Journalnummer: 2004-54-1396
Den 22. december 2003 har Undervisningsministeriet foretaget ovennævnte anmeldelse til Datatilsynet.
Det fremgår af sagen, at det fra 1. maj 2004 bliver det muligt for ansøgere at søge om optagelse på videregående uddannelser digitalt via optagelsesportalen: www.optagelse.dk. I 2005 bliver det også muligt at tilmelde sig ungdomsuddannelserne digitalt via optagelsesportalen.
Optagelsessystemet, herunder oprettelse af en eksamensdatabase, har til formål at lette tilmelding til ungdomsuddannelserne og ansøgning om optagelse på videregående uddannelser ved i videst muligt omfang at digitalisere ansøgningsprocessen baseret på digital signatur. Udviklingen af systemet er et led i regeringens moderniseringsprogram "En enklere offentlig sektor" om regelforenkling og initiativer, der skal gøre det lettere at være borger i Danmark.
Optagelsesdatabasen kommer til at trække på en ny eksamensdatabase med eksamens- og karakteroplysninger fra de gymnasiale uddannelser (gymnasier, studenterkursus, hf, hhx og htx).
Ved ansøgninger om optagelse på videregående uddannelser skal eksamensog karakteroplysninger fra de gymnasiale uddannelser hentes digitalt over i ansøgningsskemaet fra den nye eksamensdatabase.
Grundlaget for eksamensdatabasen er indberetninger af eksamensbeviser til Undervisningsministeriet.
Ud over, at der på uddannelsesinstitutionerne fra 2004 og fremover skal lægges karakterer ind i databasen, har Undervisningsministeriet også konverteret og indlagt eksamensbeviser fra alle elever på hf og gymnasier for perioden 1997-2003 i databasen.
Disse eksamensbeviser stammer fra et register, der er skabt ved pligtmæssige indberetninger fra gymnasier og hf-skoler i henhold til bekendtgørelse om gymnasieafdelingens indberetnings administration (GIA). Ifølge denne bekendtgørelse skal institutioner, der tilbyder undervisning i henhold til gymnasie- eller hfloven, foretage indberetning af oplysninger om elever/studerende, rektor/ forstander og lærere og om undervisning ved instutionen. I henhold til § 2, stk. 2, i bekendtgørelsen fastsættes oplysningernes nærmere indhold af Undervisningsministeriet.
Undervisningsministeriet har oplyst, at fastsættelsen af oplysningernes nærmere indhold er foretaget i forbindelse med udviklingen af de edb-systemer, som skolerne anvender i forbindelse med indberetningerne.
Bekendtgørelsen er udstedt på baggrund af § 15, stk. 4, i lov om gymnasiet mv. (gymnasieloven) og § 26, stk. 4, i hf-loven. Det fremgår af § 15, stk. 1, og § 26, stk. 1, i de nævnte love, at undervisningsministeren har det overordnede ansvar for og fører tilsyn med undervisning og eksamen.
Undervisningsministeriet har i den aktuelle anmeldelse angivet, at sletning af tilmeldinger til ungdomsuddannelser og ansøgninger til videregående uddannelser sker inden næste tilmeldings/ansøgningsrunde iværksættes. Eksamens-/karakteroplysninger slettes imidlertid først efter 60 år.
Undervisningsministeriet har som begrundelse herfor anført, at der vil være nogen, der først senere i deres liv søger ind på en uddannelse, samt at Datatilsynet i en af Arbejdsmarkedsstyrelsens anmeldelse med j.nr. 2001-54-0313 har accepteret, at oplysninger om certifikater, uddannelsesaftaler, uddannelsesbeviser og deltagerbeviser slettes efter 60 år.
Det formodes, at en del ansøgere til videregående uddannelser fortsat vil benytte papirbaserede ansøgningsskemaer. I anmeldelsen havde Undervisningsministeriet lagt op til, at ansøgningsinstitutionerne skulle have mulighed for at kontrollere ægtheden af ansøgerens vedlagte eksamensbevis i eksamensdatabasen. Undervisningsministeriet har dog efterfølgende oplyst, at dette ikke er aktuelt på nuværende tidspunkt. Undervisningsministeriet vil tage kontakt til Datatilsynet, hvis ministeriet ønsker at tilbyde denne mulighed på et senere tidspunkt.
Datatilsynet skal – efter at sagen har været drøftet i Datarådet – udtale følgende:
1. Persondatalovens grundregler
1.1 Oprettelse af eksamensdatabasen og sletningsfrister
Behandling af personoplysninger skal ske i overensstemmelse med de grundlæggende principper, som er indeholdt i persondatalovens § 5. Persondatalovens § 5 indeholder en række grundlæggende principper for den dataansvarliges behandling, herunder indsamling, opbevaring m.v. af oplysninger.
Persondatalovens § 5, stk. 2, indeholder et krav om, at indsamling af oplysninger skal ske til udtrykkeligt angivne og saglige formål, og at senere behandling ikke må være uforenelig med disse formål. Lovens § 5, stk. 3, indeholder et krav om, at oplysninger, som behandles, skal være relevante og tilstrækkelige og ikke omfatte mere, end hvad der kræves til opfyldelse af de formål, hvortil oplysningerne indsamles, og de formål, hvortil oplysningerne senere behandles.
Det følger endvidere af § 5, stk. 5, at indsamlede oplysninger ikke må opbevares på en måde, der giver mulighed for at identificere den registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil oplysningerne behandles.
Det angivne formål med eksamensdatabasen - at lette tilmelding til ungdomsuddannelserne og ansøgning om optagelse på videregående uddannelser - er efter Datatilsynets opfattelse i sig selv sagligt og anerkendelsesværdigt.
Datatilsynet kan imidlertid konstatere, at der ved etableringen af eksamensdatabasen blive oprettet et register, der på sigt kommer til at indeholde hovedparten af den danske befolknings eksamensbeviser. Der vil således på sigt være tale om en meget stor mængde af data.
Den centrale registrering af disse oplysninger vil være nyttig i de tilfælde, hvor de registrerede før eller siden søger ind på en uddannelse. Efter Datatilsynets opfattelse må det imidlertid antages, at eksamensdatabasen også vil komme til at indeholde en stor mængde data, som man - i hvert fald med de pt. tilsigtede anvendelser - aldrig vil få brug for, eller som der ikke er et aktuelt behov for, at Undervisningsministeriet ligger inde med. F.eks. hvis den registrerede ikke søger ind på en videregående uddannelse, eller den registrerede er blevet optaget på en videregående uddannelse.
Datatilsynet finder det på den baggrund tvivlsomt, om der er den fornødne proportionalitet mellem registrering af alle eksamensbeviser i Danmark i 60 år og opfyldelsen af formålet om lettere tilmelding til ungdomsuddannelserne og ansøgning om optagelse på videregående uddannelser.
Datatilsynet finder, at der ved fastsættelsen af en rimelig sletningsfrist er mulighed for at sikre den del af de registrerede, der inden for et nærmere fastsat tidsrum ikke benytter optagelsessystemet, mod at skulle være registreret i eksamensdatabasen.
Med udgangspunkt i, at hovedformålet med eksamensdatabasen på nuværende tidspunkt er at lette tilmelding til ungdomsuddannelserne og ansøgning om optagelse på videregående uddannelser, vil en sletningsfrist for eksamensbeviser efter Datatilsynets opfattelse passende kunne fastsættes til 30 år efter, at de er lagt i databasen. Datatilsynet har herved lagt vægt på, at eksamensdatabasen ikke på nuværende tidspunkt er en autoritativ database, samt at gymnasierne og hf-skolerne fortsat har pligt til at opbevare karakterprotokoller i 30 år, jf. § 57, stk. 4, i bekendtgørelse om studentereksamen og om højere forberedelseseksamen.
Såfremt en 30-årig slettefrist senere skulle vise sig uhensigtsmæssig, vil Datatilsynet efter anmodning overveje en længere slettefrist.
1.2 Eksamensbeviser indberettet i henhold til bekendtgørelse om Gymnasieafdelingens Indberetnings Administration (GIA)
Som nævnt ovenfor fremgår det af persondatalovens § 5, stk. 2, at indsamling af oplysninger skal ske til udtrykkeligt angivne og saglige formål, og at senere behandling ikke må være uforenelig med disse formål.
Bestemmelsen indebærer bl.a., at de oplysninger, som den dataansvarlige må indsamle, ikke frit kan genbruges, videregives mv. I hvilket omfang oplysningerne kan genbruges, videregives mv. beror på en konkret vurdering i den enkelte situation.
På det foreliggende grundlag er det Datatilsynets opfattelse, at Undervisningsministeriets anvendelse i eksamensdatabasen af de eksamensbeviser, som ministeriet har indhentet med henblik på at føre tilsyn og tilrettelægge undervisningen og eksamener, kan ske inden for rammerne af § 5, stk. 2.
Datatilsynet har herved bl.a. lagt vægt på, at gymnasierne mv. inden for rammerne af persondatalovens § 6 ville kunne videregive oplysningerne til Undervisningsministeriet med henblik på via eksamensdatabasen at lette tilmeldingen til og optagelse på uddannelser.
2. Behandlingshjemmel
Optagelsessystemet skal udover at opfylde de grundlæggende principper i persondatalovens § 5, også have hjemmel i lovens §§ 6, 7 eller 8 afhængig af, hvilken type oplysninger der er tale om.
Ifølge anmeldelsen er der ikke tale om følsomme oplysninger omfattet af § 7 og 8. Der er således tale om oplysninger omfattet af persondatalovens § 6.
Ifølge persondatalovens § 6, stk. 1, nr. 5, kan behandling af almindelige ikkefølsomme oplysninger finde sted, hvis behandlingen er nødvendig af hensyn til udførelsen af en opgave i samfundets interesse.
Efter persondatalovens § 6, stk. 1, nr. 6, kan behandling af oplysninger finde sted, hvis behandlingen er nødvendig af hensyn til udførelsen af en opgave, der henhører under offentlig myndighedsudøvelse, som den dataansvarlige eller en tredjemand, til hvem oplysningerne videregives, har fået pålagt.
Efter persondatalovens § 6, stk. 1, nr. 7, må registrering, videregivelse og anden behandling af personoplysninger ske, hvis behandlingen er nødvendig for, at den dataansvarlige eller den tredjemand, til hvem oplysningerne videregives, kan forfølge en berettiget interesse, og hensynet til den registrerede ikke overstiger denne interesse.
Ifølge det oplyste er initiativet om at udvikle optagelsessystemet indeholdt i regeringens handlingsplan ”En enklere offentlig sektor – regeringens handlingsplan for regelforenkling og administrative lettelser” offentliggjort den 20. august 2002.
Af punkt 158, der er omtalt på side 159 i handlingsplanen, fremgår det, at Undervisningsministeriet er ansvarlig for og skal tage initiativ til en digitalisering af optagelsesprocedurer og anden dokumenthåndtering i forholdet mellem elever/ studerende og uddannelsesinstitutioner for at mindske de administrative byrder.
Dette skal ifølge beskrivelsen i handlingsplanen ske ved, at sagsgange og dokumenthåndtering skal digitaliseres ved hjælp af interaktive skemaer på internettet og en elektronisk sagsbehandling i en og samme database, der indebærer, at papirer og data ikke skal flyttes fra den ene institution til den anden. Det fremgår endvidere, at initiativet både gavner elever/ studerende og institutioner, samt at projektet skal gennemføres i 2004 under hensyntagen til indførelsen af den digitale signatur.
Uanset at Undervisningsministeriet i henhold til regeringens handlingsplan har fået ansvaret for at digitalisere optagelsesprocedure, må det konstateres, at der efter det oplyste på nuværende tidspunkt ikke er en udtrykkelig lovhjemmel, hvorefter Undervisningsministeriet har ansvaret for eller pligt til at sørge for, at der sker en koordinering af uddannelsesinstitutionernes optagelse af ansøgere og/eller oprettelse af en eksamensdatabase.
Den 1. august 2004 træder lov om vejledning om valg af uddannelse og erhverv imidlertid i kraft. Det fremgår af denne lovs § 14, stk. 1, at undervisningsministeren skal sørge for, at der sker en koordinering af uddannelsesinstitutionernes optagelse af ansøgere til henholdsvis ungdomsuddannelserne og de videregående uddannelser med henblik på, at ansøgerne optages på den højest mulige prioriterede uddannelse og uddannelsesinstitution, således at der sker en effektiv ressourceudnyttelse af den samlede optagelseskapacitet på uddannelserne.
Undervisningsministeren kan i den forbindelse endvidere i henhold til § 14, stk. 2, fastsætte nærmere regler om koordinering, herunder fastsætte regler om anvendelse af internetbaseret kommunikation og digital signatur. Det er ved ikrafttrædelsen af lov om vejledning om valg af uddannelse og erhverv dog fortsat ikke udtrykkelig lovhjemmel til etablering af en eksamensdatabase.
Uanset at der ikke på nuværende tidspunkt er udtrykkelig lovhjemmel, hvorefter Undervisningsministeriet har fået pålagt denne opgave, er det naturligt, at ministeriet som den centrale myndighed på området løser denne opgave. Det er derfor Datatilsynets vurdering, at Undervisningsministeriets kan behandle oplysningerne til brug for løsning af denne opgave.
Iværksættelse af optagelsessystemet og eksamensdatabasen vil således efter Datatilsynets opfattelse kunne ske inden for rammerne af persondatalovens § 6, stk. 1, nr. 5, 6 og 7.
3. Oplysningspligt
Ifølge persondatalovens § 29, stk. 1, påhviler det den dataansvarlige at give den registrerede meddelelse om denne og dennes repræsentants identitet, formålene med den behandling, hvortil oplysningerne er bestemt, samt alle yderligere oplysninger, der under hensyn til de særlige omstændigheder, hvorunder oplysningerne er indsamlet, er nødvendige for, at den registrerede kan varetage sine interesser.
Ifølge § 29, stk. 2, gælder bestemmelsen i § 29, stk. 1, dog ikke, hvis den registrerede allerede er bekendt med de nævnte oplysninger, eller hvis registreringen eller videregivelsen udtrykkeligt er fastsat ved lov eller bestemmelser fastsat i henhold til lov. Heraf følger, at oplysningspligten ikke gælder, hvis det er udtrykkeligt fastsat i lovgivningen, at der skal ske registrering eller videregivelse af oplysninger. I kravet om udtrykkelighed ligger, at det ikke må give anledning til tvivl, hvorvidt det i lovgivningen er fastsat, at den dataansvarlige skal foretage registrering eller videregivelse af de indsamlede oplysninger.
Efter lovens § 29, stk. 3, gælder oplysningspligten endvidere ikke, hvis underretning af den registrerede viser sig umulig eller er uforholdsmæssigt vanskelig. Med udtrykket uforholdsmæssigt vanskelig forudsættes det, at der gælder et proportionalitetsprincip ved vurderingen af, om meddelelse skal gives. Der skal ske en afvejning af på den ene side betydningen af en underretning for den registrerede, og på den anden side den arbejdsindsats hos den dataansvarlige, der vil være forbundet med en sådan underretning.
Forså vidt angår eksamensbeviser fra 2004 og fremover er Datatilsynets opfattelse, at de nugældende regler om koordineret tilmelding, der er omtalt ovenfor i note 5, ikke kan opfattes som udtrykkelige lovbestemmelser omfattet af § 29, stk. 2, da der ikke lovgivningen er fastsat, at der skal ske en registrering af oplysninger.
Den omstændighed, at Undervisningsministeriet fra 1. august 2004 i henhold til § 14 lov om vejledning om valg af uddannelse og erhverv har pligt til at sørge for, at der sker en koordinering af uddannelsesinstitutionernes optagelse af ansøgere til henholdsvis ungdomsuddannelserne og de videregående uddannelser, samt at ministeriet kan fastsætte nærmere regler om koordinering, herunder fastsætte regler om anvendelse af internetbaseret kommunikation og digital signatur, medfører efter Datatilsynets opfattelse ikke, at der forligger en sådan udtrykkelig lovbestemmelse som omfattet af persondatalovens § 29, stk. 2.
Datatilsynet lægger herved navnlig vægt på, at den ikke fremgår af § 14 lov om vejledning om valg af uddannelse og erhverv, at der i forbindelse med etablering af en internetbaseret tilmelding vil blive etableret en database med eksamensbeviser.
For så vidt angår undtagelsen i § 29, stk. 3, er det Datatilsynet opfattelse, at det ikke kan siges, at være uforholdsmæssigt vanskeligt for Undervisningsministeriet at give de personer, der bliver registreret løbende i registeret fra og med i år, underretning. Datatilsynet har herved lagt vægt, at det vil være relativt enkelt at give hver enkelt registreret underretning om de i § 29, stk. 1, nævnte oplysninger. Denne underretning vil f.eks. kunne gives skriftlig på eksamensbeviserne eller ved udlevering af eksamensbeviserne.
For så vidt angår de konverterede eksamensbeviser fra alle hf- og gymnasieelever for perioden 1997-2003, må det lægges til grund, at de registrerede ikke har fået meddelelse i henhold til § 29.
Idet bestemmelserne i GIA-bekendtgørelsen ikke udtrykkeligt fastlægger, hvilke oplysninger der bliver videregivet, herunder at de bliver videregivet på individniveau, er det Datatilsynets opfattelse, at der ikke forligger en sådan udtrykkelig lovbestemmelse som omfattet af persondatalovens § 29, stk. 2.
For så vidt angår undtagelsen i § 29, stk. 3, er det Datatilsynets opfattelse, at det ikke kan siges at være uforholdsmæssigt vanskeligt for Undervisningsministeriet at give de registrerede underretning. Datatilsynet har herved lagt vægt på, at Undervisningsministeriet har kendskab til de registreredes identitet. Endvidere må der ved vurderingen lægges vægt på, at oplysningspligten ikke er blevet iagttaget ved registreringen, samt at der er tale om at opbevare oplysningerne i 30 år i eksamensdatabasen.
Datatilsynet skal endvidere gøre opmærksom på, at persondatalovens § 29 skal iagttages ved modtagelse af oplysninger med henblik på registrering i GIA. Alternativt må Undervisningsministeriet søge at få tilvejebragt en udtrykkelig hjemmel i bekendtgørelsen til registrering af oplysningerne.
4. Indsigt
Datatilsynet skal afslutningsvist henlede Undervisningsministeriets opmærksomhed på reglerne om indsigt.
Ifølge lovens § 31, stk. 1, skal den dataansvarlige efter begæring fra en person give meddelelse om, hvorvidt der behandles oplysninger om vedkommende. Behandles sådanne oplysninger, skal der på en let forståelig måde gives meddelelse om, hvilke oplysninger der behandles, behandlingens formål, kategorierne af modtagere af oplysningerne og tilgængelig information om, hvorfra disse oplysninger stammer.
Det følger af § 31, stk. 2, at den dataansvarlige snarest skal besvare begæringer som nævnt i stk. 1. Er begæringen ikke besvaret inden 4 uger efter modtagelsen, skal den dataansvarlige underrette den pågældende om grunden hertil, samt om, hvornår afgørelsen kan forventes at foreligge.
5. Afsluttende bemærkninger
Datatilsynet er i forbindelse med behandlingen af anmeldelsen blevet opmærksom på, at tilsynet ikke er blevet hørt i forbindelse med udfærdigelse af lov om vejledning om valg af uddannelse og erhverv.
Datatilsynet skal derfor henlede opmærksomheden på persondatalovens § 57. Ifølge denne bestemmelse skal der indhentes en udtalelse fra Datatilsynet ved udarbejdelse af bekendtgørelser, cirkulærer eller lignende generelle retsforskrifter, der har betydning for beskyttelsen af privatlivet i forbindelse med behandling af oplysninger. Ifølge bemærkningerne til bestemmelsen forudsættes det endvidere, at der sker høring af Datatilsynet i forbindelse med udfærdigelse af lovforslag.
Anmeldelsen er offentliggjort i fortegnelsen på Datatilsynets hjemmeside. Kopi af den tilrettede anmeldelse vedlægges.