sou · H6B336 · 2018-06-05 00:00:00 — Det övergripande ändamålet med bibliotekens verksamhet framgår dock av 2 § bibliotekslagen och omfattar bl.a. att verka för det demo- kratiska samhällets utveckling genom att bidra till kunskapsförmed- ling och fri åsiktsbildning, samt att främja litteraturens ställning och intresset för bildning, upplysning, utbildning och forskning samt kulturell verksamhet i övrigt. Det framgår dock inte att högskole- biblioteken har i uppdrag att ge allmänheten tillgång till något visst material, vilket det exempelvis gör för folkbiblioteken (9 § biblioteks- lagen). Att digitalisera analoga samlingar är, enligt vår bedömning, ett sätt att med hjälp av modern informations- och kommunikationsteknik uppfylla bibliotekens uppdrag.62 Digitaliseringen i sig behöver därför inte fastställas som en självständig rättslig grund. Det är forsknings- bibliotekens grundläggande uppgift att tillgängliggöra kunskap som måste vara tydligt och uttryckligt reglerad. Vi föreslår därför en sådan bestämmelse i förslaget till högskoleförordningen samt i förord- ningen om personuppgiftsbehandling i forskningsbibliotekens verk- samhet. Vi bedömer att den föreslagna uppgiften är proportionerlig, sett till den stora samhällsnyttan med en effektiv forskningsbiblio- teksverksamhet ställt i relation till den lilla påverkan på den enskildes integritet som behandling och spridning av redan utgivet material medför. Uppgiften är precist formulerad på så sätt att det är tydligt vilka handlingar som ingår respektive inte ingår i uppgiften, utan att de enskilda tillåtna behandlingarna behöver särskilt nämnas. Tillämp- ningen är vidare förutsägbar för den enskilde utifrån förutsättningen 62Jfr för KB:s del SOU 2003:129 ex. s. 62 ff samt s. 226 ff. att forskningsbibliotek kan använda modern informationsteknik för att utföra sitt uppdrag. 4.5.3Känsliga personuppgifter samt uppgifter om lagöverträdelser m.m. Utredningens förslag: Forskningsbiblioteken ska få behandla känsliga personuppgifter i löpande text enligt artikel 9.2 j om detta är nödvändigt för att biblioteken ska kunna fullgöra sina uppgifter. Detta ska dock endast vara tillåtet när de känsliga uppgifterna före- kommer i utgivet material som det ingår i bibliotekens uppdrag att tillhandahålla. Privata forskningsbibliotek ska få behandla uppgifter om lag- överträdelser m.m. i löpande text. Detta ska dock endast vara tillåtet när uppgifterna förekommer i utgivet material som det in- går i bibliotekens uppdrag att tillhandahålla. Bestämmelser om detta ska införas i nationell rätt genom utred- ningens förslag till förordning om personuppgiftsbehandling i forskningsbibliotekens verksamhet. Huvudregeln i artikel 9.1 i dataskyddsförordningen är att behandling av känsliga personuppgifter är förbjuden. I den mån känsliga person- uppgifter förekommer i det material som digitaliseras måste behand- lingen kunna stödja sig på något av undantagen från förbudet som framgår av artikel 9.2. De undantag som enligt utredningens bedöm- ning kommer ifråga är sådan behandling som är nödvändig för arkivändamål av allmänt intresse enligt artikel 9.2 j. Enligt artikel 9.2 j krävs att behandlingen ska göras med stöd av en författning som står i proportion till det eftersträvade syftet, är förenlig med det väsentliga innehållet i rätten till dataskydd och inne- håller bestämmelser om lämpliga och särskilda åtgärder för att säker- ställa den registrerades grundläggande rättigheter och intressen. Sådan uttrycklig reglering saknas i svensk rätt. För att digitalisering av material som kan innehålla känsliga personuppgifter samt efterföljande publicering på internet ska vara tillåten enligt dataskyddsförordningen, krävs alltså att nationell reglering införs som uppfyller kraven i artikel 9.2 j. en kompletterande bestämmelse i nationell rätt som tillåter biblio- teken att behandla känsliga personuppgifter i löpande text när detta är nödvändigt för att biblioteken ska kunna utföra sina uppgifter. Enligt artikel 9.2 j ska nationell rätt innehålla lämpliga skyddsåtgärder. En sådan skyddsåtgärd gällande behandling av känsliga personuppgifter är att det endast ska vara tillåtet när de känsliga uppgifterna före- kommer i tidigare utgivet material som det ingår i bibliotekens upp- drag att tillhandahålla. Eftersom behandlingen enligt tidigare bedöm- ning är nödvändig för ett arkivändamål av allmänt intresse medför artikel 89.1 att den personuppgiftsansvarige i det enskilda fallet ska tillämpa lämpliga skyddsåtgärder. Vid publicering på internet är det särskilt viktigt att dessa skyddsåtgärder väljs på ett sätt som möjliggör uppgift att tillgängliggöra kunskap som den registrerades friheter och rättigheter skyddas. Enligt artikel 10 i dataskyddsförordningen får endast myndigheter behandla personuppgifter som rör fällande domar i brottmål och överträdelser. Med överträdelser avses här överträdelser som inne- fattar brott, dvs. lagöverträdelser.63 Samma artikel anger vidare att det är tillåtet för andra aktörer än myndigheter, dvs. privata aktörer, att behandla personuppgifter om lagöverträdelser om det finns stöd för det i nationell rätt. I förordningens skäl 8 framgår det att medlemsstaterna får inför- liva delar av förordningen i nationell rätt om det krävs för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på. Skäl 8 har behandlats av som menar att ett sådant införlivande fyller en viktig funktion när det gäller myndig- heters behandling av uppgifter om lagöverträdelser, för att på så vis tydliggöra att myndigheter inte behöver uttryckligt stöd i föreskrifter eller särskilda beslut för att behandla den typen av uppgifter. Av den anledningen föreslår att artikel 10 införlivas i svensk rätt i utredningens förslag till dataskyddslag.64 Vi bedömer därför att de forskningsbibliotek som utgör myndigheter därigenom har lagstöd för sin behandling av personuppgifter om lagöverträdelser. Däremot saknas lagstöd för behandling av personuppgifter om lagöverträdelser för de forskningsbibliotek som är privata aktörer. Vi föreslår därför en kompletterande bestämmelse i nationell rätt som 63SOU 2017:39 s. 191 ff. 64SOU 2017:39 s. 192 ff. tillåter forskningsbiblioteken att behandla uppgifter om lagöver- trädelser i löpande text när detta är nödvändigt för att biblioteken ska kunna utföra sitt uppdrag. När biblioteken bevarar analoga samlingar och bedömer att det finns ett intresse av att digitalisera och tillgängliggöra dessa, talar det enligt vår bedömning för att det föreligger ett arkivändamål av allmänt intresse.65 Själva digitaliseringen utgör en form av bevarande. Till- gängliggörandet av materialet över internet görs utifrån en bedömning av att materialet kan komma att vara intressant för allmänheten. Vi gör därför bedömningen att den personuppgiftsbehandling som före- kommer inom bibliotekens verksamhet med att digitalisera analoga samlingar är nödvändig för arkivändamål av allmänt intresse. Det gemensamma för de olika verksamheterna hos biblioteken är att de uppgifter som behandlas förekommer i löpande text, och den behandlingen som utförs är sådan som är nödvändig för att lagra och tillgängliggöra texten som sådan. Vi bedömer därför att det är möjligt med en generell bestämmelse som tillåter sådan behandling hos forskningsbiblioteken av känsliga personuppgifter och uppgifter om lagöverträdelser m.m. som är nödvändig för att förvalta och till- gängliggöra materialet. 4.6.1Beskrivning av verksamheten och aktuella personuppgiftsbehandlingar Det finns en uttalad efterfrågan hos forskare och studenter på access till både käll- och undervisningsmaterial. Sådant material finns i såväl KB:s som högskolebibliotekens samlingar. Det finns därför en möjlighet att fjärrlåna material från ett forskningsbibliotek till ett annat (se även det lagstadgade kravet på högskolebibliotek att avgifts- fritt ställa litteratur ur de egna samlingarna till andra högskole- biblioteks förfogande enligt 2 kap. 16 § högskoleförordningen). Vid fjärrlån digitaliseras dokumentet och filen överförs till det fjärrlånande . Det fjärrlånande skriver sedan ut dokumentet till låntagaren, som alltså inte får tillgång till verket i digital form. 65Se avsnitt 3.6. Den behandling av personuppgifter som en digitalisering av sådant materialet innefattar leder till att fjärrlåneverksamheten hamnar inom dataskyddsförordningens tillämpningsområde. I den mån det digita- liserade materialet innehåller personuppgifter blir därmed den första frågan på vilken rättslig grund som behandlingen kan vara tillåten. Behandlingen kan vara tillåten om den är nödvändig för att utföra en arbetsuppgift av allmänt intresse (artikel 6.1 e). Utredningen gör bedömningen att denna grund är möjlig att tillämpa för person- uppgiftsbehandling i samband med digitala fjärrlån. Fastställd uppgift av allmänt intresse Utredningens bedömning: Enligt 1 § förordningen med instruktion för Kungl. har KB en fastställd uppgift att bl.a. till- handahålla den svenska tryckproduktionen samt andra typer pliktexemplar. KB kan därför med samma stöd behandla person- uppgifter i utlånade verk i samband med digitala fjärrlån. Enligt 2 kap 16 § högskoleförordningen har högskolebiblio- teken en fastställd uppgift att avgiftsfritt ställa litteratur ur de egna samlingarna till andra högskolebiblioteks förfogande. Hög- skolebiblioteken kan därför tillämpa artikel 6.1 e för att behandla personuppgifter i utlånade verk i samband med digitala fjärrlån eftersom detta är en nödvändig behandling för att uppfylla denna arbetsuppgift. För forskningsbiblioteken finns en i avsnitt 4.5.2 i förordning föreslagen fastställd uppgift att tillgängliggöra kunskap i syfte att stödja forskning och utbildning. Även de privata högskolebiblio- teken kan därför tillämpa artikel 6.1 e som stöd för att behandla personuppgifter i utlånade verk i samband med digitala fjärrlån eftersom detta är en nödvändig behandling för att uppfylla denna arbetsuppgift. Generellt handlar personuppgiftsbehandlingen i samband med digita- lisering såväl om behandling av strukturerade personuppgifter rörande upphovsmän och liknande som om personuppgifter i löpande text. Med strukturerade personuppgifter avses här sådana uppgifter som ingår i ett register enligt definitionen i artikel 4.6 i dataskydds- förordningen. De strukturerade uppgifterna innefattar, likt andra katalogiserade biblioteksbestånd, i normalfallet inte känsliga person- uppgifter. Personuppgifter som kan förekomma i de digitaliserade verkens löptext kan däremot bestå av såväl känsliga personuppgifter samt uppgifter om lagöverträdelser. Det är i allmänhet inte möjligt att inhämta samtycke från de regist- rerade i dessa fall. Syftet med behandlingen ryms däremot under bibliotekens uppdrag att främja bl.a. forskning. Behandlingen görs enligt vår bedömning alltså med stöd av den rättsliga grunden att den är nödvändig för att utföra en arbetsuppgift av allmänt intresse. Vad gäller hanteringen av strukturerade personuppgifter som inte är känsliga i detta sammanhang bör enligt vår bedömning behandlingen som grundregel kunna utföras med stöd av artikel 6.1 e. 4.6.3Känsliga personuppgifter samt uppgifter om lagöverträdelser m.m. Utredningens förslag: Forskningsbiblioteken ska få behandla känsliga personuppgifter enligt artikel 9.2 j i löpande text när detta är nödvändigt för arkivändamål av allmänt intresse. Detta ska dock endast gälla när de känsliga uppgifterna förekommer i utgivet material som det ingår i bibliotekens uppdrag att tillhandahålla. Privata forskningsbibliotek ska få behandla uppgifter om lag- överträdelser m.m. i löpande text. Detta ska dock endast vara tillåtet när uppgifterna förekommer i utgivet material som det ingår i bibliotekens uppdrag att tillhandahålla. Bestämmelser om detta ska införas i nationell rätt genom utred- ningens förslag till förordning om personuppgiftsbehandling i forskningsbibliotekens verksamhet. I den mån känsliga personuppgifter och uppgifter om lagöverträdelser m.m.förekommer i den ostrukturerade fulltexten behöver forsk- ningsbiblioteken kunna hänvisa till nationellt reglerat undantag för att behandlingen av sådana uppgifter ska vara tillåten. Analysen och motiveringen till vårt förslag i detta avsnitt är densamma som vi redovisat i avsnitt 4.5.3. Vi hänvisar därför till vårt resonemang i det avsnittet. 4.7Digitalisering på användares begäran (on-demand-digitalisering) 4.7.1Beskrivning av verksamheten och aktuella personuppgiftsbehandlingar För äldre material i forskningsbibliotekens samlingar, som inte längre omfattas av upphovsrätt, finns möjligheten för en utomstående användare att begära att digitaliserar materialet och till- gängliggör det i digital form (on-demand-digitalisering). Den första personen som begär verket får betala en kostnad motsvarande arbetskostnad, men det digitaliserade verket görs sedan tillgängligt i systemet Ebooks on demand (EOD). EOD är en platt- form som ger global access till material i 87 forsknings- och national- bibliotek.66 För annat material i bibliotekens samlingar finns det möjlighet för besökare eller andra enskilda att kopiera materialet med kopiator, skanner eller digitalkamera. I vissa fall har biblioteken reproduktions- avdelningar som kan utföra kopieringen åt den enskilde. Detta kan omfatta sådan kopiering som medför en digitalisering, dvs. med hjälp av skanner eller digitalkamera. När biblioteken utför sådana repro- duktionstjänster åt enskilda tar vanligen betalt enligt en fastställd prislista.67 Av samma anledning som för digitala fjärrlån (se avsnitt 4.6) anser vi att den tillämpliga rättsliga grunden för behandling av personuppgifter vid on-demand-digitalisering är att den är nödvändig för att utföra en arbetsuppgift av allmänt intresse (artikel 6.1 e). 66Se vidare om EOD: (1) 2009 s 35, 67Se särskilt KB:s reproverksamhet, Fastställd uppgift av allmänt intresse Utredningens bedömning: Det är en fastställd uppgift av allmänt intresse för forskningsbiblioteken att tillgängliggöra kunskap i syfte att stödja forskning och utbildning. Behandling av person- uppgifter vid on-demand-digitalisering är en nödvändig del för att tillgängliggöra kunskap i enlighet denna uppgift. KB:s uppgifter att bl.a. förvara och tillhandahålla den svenska tryckproduktionen framgår därtill av KB:s instruktion, Utredningens förslag: Högskolebibliotekens uppgifter att till- gängliggöra kunskap i syfte att stödja forskning och utbildning ska regleras i en ny paragraf i högskoleförordningen. När det gäller de privata högskolebiblioteken ska det regleras i vårt förslag till förordning om personuppgiftsbehandling i forskningsbibliotekens verksamhet. Som nämnts ovan under avsnitt 4.5 handlar personuppgiftsbehand- lingen när biblioteken digitaliserar analogt material om behandling av både strukturerade personuppgifter rörande upphovsmän och lik- nande och av personuppgifter i löpande text. Med strukturerade personuppgifter avses sådana uppgifter som ingår i ett register enligt definitionen i artikel 4.6 i dataskyddsförordningen. Även här före- kommer i normalt inte känsliga personuppgifter men däremot kan löptext bestå av såväl känsliga personuppgifter samt uppgifter om lagöverträdelser. Det är i allmänhet inte möjligt att inhämta samtycke från de registrerade i dessa fall. Syftet med behandlingen ryms däremot under bibliotekens uppdrag att främja bl.a. forskning. Behandlingen görs enligt vår bedömning alltså med stöd av den rättsliga grunden att den är nödvändig för att utföra en arbetsuppgift av allmänt intresse. Vad gäller behandlingen i detta sammanhang av strukturerade person- uppgifter som inte är känsliga bör enligt vår bedömning denna som grundregel kunna utföras med stöd av artikel 6.1 e. 4.7.3Känsliga personuppgifter samt uppgifter om lagöverträdelser m.m. Utredningens förslag: Forskningsbiblioteken ska få behandla känsliga personuppgifter enligt artikel 9.2 j i löpande text när detta är nödvändigt för arkivändamål av allmänt intresse. Detta ska dock endast gälla när de känsliga uppgifterna förekommer i utgivet material som det ingår i bibliotekens uppdrag att tillhandahålla. Privata forskningsbibliotek ska få behandla uppgifter om lagöverträdelser m.m. i löpande text. Detta ska dock endast vara tillåtet när uppgifterna förekommer i utgivet material som det ingår i bibliotekens uppdrag att tillhandahålla. Bestämmelser om detta ska införas i nationell rätt genom utred- ningens förslag till förordning om personuppgiftsbehandling i forskningsbibliotekens verksamhet. I den mån känsliga personuppgifter och uppgifter om lagöverträdelser m.m.förekommer i den ostrukturerade fulltexten hänvisar vi vad gäller analys och motivering till vårt resonemang i avsnitt 4.5.3. 4.8.1Beskrivning av verksamheten och aktuella personuppgiftsbehandlingar En allt viktigare uppgift för forskningsbiblioteken har kommit att bli att sköta lärosätenas lokala publikationsdatabaser och att se till att forskare får rätt erkännande för sina resultat genom att hantera globalt gångbara identifikatorer. Sådana identifikatorer är exempelvis Open Researcher and Contributor ID (ORCID)68 och Digital Object Identifier (). Hanteringen av sådana identifikatorer kan medföra behandling av personuppgifter. Man kan betrakta hanteringen av publikationsdatabaser och identi- fikatorer som två helt skilda former av personuppgiftsbehandlingar. Det finns dock ett stort värde i att i publikationsdatabaser även lagra 68Se rapport från KB/, ”Erfarenheter av medlemskap och implementering av ORCID på ” 2013%20Erfarenheter%20av%20medlemskap%20i%20ORCID%20-%20slutrapport.pdf identifikatorer för verk och författare. Inom det KB-ledda projektet har bl.a. rekommenderats att ORCID ska vara den standard som används för hantering av författaridentifikatorer i publiceringsdatabaser.69 Det är en vanlig uppgift för högskolebibliotek att bistå sitt lärosäte med att elektroniskt publicera avhandlingar och andra vetenskapliga resultat genom egna publikationsdatabaser eller i samarbetsdatabasen . Det kan vara fråga om att tillgängliggöra publikationerna i fulltext, eller bara metadata om dem. I det följande beskrivs kortfattat några olika exempel på publikationsdatabaser som drivs av högskole- bibliotek. Digitala vetenskapliga arkivet (DiVA) är ett publiceringssystem för forskningspublikationer och studentuppsatser samt ett digitalt arkiv för långsiktig bevaring av publikationer. DiVA började utvecklas av publicering (, EPC) vid . DiVA drivs i konsortieform och finansieras av deltagarna i projektet. sker den tekniska utveck- lingen av EPC i samråd med övriga medlemmar. DiVA-samarbetet är öppet för alla universitet samt offentligt finansierade forsknings- institutioner och myndigheter både i och utomlands. Forsk- ningspublikationer och studentuppsatser från 44 lärosäten och forskningsinstitutioner är sökbara i tjänsten. De lärosäten som inte anslutit sig till DiVA använder sig av andra liknande publikations- databaser. Publikationer som registreras i DiVA överförs automatiskt till den nationella databasen , som innehåller vetenskaplig publicering vid svenska lärosäten. SwePub utvecklas i samarbete mellan och KB för att ligga till grund för nationell information om och analys av forskning. SwePub är också kopplad till ansökningssystemet Prismas publikationsmodul. Exakt vilken personuppgiftsbehandling som blir aktuell beror på den exakta omfattningen av publikationsdatabasen. En skiljelinje kan dras mellan sådana databaser som enbart lagrar referenser till publika- tioner och metadata om dem, såsom uppgifter om författare, titel, utgivningstidpunkt, ämnesklassificering m.m., och sådana databaser som utöver detta även lagrar själva publikationernas innehåll i fulltext. 69”Författaridentifikatorer och publiceringsdatabaser – scenarier och utvecklingsmöjligheter. Slutrapport” et al (2013). Av samma anledning som för tillgängliggörande av analoga samlingar på internet (se avsnitt 4.5.2) anser vi att en tillämplig rättslig grund för behandling av personuppgifter i samband med publikationsdatabaser är att sådan behandling är nödvändig för att utföra en arbetsuppgift av allmänt intresse (artikel 6.1 e). Fastställd uppgift av allmänt intresse Utredningens bedömning: Att förvalta ett register över sådana publikationer som ingår i ett biblioteks samlingar ingår i den för samtliga forskningsbibliotek fastställda arbetsuppgiften att bidra till kunskapsförmedling. Personuppgiftsbehandling i form av sådan registerförvaltning är nödvändig för att utföra en uppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. Personuppgiftsbehandling som är nödvändig för att lagra och till- gängliggöra publikationer i fulltext har även den en rättslig grund i artikel 6.1 e dataskyddsförordningen, i den utsträckning det inte före- kommer känsliga personuppgifter. Den person som metadata och referenser vanligen hänvisar till är i normalfallet publikationens för- fattare. Inom forskningen torde det höra till undantag att metadata om ett verk i en publikationsdatabas utgör personuppgifter om andra identifierbara personer än författaren själv.70 I vissa fall kan då personuppgiftsbehandling utföras med stöd av samtycke, dvs. när författaren själv varit delaktig i införandet i publikations- databasen. Det kan dock förekomma situationer när den eller de personer som registrerats i metadata i praktiken inte ger sitt samtycke. Det kan vara fråga om publikationer med många författare, vissa vid andra läro- säten, eller författare som trots att de är verksamma vid högskole- lärosäte inte prioriterar att hålla publikationsdatabasen 70Inom vissa discipliner kan dock finnas undantag, exempelvis i rättsvetenskaplig forskning där en vanlig typ av publikation är rättsfallskommentarer, dvs. texter som utgår från ett enskilt rättsfall. I den mån rättsfallet och måltypen kan identifieras från titeln kan redan denna utgöra en indirekt känslig personuppgift, exempelvis i mål om tvångsvård. har även i dessa fall ett berättigat intresse av att publikationsdatabaserna ska vara fullständiga. Det saknas skäl att göra en skillnad mellan en publikationsdatabas som förvaltar och den generella bibliotekskatalog som är en förutsättning för verksamhet. Det är knappast möjligt att förmedla den kunskap biblioteken har i sina samlingar om de inte kan föra ett register, med bl.a. författaruppgifter, över samlingarnas innehåll. Vår bedömning är därför att personuppgiftsbehandling i sådan katalogverksamhet är nödvändig för att uppfylla det allmänna syftet att forskningsbibliotek ska bidra till kunskapsförmedling (2 § 1 st. bibliotekslagen). Med andra ord, även om enskilda registrerade författare skulle samtycka till den resulterande personuppgifts- behandlingen, är en tillämplig rättslig grund för behandlingen att den är nödvändig för att en arbetsuppgift av allmänt intresse ska kunna utföras (artikel 6.1 e). I de fall där publikationsdatabasen även innehåller publikationerna i fulltext kan dessa innehålla direkta eller indirekta personuppgifter om andra än verkets författare. Denna behandling görs vanligen i syfte att tillgängliggöra forskningsresultat. Denna behandling är nödvändig för uppgift att tillgängliggöra kunskap i syfte att stödja forskning och utbildning som vi föreslår i avsnitt 4.5.2. 4.8.3Känsliga personuppgifter samt uppgifter om lagöverträdelser m.m. Utredningens bedömning: Behandling av känsliga personuppgifter i metadata tillhörande en publikationsdatabas är tillåten med stöd av artikel 9.2 j, eftersom detta kan anses vara nödvändigt för ett arkivändamål av allmänt intresse på grundval av nationell rätt. Utredningens förslag: Forskningsbiblioteken ska få behandla känsliga personuppgifter enligt artikel 9.2 j i löpande text när detta är nödvändigt för arkivändamål av allmänt intresse. Detta ska dock endast gälla när de känsliga uppgifterna förekommer i utgivet material som det ingår i bibliotekens uppdrag att tillhandahålla. Privata forskningsbibliotek ska få behandla uppgifter om lag- överträdelser m.m. i löpande text.