sou · H6B336 · 2018-06-05 00:00:00 — Utredningen föreslog att visst material, framför allt ”färdiga” elektroniska dokument som tillgängliggjorts med skydd av yttrandefrihetsgrundlagen eller som publicerats yrkesmässigt, skulle omfattas av en leveransplikt. KB föreslogs vara mottagare av plikt- leveranser, och även få föreskriftsrätt om hur leveranser skulle gå till m.m.Förslagen mynnade ut i lagen (2012:492) om pliktexemplar av elektroniskt material med tillhörande förordning (2012:866).38 33Kommittédirektiv Översyn av Kungl. , dess verksamhet och arbetsformer (Dir. 2002:156). 35Proposition 2004/05:80 s. 108 f. 37Leveransplikt för elektroniska dokument (Ds 2009:61). 38Regeringens proposition Leveransplikt för elektroniskt material (prop. 2011/12:21). Biblioteksväsendet i allmänhet utreddes med syfte att anpassa bibliotekslagen till de omvärldsförändringar som har skett sedan den dåvarande bibliotekslagen (1996:1596). Utredningen resul- terade i att dagens bibliotekslag beslutades och trädde i kraft . Utöver ett förtydligande att KB ingår i det allmänna biblioteksväsendet behandlade dock utredningen inte särskilt KB:s verksamhet.39 Sammanfattningsvis har endast delar av KB:s verksamhet, framför allt frågan om e-plikt, varit föremål för utredning under . Den s.k. tog ett större grepp på myndighetens verksamhet, men dess förslag har inte resulterat i lag- stiftning. Framför allt har frågorna om personuppgiftsbehandling i verksamhet inte genomlysts. 3.5Kungliga internutredning om pliktverksamheten I sitt regleringsbrev fick KB uppdraget att genomföra en studie som övergripande skulle belysa dagens publicerings- och medielandskap med fokus på pliktbibliotekens möjligheter att samla in och tillgängliggöra relevanta publikationer. Studien ”Plikten under lupp!” lämnades över till regeringen den 26 september 2017.40 I studien förordas att regeringen återkommer i frågan om tillgänglig- görande av det e-pliktinsamlade materialet, att pliktlagstiftningen förses med kompletterande insamlingsmetoder, samt att interimis- tiska åtgärder vidtas för att säkra den insamling som KB förväntas göra. 39Regeringens proposition Ny bibliotekslag (prop. 2012/13:147) s. 10. 40http:///aktuellt/nyheter/2017/Pliktlagstiftningen-har-stora-brister-och- behover-revideras/ 3.6Biblioteksverksamhet och arkivändamål av allmänt intresse Utredningens bedömning: Dataskyddsförordningens särreglering för arkivändamål av allmänt intresse är tillämplig på de delar av forskningsbibliotekens verksamhet som har sådana ändamål. Bibliotekens syfte med verksamheten är enligt 2 § bibliotekslagen (2013:801) att verka för det demokratiska samhällets utveckling genom att bidra till kunskapsförmedling och fri åsiktsbildning. Vidare ska biblioteken enligt samma bestämmelse främja litteraturens ställ- ning och intresset för bildning, upplysning, utbildning och forskning samt kulturell verksamhet i övrigt. Vad gäller KB särskilt anges i dess instruktion att myndigheten är nationalbibliotek och arkiv för ljud- och bilddokument och rörliga bilder. syfte är enligt 3 § arkivlagen (1990:782) att tillgodose rätten att ta del av allmänna handlingar, behovet av infor- mation för rättskipningen och förvaltningen, samt forskningens behov. Myndigheternas arkiv är en del av det nationella kulturarvet. Ändamålen med biblioteksväsendet är åtminstone delvis över- lappande med arkivväsendets ändamål. Dataskyddsförordningen innehåller flera undantag för personuppgiftsbehandling för arkivända- mål av allmänt intresse, ett begrepp som bör betraktas som ett unions- rättsligt begrepp.41 Vi kan inledningsvis konstatera att sådana handlingar som utgör en del av en myndighets bibliotek inte utgör allmänna handlingar (2 kap. 11 § 2 punkten tryckfrihetsförordningen). Vidare omfattar arkiv- lagens tillämpningsområde endast allmänna handlingar samt sådana handlingar som avses i 2 kap. 9 § tryckfrihetsförordningen (minnes- anteckningar, utkast och liknande som tagits om hand för arkivering). Om en viss handling är en del av kan den alltså inte sam- tidigt vara en del av arkivet, eftersom den inte då kan falla under arkivlagens tillämpningsområde. Det kan dock förekomma hand- lingar som faller inom arkivlagens tillämpningsområde inom en biblioteksmyndighets verksamhet, exempelvis inkomna eller expedie- rade brev som inte är en del av själva biblioteksbeståndet. 41Jfr SOU 2017:39 s. 214. Begreppet ”arkivändamål av allmänt intresse”, som är ett unions- rättsligt begrepp, är emellertid bredare än arkivlagens tillämpnings- område. Särskilt bör noteras att KB enligt sin instruktion är arkiv för ljud- och bilddokument och rörliga bilder – en uppgift som övergick från Statens ljud- och bildarkiv (SLBA) till KB i samband med att den myndigheten uppgick i KB:s verksamhet . Dessa ljud- och bilddokument och rörliga bilder betraktas av KB som en del av biblio- tekets samlingar, och inte som allmänna handlingar i verksamheten. Den personuppgiftsbehandling som därmed förekommer kan enligt utredningens bedömning anses utföras för arkivändamål av allmänt intresse. Samma resonemang bör enligt vår bedömning kunna tillämpas för de delar av KB:s verksamhet som syftar till att bevara kulturarvet. Relationen mellan de tre begreppen (biblioteksverksamhet, arkiv enligt arkivlagen, och arkivändamål av allmänt intresse) kan åskåd- liggöras enligt följande. Figur 1: Gränsdragning mellan bibliotek och arkiv Vår bedömning är alltså att dataskyddsförordningens särreglering för arkivändamål av allmänt intresse kan vara tillämplig på de delar av forskningsbibliotekens verksamhet som kan sägas ha just arkivända- mål. Vid denna bedömning bör särskilt skäl 158 i förordningen beaktas. Enligt skäl 158 bör offentliga myndigheter som innehar upp- gifter av allmänt intresse vara tillhandahållare som i enlighet med unionsrätten eller medlemsstaternas nationella rätt har en rättslig skyldighet att förvärva, bevara, bedöma, organisera, beskriva, kom- municera, främja, sprida och ge tillgång till uppgifter av bestående värde för allmänintresset. En sådan rättslig skyldighet finns för fram- för allt KB med stöd av pliktlagstiftningen, vars verksamhet i denna del därför bör kunna betraktas som arkivändamål av allmänt intresse. Även högskolebiblioteken har en uppgift att tillhandahålla uppgifter av bestående värde för allmänintresset (jfr 2 § bibliotekslagen samt den i avsnitt 4.4 föreslagna fastställda uppgiften). Vad gäller privata forskningsbibliotek har föreslagit att Riks- arkivet ska få meddela föreskrifter samt i enskilda fall besluta angående huruvida enskilda organ ska få behandla personuppgifter för arkivändamål av allmänt intresse.42 I de följande kapitlen ska vi gå igenom de delar av forsknings- bibliotekens verksamhet som innefattar personuppgiftsbehandling och redovisa vår bedömning av om dessa behandlingar är förenliga med dataskyddsförordningen. Vi har också i uppdrag att bedöma om det behövs några förändringar av nationell rätt för att göra behand- lingarna lagliga, inom ramen för de möjligheter till kompletterande nationell rätt som förordningen ger. I det närmast följande beskriver vi den metod som vi använder i vår bedömning. 3.7.1Beskrivning av verksamheten och den aktuella personuppgiftsbehandlingen För varje personuppgiftsbehandling hos forskningsbiblioteken (kap. 4 och 5) vi har att bedöma kommer vi att inleda med att beskriva verksamheten. Därefter gör vi en bedömning av behov och laglighet av den personuppgiftsbehandling som förekommer inom verksam- heten. 42SOU 2017:39 s. 217 f. 3.7.2Att bedöma den rättsliga grunden I nästa steg måste vi bedöma vilken rättslig grund enligt artikel 6 i dataskyddsförordningen som kan vara tillämplig på den aktuella behandlingen. Den personuppgiftsbehandling som är aktuell i biblio- tekens verksamhet handlar i de allra flesta fall om personuppgifter som förekommer i biblioteksmaterial (böcker, tidningar, artiklar m.m.). Enligt artikel 6.3 ska den rättsliga grunden för behandlingen enligt artikel 6.1 e fastställas i enlighet med unionsrätt eller nationell rätt. Ramarna för en sådan nationell kompletterande rätt ges i artikel 6.2. Personuppgiftsbehandlingen måste dessutom vara nödvändig för att kunna utföra den fastställda arbetsuppgiften. Den nationella regle- ringen ska uppfylla ett mål av allmänt intresse, och vara proportioner- lig mot det legitima mål som eftersträvas. Utöver detta följer av skäl 41 att en sådan rättslig grund eller lagstiftningsåtgärd bör vara tydlig och precis och dess tillämpning förutsägbar för personer som omfattas av den. När vi på detta vis har identifierat vilken personuppgiftsbehand- ling, rättslig grund och fastställd arbetsuppgift som det kan vara aktuellt att ta ställning till, måste vi bedöma om kraven i artikel 6 är uppfyllda. Vi måste bedöma om uppgiften av allmänt intresse är till- räckligt tydligt fastställd och om regleringen är förutsägbar för den registrerade (den vars uppgifter förekommer i biblioteksmaterialet). När vi på detta sätt kommit fram till vilken rättslig grund som är möjlig för behandlingen, samt eventuella behov av kompletterande nationell rätt, finns ytterligare frågor att ta ställning till. Vi behöver t.ex. bedöma om den aktuella behandlingen omfattar känsliga person- uppgifter enligt artikel 9.1 i dataskyddsförordningen. Om så är fallet, måste vi ta ställning till om något av undantagen mot förbudet att behandla känsliga personuppgifter kan vara tillämpligt enligt artikel 9.2. I de allra flesta typer av biblioteksmaterial kan det förekomma känsliga personuppgifter. I regel kommer det därför bli nödvändigt att kunna hänvisa till ett tillämpligt undantag för att behandlingen ska vara tillåten. De undantag som enligt vår bedömning kan komma i fråga, är att behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse (artikel ), eller av hänsyn till ett arkivändamål av allmänt intresse (artikel 9.2 j). Det är därför nödvändigt att bedöma om kraven i artikel eller 9.2 j är uppfyllda. Kraven innefattar förutom de beskrivna ändamålen att det finns stöd för undantagen i unionsrätten eller nationell rätt. Denna reglering ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda skyddsåtgärder. Slutsatsen av denna bedömning kan vara att den nationella regleringen saknas eller inte uppfyller samtliga krav, främst kravet på lämpliga och särskilda skyddsåtgärder, och därför föranleder behov av kompletterande nationella regler. I de fall vi bedömer att behandlingen är nödvändig av hänsyn till ett arkivändamål av allmänt intresse aktualiseras för den person- uppgiftsansvarige även artikel 89.1, som ålägger den personuppgifts- ansvarige att se till att behandlingen omfattas av lämpliga skydds- åtgärder i enlighet med dataskyddsförordningen för den registrerades rättigheter och friheter. Skyddsåtgärderna ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. Den personuppgifts- ansvarige ges alltså i dessa fall ansvaret för att i det enskilda fallet se till att lämpliga skyddsåtgärder tillämpas. 3.7.4Grundläggande principer för behandling När artikel 6 och 9 är hanterade har vi i vår framställning kommit fram till att det kan vara tillåtet att behandla personuppgifterna. All person- uppgiftsbehandling måste dock uppfylla de grundläggande princi- perna som framgår av artikel 5. I den mån behandlingen i en viss del av verksamheten riskerar att strida mot dessa dataskyddsprinciper behöver därför de enskilda principerna tillämpas på behandlingen för att på så sätt ställa relevanta krav på hur denna ska gå till. Som utgångs- punkt anser vi att bibliotekens personuppgiftsbehandling, sett till ändamålet att utföra uppgifter av allmänt intresse, inte riskerar att strida mot dessa principer. I de fall där det ändå finns anledning att analysera en eller flera av de grundläggande principerna går vi in på det efter bedömningen om känsliga personuppgifter och uppgifter om lagöverträdelser m.m. behöver särregleras eller inte. Utöver de krav på behandlingen som framgår av artiklarna 6 och 9 i dataskyddsförordningen, som vi har behandlat ovan, ställer även den registrerades rättigheter i kapitel III (framför allt artikel 12-21) krav på den personuppgiftsansvarige. Denne ska exempelvis ge den regist- rerade rätt till tillgång (vanligen benämnt registerutdrag), rätt till rättelse eller rätt att göra invändningar mot behandlingen. Flera av dessa rättigheter kan vara svåra eller omöjliga att efterleva inom biblio- teksverksamhet när det rör uppgifter som förekommer i biblioteks- material. Det kan därför bli nödvändigt att ta ställning till i vilken utsträckning bestämmelserna om den registrerades rättigheter ska vara tillämpliga i en viss delverksamhet, vilket utrymme för undantag som eventuellt finns samt vilket utrymme för undantag som kan finnas med stöd av artiklarna 23 eller 89.3, samt vilken kompletterande nationell författningsreglering som utifrån detta kan behövas. Ställ- ningstaganden och förslag i denna del återfinns i kapitel 4, vari vi gör en sammantagen bedömning över de registrerades rättigheter. 4Personuppgiftsbehandling i forskningsbibliotekens verksamhet Vårt uppdrag i denna del är att analysera och föreslå vilken reglering som är möjlig och kan behövas utöver dataskyddsförordningen för att personuppgifter ska kunna behandlas på ett ändamålsenligt sätt i forskningsbibliotekens verksamhet som den enskildes fri- och rättigheter skyddas. I detta arbete ska vi beakta de förslag till dataskyddslag och tillhörande lagstiftning som lämnats av Data- skyddsutredningen.43 Definitionen av forskningsbibliotek beskrivs närmare i avsnitt 4.2. En utgångspunkt är att forskningsbiblioteken, precis som alla andra personuppgiftsansvariga, måste ordna sin verksamhet så att den är förenlig med dataskyddsförordningen och den av Dataskydds- utredningen föreslagna dataskyddslagen. Det kan dock finnas sådana undantagssituationer där en del av forskningsbibliotekens verksamhet inte lagligen kan utföras inom de rättsliga förutsättningar som data- skyddsförordningen och den föreslagna dataskyddslagen ger. Endast i dessa fall, och bara i den utsträckning som dataskyddsförordningen medger, kan det vara aktuellt med sektorsspecifik nationell lagstift- ning för att möjliggöra behandlingen. Utifrån utgångspunkterna ovan behöver ytterligare avgränsningar göras. En första avgränsning gäller de typer av personuppgifts- behandlingar som förekommer inom ett forskningsbiblioteks verk- samheter. Forskningsbibliotek behandlar även personuppgifter som inte är specifikt biblioteksanknutna. Exempel på sådana behandlingar är för administrationen av själva verksamheten; det kan exempelvis röra sig om system för diarieföring, personaladministration och upphand- lingsstöd. Vi utreder inte sådana typer av personuppgiftsbehandlingar i denna promemoria, utan koncentrerar framställningen till sådan behandling som följer av bibliotekens specifika uppdrag. Figur 2: Typer av behandlingar I ovanstående figur är sådana personuppgiftsbehandlingar som helt hamnar utanför utredningens uppdrag markerade i rött (till vänster). Sådana behandlingar som utförs inom forskningsbiblioteken allmänt är markerade i grönt (i mitten), och sådana som endast görs i KB:s verksamhet är markerade i blått (längst ner till höger). Vi måste även göra en avgränsning av vilka typer av bibliotek som omfattas av utredningens uppdrag.44 I följande avsnitt gör vi därför en genomgång av olika definitioner av forskningsbibliotek för att komma fram till en lämplig avgränsning. 4.2Definitionen av forskningsbibliotek och redogörelse för verksamheten vid forskningsbiblioteken Begreppet forskningsbibliotek återfinns inte i bibliotekslagen. I den lagen används i stället det snävare begreppet högskolebibliotek. Deras uppgift är enligt 12 § bibliotekslagen att svara för biblioteksverksam- het inom de områden som anknyter till utbildning och forskning vid universitet eller högskolor, och tillgång till dessa bibliotek ska finnas vid alla universitet och högskolor som omfattas av högskolelagen (1992:1434). De forskningsbibliotek som är offentligt finansierade högskole- bibliotek regleras således i lag och ingår enligt 2 § bibliotekslagen i det allmänna biblioteksväsendet. Sådana högskolebiblioteks verksamhet regleras även delvis i högskoleförordningen (1993:100), där det av 2 kap. 16 § framgår att ett högskolebibliotek avgiftsfritt ska ställa litteratur ur de egna samlingarna till andra högskolebiblioteks för- fogande. Bestämmelsen om högskolebibliotek infördes i den tidigare bibliotekslagen (1996:1596). Innan detta fanns bestämmelser om högskolebibliotek enbart i högskoleförordningen. Bestämmelsen fördes in i den tidigare bibliotekslagen för systematikens skull och ändrades endast redaktionellt. I samband med införandet av dagens bibliotekslag ändrades lydelsen på så sätt att det tydliggörs vem som omfattas av kravet på att ge tillgång till ett högskolebibliotek, vilka alltså endast är de universitet och högskolor som omfattas av hög- skolelagen.45 Bibliotekslagen är avsedd att tillämpas på biblioteksverksamhet som har en offentlig huvudman och som till övervägande del finan- sieras med anslag från det allmänna. 44En uttömmande uppräkning av vilka bibliotek som finns i det allmänna biblioteksväsendet finns i 1 § bibliotekslagen. 2012/13:147 s. 36. privat huvudman som endast får en begränsad del av sin finansiering genom bidrag från det allmänna faller därmed utanför lagens tillämp- ningsområde. Exempel på de bibliotekstyper som ryms inom ”övriga offentligt finansierade bibliotek” är bland annat KB, myndighetsbibliotek, sjukhusbibliotek, depåbibliotek, folkhögskolebibliotek och olika specialbibliotek. Såväl högskolebibliotek som specialbibliotek, vilka närmare beskrivs i följande avsnitt, omfattas således av biblioteks- lagen. Lagen reglerar dock inte verksamheten närmare och således heller inte den personuppgiftsbehandling som biblioteken utför.46 (KB) ska enligt 2 § sin instruktion (2008:1421) svara för frågor om samverkan mellan forskningsbibliotek när det gäller digitalisering och digitalt tillgängliggörande, och analysera utvecklingen inom forskningsbiblioteken i landet. Vidare framgår av 1 § 3 punkten i instruktionen att KB ska vara en resurs för forskning i rollen som humanistisk och samhällsvetenskapligt forsknings- bibliotek samt främja forskningens kvalitet genom att tillhandahålla en effektiv forskningsinfrastruktur. Av KB:s hemsida framgår att med forskningsbibliotek avses universi- tets- och högskolebiblioteken samt specialbiblioteken. Följande infor- mation avseende specialbibliotek finns på KB:s hemsida: Specialbiblioteken är en del av landets forskningsbibliotek och de har uppgifter av vitt skilda slag. har de ett uppdrag att till- handahålla och bevara alla medier inom sitt specialområde. Special- biblioteken är ofta knutna till myndigheter, arkiv eller museer. Det finns ett 50-tal specialbibliotek i . De specialbibliotek som är offentligt finansierade, har minst 20 timmars bemanning och är tillgäng- liga för allmänheten ingår i officiella biblioteksstatistik. KB vill öka kunskapen om specialbiblioteken och belysa aktuella frågor med anknytning till specialbiblioteken. Uppdraget är en del i KB:s uppgift att analysera forskningsbibliotekens utveckling i landet.47 Högskolebiblioteken har ofta staten som huvudman men att det förekommer också att de drivs av stiftelser. I landet finns, enligt KB, 39 universitets- och högskolebibliotek och ett 50-tal specialbibliotek. KB utgör också ett humanistiskt och samhällsvetenskapligt forsk- ningsbibliotek enligt 1 § 3 punkten sin instruktion (2008:1421). I utredningens direktiv anges som exempel på verksamhet som kan innefatta personuppgiftsbehandling vid forskningsbiblioteken bland annat hantering av uppgifter om låntagare, digitalisering av analoga samlingar och publicering av dessa på internet, tillhandahållande av möjligheter att söka efter information i databaser, utgivning av publikationer, sköta lärosätenas lokala publikationsdatabaser, hantera identifikatorer för publikationer och forskare samt s.k. text- och data- utvinning. 48 Flera av dessa verksamheter är sannolikt aktuella vid de flesta forskningsbibliotek, medan andra troligen främst förekommer vid högskolebiblioteken eftersom de har en anknytning till lärosätets verksamhet. Enligt dataskyddsförordningen behöver den rättsliga grunden allmänt intresse vara fastställd i nationell rätt. För behandling av t.ex. känsliga personuppgifter krävs särskilt författningsstöd. Att det ska finnas tillgång till högskolebibliotek vid alla universitet och högskolor som omfattas av högskolelagen stadgas i bibliotekslagen, liksom ända- målet med verksamheten och ansvaret för den. Enligt utredningens bedömning kan personuppgiftsbehandlingen i verksamheten generellt anses vara av allmänt intresse, se avsnitt 4.5.2. Övriga offentliga forskningsbibliotek omfattas av bibliotekslagen, men det finns inget krav på att sådana bibliotek ska finnas. Dessa har enligt bibliotekslagen samma ändamål med sin verksamhet. Med privat högskolebibliotek avses ett bibliotek som är knutet till ett privat universitet eller en privat högskola, som svarar för biblioteksverksamhet inom de områden som anknyter till utbildning och forskning vid eller högskolan. Privata forskningsbibliotek är inte särskilt författningsreglerade. Det saknas därmed ett tydligt och uttryckligt rättsligt stöd för att verksamheten utgör ett allmänt intresse. Utredningens förslag: Med forskningsbibliotek avses , sådana högskolebiblioteken som avses i 12 § biblioteks- lagen och de privatfinansierade högskolebiblioteken. De olika typerna av bibliotek som ryms inom och utanför begreppet ”forskningsbibliotek” kan åskådliggöras enligt följande: Figur 3: Typer av bibliotek Utifrån de exempel som ges i utredningens tilläggsdirektiv (dir. 2017:87) har vi tolkat forskningsbibliotek såsom omfattandes KB, högskole- biblioteken samt bibliotek vid privatfinansierade universitet och högskolor (markerade med grönt i ovanstående figur, uppe till höger). Vi behandlar därför inte specialbiblioteken eller enskilda forsknings- instituts (forskningscentras) bibliotek (markerade med blått i ovan- stående figur), även om sådan verksamhet kan rymmas innanför vissa tolkningar av begreppet forskningsbibliotek. Flera av de personuppgiftsbehandlingar som avhandlas i det nedan- stående är troligen lika aktuella för sådana bibliotek som faller utanför den avgränsning som vi funnit skäl att göra. De bedömningar vi gör angående stöd för behandlingarna i gällande rätt samt i dataskydds- förordningen torde också vara relevanta för dessa bibliotek. 4.3Nationell reglering av personuppgiftsbehandling i forskningsbibliotekens verksamhet Utredningens bedömning: De personuppgifter som forsknings- biblioteken hanterar i löpande text och i de låntagarregister som förs, utgör inte en behandling av personuppgifter som innebär ett betydande intrång i den enskildes integritet. Regleringen av personuppgiftsbehandlingen kan därför göras i förordningsform. I detta avsnitt behandlar vi frågan om forskningsbibliotekens person- uppgiftsbehandlingar ska regleras i lag eller förordning. Vi måste därför göra en bedömning om de förslag som vi lämnar gällande forskningsbibliotekens personuppgiftsbehandling innebär något betydande integritetsintrång för den enskilde. Av 2 kap. 6 § andra stycket regeringsformen (RF) framgår att var och en är gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga för- hållanden. Sådana åtgärder får endast begränsas genom lag i den ut- sträckning det är tillåtet enligt de allmänna förutsättningarna för begränsning av fri- och rättigheter som anges i 2 kap. 21 § RF.