstanser som har hatt innspill til forslagene om viderebehandling av personopplysninger for test og utvikling, evaluering og utredning og for tilpasset informasjon.

Justis- og beredskapsdepartementet viser til at forslagets § 20 tredje, fjerde og femte ledd passer i forskrift. De viser til at forslagene i tredje og fjerde ledd, om behandling av personopplysninger for utvikling og test og for utredning og evaluering, dreier seg om behandling av personopplysninger som i mange tilfeller vil være forenlig med det foreslåtte formålet i § 20 første ledd. Dette trenger derfor ikke noe særskilt grunnlag. Videre viser de til at femte ledd, om behandling av personopplysninger for å gi tilpasset informasjon, ser ut til å dreie seg om behandling for samme formål som nevnt i første ledd. Slike presiserende bestemmelser som i stor grad overlapper med § 20 første ledd lest i sammenheng med personvernforordningens regler, egner seg etter deres syn best i forskrift.

Kompetanse Norge viser til at bruk av personopplysninger bør omfatte utprøving av nye utdanningsstøtteordninger og evaluering og utredning av virkninger av nye ordninger i tillegg til evaluering av eksisterende ordninger.

3.7.4.5 Departementets vurdering

Justis- og beredskapsdepartementet viser til at behandling av personopplysninger for utvikling og test, for utredning og evaluering og for tilpasset informasjon i mange tilfeller er behandlinger som er forenlige med det foreslåtte formålet i forslagets første ledd. De påpeker at slike presiserende bestemmelser som i stor grad overlapper med § 20 første ledd lest i sammenheng med personvernforordningens regler, egner seg best i forskrift.

Spørsmålet om en viderebehandling av personopplysninger er forenlig med det opprinnelige formålet med behandlingen, er avhengig av en konkret vurdering i det enkelte tilfellet. Departementet har ikke funnet grunn til å vurdere om behandlingene kan anses som forenlige med det opprinnelige formålet med behandlingen av personopplysningene, eller om det finnes andre supplerende rettsgrunnlag for viderebehandlingen. Dette vil også kunne variere fra sak til sak. Det er usikkert om en overordnet vurdering av dette vil kunne gi det korrekte resultatet for alle aktuelle behandlinger. Departementet mener det er gode grunner som taler for å klargjøre det rettslige grunnlaget for slik viderebehandling av personopplysninger.

Departementet er enig i høringsinnspillet om at denne type bestemmelser bør fastsettes i forskrift. Høringsuttalelser som knytter seg til disse delene av høringsforslaget, vil bli vurdert i forbindelse med arbeidet med forskriftsbestemmelsene.

3.7.4.6 Departementets forslag

Departementet foreslår at adgangen til viderebehandling for utvikling og test, utredning og evaluering, samt for tilpasset informasjon, ikke fastsettes i loven. Adgangen til viderebehandling kan reguleres i forskrift, se punkt 3.7.5.

3.7.5 Forskriftshjemmel

3.7.5.1 Høringsforslaget

I høringen viste departementet til at det kan vise seg å være behov for ytterligere og mer detaljerte regler om behandling av personopplysninger som det ikke er naturlig å regulere i lov. Det ble derfor foreslått i § 20 sjette ledd at departementet kan gi nærmere regler i forskrift om behandling av opplysninger, blant annet om formålet med behandlingen, hvilke personopplysninger som kan behandles, hvem det kan behandles personopplysninger om, bruk av automatiserte avgjørelser og adgangen til viderebehandling til andre formål. Slike utdypende bestemmelser egner seg etter departementets syn best i forskrifts form da utformingen kan bli både detaljert og omfangsrik.

3.7.5.2 Høringsinnspill

Ingen av høringsinstansene har hatt innspill til forslaget om hjemmel for å fastsette forskrift med utfyllende regler om behandling av personopplysninger i Lånekassen.

3.7.5.3 Departementets vurdering

Departementet viser til forslaget som ble sendt på høring og opprettholder dette.

3.7.5.4 Departementets forslag

Departementet foreslår at det fastsettes hjemmel til å gi forskrift om behandlingen av personopplysninger i Lånekassen. Forskriften kan blant annet gi regler om formålet med behandlingen, hvilke typer personopplysninger som kan behandles, hvem det kan behandles personopplysninger om, bruk av automatiserte avgjørelser og adgangen til viderebehandling og utlevering.

Departementet viser til forslag til ny § 20 tredje ledd i utdanningstøtteloven.

3.7.6 Innhenting av opplysninger

3.7.6.1 Bakgrunn

Lånekassen arbeider for å utvikle ordninger og forvaltning i tråd med ambisjonen for gjeldende digitaliseringspolitikk, slik denne er formulert blant annet i Meld. St. 27 (2015–2016) Digital agenda for Norge — IKT for en enklere hverdag og økt produktivitet. Lånekassen har allerede lang erfaring med bruk av data fra tredjepart i forvaltning av utdanningsstøtteordningene. Gjenbruk av data har vært og er et sentralt virkemiddel for modernisering i Lånekassen. Det er en forutsetning for å gi kundene gode digitale tjenester. Lånekassen har som målsetting at søkeren eller låntakeren i minst mulig grad selv skal sende inn dokumentasjon. Ønsket er at effektiviteten gjennom automatisert behandling og bruken av digitale tjenester skal økes.

Utdanningsstøtteloven § 23 regulerer Lånekassens innhenting av opplysninger fra andre enn søkeren eller låntakeren selv. Lovhjemmelen med tilhørende forskrift om Lånekassens innhenting av opplysninger fra andre gir konkrete og detaljerte regler om hvilke opplysninger som kan hentes inn for de ulike persongruppene, og fra hvilke kilder. Dette omtales nærmere i punkt 3.7.6.2.

Lånekassens behandling av søknader om lån og stipend eller om lettelser i tilbakebetalingen er i dag i stor grad basert på opplysninger som er innhentet fra andre enn søkeren selv. Dette har flere fordeler:

• Bedre kvalitet i opplysningene. Et eksempel er innhenting av opplysninger om periode med registrert arbeidsledighet fra NAV i forbindelse med søknad om sletting av renter. Det kan være vanskelig for låntakeren å sende inn riktig og fullstendig dokumentasjon. Lånekassen henter inn opplysninger om relevant periode fra NAV, noe som i mange tilfeller bedrer kvaliteten og sikrer rettigheter for låntakeren.

• Opplysningene vil oftere være mer korrekte, oppdaterte og fullstendige.

• Lånekassen kan sikre at de mottar data som er relevante i søknadsbehandlingen, og at det ikke mottas overskuddsinformasjon. Lånekassen erfarer i dag at søkere sender inn mer informasjon enn Lånekassen har bruk for i sin saksbehandling, også særlige kategorier av personopplysninger om seg selv eller om andre.

• Saksbehandlingen blir mer effektiv, da den i større grad kan automatiseres.

• Færre saksbehandlere får se personopplysninger.

Samtidig har slik omfattende innhenting og behandling personvernkonsekvenser. Den enkeltes interesse i selv å ha kontroll på hva det offentlige bruker av opplysninger om ham eller henne, er sentral. Det er også viktig at den enkelte er orientert om bruken av informasjon som kan få konsekvenser for ham eller henne. Den enkeltes interesse av at opplysningene er så korrekte og fullstendige som mulig, styrker betydningen av å være kjent med hvilke opplysninger som brukes. Samtidig er det gode argumenter for å gjenbruke personopplysninger, for eksempel praktiske hensyn for den enkelte og ulike effektivitetshensyn. Søkere og låntakere forventer i stadig større grad at Lånekassen henter inn relevante opplysninger fra andre organer framfor å be om dokumentasjon. Dette er også i samsvar med bare en gang-prinsippet.

Lånekassen gir generell informasjon om behandling av personopplysninger, formål for innhenting og utlevering i nettsøknader og i vedtak eller brev og på Lånekassens nettsider. I nettsøknader gis det generell informasjon om at Lånekassen behandler personopplysninger, formålet med behandlingen, rett til innsyn og til å rette feil, om utlevering til andre myndigheter og til dem som behandler personopplysninger på vegne av Lånekassen. I noen vedtak vil saksbehandlingssystemet automatisk legge inn hvor informasjonen som er lagt til grunn, er hentet fra. I tillegg gis det informasjon om innhenting og annen behandling av personopplysninger dersom søkeren eller låntakeren tar kontakt med Lånekassen.

3.7.6.2 Dagens regler

Lånekassens innhenting av personopplysninger fra andre enn den registrerte selv er regulert detaljert i lov og forskrift.

Gjeldende § 23 i utdanningsstøtteloven angir konkret hvilke personer det kan innhentes opplysninger om, og hvor disse opplysningene kan hentes inn fra. Opplysningene kan bare hentes inn hvis de har betydning for søkerens eller låntakerens rettigheter eller plikter etter utdanningsstøtteordningen.

Det kan i visse tilfeller også hentes inn opplysninger om personer som ikke er søkere eller låntakere i Lånekassen. Ordningen med konvertering av lån til stipend på bakgrunn av bestått eksamen, som ble innført fra studieåret 2002–2003, medførte at Lånekassen måtte innhente opplysninger om beståtte eksamener ved alle private og offentlige læresteder. Dette omfatter også studenter som ikke har et kundeforhold til Lånekassen. Grunnlaget for at Lånekassen kunne hente inn opplysninger også om personer som ikke hadde søkt om utdanningsstøtte, ble beskrevet slik i Ot.prp. nr. 48 (2004–2005) punkt 20.5:

Bestemmelsen er utformet vidt på grunn av tekniske problemer ved å kun innhente opplysninger om kunder i Lånekassen. Det vil skape store vanskeligheter og svekke effektiviteten hos Lånekassen ikke å kunne hente informasjon om alle studenter fra lærestedene. Alternativet er at Lånekassen sender ut lister til alle læresteder, såvel offentlige som private, med oversikt over studenter som søker lån/stipend for å få bekreftelse fra lærested på studentstatus og progresjon. Departementet anser dette som uhensiktsmessig, både ut fra effektivitetshensyn og av hensyn til elevene/studentene. Det er nødvendig for gjennomføringen av moderniseringsprosessen hos Lånekassen at hjemmelen også omfatter personer som ikke er søkere/låntakere i Lånekassen.

Opplysninger om student- eller elevstatus for personer som ikke mottar eller har mottatt utdanningsstøtte, blir slettet og blir ikke gjort tilgjengelig eller benyttet i saksbehandlingssystemet. Opplysninger om faglig progresjon lagres i inntil tre måneder. Årsaken til lagringen er at Lånekassen må ha fullstendige datasett for alle kunder. Slik får kundene sine rettigheter gjennom ordningen med omgjøring av lån til stipend etter faglig progresjon. Det sikrer også at kundenes faglige progresjon blir oppdatert uavhengig av om personen søker eller ikke.

Lånekassen kan også hente inn opplysninger om søkerens kontonummer fra Skatteetaten eller fra privat register. Opplysningene kan bare benyttes i forbindelse med utbetaling av utdanningsstøtte. Bekreftede kontoopplysninger er nødvendig for å sikre at utdanningsstøtten utbetales til rett person. Innhenting av kontonummer fra privat register krever samtykke fra søkeren.

Gjeldende § 23 bestemmer videre at opplysningene kan hentes inn uhindret av taushetsplikt. Taushetsplikt vil gjelde selv om en virksomhet har rettsgrunnlag for å behandle personopplysninger ved innhenting. Et organ kan ikke utlevere slike opplysninger uten at taushetsplikten er opphevet. Bestemmelsen er derfor viktig for å få innhentet personopplysninger.

Forskriftshjemmelen i gjeldende § 23 er benyttet ved fastsettelsen av forskrift om Lånekassens adgang til innhenting av opplysninger. Forskriften gir klare regler om hvilke opplysninger som kan hentes inn fra hvilke organer, og hvem opplysningene kan gjelde. Lovens § 23 og forskriften gir dermed klare rammer for Lånekassens innhenting av personopplysninger.

En slik regulering har klare fordeler, blant annet at det er tydelig for den registrerte hvilke personopplysninger Lånekassen kan hente inn og benytte i søknadsbehandlingen. Samtidig har det noen ulemper. Lånekassen arbeider for å effektivisere sine tjenester og for å oppfylle målsetningene i Digital agenda og digitaliseringsstrategien for offentlig sektor. En detaljert regulering av hvilke opplysninger som kan hentes inn fra hvilke organer, kan virke som et hinder for denne utviklingen.

3.7.6.3 Høringsforslaget

Departementet viste i høringen til at det er behov for å gjøre adgangen til å hente inn nødvendige opplysninger noe mer fleksibel. Innhentingen skal fremdeles være klart begrenset, og kravene i personvernforordningen vil sette viktige rammer for innhentingen. Departementet foreslo å videreføre en klar regulering av hvilke personer Lånekassen kan hente inn opplysninger om. I tillegg til de personene som er omfattet av innhentingsadgangen etter gjeldende regler, er det behov for å åpne opp for å hente inn opplysninger om flere personer med tilknytning til søkeren eller låntakeren. En klar forutsetning er at opplysningene skal ha betydning for søkerens eller låntakerens rettigheter etter utdanningsstøtteloven med forskrifter. Departementet foreslo derfor en ny § 21 til erstatning for nåværende § 23.

Innhenting

Hvem det kan innhentes opplysninger om

Gjeldende § 23 første ledd bestemmer at det kan hentes inn opplysninger om en søker eller låntaker, og om en søkers eller låntakers ektefelle, samboer og forsørger.

Vilkårene i forskrift om tildeling av utdanningsstøtte medfører at det er nødvendig å behandle opplysninger om noen flere personer enn dem som er omfattet av gjeldende bestemmelse. Det bør gå fram av bestemmelsen at det kan hentes inn opplysninger om søkerens eller låntakerens barn og om ektefelles eller samboers barn, da dette er relevante opplysninger. Antall søsken og om forsørgerne har ny ektefelle eller samboer som ikke er søkerens forsørger, har betydning for rett til støtte for søkere som tar vanlig videregående utdanning. Det bør være adgang til å hente inn opplysninger om dette. Søkeren kan ha rett til støtte på grunnlag av tilknytning til familiemedlem i familieinnvandring eller etter EØS-regelverk. I begge tilfeller har Lånekassen behov for opplysninger om familiemedlemmet. Opplysninger om søkerens forelder har betydning for retten til flere stipend. For å ivareta plikter etter vergemålsloven har Lånekassen også behov for å vite hvem som har foreldreansvar for søkeren eller låntakeren, og hvem som eventuelt er verge eller representant etter utlendingsloven. Det bør derfor også være adgang til å hente inn opplysninger om dette.

Departementet foreslo å ikke ta inn en uttømmende liste i loven over hvilke personer med tilknytning til søkeren eller låntakeren det kan hentes inn opplysninger om. Ved endring i vilkår for lån og stipend eller for lettelser i tilbakebetalingen kan det oppstå behov for opplysninger også om andre personer enn dem som er omtalt i loven. Departementet foreslo at det også skal kunne hentes inn opplysninger om andre personer når dette er fastsatt i forskrift.

For noen persongrupper er det nødvendig å behandle personopplysninger av særlig kategori. Dette gjelder i hovedsak helseopplysninger. Departementet foreslo i høringsforslagets § 21 andre ledd at adgangen til å hente inn slike opplysninger reguleres i lov, slik at det går klart fram at Lånekassen har adgang til å hente inn disse. Adgangen ble foreslått avgrenset til helseopplysninger som er omfattet av forordningen artikkel 9, for søkeren og låntakeren, og for søkerens forsørger, barn, samboer og ektefelle.

Hvilke opplysninger kan hentes inn

Det er ingen ubegrenset adgang til å innhente opplysninger om ulike personer. Det er avgrenset av kravet om at opplysningene må være nødvendige for å vurdere om vilkårene for søkerens eller låntakerens rettigheter eller plikter fastsatt i eller i medhold av denne lov, er oppfylt. Dette kravet går også fram av gjeldende § 23 tredje ledd. Et slikt krav om nødvendighet følger også av forordningen artikkel 6 nr. 1 bokstav e og artikkel 9 nr. 2 bokstav g.

Departementet mente likevel det er viktig at dette kravet om nødvendighet kommer klart fram av loven. Det er også viktig at det knyttes til formålet om oppfyllelse av søkeren og låntakerens rettigheter og plikter etter utdanningsstøtteloven med forskrifter. Det er ikke adgang til å hente inn andre opplysninger enn de som er nødvendige etter vilkårene i forskriftene om utdanningsstøtte og om tilbakebetaling av utdanningslån. Det vises til forslaget som ble sendt på høring, jf. § 21 første ledd og andre ledd siste setning.

I forskrift om Lånekassens innhenting av opplysninger er det fastsatt uttømmende regler om hvilke opplysninger som kan hentes inn. Departementet mente det var behov for å åpne opp for noe mer fleksible regler for hvilke opplysninger som kan hentes inn fra aktuelle organer. Videre mente departementet at nærmere regler om dette kunne gis i forskrift.

Fra hvem kan opplysningene hentes inn

Gjeldende § 23 bestemmer at opplysningene kan innhentes fra offentlige myndigheter og offentlige registre. For søkere eller låntakere kan opplysninger i tillegg hentes inn fra offentlige og private utdanningsinstitusjoner.

Det ble foreslått en mindre omformulering av dette, slik at opplysningene kan hentes inn fra offentlige myndigheter og offentlige registre og fra offentlige og private utdanningsinstitusjoner, uten at det siste er avgrenset til opplysninger om søkere og låntakere. Adgangen vil uansett være begrenset av nødvendighetskravet. Det vil være lite aktuelt å hente inn opplysninger fra utdanningsinstitusjonene om andre enn søkere. Se nærmere om særlige regler for innhenting av opplysninger fra utdanningsinstitusjoner m.m. i neste punkt.

Innhenting av opplysninger fra utdanningsinstitusjoner og fylkeskommuner

Utdanningsstøtteordningen er utformet slik at det er behov for nærmere bestemte opplysninger fra utdanningsinstitusjoner for å kunne forvalte utdanningsstøtteordningene effektivt og gi elever og studenter de rettighetene de har krav på.

Etter gjeldende § 23 kan Lånekassen hente inn opplysninger om student- eller elevstatus, status som lærling eller lærekandidat, godkjent lærekontrakt eller opplæringskontrakt og faglig progresjon. Opplysningene kan hentes inn fra utdanningsinstitusjoner og fra fylkeskommunen. Opplysningene kan hentes inn også for dem som ikke er søkere eller låntakere i Lånekassen.

Opplysninger om student- eller elevstatus og status som lærling eller lærekandidat er nødvendig for å kontrollere at støtte tildeles til elever og studenter som faktisk er i opplæring eller utdanning. Opplysningene vil bekrefte om en person har opptak i en utdanning eller i en skole og har rett til å gå opp til eksamen, eller om vedkommende er lærling eller lærekandidat med rett til støtte.

Opplysninger om faglig progresjon er nødvendig for å gjennomføre ordningen med omgjøring av lån til stipend etter hvert som studenten gjennomfører utdanningen, og på grunn av vilkår knyttet til støtte ved forsinkelse i utdanningen.

Opplysningene må hentes inn fra alle utdanningsinstitusjoner som har opplæring og utdanning som det kan bli gitt støtte til. I tillegg må de hentes inn fra fylkeskommunen for lærlinger og lærekandidater.

Gjeldende § 23 bestemmer at opplysningene kan hentes inn også for personer som ikke søker lån og stipend fra Lånekassen. Årsaken til dette er beskrevet ovenfor i punkt 3.7.6.2.

Studentstatus

Departementet pekte på at adgangen til å hente inn opplysninger fra utdanningsinstitusjoner og fylkeskommuner må videreføres. Det ble imidlertid foreslått noen endringer som innskrenker Lånekassens adgang til å hente inn opplysninger om personer som ikke er søkere i Lånekassen.

Hovedløsningen for kontroll av om søkeren har opptak i utdanningen er i dag at Lånekassen ved behandling av søknad om lån og stipend sender en elektronisk spørring til det aktuelle lærestedet. Med denne metoden henter Lånekassen inn opplysninger om student- og elevstatus bare for elever og studenter som faktisk har søkt om støtte i Lånekassen. Denne innhentingen er dekket av forslaget § 21 første og fjerde ledd.

Det er imidlertid noen private institusjoner som ikke har tekniske løsninger for slike spørringer. I slike tilfeller må det fremdeles være mulig for Lånekassen å hente inn opplysninger om student- og elevstatus elektronisk. Slik innhenting må gjøres ved at opplysningene hentes inn for alle elever og studenter ved lærestedet, slik det er adgang til etter gjeldende § 23. Departementet ga uttrykk for at det derfor var nødvendig å videreføre det grunnlaget Lånekassen har i dag for å hente inn opplysninger om opptak og rett til å gå opp til eksamen for alle studenter, men noe mer begrenset.

Departementet foreslo på bakgrunn av dette en særlig regel i § 21 femte ledd om at Lånekassen kan hente inn opplysninger om opptak og rett til å gå opp til eksamen for alle elever og studenter ved en utdanningsinstitusjon, dersom institusjonen ikke har lagt til rette for at opplysninger kan hentes inn kun for personer som har søkt om lån og stipend.

Faglig progresjon

En sentral del av vilkårene for utdanningsstøtte er ordningen med omgjøring av lån til stipend etter hvert som utdanningen gjennomføres. En forutsetning for en effektiv og korrekt gjennomføring av denne ordningen er at Lånekassen kan hente inn opplysninger om elevers og studenters faglige progresjon. For de fleste utdanninger betyr dette opplysninger om hvor mange studiepoeng eller tilsvarende eleven eller studenten har oppnådd, mens det for andre utdanninger betyr opplysninger om utdanningen som sådan er bestått eller gjennomført. Etter gjeldende § 23 kan Lånekassen hente inn opplysninger om slik faglig progresjon fra utdanningsinstitusjoner og fra fylkeskommunen. Opplysningene kan hentes inn for alle elever og studenter ved lærestedet. Årsaken til at opplysningene ikke hentes inn bare for dem som har en aktuell søknad om utdanningsstøtte, er omtalt over i punkt 3.7.2.

Opplysninger om faglig progresjon må fremdeles hentes inn for alle elever og studenter ved lærestedet og for lærlinger og lærekandidater fra fylkeskommunen. Faglig progresjon og eventuell forsinkelse er avgjørende for om en søker har rett til støtte. For at Lånekassen skal kunne vite om søkerens faglige progresjon gir rett til støtte, må Lånekassen vite hvor mange studiepoeng eller lignende søkeren har oppnådd. De som ikke mottar støtte til fulltidsutdanning, kan få slettet renter på studiegjelden sin hvis utdanningen er bestått. Opplysninger om faglig progresjon brukes i denne sammenheng som grunnlag for å vurdere retten til å få slettet renter.

Departementet foreslo å videreføre dagens adgang til slik innhenting, men med et mer presist grunnlag for innhentingen. Det ble foreslått at det for alle elever og studenter kan hentes inn opplysninger fra offentlige og private utdanningsinstitusjoner og fra fylkeskommunen om eksamen er bestått og om utdanningen eller graden er fullført. Opplysningene kan hentes inn om elever, studenter, lærlinger, lærekandidater og andre som tar opplæring i bedrift etter opplæringsloven. Se forslaget som ble sendt på høring, § 21 sjette ledd.

Det ble opplyst at departementet ville vurdere om det i forskrift var behov for å fastsette nærmere regler om innhenting av opplysninger fra utdanningsinstitusjoner og fylkeskommunen.

Innhenting underveis i søknaden

Elever og studenter søker om lån og stipend til utdanning ved hjelp av elektronisk søknad, såkalt nettsøknad. Den som ønsker å søke om lån og stipend, må logge seg inn med elektronisk identifikasjon på «Dine sider» på Lånekassens nettsider og må åpne den elektroniske nettsøknaden derfra.

Digitalisering av offentlig forvaltning åpner nye muligheter for at avgjørelser i offentlig forvaltning kan bli truffet uten det som regnes som ordinær saksbehandling. En mulighet som trekkes fram, er automatisk innvilgelse av rettigheter uten forutgående søknad. Trolig vil dette være mest aktuelt for ytelser som er basert på enkle kriterier, og som ikke har vilkår knyttet til seg. En annen mulighet er at det gis et «tilbud» om en ytelse som mottakeren må akseptere for at den skal bli gitt. Det kan skje ved at forvaltningsorganet på bakgrunn av opplysninger fra andre initierer en vurdering av om vedkommende har rettigheter, inkludert en behandling av personopplysninger. Et eksempel kunne vært at opptak i høyere utdanning utløser en automatisk vurdering av rett til lån og stipend, der et tilbud om dette sendes til studenten uten at vedkommende selv tar initiativ til dette. Her er det ikke mottakeren selv som tar initiativet til saksbehandlingen og tilhørende behandling av personopplysninger. Slike løsninger legges det ikke til rette for i forslagene her. Det er fremdeles slik at personer selv må ta initiativ ved å søke om lån og stipend.

Lånekassen tilbyr i dag ikke lån, stipend eller betalingslettelser på eget initiativ til dem som skal ta utdanning eller som er i tilbakebetalingsfasen. En slik endring vil kreve nærmere vurderinger. Det kan likevel være mulig å forenkle søknader og knytte dem opp mot andre tjenester. En person som betaler ned på sitt utdanningslån og som søker om uføretrygd fra NAV, kan for eksempel samtidig velge å søke om å få ettergitt utdanningslån på grunn av uførhet forutsatt at uføretrygd innvilges.

Slik situasjonen er nå, ønsker Lånekassen å tilby nettsøknader som er enkle å bruke og mest mulig tilpasset situasjonen til den som fyller ut søknaden. Nettsøknader skal veilede vedkommende til å fylle ut felt som er relevante, og skal gi tilpasset informasjon underveis i utfyllingen. Den som fyller ut søknaden, skal slippe å legge inn opplysninger eller svare på spørsmål som ikke nødvendigvis vil være relevante for vedkommende. På bakgrunn av utfyllingen gis det veiledning om ytelser som kan gis, og vilkår for disse. Den som fyller ut søknaden, styres videre i nettsøknaden til andre relevante felt. Utfyllingen kan medføre at det opprettes en oversikt over hva som må sendes inn av dokumentasjon i tillegg til søknaden. Hvilken informasjon som gis, og hva som er relevant dokumentasjon, styres også av hva som blir fylt ut i nettsøknaden.

Mens nettsøknaden fylles ut, og før søknaden er sendt inn, hentes det inn opplysninger fra folkeregisteret. Avhengig av om søknaden gjelder lån og stipend til videregående opplæring eller til høyere utdanning m.m., hentes det inn opplysninger om eventuell ektefelle, samboer, barn, søsken og forsørgere. Om disse personene hentes det inn navn, adresse, fødselsdato og personnummer. Det hentes også inn opplysning om personen er død, noe som for eksempel vil gjøre det unødvendig for søkeren å fylle ut opplysninger om foreldre. Det vil heller ikke være nødvendig å hente inn opplysninger om foreldre ved behovsprøving av stipend. Søkeren blir i stedet bedt om å dokumentere hvem som har foreldre- eller vergeansvar for vedkommende, bekreftelse på bosituasjon og forsørgelse. Dersom søkeren søker om bostipend, og søkeren og foreldrene har tre ulike folkeregistrerte adresser, blir søkeren spurt om søkeren sist bodde sammen med mor eller far eller begge. På bakgrunn av disse opplysningene gis søkeren også informasjon om eventuelt å komplettere opplysninger om for eksempel forsørgelse av barn for rett til forsørgerstipend. Opplysningene brukes også i forbindelse med vergens signering i en foreldresigneringsportal.

Denne utfyllingen, veiledningen og tilretteleggingen av nettsøknaden ut fra søkernes situasjon er dels et effektiviseringstiltak, dels et tiltak for å tilrettelegge for relevante og korrekte data i saksbehandlingen. I Meld. St. 27 (2015–2016) Digital agenda for Norge – IKT for en enklere hverdag og økt produktivitet punkt 6.2 vises det til behov for kartlegging av tjenester som egner seg for digital selvbetjening, straksavgjørelser, automatisert behandling og push-tjenester, i tillegg til hvilke tjenester som bør ses i sammenheng med hverandre i tjenestekjeder.

Slik innhenting av personopplysninger underveis i utfylling av nettsøknaden og før innsending av søknad bør hjemles særskilt i utdanningsstøtteloven.

Departementet uttalte i forslaget som ble sendt på høring, at det er gode grunner som taler for en slik innhenting av opplysninger mens vedkommende fyller ut søknaden. Løsningen bidrar til effektiv saksbehandling, god kundeservice og den synliggjør også for vedkommende hvilke opplysninger som legges til grunn i en søknad. De aller fleste som er innlogget på Dine sider hos Lånekassen, og som åpner nettsøknaden og starter utfyllingen, vil sende inn søknaden når den er ferdig utfylt.

Departementet foreslo at det skulle gå fram av lovbestemmelsen at Lånekassen kan hente inn personopplysninger når en person er logget inn i Lånekassens tjenester og har åpnet en elektronisk søknad om ytelser fra Lånekassen. Lånekassen skal informere om at opplysninger hentes inn, og at de blir slettet dersom søknaden ikke blir sendt til Lånekassen. De opplysningene som kan hentes inn, må være omfattet av adgangen til å hente inn opplysninger i forslaget til § 21 første til sjette ledd. Det skal imidlertid ikke være adgang til å hente inn helseopplysninger, og dette er foreslått regulert særskilt i bestemmelsen. Se om dette forslaget som ble sendt på høring, § 21 sjuende ledd.

Forskriftshjemmel

Departementet pekte i høringen på at det kan vise seg å være behov for ytterligere og mer detaljerte regler om innhenting av personopplysninger. Dette vil være nødvendig dersom det skal kunne hentes inn opplysninger om andre personer enn dem som framgår av loven. Det kan også være andre tilfeller der det er nødvendig å klargjøre rammene for Lånekassens innhenting av personopplysninger i forskrift.

Det ble derfor foreslått i § 21 siste ledd at departementet kan gi nærmere regler i forskrift om innhenting av personopplysninger, blant annet om hvilke personopplysninger som kan hentes inn, hvor de kan hentes inn fra og om hvilke personer. Slike utdypende bestemmelser egner seg etter departementets syn best i forskrifts form da utformingen kan bli både detaljert og omfangsrik.

3.7.6.4 Høringsinnspill

Det er to høringsinstanser som har gitt innspill til forslaget om innhenting av personopplysninger.

Justis- og beredskapsdepartementet mener det bør vurderes om forslaget til § 21 i sin helhet kan overlates til forskrift. Begrunnelsen for dette er at det i en detaljert lovregulering er utfordrende å forsikre seg om at bestemmelsene treffer riktig, og at det i forslaget uansett legges opp til at bestemmelsen skal kunne suppleres i forskrift. Forskriftsregulering vil kunne sikre en mer helhetlig og fleksibel regelstruktur og vil også tillate en mer spesifikk regulering, for eksempel av hvilke offentlige myndigheter og registre det kan innhentes opplysninger fra, jf. forslaget til § 21 fjerde ledd. Det må i tilfelle presiseres i forskriftshjemmelen at det kan gjøres unntak fra lovbestemt taushetsplikt. Justis- og beredskapsdepartementet viser også til at det kan oppstå uklarheter eller uforutsette konsekvenser dersom en bestemmelse i en særlov gir uttrykk for å gi en uttømmende regulering av adgangen til informasjonsutveksling mellom offentlige organer.

På samme måte som til forslaget om generelt grunnlag for behandling av personopplysninger, viser Lånekassen til at det også kan være nødvendig å hente inn visse personopplysninger som ikke ser ut til å være omfattet av forslaget. Adgangen til innhenting vil for eksempel ikke omfatte kontaktopplysninger. Lånekassen foreslår derfor tilsvarende endring som til forslaget § 20 første ledd, slik at adgangen til innhenting omfatter opplysninger som er nødvendige for å forvalte rettigheter og plikter etter utdanningsstøtteloven med forskrifter.

3.7.6.5 Departementets vurdering

På bakgrunn av innspill i høringen mener departementet at innhenting av visse personopplysninger kan være nødvendig selv om opplysningene isolert sett ikke har direkte betydning for vurderingen av om rettigheter og plikter etter utdanningsstøtteregelverket er oppfylt. Det kan åpenbart være nødvendig for Lånekassen å kunne hente inn for eksempel kontaktinformasjon for søkere og låntakere. Det kan også vise seg nødvendig å hente inn andre opplysninger av liknende art.

Departementet foreslår på bakgrunn av dette at det må være et vilkår at innhentingen skal være nødvendig for å forvalte søkerens eller låntakerens rettigheter eller plikter fastsatt i eller i medhold av utdanningsstøtteloven. Innhentingen skal fremdeles være nødvendig for å forvalte enkeltpersoners rettigheter og plikter etter regelverket om utdanningsstøtte. Det innebærer ingen utvidelse, men det blir klargjort at visse opplysninger som ikke isolert sett er nødvendig for å kunne vurdere selve vilkårene for rettighetene eller pliktene, også kan hentes inn. Forutsetningen er at det er nødvendig å innhente også disse opplysningene for å forvalte rettigheten eller plikten.

Forslaget som ble sendt på høring, inneholdt bestemmelser om hvilke personer det kunne hentes inn opplysninger om, og at innhenting om andre personer kunne reguleres i forskrift (§ 21 første ledd), om adgang til å innhente helseopplysninger for visse personer (§ 21 andre ledd), om adgang til å hente inn opplysninger om foreldreansvar, vergemål og representant etter utlendingsloven (§ 21 tredje ledd), og om hvor disse opplysningene kunne hentes inn fra (§ 21 fjerde ledd). Videre ble det foreslått visse særregler om innhenting av opplysninger om opptak, rett til å gå opp til eksamen og om faglig progresjon fra utdanningsinstitusjoner og fra fylkeskommunen (§ 21 femte og sjette ledd). Det ble videre foreslått å gi adgang til å hente inn opplysninger når en person er logget inn på Lånekassens nettsider og er i gang med utfylling av nettsøknad (§ 21 sjuende ledd). Det ble også foreslått å videreføre adgangen til å hente inn opplysninger om kontonummer til bruk ved utbetaling av utdanningsstøtte (§ 21 åttende ledd).

Dersom adgangen til innhenting av personopplysninger blir lovregulert som i forslaget som ble sendt på høring, vil det uansett være nødvendig å fastsette enkelte regler også i forskrift. Departementet er enig med Justis- og beredskapsdepartementet i at regulering i forskrift vil gi et mer helhetlig regelverk, og at dette vil gi noe mer fleksibilitet dersom det oppstår behov for endringer. Departementet foreslår derfor at forslagene i § 21 første til åttende ledd blir fastsatt i forskrift. Forskriften kan også klargjøre forholdet til andre regler om informasjonsutveksling mellom offentlige organer.

Departementet foreslår at det går fram av loven at Lånekassen har adgang til å hente inn personopplysninger når det er nødvendig for å forvalte søkerens eller låntakerens rettigheter eller plikter fastsatt i eller i medhold av utdanningsstøtteloven, og at nærmere regler om innhentingen skal fastsettes i forskrift. Videre må det gå fram av lovbestemmelsen at opplysningene kan hentes inn uten hinder av lovbestemt taushetsplikt. Departementet foreslår samtidig å oppheve gjeldende § 23 om innhenting av opplysninger fra andre.

3.7.6.6 Departementets forslag

Departementet foreslår at gjeldende § 23 erstattes med ny § 21. Det foreslås at loven fastslår at Lånekassen kan hente inn opplysninger fra andre når dette er nødvendig for å forvalte en søker eller låntakers rettigheter etter loven eller forskrifter gitt i medhold av loven.

Videre foreslås det at det går fram av loven at departementet gir forskrift om innhenting av personopplysninger, blant annet om hvilke personopplysninger som kan hentes inn, hvor de kan hentes inn fra og om hvilke personer. Videre må det gå fram av loven at slike opplysninger kan hentes inn uten hinder av taushetsplikt.

Departementet viser til forsalg til ny § 21 i utdanningsstøtteloven.

3.7.7 Utlevering til andre lands offentlige utdanningsstøttemyndigheter

3.7.7.1 Bakgrunn

Søkere som mottar utdanningsstøtte fra offentlige støtteordninger i et annet land, har etter gjeldende regelverk ikke rett til utdanningsstøtte. Perioder der søkeren har mottatt utdanningsstøtte fra et annet lands offentlige støtteordninger skal føre til at perioden regnes med i antall år det kan gis støtte fra Lånekassen. Søkeren skal opplyse til Lånekassen om vedkommende mottar utdanningsstøtte fra annet lands støtteordning. Det er fastsatt i forskrift at søkeren har plikt til å gi riktige og fullstendige opplysninger. Lånekassen kan kontrollere at opplysningene fra søkeren er riktige. Etter praksis kan søkere som får utdanningsstøtte fra offentlig støtteordning i et annet land til dekning av skolepenger, få støtte fra Lånekassen til dekning av oppholdsutgifter og reise. Dersom den utenlandske støtteordningen også kan dekke livsopphold, gis det ikke støtte fra Lånekassen. Søkeren må da velge hvilken ordning vedkommende vil motta støtte fra.

Lånekassen har i mange år deltatt i et nordisk samarbeid om studiestøtte i Norden, kalt Arbetsgruppen for studiestöd i Norden (ASIN). Der utveksles erfaringer på utdanningsstøtteområdet, herunder om utvikling av bestemmelser og praksis. En effekt av samarbeidet er at Lånekassen har utlevert opplysninger om svenske, danske og finske statsborgere som har mottatt utdanningsstøtte i Norge til henholdsvis Sverige, Danmark og Finland. Lånekassen har også mottatt slike opplysninger om norske statsborgere fra de offentlige studiestøtteordningene i henholdsvis Sverige, Danmark og Finland. Norge leverer ut opplysninger om kundenummer i Lånekassen, navn, fødselsnummer og periode med rett til utdanningsstøtte for søkere med statsborgerskap i et av de øvrige tre landene. Formålet med utvekslingen er å avdekke om noen mottar utdanningsstøtte i to land samtidig.

Lånekassen har stanset utlevering av opplysninger fordi det er uklart om det er adgang til slik utlevering.

Dersom Lånekassen ikke kan utlevere slike opplysninger til andre lands offentlige utdanningsstøtteordninger, vil disse landene heller ikke se nytten av å utlevere tilsvarende opplysninger til Lånekassen. Det vil da bli vanskeligere for Lånekassen å kontrollere om søkeren mottar utdanningsstøtte fra andre land. En løsning der alle som har rett til utdanningsstøtte i Lånekassen, og som kan ha rett til utdanningsstøtte fra andre land, selv må dokumentere at de ikke har fått utdanningsstøtte fra andre land, er ikke realistisk å gjennomføre.

Dersom søkeren har mottatt utdanningsstøtte fra Lånekassen og et annet lands støtteordninger samtidig, vil det skyldes at søkeren har gitt feilaktige opplysninger i sin søknad eller ikke har overholdt plikten til å melde fra om endringer i forhold til det som ble opplyst i søknaden. For norske myndigheters del er det utlevering av opplysninger som må reguleres, da det ikke er formelle hindre for at norske myndigheter mottar slike opplysninger fra andre lands myndigheter. Et slikt samarbeid mellom utdanningsstøttemyndighetene forutsetter imidlertid gjensidig utveksling. Det er nødvendig at norske myndigheter utleverer opplysninger for at tilsvarende kontroll skal kunne gjennomføres hos de samarbeidende landene.

Dersom søkeren har mottatt utdanningsstøtte fra Lånekassen samtidig som han eller hun har mottatt støtte også fra et annet lands offentlige støtteordning, vil Lånekassen kunne fatte vedtak om gjenoppretting av forholdet og iverksette sanksjoner på grunnlag av mislighold av opplysningsplikten. Ved rutinemessig utveksling av slik informasjon vil mislighold av opplysningsplikten ikke kunne vare i flere år. Vurderingen av hvilke sanksjoner misligholdet skal føre til, er skjønnsmessig, men kan omfatte stans i omgjøring av stipend til lån, tillegg av renter og tap av rettigheter til utdanningsstøtte og lettelser i tilbakebetalingen. Utvekslingen av opplysninger kan dermed medføre inngripende konsekvenser for søkeren der forholdet har vart en stund, men årsaken vil være at vedkommende ikke har overholdt sin opplysningsplikt og har mottatt uberettiget støtte.

Lånekassen vurderer opplysninger om at en person har mottatt utdanningsstøtte, for hvilken periode og vedkommendes kundenummer som et personlig forhold som underlagt taushetsplikt etter forvaltningsloven § 13 første ledd nr. 1. Utlevering må derfor kunne skje uten hinder av taushetsplikt.

3.7.7.2 Dagens regler

Utlevering av personopplysninger er behandling av personopplysninger. Det må foreligge et rettsgrunnlag for slik utlevering. Utlevering kan dermed være dekket av det samme behandlingsgrunnlaget som annen behandling av personopplysninger i virksomheten. I den grad utleveringen er nødvendig for å forvalte rettigheter eller plikter fastsatt i eller i medhold av utdanningsstøtteloven, vil utleveringen være omfattet av gjeldende rettsgrunnlag.

3.7.7.3 Høringsforslaget

Departementet foreslo i § 22 at Lånekassen skulle gis adgang til å utlevere opplysninger til offentlige utdanningsstøttemyndigheter i EU- eller EØS-land, Færøyene og Grønland når det er nødvendig for å kontrollere om personer samtidig mottar eller har mottatt utdanningsstøtte fra Lånekassen og andre lands offentlige utdanningsstøtteordninger. Lånekassen kan utlevere opplysninger om navn, kundenummer, fødselsnummer og hvilket undervisningsår og semester opplysningene gjelder for.

Det ble foreslått at utleveringen fra Lånekassen skulle skje uten hinder av taushetsplikt.

Personvernkonsekvensene av forslaget ble ansett som små. Det er kun de angitte opplysningene som skal kunne utleveres. Formålet er å avdekke brudd på søkerens opplysningsplikt og om vedkommende som følge av dette har mottatt uberettiget støtte. Opplysningene kan bare utleveres til offentlige utdanningsstøttemyndigheter i EU- eller EØS-land, Færøyene og Grønland.

3.7.7.4 Høringsinnspill

Ingen av høringsinstansene har hatt innspill til forslaget.

3.7.7.5 Departementets vurdering

Departementet viser til forslaget som ble sendt på høring, og opprettholder dette.

3.7.7.6 Departementets forslag

Departementet foreslår at Lånekassen skal kunne utlevere opplysninger til offentlige utdanningsstøttemyndigheter i EU- eller EØS-land, Færøyene og Grønland når det er nødvendig for å kontrollere om personer samtidig mottar eller har mottatt utdanningsstøtte fra Lånekassen og andre lands offentlige utdanningsstøtteordninger. Lånekassen kan utlevere opplysninger om navn, kundenummer, fødselsnummer og hvilket undervisningsår og semester opplysningene gjelder for.

Det foreslås at utleveringen fra Lånekassen skal skje uten hinder av taushetsplikt.

Departementet viser til forslag til ny § 22 i utdanningsstøtteloven.