New national grade database regulations proposed by UHR

Kommunstyrelsen har remitterat Universitets- och högskolerådets (UHR) hemställan hos regeringen om registerförfattning för den nationella betygsdatabasen BEDA, till utbildningsnämnden för yttrande.BEDA är en nationell betygsdatabas som innehåller uppgifter om gymnasiala meriter från gymnasieskolan, vuxenutbildning och folkhögskolor. Databasen används i dag främst som stöd vid antagning till högskolor och universitet. UHR har fått i uppdrag av regeringen att bygga ut BEDA. Den utökade databasen kommer att omfatta fler informationskällor och användningsområden samt en mer omfattande behandling av personuppgifter än idag. UHR bedömer att den nuvarande regleringen inte omfattar den utökade personuppgiftsbehandlingen.Mot denna bakgrund hemställer UHR om att regeringen inför en särskild registerförordning för BEDA. Förslaget innehåller bestämmelser om bland annat personuppgiftsbehandling, ändamål för användningen av uppgifter, elektroniskt utlämnande av uppgifter samt integritetsskyddande åtgärder. UHR föreslår även ändringar i myndighetens instruktion. [Tjänsteutlåtande - Svar på remiss från kommunstyrelsen avseende Universitets- och högskolerådets hemställan om registerförfattning för den nationella betygsdatabasen BEDA.pdf] Utbildningsförvaltningen Avdelningen för utveckling och samordning Hantverkargatan 2F Box 22049 104 22 Stockholm Växel 08 508 33 000 utbildningsforvaltningen@edu.stockholm.se https://start.stockholm/ Sida 1 (3) Universitets- och högskolerådets hemställan om registerförfattning för den nationella betygsdatabasen BEDA Svar på remiss från kommunstyrelsen, KS 2026/829 Förvaltningens förslag till beslut Utbildningsnämnden godkänner utbildningsförvaltningens tjänsteutlåtande och överlämnar det till kommunstyrelsen som svar på remissen. Sammanfattning av remissen Kommunstyrelsen har remitterat Universitets- och högskolerådets (UHR) hemställan hos regeringen om registerförfattning för den nationella betygsdatabasen BEDA, till utbildningsnämnden för yttrande. BEDA är en nationell betygsdatabas som innehåller uppgifter om gymnasiala meriter från gymnasieskolan, vuxenutbildning och folkhögskolor. Databasen används i dag främst som stöd vid antagning till högskolor och universitet. UHR har fått i uppdrag av regeringen att bygga ut BEDA. Den utökade databasen kommer att omfatta fler informationskällor och användningsområden samt en mer omfattande behandling av personuppgifter än idag. UHR bedömer att den nuvarande regleringen inte omfattar den utökade personuppgiftsbehandlingen. Mot denna bakgrund hemställer UHR om att regeringen inför en särskild registerförordning för BEDA. Förslaget innehåller bestämmelser om bland annat personuppgiftsbehandling, ändamål för användningen av uppgifter, elektroniskt utlämnande av uppgifter samt integritetsskyddande åtgärder. UHR föreslår även ändringar i myndighetens instruktion. Beredning Ärendet har beretts inom avdelningen för utveckling och samordning i samverkan med gymnasieavdelningen. Handläggare Helene Moquist Telefon: 08-50833417 Till Utbildningsnämnden 2026-08-27 Utbildningsförvaltningen Avdelningen för utveckling och samordning Tjänsteutlåtande Dnr UTBF 2026/4081 2026-07-03 Kungsklippan 6 112 25 Stockholm daniel.lauridsen@stockholm.se start.stockholm Tjänsteutlåtande Dnr UTBF 2026/4081 Sida 2 (3) Universitets- och högskolerådets hemställan om registerförfattning för den nationella betygsdatabasen BEDA Ärendet kommer att behandlas i samverkan med de fackliga organisationerna den 18 augusti 2026. Funktionshinderrådet kommer att få möjlighet att behandla ärendet vid sammanträdet den 19 augusti 2026. Förvaltningens synpunkter Sammanfattning av synpunkter Möjligheten att överföra uppgifterna från BEDA till antagningsregistret medför att ansökningsförfarandet effektiviseras och förenklar för den enskilde som i annat fall själv behöver beställa, skicka in eller styrka sina betyg vid ansökningar till högre utbildning eller vid ärenden om erkännande av kvalifikationer. Förvaltningen är positiv till denna mer användarvänliga och sammanhållna hantering. En utbyggnad av BEDA innebär en ökad personuppgiftsbehandling. Behandlingen kommer fortsatt främst avse uppgifter som inte är av integritetskänslig natur. Förslaget innehåller enligt förvaltningens bedömning relevanta integritetsskyddande åtgärder såsom ändamålsbegränsning, sök- och sammanställningsbegränsningar, behörighetsstyrning, återkommande åtkomstkontroller och förbud mot direktåtkomst för andra än den enskilde själv. Förvaltningen bedömer vidare att de föreslagna skyddsåtgärderna ligger väl i linje med dataskyddsförordningens krav på lämpliga tekniska och organisatoriska säkerhetsåtgärder. Mot bakgrund av att den utökade BEDA innebär behandling av uppgifter om ett mycket stort antal registrerade är det samtidigt viktigt att den fortsatta beredningen säkerställer att behandlingen uppfyller GDPR:s principer om ändamålsbegränsning, uppgiftsminimering, lagringsminimering och proportionalitet. Förvaltningen noterar även vikten av att de nya ändamålen är tydligt avgränsade, att behovet av långsiktigt bevarande av uppgifter fortlöpande kan motiveras samt att det elektroniska utlämnandet förenas med fortsatt stark behörighetsstyrning och åtkomstkontroll. Utbildningsförvaltningen tillstyrker behovet av ytterligare reglering med anledning av utbyggnaden av BEDA, och bedömer samtidigt att de föreslagna integritetsskyddande åtgärderna ger goda förutsättningar för att personuppgiftsbehandlingen ska kunna ske i enlighet med dataskyddsförordningen (GDPR). Utbildningsförvaltningen tillstyrker remissen i sin helhet. Tjänsteutlåtande Dnr UTBF 2026/4081 Sida 3 (3) Universitets- och högskolerådets hemställan om registerförfattning för den nationella betygsdatabasen BEDA Ställningstaganden Utbildningsförvaltningen tillstyrker remissen i sin helhet. Konsekvenser för barn och barnets rättigheter samt jämställdhet Då ärendet är svar på en remiss från kommunstyrelsen gör förvaltningen ingen egen analys av ärendets konsekvenser för jämställdhet eller för barn och barns rättigheter. Förvaltningen förutsätter att en sådan analys vid behov görs av kommunstyrelsen i den fortsatta hanteringen av ärendet. Förslag till beslut Utbildningsförvaltningen föreslår att utbildningsnämnden godkänner förvaltningens tjänsteutlåtande och överlämnar det till kommunstyrelsen som svar på remissen. Per Törnvall Niclas Westin Utbildningsdirektör Avdelningschef Utbildningsförvaltningen Utbildningsförvaltningen Bilaga Universitets- och högskolerådets hemställan om registerförfattning för den nationella betygsdatabasen BEDA --- [Universitets- och högskolerådets hemställan om registerförfattning för den nationella betygsdatabasen BEDA (3/5).pdf] 1 (20) Hemställan Datum: 2026-05-28 Diarienummer: 01073-2026 Emil Eneqvist emil.eneqvist@uhr.se Hemställan Universitets- och högskolerådet (UHR) hemställer hos regeringen om en reglering av nuvarande och kommande personuppgiftsbehandlingar i den nationella betygsdatabasen (BEDA). Enligt 2 a § förordningen (2012:811) med instruktion för Universitets- och högskolerådet ska myndigheten med hjälp av automatiserad behandling föra ett register över uppgifter om elevers slutbetyg, examensbevis eller motsvarande från gymnasieskolan och den kommunala vuxenutbildningen på gymnasial nivå samt uppgifter om behörighet från folkhögskolan, vilket fullgörs genom BEDA. Ändamålet för behandlingen är enligt 2 § 1 nämnda förordning att biträda svenska universitet och högskolor vid antagning av studenter och ansvara för ett samordnat antagningsförfarande. Regeringen har genom regleringsbrev gett UHR i uppdrag att bygga ut BEDA med utgångspunkt i Statens skolverks förstudie om betygsdatabas för rätten till behörighetsgivande utbildning inom komvux (U2018/00129) samt den förstudie om förutsättningarna att utöka BEDA som UHR genomfört (U2018/04835). Det utbyggda BEDA innebär att personuppgifter samlas in från fler källor, att en större mängd personuppgifter behandlas och att fler behandlingsåtgärder utförs. Enligt UHR ryms den utökade personuppgiftsbehandlingen inte inom regleringen i myndighetens instruktion. UHR hemställer därför om en reglering av personuppgiftsbehandlingen i det utökade BEDA. Formen för rättslig reglering av den nationella betygsdatabasen Enligt 2 kap. 6 § andra stycket regeringsformen (RF) är var och en gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Ovanstående rättighet får enligt 2 kap. 20 § RF begränsas genom lag. Datum: 2026-05-28 Diarienummer: 01073-2026 Universitets- och högskolerådet 2 (20) Vid bedömning av vilka åtgärder som kan anses utgöra ett ”betydande intrång” ska både åtgärdens omfattning och arten av det intrång åtgärden innebär beaktas. Även åtgärdens ändamål och andra omständigheter kan ha betydelse vid bedömningen. Bestämmelsen omfattar endast sådana intrång som på grund av åtgärdens intensitet eller omfattning eller av hänsyn till uppgifternas integritetskänsliga natur eller andra omständigheter innebär ett betydande ingrepp i den enskildes privata sfär (prop. 2009/10:80 s. 250). I SOU 2017:49 EU:s dataskyddsförordning och utbildningsområdet kommer utredningen fram till att personuppgiftsbehandlingen i BEDA inte är sådan att det krävs en särskild lagreglering. Utredningen lägger i denna del fram i huvudsak följande resonemang. BEDA innehåller betygsuppgifter för ett stort antal individer och eftersom uppgifterna inte gallras är det ett ständigt växande register vilket talar för en reglering av BEDA. Det finns dock bara ett fåtal uppgifter om varje registrerad och uppgifterna omfattas av absolut sekretess (se kammarrättens avgörande) för de fall då utlämnande eller överföring inte görs med stöd av samtycke eller författning. Vidare behandlas inte några känsliga personuppgifter eller uppgifter av integritetskänslig natur i BEDA och det finns inte heller något behov av att behandla sådana uppgifter. Med hänsyn till detta, särskilt beaktande frånvaron av känsliga personuppgifter, finner utredningen att behandlingen av personuppgifter i BEDA inte utgör ett sådant betydande intrång i den personliga integriteten att en särskild lagreglering är nödvändig. UHR:s bedömning UHR konstaterar att omständigheterna som utredningen lagt till grund för sin bedömning i SOU 2017:49 inte kan appliceras på det utökade BEDA och finner därför att en ny bedömning avseende behovet av lagreglering behöver göras. De behandlingar som kommer ske i det utökade BEDA består främst av registrering samt utlämnande efter begäran. Uppgifterna kommer även att överföras internt i syfte att utföra sådana uppdrag som framgår av myndighetens instruktion (se förslag på ändamålsbestämmelse nedan). De inkomna uppgifterna ändras som regel inte av UHR. Uppgifter kan dock korrigeras om felaktigheter vid inrapportering uppmärksammats och ändringar görs i sådana fall på instruktion av meritutfärdaren för att säkerställa korrektheten. Omständigheten att betygsuppgifterna inte gallras kvarstår för det utökande BEDA och registret kommer därmed fortsätta att växa. UHR noterar dock, likt utredningen, att uppgifterna för varje registrerad är få och begränsade till gymnasiala meriter samt namn och personnummer. Den största delen av uppgifterna i BEDA är inte av integritetskänslig natur. UHR kan emellertid konstatera att sådana särskilda kategorier av personuppgifter som anges i artikel 9.1 i Europaparlamentets och rådets förordning (EU) Datum: 2026-05-28 Diarienummer: 01073-2026 Universitets- och högskolerådet 3 (20) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), s.k. känsliga personuppgifter, finns registrerade i BEDA. Detta genom att information om skola och/eller kurser kan avslöja uppgifter om hälsa, ras eller etniskt ursprung samt religiös uppfattning. Vidare kan det konstateras att UHR i förstudien från 2018 funnit att statistiksekretessen enligt 24 kap. 8 § offentlighet- och sekretesslagen (2009:400) (OSL) inte är tillämplig för uppgifterna i BEDA. Denna bedömning vidhålls. Uppgifterna i BEDA kan dock anses vara skyddade av sekretess i enlighet med 23 kap. 5 § OSL samt de generella bestämmelserna i 21 kap. OSL. Det primära ändamålet med registret är att vara ett stöd vid antagning till högskolor och universitet. Möjligheten att överföra uppgifterna från BEDA till antagningsregistret medför att ansökningsförfarandet effektiviseras och förenklar för den enskilde som i annat fall själv behöver lämna in betygsuppgifter till UHR i samband med ansökan till högre utbildning. Uppgifterna i BEDA föreslås även kunna användas för ändamål som rör UHR:s handläggning vid utfärdande av intyg enligt förordningen (2016:157) om erkännande av yrkeskvalifikationer. Denna behandling är, likt den vid ansökningsförfaranden, en åtgärd som innebär en mer effektiv och resurssparande handläggning för UHR samt ett förenklat förfarande för den enskilde som i annat fall behöver skicka in sina gymnasiala meriter manuellt till UHR. Överföringarna för nämnda ändamål görs endast efter att den registrerade ansökt till högre utbildning eller begärt att UHR utfärdar intyg. Det sista ändamålet som föreslås för uppgifterna i BEDA är behandling i syfte att utföra analyser och uppföljningar inom myndighetens verksamhetsområde. UHR bedömer att uppgifter från BEDA för detta ändamål främst kommer nyttjas för uppföljning av myndighetens provverksamhet, exempelvis för att undersöka grundläggande behörighet eller jämföra gymnasiala meriter med provresultat i syfte att utveckla och förbättra proven. Slutsatser UHR bedömer att så väl omfattningen som intensiteten av personuppgiftsbehandlingen kommer öka vid införandet av det utökade BEDA. Med hänsyn till den begränsade mängden uppgifter per registrerad samt att ändamålen för behandling är få bör ingreppet i de enskildas integritet trots detta inte ses som betydande. Vidare anser UHR att omständigheten att de känsliga personuppgifter som förekommer i BEDA enbart består av uppgift om skola och/eller kurser talar för att integritetskänsligheten inte är sådan att behandlingen innebär ett betydande ingrepp i den enskildes privata sfär. Behandlingen av personuppgifter enligt ovan innebär att personuppgifter kan överföras på ett säkert sätt till UHR:s handläggningsprocesser där behandling av dem är nödvändig. Datum: 2026-05-28 Diarienummer: 01073-2026 Universitets- och högskolerådet 4 (20) Sammantaget bedömer UHR att personuppgiftsbehandlingen i BEDA inte utgör ett sådant betydande intrång i den personliga integriteten för registrerade att en lagreglering krävs. Genom en registerförfattning i förordningsform kan behandlingen av personuppgifter i BEDA regleras på ett tydligt sätt och åtgärder så som sök- och sammanställningsbegräsningar kan införas till skydd för de enskildas integritet. En registerförordning bedöms mot denna bakgrund tillräcklig. UHR:s förslag och motivering Nedan ger UHR ett förslag till hur en författning som reglerar personuppgiftsbehandlingen i BEDA kan se ut samt kommenterar föreslagna bestämmelser. UHR ger även förslag till ändring i förordningen (2012:811) med instruktion för Universitets- och högskolerådet. Förslag till registerförordning för den nationella betygsdatabasen Inledande bestämmelse 1 § Enligt X § förordningen (2012:811) med instruktion för Universitets- och högskolerådet ska myndigheten med hjälp av automatiserad behandling föra ett register över uppgifter om gymnasiala meriter, här benämnd den nationella betygsdatabasen. Denna förordning tillämpas vid behandling av personuppgifter i den nationella betygsdatabasen. Kommentar I 1 § görs en hänvisning till föreslagen omformulering av uppdraget för Universitets- och högskolerådet (UHR) att med hjälp av automatiserad behandling föra ett register över uppgifter om gymnasiala meriter. Statliga myndigheter får sina uppdrag och befogenheter i myndighetsinstruktioner, regleringsbrev och andra regeringsbeslut (prop. 2017/18:105 s. 57). Med hänsyn till detta, i förening med det den varaktiga naturen av uppdraget, föreslår UHR att uppdraget att föra ett register över gymnasiala meriter fortsatt är placerat i förordning (2012:811) med instruktion för Universitets- och högskolerådet (instruktionen). En sådan placering bidrar Datum: 2026-05-28 Diarienummer: 01073-2026 Universitets- och högskolerådet 5 (20) även till att visa på tyngden i uppdraget för UHR samt tydliggör det allmänna intresset av registerföringen. Rättslig grund Mot bakgrund av förslaget ovan bedömer UHR att registerföringen i den nationella betygsdatabasen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning (artikel 6.1 e i Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) samt 2 kap. 2 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, härefter EU:s dataskyddsförordning respektive dataskyddslagen). Vad avser automatiserad behandlingen av personuppgifter uttalade EU- domstolen i Huber C‑524/06 (dom av den 16 december 2008) att en myndighets förande av ett centralt register över uppgifter som redan fanns i regionala register är nödvändig om det bidrar till att effektivisera tillämpningen av relevanta bestämmelser. Domen bör kunna utgöra stöd även vid tolkningen av dataskyddsförordningen. På motsvarande sätt bör det i dagsläget mer eller mindre regelmässigt anses vara nödvändigt att använda tekniska hjälpmedel och därmed behandla personuppgifter på automatisk väg, eftersom en manuell informationshantering inte utgör ett realistiskt alternativ för vare sig myndigheter eller företag (prop. 2017/18:105 s 46–47). För sambandet mellan behandlingarna (för särskilda ändamål) i den nationella betygsdatabasen (BEDA) och fastställda myndighetsuppdrag, se mer under kommentaren till 4 §. Förhållandet till annan dataskyddsreglering 2 § Denna förordning innehåller bestämmelser som kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Vid behandling av personuppgifter enligt denna förordning gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna förordning. Termer och uttryck i denna förordning har samma betydelse som i EU:s dataskyddsförordning. Datum: 2026-05-28 Diarienummer: 01073-2026 Universitets- och högskolerådet 6 (20) Kommentar EU:s dataskyddsförordning gäller för behandling av personuppgifter som sker automatiserat i såväl offentlig som privat verksamhet. Förordningen är direkt tillämplig men har i vissa delar en direktivliknande karaktär genom att den både förutsätter och medger nationella bestämmelser (prop. 2017/18:105 s. 21 f). I Sverige regleras sedan lång tid tillbaka behandlingen av personuppgifter inom företrädesvis den offentliga sektorn genom s.k. registerförfattningar (se HFD 2021 ref 10). I lagstiftningsärendet gällande dataskyddslagen togs ställning till registerförfattningarnas förenlighet med EU:s dataskyddsförordning. Regeringen uttalade att det även fortsättningsvis fanns ett utrymme för sådan sektorsspecifik särreglering om behandling av personuppgifter som finns i de svenska registerförfattningarna (prop. 2017/18:105 s. 21 f.). Registerförfattningen för BEDA är således tänkt att innehålla bestämmelser som kompletterar EU:s dataskyddsförordning samt dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen. Bestämmelserna i dessa rättsakter gäller således om inte annat följer av denna registerförfattning. Personuppgiftsansvar 3 § Universitets- och högskolerådet är personuppgiftsansvarigt för behandling av personuppgifter i den nationella betygsdatabasen. Kommentar I denna paragraf tydliggörs att det är Universitets- och högskolerådet (UHR) som är personuppgiftsansvarigt för behandlingar som sker i den nationella betygsdatabasen. Den nationella betygsdatabasen är inte ett delat system och det är endast UHR som har tillgång till uppgifterna och möjlighet att utföra behandlingar. Ändamål 4 § Universitets- och högskolerådet får behandla personuppgifter i den nationella betygsdatabasen om det är nödvändigt för ändamål som rör 1. biträde och samordning av antagning av studenter till universitet och högskolor som omfattas av högskolelagen (1992:1424) eller enskilda utbildningsanordnare som har tillstånd att utfärda examina enligt lagen (1993:792) om tillstånd att utfärda vissa examina, Datum: 2026-05-28 Diarienummer: 01073-2026 Universitets- och högskolerådet 7 (20) 2. myndighetens uppgifter som följer av förordningen (2016:157) om erkännande av yrkeskvalifikationer, och 3. insamling av uppgifter nödvändiga för fullgörandet av huvudmäns uppgiftsskyldighet till Skolverket som följer av Skollagen (2010:800) 26 kap. 25 §. 4. uppföljning och analys av frågor inom myndighetens verksamhetsområde. Kommentar Som beskrivits ovan innehåller registerförfattningen bestämmelser som kompletterar EU:s dataskyddsförordningen samt dataskyddslagen. UHR anser att det i författningen bör anges ändamål för vilka personuppgifterna i BEDA får behandlas. Vad gäller reglering av ändamål uttalade regeringen i lagstiftningsärendet gällande dataskyddslagen att EU:s dataskyddsförordning inte ställer något krav på att de ska vara fastställda i författning men att det heller inte finns något som hindrar att detta görs, under förutsättning att bestämmelserna uppfyller ett mål av allmänt intresse och är proportionella mot det legitima mål som eftersträvas (prop. 2017/18:105 s. 48, 50 f. och 54). Uppräknade ändamål Ändamålet som är angivet i den första punkten överensstämmer med det uppdrag som UHR har enligt 2 § instruktionen där det anges att UHR ska biträda vid antagning av studenter och ansvara för ett samordnat antagningsförfarande. Detta är också det ändamål för vilket UHR idag för registret (se 2a § instruktionen). Möjligheten att överföra gymnasiala meriter till antagningssystemet är väsentlig för en effektiv handläggning av antagning till högre utbildning. En effektiv handläggning har även stor betydelse för de enskilda med hänsyn till de bestämda tidsramarna som gäller för antagning. UHR föreslår två nya ändamål för vilka personuppgifter i BEDA ska kunna behandlas. Införandet av dessa ändamål innebär inte att fler uppgifter behöver samlas in. Det första ändamålet som anges i andra punkten medför att UHR får möjlighet att hämta uppgifter från BEDA i syfte att utfärda intyg över svenska examens- eller utbildningsbevis på gymnasial nivå vilket är en uppgift UHR har enligt 6 § instruktionen och 7 kap. 9 § förordningen (2016:157) om erkännande av yrkeskvalifikationer. Uppgifterna kommer endast att hämtas ur BEDA efter att den enskilde har inkommit med en begäran om intyg och det innebär således att denne inte behöver bifoga meriterna separat. Ett sådant förfarande skulle minska den administrativa bördan hos UHR, effektivisera handläggningen samt förenkla förfarandet för den enskilde genom att den denne inte behöver lämna in uppgifter som redan finns hos UHR. Det andra nya ändamålet som föreslås är behandling för uppföljning och utvärdering. Ändamålet är tillagt eftersom UHR har ett uppdrag att ansvara för Datum: 2026-05-28 Diarienummer: 01073-2026 Universitets- och högskolerådet 8 (20) uppföljning och analys av frågor inom myndighetens verksamhetsområde enligt 13 § instruktionen. Behov av att se över enskildas gymnasiala meriter förekommer inom ramen för detta uppdrag. UHR måste i dessa fall begära in uppgifter från de enskilda själva eller tredje man för att kunna samla ett tillräckligt underlag. Möjligheten att kunna använda uppgifter som redan förvaras hos UHR och på så vis få ner antalet behandlingar av personuppgifter samt undvika att överskottsinformation bifogas medför enligt UHR:s mening en hantering som bättre svarar mot de grundläggande principerna i EU:s dataskyddsförordning. Behov av ytterligare ändamål än de uppräknade Om Beda ska användas för insamling av ämnesbetyg i varje nivå i respektive gy25 ämne varje läsår för att möjliggöra fullgörande av rapporteringsskyldigheten till Skolverket genom BEDA så innebär det ett behov av att behandla ytterligare uppgifter än de som är nödvändiga för ändamålen som anges i 4 § p. 1. D.v.s. om det är fråga om uppgifter som inte är nödvändiga att behandla för biträde och samordning av antagning av studenter till universitet och högskolor. UHR föreslår därför ett ytterligare ändamål i p. 3 som möjliggör att samla in ytterligare uppgifter som är nödvändiga för att anslutna skolhuvudmän ska kunna fullgöra sin uppgiftsskyldighet till Skolverket genom Beda. Det ska noteras att en ytterligare förutsättning möjliggöra för huvudmän att fullgöra sin uppgiftsskyldighet genom rapportering till BEDA krävs utöver ovan föreslagna utökning av BEDA:s ändamål att Skolverket föreskriver att uppgiftskyligheten kan fullgöras genom rapportering till BEDA. Berättigade ändamål Enligt artikel 5.1 b i EU:s dataskyddsförordning ska de ändamål för vilka personuppgifter samlas in vara berättigade. Principen om att ändamålen ska vara berättigade utgör i likhet med principen om laglighet en direkt koppling till de rättsliga grunderna i artikel 6.1. Ett ändamål som inte är berättigat i förhållande till den tillämpliga rättsliga grunden är således inte förenligt med artikel 5 (prop. 2017/18:105 s. 47). UHR bedömer att behandlingen av personuppgifter i BEDA är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning (jfr artikel 6.1 e i EU:s dataskyddsförordning samt 2 kap. 2 § dataskyddslagen). Samtliga ändamål grundar sig på uppdrag som ålagts UHR i myndighets instruktion och behandlingen leder i samtliga fall till markanta effektivitetsvinster. Vidare bedömer UHR att de känsliga personuppgifter som förekommer i BEDA får behandlas med stöd av artikel 9.2 g i EU:s dataskyddsförordning samt 3 kap. 3 § dataskyddslagen. Datum: 2026-05-28 Diarienummer: 01073-2026 Universitets- och högskolerådet 9 (20) Vid denna bedömning har UHR särskilt beaktat att det enligt regeringens mening måste anses utgöra ett viktigt allmänt intresse att svenska myndigheter, även utanför området för myndighetsutövning, kan bedriva den verksamhet som tydligt faller inom ramen för deras befogenheter på ett korrekt, rättssäkert och effektivt sätt (prop. 2017/18:105 s. 83). Som nämnts ovan överensstämmer samtliga ändamål med särskilda uppdrags som ålagts UHR i myndighetens instruktion. Med hänsyn till att uppdragen bedömts vara av sådan vikt att de ska regleras i förordningsform anser UHR att de utgör sådana viktiga allmänna intressen som avses i dataskyddslagen. UHR bedömer vidare att behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Till grund för denna bedömning har UHR beaktat följande omständigheter. De kategorier av personuppgifter i BEDA som omfattas av artikel 9.1 är inte av sådan natur att de kan anses vara särskilt känsliga och de behandlingar som sker i systemet bör inte ses omfattande eller ingripande. Uppgifterna träffas därtill av sekretessbestämmelser i offentlighets- och sekretesslagen (2009:400) OSL. Exempelvis gäller sekretess hos Universitets- och högskolerådet i verksamhet som avser biträde vid antagning av studenter för uppgift om en enskilds identitet, adress och andra liknande uppgifter om en enskilds personliga förhållanden, om det av särskild anledning kan antas att den enskilde eller någon närstående till denne lider men om uppgiften röjs. UHR föreslår också sök- och sammanställningsbegränsningar som en ytterligare åtgärd för att motverka otillbörliga intrång, se nedan. Finalitetsprincipen Särskilt angivna ändamålsbestämmelser avgränsar de tillåtna ändamålen med behandlingen. UHR anser dock inte att avgränsningen bör vara sådan att vidarebehandling för ändamål som är förenliga med de angivna ändamålen ska vara otillåten. Finalitetsprincipen bör således utgöra gränsen för vilken behandling som är tillåten. Frågan är därmed om finalitetsprincipen bör regleras särskilt i förordningen. Integritetsskyddsmyndigheten (IMY) har i yttrande över eSam:s promemoria En modern registerförfattning (ES 2022:6) fört fram att när det införs en reglering som begränsar tillåtna behandlingsändamål, ligger det nära till hands att tolka regleringen som att det inte är tillåtet att behandla uppgifter för andra ändamål än de som uttryckligen anges. Detta även om de nya ändamålen skulle anses vara förenliga med insamlingsändamålen. De krav som ställs i förordningen på tydlighet, förutsebarhet och precision talar för att en ändamålsbegränsning i den rättsliga grunden ska tolkas som uttömmande (se IMY-2022-1665 s. 6). Högsta förvaltningsdomstolen (HFD) har i HFD 2021 ref. 10 uttalat att följande. En ändamålsreglering i en registerförfattning kan vara sådan att den uttömmande anger de ändamål för vilka uppgifterna får behandlas. Detta framgår ofta genom att det i författningen anges att personuppgifterna Datum: 2026-05-28 Diarienummer: 01073-2026 Universitets- och högskolerådet 10 (20) ”endast” får behandlas för vissa angivna ändamål. Vidarebehandling för andra ändamål är då inte tillåten. I sådana fall brukar det anges att finalitetsprincipen ”inte gäller”. I andra fall anger ändamålsbestämmelserna en yttre ram inom vilken uppgifterna får behandlas. I sådana fall är det finalitetsprincipen som ytterst sätter gränsen för vad som kan anses vara en tillåten behandling, dvs. den som är personuppgiftsansvarig måste göra en kontroll av huruvida en senare behandling är oförenlig med de ändamål för vilka uppgifterna först samlades in (p. 22). UHR anser att en bestämmelse om att finalitetsprincipen gäller kan bidra till tydlighet men anser inte att frånvaro av en sådan bestämmelse ensamt kan ligga till grund för tolkningen att uppräkningen av tillåtna ändamål är uttömmande. Myndigheten konstaterar att EU:s dataskyddsförordning är direkt tillämplig samt att det angetts i denna förordning att bestämmelserna här i är kompletterande. Utgångspunkten bör därmed vara att finalitetsprincipen gäller om annat inte stadgats, antingen genom en skrivning om att personuppgifter ”endast” får behandlas för vissa ändamål eller i en egen bestämmelse. Mot denna bakgrund och med hänsyn till den föreslagna utformningen av aktuell ändamålsbestämmelse anser UHR att det inte är nödvändigt att införa en särskild bestämmelse om att finalitetsprincipen gäller. Utlämnande som ändamål Det utökade BEDA grundar sig bland annat på ett ökat behov av effektiv informationsdelning och UHR bedömer att detta lämpligen görs genom ett automatiserat elektroniskt utlämnande. UHR anser inte att utlämnandet behöver regleras som ett ändamål i förordningen. De aktörer som kommer kunna ta del av uppgifter genom ett automatiserat utlämnande från BEDA är både privata/enskilda och offentliga. Uppgifterna i BEDA omfattas enligt UHR:s bedömning av 23 kap. 5 § OSL samt i förekommande fall 21 kap. 3 § OSL. UHR bedömer att en enskild aktör som begär att få ta del av uppgifter ur BEDA gör det med stöd av tryckfrihetsförordningens (TF) bestämmelser om rätten att ta del av allmänna handlingar. Enligt 1 kap. 7 § dataskyddslagen ska nämnd lag samt EU:s dataskyddsförordning inte tillämpas i den utsträckning det skulle strida mot TF. Med hänsyn till detta krävs det inte att utlämnanden som grundar sig i TF regleras särskilt. Vad gäller utlämnanden till offentliga aktörer grundar sig dessa på informationsskyldigheten i 6 kap. 5 § OSL eller särskilt reglerade uppgiftsskyldigheter. HFD har uttalat att myndigheter hindras från att lämna bl.a. integritetskänsliga uppgifter till andra myndigheter genom sekretessbestämmelser. Härigenom får lagstiftaren anses ha tagit ställning till när ett uppgiftslämnande är oförenligt med det eller de ändamål för vilka uppgifterna samlades in. Utöver sekretessprövningen ska den Datum: 2026-05-28 Diarienummer: 01073-2026 Universitets- och högskolerådet 11 (20) personuppgiftsansvariga myndigheten således inte göra någon kontroll av förenligheten med finalitetsprincipen i samband med lämnande av uppgifter enligt 6 kap. 5 § OSL (HFD 2021 ref 10). Utlämnanden till andra myndigheter och kommuner ska därmed anses vara inom ramen för finalitetsprincipen så länge det inte är förbjudet att röja uppgiften enligt OSL. UHR vill avslutningsvis särskilt kommentera utlämnandet som görs till SCB i enlighet med 2 a § andra stycket instruktionen. UHR bedömer att denna bestämmelse utgör en uppgiftsskyldighet, det är således inte en del av ändamålen för BEDA. UHR registrerar inte heller några uppgifter i BEDA på grund av denna skyldighet som inte täcks av övriga ändamål. Formen för utlämnande behandlas nedan. Överföring av personuppgifter till nationella betygsdatabasen 5 § Enskildas gymnasiala meriter får tillföras den nationella betygsdatabasen från 1. gymnasieskola med offentlig huvudman, 2. fristående gymnasieskola, 3. kommunal vuxenutbildning, 4. kommunal vuxenutbildning anordnad på entreprenad, och 5. folkhögskola. Kommentar Uppgifter som får tillföras registret UHR konstaterar att det är vanligt förekommande att i registerförfattning särskilt reglera vilka personuppgifter som får behandlas inom ramen för den aktuella verksamheten. Med hänsyn till att det i många fall är svårt att på förhand avgöra exakt vilka personuppgifter som bör kunna behandlas samt att en sådan reglering kan komma att medföra omotiverade begräsningar är det brukligt att precisera kategorier av uppgifter som får behandlas. Vad gäller BEDA är det endast uppgifter om gymnasiala meriter på individnivå som ska behandlas vilket innebär meriter samt personnummer och namn. UHR anser därför att det kan preciseras i aktuell bestämmelse. Med gymnasiala meriter avses elevers slutbetyg, examensbevis eller motsvarande från utbildningar på gymnasial nivå samt uppgifter om behörighet från folkhögskolan. Det kan även avse betyg från en ej avslutad gymnasial utbildning såsom betygsutdrag från gymnasieskolan vilket enligt regeringsuppdraget är en merittyp som BEDA ska omfatta mottagande av. Därutöver så pågår för närvarande en diskussion om det ska möjliggöras för skolhuvudmän att fullgöra den rapporteringsskyldighet som framgår av Skollag (2010:800) 26 kap. 25 §, som bland annat innefattar att skolhuvudmän årligen Datum: 2026-05-28 Diarienummer: 01073-2026 Universitets- och högskolerådet 12 (20) ska rapportera in betyg från avslutade nivåer till Skolverket. Anledningen till att UHR föreslår ett samlingsbegrepp är ovan nämnda svårighet att på förhand avgöra exakt vilka uppgifter som bör kunna behandlas. Denna svårighet bedöms särskilt påtaglig med hänsyn till utvecklingen inom utbildningsområdet, exempelvis genom införandet av ämnesbetyg som kan påverka former och benämningar på de meriter som överförs till BEDA. Enligt 3 kap. 10 § dataskyddslagen får personnummer och samordningsnummer behandlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålet, vikten av säker identifiering eller något annat beaktansvärt skäl. I BEDA kommer UHR behöva behandla personnummer eller samordningsnummer för att kunna koppla de gymnasiala meriterna till en enskild person. Dels för att kunna sammanföra meriter från olika meritutfärdare i förkommande fall men framförallt för att kunna uppnå de stadgade ändamålen. Om individkoppling saknas kan meriterna varken användas för antagningsändamål eller för utfärdande av intyg. UHR bedömer därför att behandling av personnummer är klart motiverat med hänsyn till ändamålen samt vikten av säker identifiering. Varifrån uppgifter får överföras Benämningen av aktörerna överensstämmer med benämningarna skollagen. Uppgiftsöverföring från angivna aktörer överensstämmer med UHR:s regeringsuppdrag för det utökade BEDA. Utöver de aktörer som har räknats upp i ovanstående paragraf har önskemål om överföring av uppgifter från Statens institutionsstyrelse (SiS) och Kriminalvården till BEDA framförts. UHR bedömer dock att registrering av uppgifter från dessa aktörer inte bör möjliggöras i detta skede med hänsyn till uppgifternas mycket integritetskänsliga natur samt den omständighet att de kan betraktas som uppgifter om lagöverträdelser. UHR konstaterar härvid att en överföring av uppgifter om lagöverträdelser till privata aktörer som regel inte är möjligt. Uppgifter från SiS och kriminalvården skulle mot denna bakgrund inte kunna vara en del av den tjänst för ett automatiserat elektroniskt utlämnande som ska möjliggöra den informationsdelning som är ett av de grundläggande syftena med utökade BEDA. Några effektivitetsvinster jämfört med att begära ut meriter hos utfärdaren saknas därför. Med hänsyn till detta, i förening med att uppgifternas integritetskänsliga natur kan kräva såväl en striktare reglering som fler säkerhetsåtgärder, finner UHR att uppgifterna inte bör tillföras BEDA. Däremot ser UHR inget generellt hinder mot att SiS och kriminalvården får ta del av uppgifter ur BEDA. Överföringen av uppgifter till BEDA är inte obligatorisk och UHR begär inte heller in uppgifterna. Med hänsyn till detta noterar UHR att aktörerna behöver Datum: 2026-05-28 Diarienummer: 01073-2026 Universitets- och högskolerådet 13 (20) en rättslig grund för att den behandling som överföringen innebär ska vara förenligt med EU:s dataskyddsförordning. Elektroniskt utlämnande 6 § Personuppgifter får lämnas ut elektroniskt om det inte är olämpligt. Utlämnande får dock inte ske i form av direktåtkomst till annan än den enskilde själv. Universitets- och högskolerådet får bestämma ytterligare villkor för elektroniskt utlämnande på automatiserad väg. Kommentar Varken EU:s dataskyddsförordning eller dataskyddslagen innehåller några uttryckliga bestämmelser om elektroniskt utlämnande av personuppgifter. Något generellt hinder mot sådant utlämnande finns alltså inte. Personuppgifterna i BEDA hanteras endast i elektronisk form och en elektronisk informationsdelning med såväl andra myndigheter som enskilda aktörer ingår i UHR:s regeringsuppdrag för det utökade BEDA. För avsändare och mottagare är ett elektroniskt utlämnande regelmässigt också mer effektivt, både ur ett kostnadsperspektiv och ett administrationsperspektiv, jämfört med att skicka uppgifter med brev. Som nämnts ovan är huvuddelen av uppgifterna i BEDA inte av känslig karaktär men sådana uppgifter förekommer. Lämpligheten med elektronisk överföring av uppgifter bör alltid övervägas men det är av särskild vikt när uppgifterna är känsliga. Riskerna med att överföra uppgifter elektroniskt, som bl.a. kan bestå i en ökad fara att uppgifter sprids eller att någon annan än den avsedda mottagaren får del av uppgifterna, måste dock vägas mot UHR:s och mottagarnas behov av effektiva arbetssätt. En reglering som gör det möjligt för UHR att lämna ut uppgifter elektroniskt, men som samtidigt innehåller en begränsning av när så får ske, bör enligt UHR anses vara en adekvat lösning som också svarar mot syftet med det utökade BEDA. UHR noterar även att liknande regleringar förekommer i andra registerförfattningar (se t.ex. 9 § lagen [2018:1698] om domstolarnas behandling av personuppgifter inom brottsdatalagens område samt 1 kap. 9 § lagen [2020:421] om Rättsmedicinalverkets behandling av personuppgifter). Vad gäller en närmare precisering av vilka konkreta omständigheter som gör ett elektroniskt utlämnande olämpligt bedömer UHR att det är svårt att stadga på förhand utan en individuell bedömning. Hänsyn bör tas både till uppgifternas karaktär, mottagaren i fråga samt vilken form av elektroniskt utlämnande det är frågan om. Vidare noterar UHR att rättsutvecklingen inom dataskyddsområdet ständigt går framåt varför en fast reglering riskerar att snabbt bli förlegad. Datum: 2026-05-28 Diarienummer: 01073-2026 Universitets- och högskolerådet 14 (20) Lämplighetsbedömningen bör i stället ta avstamp i tillsynsmyndighetens arbete och domstolspraxis (jfr prop. 2019/20:106 s. 56). Direktåtkomst Med elektroniskt utlämnande avses såväl så kallad direktåtkomst som annat utlämnande i elektronisk form, t.ex. via API, e-post eller på USB-minne. Direktåtkomst innebär att en mottagare har direkt tillgång till någon annans register eller databas och därigenom på egen hand kan ta del av information (se HFD 2015 ref. 61). Det anses vara den mest integritetskänsliga formen av elektroniskt utlämnande av uppgifter och UHR anser därför att det finns skäl att göra skillnad på utlämnande genom direktåtkomst och andra former av elektroniskt utlämnande. UHR har inte utvecklat det utökade BEDA för att möjliggöra direktåtkomst, det pågår dock ett arbete med att titta på tekniska lösningar för enskilda att i framtiden t.ex. kunna själva ta del av sina uppgifter, dela dessa med andra och möjliggöra för tredje part att verifiera att ett dokument överensstämmer med innehållet dokumentet hade när det genererades från Beda. Det är idag oklart vilka tjänster som kommer byggas och hur de tekniskt kommer vara uppbyggda. Med hänsyn till detta, och skyddet för de registrerades integritet, bör det förtydligas att utlämnande i form av direktåtkomst inte får ske. UHR anser dock att det bör göras ett undantag för direktåtkomst till den enskilde själv för att inte riskera att det krävs nya förordningsändringar för det fall en framtida tjänst för åtkomst skulle bedömas utgöra en form av direktåtkomst. Automatiserat utlämnande Av Universitets- och högskolerådets uppdrag (regleringsbrev 2021) att bygga ut den nationella betygsdatabasen BEDA framgår att utbyggnaden ska ske med utgångspunkt i förslaget i Statens skolverks förstudie om betygsdatabas för rätten till behörighetsgivande utbildning inom komvux (U2018/00129). Vidare ska utbyggnaden göras med utgångspunkt i den förstudie om förutsättningarna att utöka Beda som Universitets- och högskolerådet gjort (U2018/04835). Uppdraget innebär att uppgifter från BEDA kommer kunna användas för antagningarna till kommunal vuxenutbildning, folkhögskola och yrkeshögskolan samt andra myndigheters ärendehandläggning. För att hantera återkommande förfrågningar av uppgifter ur BEDA från vissa externa mottagare har Universitets- och högskolerådet upprättat en tjänst för att kunna lämna ut handlingar elektroniskt på ett automatiserat sätt genom en API-lösning. Mottagare som önskar få ut uppgifter för särskilda förutbestämda syften ska kunna ansluta sig till tjänsten om de uppfyller de villkor UHR ställt upp. Det är viktigt att Universitets- och högskolerådet har kontroll över och kan bestämma villkoren för anslutning till och användning av tjänsten för att myndigheten ska kunna säkerställa säkerheten för personuppgifterna. Datum: 2026-05-28 Diarienummer: 01073-2026 Universitets- och högskolerådet 15 (20) Tjänsten för automatiserat utlämnande är avsedd för följande mottagare och syften som utpekats i Skolverkets förstudie. • Statistikansvarig myndighet för skolväsendet, eller till den myndighet eller det organ som den statistikansvariga myndigheten bestämmer, för statistiska ändamål. • Kommuner, i syfte att handlägga ärenden om aktivitetsansvar för ungdomar, har examens- eller studiebevis eller motsvarande från gymnasieskolan. • Skolverkets planeringsverktyg för Komvux. • Centrala studiestödsnämnden, för studiemedelsuppföljning och körkortslån. • Gymnasieskolor med offentlig huvudman, fristående gymnasieskolor, kommunal vuxenutbildning, kommunal vuxenutbildning anordnad på entreprenad, yrkeshögskolor och folkhögskolor för antagningsändamål. Följande aktörer har, under arbetet med det utökade BEDA, visat intresse för att få ta del av uppgifter ur BEDA. • Myndigheten för digital förvaltning (DIGG), för ändamålet att tillgängliggöra meriter inom ramen för det tekniska systemet för bevisutbyte. • Kriminalvården, för antagningsändamål. • Socialstyrelsen, i syfte att handläggande ärenden om utfärdande av bevis om skyddad yrkestitel för undersköterskor. Sök- och sammanställningsbegränsningar 7 § Det är förbjudet att göra sökningar i syfte att 1. få fram ett urval av personer grundat på personuppgifter som avslöjar sådana särskilda kategorier av personuppgifter som anges i artikel 9.1 EU:s dataskyddsförordning, eller 2. få fram ett urval av personer grundat på personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott. Kommentar Vid behandling av känsliga personuppgifter med stöd av artikel 9.2 g uppställer EU:s dataskyddsförordningen krav på lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Vidare tillåter 3 kap. 3 § dataskyddslagen endast att behandling av känsliga personuppgifter för ett viktigt allmänt intresse om behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Bestämmelsen Datum: 2026-05-28 Diarienummer: 01073-2026 Universitets- och högskolerådet 16 (20) stadgar även ett förbud mot att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Att göra sökningar och sammanställningar baserat på känsliga personuppgifter är enligt UHR:s mening ett påtagligt intrång i de registrerades integritet. En begränsning av möjligheten att utföra sådana behandlingar skulle därmed verka för att skydda de registrerades grundläggande rättigheter och intressen. UHR konstaterar att 3 kap. 3 § dataskyddslagen redan innehåller ett sådant förbud men konstaterar att det endast gäller när behandlingen av uppgifterna enbart stödjer sig på undantaget i bestämmelsen första stycke. UHR:s behandling av känsliga personuppgifter har även stöd i 3 kap. 6 § med hänsyn till arkivreglernas krav på bevarande vilket medför att UHR inte med säkerhet kan säga att sökningar och sammanställningar aldrig kan komma att ske. Vidare konstaterar UHR att dataskyddslagen inte ska tillämpas i den utsträckning som det skulle strida mot tryckfrihetsförordningen (1 kap. 7 § dataskyddslagen) samt att den behandling som sker till följd av en begäran om allmänna handlingar inte sker med stöd av 3 kap. 3 § första stycket dataskyddslagen. En sammanställning av uppgifter ur en upptagning för automatiserad behandling som innehåller personuppgifter anses dock inte förvarad hos en myndighet om myndigheten enligt lag eller förordning saknar befogenhet att göra sammanställningen (2 kap. 7 § TF). Sökbegränsningar och förbud för myndigheten att göra vissa sammanställningar av uppgifter medför att vissa upptagningar inte är att anse som förvarade i TF:s mening och någon skyldighet att lämna ut uppgifterna finns därmed inte. Mot denna bakgrund, och med hänsyn till att UHR mottar förfrågningar på stora mängder personuppgifter i annan verksamhet, ser myndigheten en risk för spridning av uppgifterna som behandlas i BEDA om ett kompletterande sök- och sammanställningsförbud inte införs i registerförordningen. En sådan begränsning, i förening med tillämpliga sekretessbestämmelser, uppfyller dock vid en sammantagen bedömning dataskyddsförordnings krav på lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. UHR behandlar inte i dagsläget uppgifter som kan avslöja uppgifter om exempelvis sexuell läggning eller lagöverträdelser men anser att utformningen av en sök- och sammanställningsbegräsning bör hållas så generell och vid som möjligt för att säkerställa de registrerades rättigheter. Behörigheter och åtkomstkontroll 8 § Tillgången till personuppgifter ska begränsas till det som var och en behöver för att kunna fullgöra sina arbetsuppgifter. Universitets- och högskolerådet ska systematiskt och återkommande kontrollera om någon obehörigen tagit del av personuppgifterna. Datum: 2026-05-28 Diarienummer: 01073-2026 Universitets- och högskolerådet 17 (20) Kommentar För att minska risken för obefogade intrång i den personliga integriteten vid UHR:s behandling av personuppgifter bör det införas en bestämmelse som uttryckligen begränsar den krets av personer som får ha tillgång till personuppgifter i BEDA. Även om skyldigheten för personuppgiftsansvariga att på olika sätt begränsa tillgången till personuppgifter kan sägas följa av EU:s dataskyddsförordning menar UHR att bestämmelsen utgör en sådan specificering som enligt artikel 6.2 och 6.3 är tillåten i nationell rätt (jfr prop. 2019/20:106 s 61.). Myndigheten kommer systematiskt och återkommande kontrollera åtkomsten av uppgifter i BEDA, detta gäller såväl de externa som de interna användarna. Datum: 2026-05-28 Diarienummer: 01073-2026 Universitets- och högskolerådet 18 (20) Förslag till ändringar i förordning (2012:811) med instruktion för Universitets- och högskolerådet Nuvarande reglering - 2 a § För de ändamål som anges i 2 § 1 ska myndigheten med hjälp av automatiserad behandling föra ett register över uppgifter om elevers slutbetyg, examensbevis eller motsvarande från gymnasieskolan och den kommunala vuxenutbildningen på gymnasial nivå samt uppgifter om behörighet från folkhögskolan. Uppgifterna i registret ska lämnas till statistikansvarig myndighet för skolväsendet eller till den myndighet eller det organ som den statistikansvariga myndigheten bestämmer. Förslag på ny reglering att föra register X § Myndigheten ska med hjälp av automatiserad behandling föra ett register över uppgifter om gymnasiala meriter. Uppgifterna i registret ska lämnas till statistikansvarig myndighet för skolväsendet eller till den myndighet eller det organ som den statistikansvariga myndigheten bestämmer. Alternativt X § För de ändamål som anges i förordning (2023:xxx) ska myndigheten med hjälp av automatiserad behandling föra ett register över uppgifter om gymnasiala meriter. Uppgifterna i registret ska lämnas till statistikansvarig myndighet för skolväsendet eller till den myndighet eller det organ som den statistikansvariga myndigheten bestämmer. Kommentar Ändamålet som anges i instruktionen bör lyftas ut så att närmare regleringar endast finns i registerförordningen. UHR bedömer att det kan bli otydligt för den som ska tillämpa bestämmelserna om ändamål regleras i olika författningar. Med hänsyn till att UHR bör ha en tydlig rättslig grund för att ha den nationella betygsdatabasen bör dock ett uppdrag att föra registret finnas kvar i instruktionen. UHR bedömer att även uppgiftsskyldigheten till statistikansvarig Datum: 2026-05-28 Diarienummer: 01073-2026 Universitets- och högskolerådet 19 (20) myndighet bör ligga kvar. Eftersom kopplingen till 2 § instruktionen inte längre är central kan det dock övervägas om BEDA bör regleras i en ny/egen bestämmelse. Placeringen av bestämmelsen borde fortsatt vara under ”Uppdragsverksamhet”. Ny X § med anledning av SDG-förordningen Myndigheten ska på begäran överföra uppgifter om gymnasiala meriter som förs enligt X § till behöriga myndigheter om uppgifterna behövs för prövning av en enskilds behörighet till utbildning, erkännande av utbildningsmeriter eller annan motsvarande prövning av utbildningsbakgrund. Utlämnande enligt första stycket får ske genom det tekniska system som avses i artikel 14 i Europaparlamentets och rådets förordning (EU) 2018/1724 av den 2 oktober 2018 om inrättande av en gemensam digital ingång för tillhandahållande av information, förfaranden samt hjälp- och problemlösningstjänster och om ändring av förordning (EU) nr 1024/2012 Kommentar BEDA har utpekats som en potentiell förmedlingsplattform för att överföra uppgifter inom ramen för det tekniska system som omnämns i SDG- förordningen (artikel 14). BEDA innehåller inte de faktiskt utfärdade betygen utan inrapporterade uppgifter om gymnasiebetyg som rapporterats in av de bevisutfärdande anslutna skolorna. Någon möjlighet för UHR att verifiera eller garantera överenstämmelsen mellan utfärdade bevis och de inrapporterade uppgifterna i BEDA finns inte. UHR:s bedömning är vidare att de uppgifter om gymnasiala meriter som finns i BEDA inte omfattas av uppgiftsskyldigheten enligt artikel 14 då det inte är fråga bevis som är utfärdade i elektroniskt format, samt i många fall inte heller är utfärdade av behöriga myndigheter. Den ovan föreslagna paragrafen syftar till att ge ett förslag till reglering som ger UHR ett uppdrag att tillgängliggöra uppgifter som finns i BEDA samt en uppgiftsskyldighet som bryter sekretessen enligt 10 kap. 28 § OSL för att möjliggöra tillgängliggörande av uppgifter från BEDA till det tekniska systemet. Det skulle enligt UHR:s bedömning med andra ord vara fråga om ett tillgängliggörande som går utöver skyldigheterna enligt SDG-förordningen och det skulle endast avse uppgifter från anslutna skolor samt uppgifter som omfattas av BEDA:s ändamål. I promemorian Sekretess och dataskydd i det tekniska systemet enligt EU:s förordning om gemensam digital ingång (Fi 2023:c) görs bedömningen att regleringen i artikel 14 SDG-förordningen kan anses utgöra en sådan uppgiftsskyldighet för behöriga myndigheter som avses i 10 kap. 28 § OSL samt Datum: 2026-05-28 Diarienummer: 01073-2026 Universitets- och högskolerådet 20 (20) att nämnda reglering kan anses utgöra rättslig grund för den personuppgiftsbehandling som behöriga myndigheter ska utföra vid bevisutbytet. UHR delar bedömningen att det inte krävs författningsändringar för att behöriga myndigheter ska kunna utbyta bevis i det tekniska systemet. Nämnda promemoria behandlade dock inte behovet av författningsändringar för de myndigheter som inte anses vara behöriga myndigheter men som ansvarar för så kallade förmedlingsplattformar. UHR:s bedömning är därför att ett tillgängliggörande av uppgifter från BEDA som sträcker sig längre än SDG- förordningens uppgiftsskyldighet enligt artikel 14 innebär att det behövs ett uttryckligt författningsstöd för att möjliggöra detta. Den föreslagna paragrafen syftar således till att lämna ett förslag på en reglering som möjliggör för UHR att tillgängliggöra uppgifter från BEDA till det tekniska systemet om det från Sveriges sida finns en vilja att tillgängliggöra dessa befintliga uppgifter ur BEDA i det tekniska systemet. Placering skulle kunna vara under antingen ”Uppdragsverksamhet” eller ”Internationellt samarbete och mobilitet”. En kommentar avseende avgifter (finansiering) Skolverkets rapport föreslår att BEDA ska vara anslagsfinansieras för att ge alla mottagare samma möjlighet till tillgång. Eftersom UHR:s uppdrag varit att utveckla BEDA i enlighet med Skolverkets förslag föreslås därför ingen ändring i 22 § instruktionen som reglerar myndighetens rätt att ta ut avgifter. För de fall BEDA skulle finansieras med avgifter krävs enligt UHR en ändring som möjliggör för myndigheten att ta ut avgifter för att nyttja UHR:s tekniska lösning för överföring av gymnasiala meriter.