sou · H6B336 · 2018-06-05 00:00:00 — Vid anpassningen av svensk rätt till den nya EU-regleringen bör en enhetlig tolkning eftersträvas. Det är viktigt att den nationella regleringen är så enhetlig som möjligt i sin utformning när det t.ex. gäller begrepp, uttryck och struktur samt hänvisningar till data- skyddsförordningen. Utredaren ska därför hålla sig informerad om och beakta arbetet i övriga utredningar som har i uppdrag att anpassa svensk rätt till reformen av , främst (Ju 2016:04) och Utredningen om person- uppgiftsbehandling inom utbildningsområdet (U 2016:03). Utredaren ska vidare hålla sig informerad om utredningen ändamålsenlig reglering för biobanker (S 2016:04), Utredningen om tillsynen över den personliga integriteten (Ju 2015:02) och Utred- ningen om en översyn av regelverken för forskningsetik och gräns- området mellan klinisk forskning och hälso- och sjukvård (U 2016:45). Under genomförandet av uppdraget ska utredaren, i den ut- sträckning som bedöms lämplig, inhämta upplysningar från Veten- skapsrådet, ett urval av universitet och högskolor, representanter för etikprövningsorganisationerna, RMV, Datainspektionen, SCB och andra relevanta myndigheter och organisationer som kan vara berörda av aktuella frågor. Uppdraget att analysera vilken reglering av personuppgiftsbehand- ling för forskningsändamål som kan behövas utöver den generella reglering som kommer att föreslå, att analy- sera vilka anpassningar av etikprövningslagen som behöver göras och att lämna behövliga författningsförslag i dessa delar ska delredovisas . Detsamma gäller för uppdraget att föreslå behövliga anpassningar av lagen om vissa register för forskning om vad arv och miljö betyder för människors hälsa och lagen om rättspsykiatriskt forskningsregister inför att dataskyddsförord- ningen ska börja tillämpas. Uppdraget i övrigt ska slutredovisas . Tilläggsdirektiv till (U 2016:04) Utvidgning av och förlängd tid för uppdraget Regeringen beslutade kommittédirektiv om uppdrag att bl.a. analysera vilken reglering av personuppgiftsbehandling för forskningsändamål som är möjlig och kan behövas utöver den gene- rella reglering som kommer att föreslå med anledning av EU:s nya dataskyddsförordning (dir. 2016:65). Utredaren får nu dessutom i uppdrag att •analysera vilka rättsliga förutsättningar som finns i dataskydds- förordningen för behandling av personuppgifter i Kungl. biblio- tekets verksamhet, och •analysera vilken reglering som är möjlig och kan behövas utöver dataskyddsförordningen, med beaktande av de förslag som kom- mer att lämnas av , för att personuppgifter ska kunna behandlas på ett ändamålsenligt sätt i myndighetens verksamhet som den enskildes fri- och rättigheter skyddas, och •lämna de författningsförslag som behövs. Uppdraget ska i den del som avser behandling av personuppgifter i Kungl. verksamhet redovisas i en promemoria . Uppdraget i den del som ska redovisas senast förlängs och ska i stället redovisas . Rättsliga förutsättningar för Kungl. är nationalbibliotek och arkiv för ljud och bild- dokument och rörliga bilder. Myndigheten ska enligt förordningen (2008:1421) med instruktion för Kungl. bl.a. förvara, beskriva och tillhandahålla den svenska tryckproduktionen i dess helhet och dokument för elektronisk återgivning enligt 10 § första stycket i lagen (1993:1392) om pliktexemplar av dokument. I den lagen finns bestämmelser om skyldighet att lämna exemplar av dokument (pliktexemplar) till Kungl. och vissa univer- sitetsbibliotek. Med dokument för elektronisk återgivning avses enligt lagen dokument som i fixerad form lagrar text, ljud eller bild och vars innehåll kan återges enbart med hjälp av elektroniskt hjälp- medel. I förordningen (2008:1420) om pliktexemplar av dokument finns närmare bestämmelser om bevarande och tillhandahållande av dokumenten och där framgår att dokumenten ska bevaras för fram- tiden. ska även fullgöra de uppgifter som följer av lagen (2012:492) om pliktexemplar av elektroniskt material och för- ordningen (2012:866) om pliktexemplar av elektroniskt material. I lagen ges föreskrifter om skyldighet att lämna exemplar av elektro- niskt material som har gjorts tillgängligt för allmänheten här i landet genom överföring via nätverk (pliktexemplar) till Kungl. Med elektroniskt material förstås enligt lagen en avgränsad enhet av en elektronisk upptagning med text, ljud eller bild som har ett på förhand bestämt innehåll som är avsett att presenteras vid varje användning. Av förordningen med kompletterande bestämmelser till lagen framgår att det elektroniska materialet ska bevaras för framtiden. ska inom sitt verksamhetsområde vara en resurs för forskning i rollen som främst humanistiskt och samhälls- vetenskapligt forskningsbibliotek och främja den svenska forsk- ningens kvalitet genom att tillhandahålla en effektiv forsknings- infrastruktur. Det material som Kungl. bibilioteket har i uppgift att hantera innehåller en stor mängd personuppgifter. till stor del sin behandling av personuppgifter på undantaget för behandling av personuppgifter i ostrukturerat material enligt den s.k. missbruksregeln i 5 a § personuppgiftslagen (1998:204), för- kortad PUL. Genom PUL har och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter (dataskyddsdirektivet) genomförts i svensk rätt. beslutades inom EU en ny förordning, Europa- parlamentets och rådets förordning (EU) 2016/679 av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Den nya dataskyddsförordningen börjar gälla och kommer då att vara direkt tillämplig i medlemsstaterna. Genom förordningen upphävs dataskyddsdirektivet, vilket bl.a. innebär att PUL kommer att upphävas. Någon bestämmelse motsvarande missbruksregeln finns inte i dataskyddsförordningen. I många fall är dessutom de personuppgifter som finns i samlingar av sådan art att de omfattas av artikel 9 i dataskyddsförordningen, dvs. det är fråga om känsliga personuppgifter där särskilda förutsätt- ningar gäller enligt dataskyddsförordningen för att det ska vara lagligt att behandla uppgifterna. verksamhet är av stort allmänt intresse och det är av vikt att en ändamålsenlig personuppgiftsbehandling kan ske i verksamheten även fortsätt- ningsvis när dataskyddsförordningen börjar gälla som den enskildes fri- och rättigheter skyddas. har även en uppgift att med hjälp av automa- tiserad robotteknik samla in, bevara och tillhandahålla det nationella digitala kulturarvet i form av det svenska material som publiceras på internet. Detta regleras i förordningen (2002:287) om behandling av personuppgifter i Kungl. Enligt 3 § i förordningen gäller PUL vid behandling av person- uppgifter i projektet om inte något annat följer av förordningen eller annars av 2 § PUL. Bestämmelserna om rättelse och skadestånd i PUL gäller vid behandling av personuppgifter enligt förordningen. Enligt förordningen får personuppgifter behandlas i projektet för att tillgodose behovet av forskning och information (5 §). Sådana käns- liga personuppgifter som anges i 13 § PUL får behandlas i projektet bara om det är nödvändigt för att tillgodose ändamålen som anges i 5 § (6 §). När dataskyddsförordningen träder i kraft kommer som nämnts PUL att upphävas. •analysera vilka rättsliga förutsättningar som finns i dataskydds- förordningen för behandling av personuppgifter i Kungl. biblio- tekets verksamhet, och •analysera vilken reglering som är möjlig och kan behövas utöver dataskyddsförordningen, med beaktande av de förslag som kom- mer att lämnas av , för att personuppgif- ter ska kunna behandlas på ett ändamålsenligt sätt i myndighetens verksamhet som den enskildes fri- och rättigheter skyddas, och •lämna de författningsförslag som behövs. Uppdraget ska i denna del redovisas i en promemoria . Utredningstiden förlängs när det gäller den del av uppdraget som ska redovisas . Uppdraget i denna del ska i stället redovisas . Tilläggsdirektiv till (U 2016:04) Regeringen beslutade att ge en särskild utredare i uppdrag att bl.a. föreslå den kompletterande reglering av behandling av personuppgifter för forskningsändamål som behövs utöver den generella reglering som har föreslagit med anledning av EU:s nya dataskyddsförordning (dir. 2016:65). I tilläggsdirektiv fick utredaren därutöver i upp- drag att analysera vilka rättsliga förutsättningar som finns i data- skyddsförordningen för behandling av personuppgifter i Kungl. verksamhet och föreslå den reglering som är möjlig och kan behövas utöver dataskyddsförordningen, med beaktande av förslag. Tiden för redovisning av upp- draget förlängdes också (dir. 2017:29). Utredaren får nu dessutom i uppdrag att bl.a. •analysera vilken rättslig reglering som behövs och är lämplig för att () ska ha möjlighet att lämna ut uppgifter om individers inkomstförhållanden ur sina register till den organisation som administrerar Income Study för att uppgifterna ska ingå i databasen, och •lämna nödvändiga författningsförslag. Uppdraget ska redovisas . Rättsliga förutsättningar för att lämna ut uppgifter till Income Study Internationella organisationer som FN och EU har satt upp mål för att minska inkomstskillnaderna. FN:s Agenda 2030 för hållbar utveckling har bl.a. som mål att utrota fattigdomen och minska inkomstspridningen inom och mellan länder. EU har ett mål om att antalet människor inom EU som lever eller riskerar att leva i fattig- dom och social utestängning ska ha minskat med minst 20 miljoner till 2020. Svenska forskare har bidragit till den internationella forskningen om befolkningens inkomstskillnader, fattigdom och hur skatte- och socialförsäkringssystemen påverkar befolkningens disponibla inkomster. Bidragande till detta har varit den goda tillgången på registerdata av hög kvalitet som finns att tillgå hos SCB. Forskningen har även underlättats av ett internationellt sam- arbete kring en databas benämnd Income Study () som administreras av en forskningsorganisation i , Center asbl. är en databas med uppgifter om individers inkomster, skatter, socialförsäkringar och bidrag i 47 länder. () levererade uppgifter till databasen från det att den skapades 1983 . SCB har därefter bedömt att det saknas rättsliga förutsättningar för myndig- heten att leverera uppgifter. har som en del av sin effektivitetsgranskning granskat förutsättningarna för att lämna ut data till och lämnade granskningsrapporten jämförelser av inkomstskillnader – möjligheter att bidra med statistik (RIR 2016:24). konstaterade i sin rapport att de uppgifter som har behov av torde omfattas av sekretess enligt 24 kap. 8 § offentlighets- och sekretesslagen (2009:400), och att för att möjliggöra ett utlämnande av uppgifterna krävs det en författ- ningsreglerad skyldighet för SCB att lämna ut dem till . Riks- revisionen rekommenderade att regeringen, utifrån en avvägning mellan databasens nytta för forskningen och den enskildes behov av integritet, tar ställning till om uppgifterna ska lämnas ut till . har stor betydelse för forskning på området och det är av vikt att uppgifter från svenska myndigheter kan ingå i databasen. Det krävs en sekretessbrytande bestämmelse för att SCB ska kunna lämna ut uppgifterna. Som konstaterats i regeringens skrivelse med anledning av (skr. 2016/17:65) behöver dock vissa frågor utredas närmare innan ett sådant förslag lämnas. Det behöver bl.a. närmare utredas vilka uppgifter som bör lämnas ut, i vilket format utlämnandet ska ske och SCB:s möjligheter att lämna ut uppgifterna utifrån dataskyddsförordningen och de kompletterande författningsbestämmelser som har föreslagit. •analysera vilken rättslig reglering som behövs och är lämplig för att () ska ha möjlighet att lämna ut uppgifter om individers inkomstförhållanden ur sina register till den organisation som administrerar Income Study för att uppgifterna ska ingå i databasen, och •lämna nödvändiga författningsförslag. Uppdraget ska redovisas . Tilläggsdirektiv till (2016:04) Utvidgning av och förlängd tid för uppdraget Regeringen beslutade kommittédirektiv om uppdrag att bl.a. föreslå en kompletterande reglering av behandling av personuppgifter för forskningsändamål i syfte att möjliggöra en ändamålsenlig behandling av personuppgifter för forskningsändamål som den skyddar den enskildes fri- och rättigheter (dir. 2016:65). I tilläggsdirektiv lämnades även uppdrag att analysera vilka rättsliga förutsättningar som finns i dataskydds- förordningen för behandling av personuppgifter i Kungl. verksamhet och föreslå viss reglering. Tiden för redovisning av uppdraget förlängdes också (dir. 2017:29). I tilläggsdirektiv fick utredaren ytterligare ett uppdrag (dir. 2017:61). Utredaren får nu dessutom i uppdrag att bl.a. analysera och före- slå vilken reglering som är möjlig och kan behövas utöver data- skyddsförordningen, med beaktande av de förslag som lämnats i betänkandet SOU 2017:39, för att personuppgifter ska kunna behandlas på ett ändamålsenligt sätt i forskningsbibliotekens verk- samhet som den enskildes fri- och rättigheter skyddas. Uppdraget ska redovisas tillsammans med uppdraget om person- uppgifter i Kungl. Utredningstiden i den delen förlängs och båda deluppdragen ska redovisas . Utredningstiden för uppdraget i övrigt förlängs också och ska i stället redovisas . Rättsliga förutsättningar för personuppgiftsbehandling hos forskningsbiblioteken Enligt 12 § bibliotekslagen (2013:801) ska det finnas tillgång till högskolebibliotek vid alla universitet och högskolor som omfattas av högskolelagen (1992:1434). Dessa bibliotek ska svara för biblio- teksverksamhet inom de områden som anknyter till utbildning och forskning vid universitet och högskolor. Högskolebibliotek finns också hos enskilda utbildningsanordnare. I verksamheten hos dessa bibliotek behandlas en stor mängd personuppgifter. Exempelvis behandlas personuppgifter om låntagare i låneverksamheten. Det pågår ett omfattande arbete med digitalisering av analoga samlingar och publicering av dessa på internet. Digitalisering sker även vid t.ex. privatkopiering och fjärrlån. Biblioteken tillhandahåller möjligheter att söka efter information i databaser och har också börjat fungera som vetenskapliga förlag med förmedling av sakkunniggranskning och utgivning av publikationer. Högskolebibliotek i form av forsk- ningsbibliotek vid universitet och högskolor och Kungl. är nyckelaktörer i den pågående övergången till ett öppet veten- skapssystem, i vilket allt fler delar av forskningsprocessen, som forskningsdata, publikationer, läromedel och konferensrapporter, tillhandahålls fritt på internet för vidareanvändning. En allt viktigare uppgift för forskningsbiblioteken har också kommit att bli att sköta lärosätenas lokala publikationsdatabaser och att se till att forskare får rätt erkännande för sina resultat genom att hantera identifikatorer, exempelvis Open Researcher and Contributor ID (ORCID) och Digital Object Identifier (). Detta är internationella standarder för att identifiera personer och forskning och kan därför innehålla personuppgifter. En annan trend är att öppna utbildningsresurser växer i betydelse. Genom att ny teknik finns tillgänglig ökar forskningens behov av snabb och enkel tillgång till digitala och fysiska vetenskapliga resurser. Den tekniska utvecklingen har gjort s.k. text- och datautvinning (TDM) möjlig. Detta innebär att man på automatisk väg kan behandla stora digitala informationsmängder, t.ex. text, ljud, bild eller data, för att utvinna ny kunskap och upp- täcka nya tendenser. Text- och datautvinning kan komma att användas av biblioteken själva för att nyttja och presen- tera materialet i deras samlingar och digitala databaser samt under- lätta sökning och forskning i dessa. Detta kan i sig innebära att biblioteken kommer att ägna sig åt personuppgifts- behandling. Det behöver därför analyseras i vilken utsträckning EU:s data- skyddsförordning kommer att vara tillämplig då personuppgifter behandlas i verksamheten hos forskningsbiblioteken och för vilken behandling av personuppgifter som forskningsbiblioteken har ett personuppgiftsansvar. I forskningsbibliotekens samlingar finns dessutom sådana sär- skilda kategorier av personuppgifter som avses i artikel 9 i data- skyddsförordningen, s.k. känsliga personuppgifter. Enligt förord- ningen gäller ett förbud mot att behandla sådana uppgifter, om inte någon av undantagsreglerna i artikel 9.2 är tillämpliga. När det gäller de rättsliga förutsättningarna för bibliotekens verk- samhet kommer bl.a. artikel 85 om förhållandet till yttrande- och informationsfriheten och den nationella reglering som föreslås i betänkandet Ny dataskyddslag – Kompletterande bestämmelser till EU:s dataskyddsförordning (SOU 2017:39) att vara av betydelse. •analysera i vilken utsträckning dataskyddsförordningen kommer att vara tillämplig då personuppgifter behandlas i forsknings- bibliotekens verksamhet och för vilken behandling av person- uppgifter som forskningsbiblioteken har ett personuppgifts- ansvar, •analysera vilka rättsliga förutsättningar som i sådana fall finns i dataskyddsförordningen för behandling av personuppgifter i den verksamhet som bedrivs av forskningsbiblioteken, •analysera vilken reglering som är möjlig och kan behövas utöver dataskyddsförordningen, med beaktande av det förslag till lag med kompletterande bestämmelser till dataskyddsförordningen som lämnats i betänkandet Ny dataskyddslag – Kompletterande bestämmelser till EU:s dataskyddsförordning (SOU 2017:39), för att personuppgifter ska kunna behandlas på ett ändamåls- enligt sätt i forskningsbibliotekens verksamhet som den enskildes fri- och rättigheter skyddas, och •lämna de författningsförslag som behövs. Utredaren ska utöver sådana konsekvensbeskrivningar som anges i tidigare direktiv även analysera och redovisa vilka konsekvenser förslagen får för aktörer inom forskningssystemet. Genomförande och redovisning uppdraget Vid genomförandet av uppdraget ska utredaren inhämta synpunkter från ett urval av forskningsbibliotek och forskningsaktörer. Uppdraget ska redovisas i den promemoria där uppdraget som gäller rättsliga förutsättningar för behandling av personuppgifter i Kungl. verksamhet ska redovisas. Utredningstiden för denna del av uppdraget förlängs och båda deluppdragen ska i stället redovisas . Utredningstiden förlängs när det gäller den del av uppdraget som ska redovisas . Uppdraget i denna del ska i stället redovisas . Personuppgiftsbehandling i forskningsbibliotekens verksamhet Regeringen beslutade att tillkalla en särskild utredare med uppdrag att med anledning av EU:s dataskyddsförordning1 föreslå en kompletterande reglering med syftet att möjliggöra en ändamålsenlig behandling av personuppgifter för forskningsändamål som den enskildes fri- och rättigheter skyddas.2 beslutade regeringen tilläggsdirektiv3 till utredningen med uppdrag att analysera vilka rättsliga förutsättningar som finns i dataskyddsförordningen för behandling av person- uppgifter i verksamhet, samt beslutade att uppdraget ska slutredovisas . Utredningen har därefter fått i ytterligare tilläggsuppdrag4 att analysera i vilken utsträckning dataskyddsförordningen kommer att vara tillämplig när personuppgifter behandlas i verksamheten hos forskningsbiblioteken och för vilken behandling av personuppgifter som forskningsbiblioteken har ett personuppgiftsansvar, samt vilka rättsliga förutsättningar som i sådana fall finns i dataskyddsför- ordningen för behandling av personuppgifter i den verksamhet som bedrivs av forskningsbiblioteken. Vi ska även analysera vilken regle- ring som är möjlig och kan behövas utöver dataskyddsförordningen, med beaktande av det förslag till kompletterande dataskyddslag som 1Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG. 2Kommittédirektiv, dir. 2016:65. 3Kommittédirektiv Tilläggsdirektiv till (2016:04), dir. 2017:29. 4Kommittédirektiv Tilläggsdirektiv till (2016:04), dir. 2017:87. lagts fram av Dataskyddsutredningen5 samt lämna de författnings- förslag som behövs. Uppdragen som utredningen har fått genom dessa tilläggs- direktiv redovisas härmed i en gemensam promemoria. Sammanfattning av våra förslag I denna promemoria föreslår vi en rad ändringar i befintliga för- fattningar som rör forskningsbibliotekens, det vill säga , högskolebibliotekens och de privatfinansierade forsk- ningsbibliotekens arbetsuppgifter och personuppgiftsbehandling. Vi föreslår även en ny förordning om behandling personuppgifter i forsk- ningsbibliotekens verksamhet. Syftet med författningsförslagen är att säkerställa att personuppgifter kan behandlas på ett ändamålsenligt och säkert sätt i bibliotekens verksamhet även efter att dataskyddsförord- ningen börjar tillämpas. Vi föreslår att den nya förordningen och författningsändringarna träder i kraft . Härmed överlämnar utredningen delredovisningen. 5Dataskyddsutredningens betänkande Ny dataskyddslag. Kompletterande bestämmelser till EU:s dataskyddsförordning (SOU 2017:39). 1.1Förslag till förordning om personuppgiftsbehandling i 1.2Förslag till lag om ändring i lagen (1993:1392) om pliktexemplar av dokument .................................................. 1.3Förslag till förordning om ändring i högskoleförordningen (1993:100) ....................................... 1.4Förslag till förordning om ändring i förordningen (2002:287) om behandling av personuppgifter i Kungl. 1.5Förslag till förordning om ändring i förordningen (2006:1226) om Post- och ......................... 1.6Förslag till förordning om ändring av förordningen (2008:1420) om pliktexemplar av dokument ......................... 1.7 Förslag till förordning om ändring i förordningen (2008:1421) med instruktion för Kungl. 1.8Förslag till förordning om ändring i förordningen (2012:866) om pliktexemplar av elektroniskt material Vårt uppdrag och arbete ........................................... Bakgrund och grundläggande frågor............................ Personuppgifter om lagöverträdelser m.m............ 3.2Förändringar i rättsläget på grund av dataskyddsförordningen och följdlagstiftningen ................. Begreppet rättslig grund ........................................ 3.2.3Uppgift av allmänt intresse och viktigt allmänt 3.3 Grundlagsskyddet och bibliotekens verksamhet ................. 3.3.1Det svenska grundlagsskyddet för tryckt skrift Etablerings- och spridningsfriheten...................... 3.3.3Bibliotekens hantering av grundlagsskyddat 3.3.4Journalistiska ändamål, akademiskt skapande, 3.6Biblioteksverksamhet och arkivändamål av allmänt 3.7.1Beskrivning av verksamheten och den aktuella Att bedöma den rättsliga grunden......................... Grundläggande principer för behandling.............. Den registrerades rättigheter................................. 4.2Definitionen av forskningsbibliotek och redogörelse för verksamheten vid forskningsbiblioteken ................................ Verksamheten vid forskningsbiblioteken.............. 4.3Nationell reglering av personuppgiftsbehandling i forskningsbibliotekens verksamhet .................................... En ny förordning.................................................... 4.3.3Rättslig grund för de privatfinansierade 4.4 Personuppgifter om låntagare och biblioteksanvändning .... Beskrivning av verksamheten och aktuella Rättslig grund för behandlingen ............................ 4.5Digitalisering av analoga samlingar och publicering av dessa på internet .................................................................... 4.5.1Beskrivning av verksamheten och aktuella 4.5.3Känsliga personuppgifter samt uppgifter om lagöverträdelser m.m........................................ 4.6 Digitala fjärrlån ......................................................................