sou · H6B336 · 2018-06-05 00:00:00 — Eftersom instruktionen är så allmänt hållen är det en rimlig tolkning att KB ansvarar för alla system som ingår i LIBRIS. KB har i nuvarande regel- verk författningsstöd för personuppgiftsbehandlingen i LIBRIS. KB är personuppgiftsansvarigt i och med sin roll som systemägare av LIBRIS och den som ansvarar för drift och utveckling. Denna roll har även deltagande bibliotek eftersom de, förutom att läsa och söka bland personuppgifterna i systemet, även kan ändra och komplettera dem. Av dataskyddsförordningens artikel 4.7 framgår att om två eller flera gemensamt bestämmer över en viss behandling är de personuppgifts- ansvariga tillsammans och måste sinsemellan bestämma vem som är ansvarig för att fullgöra de olika skyldigheterna i dataskyddsförord- ningen. Det är här alltså fråga om personuppgiftsansvar för båda parter. SwePub är som sagt ett resultat av ett regeringsuppdrag. Regerings- uppdrag ges mot bakgrund av en myndighets instruktion. KB har med andra ord en fastställd uppgift att inneha systemet. Uppgifterna för KB är därför fastställda i nationell rätt på ett tydligt och precist sätt, och deras tillämpning är förutsägbar. Samma bedömning gäller för det rättsliga stödet för Sondera eftersom den tjänsten sammanställer sök- resultat från två utav KB:s system som redan har rättsligt stöd. 5.8.3Känsliga personuppgifter samt uppgifter om lagöverträdelser m.m. Utredningens bedömning: Behandling av känsliga personuppgifter om dessa förekommer i bibliografiska uppgifter är tillåtet med stöd av artikel 9.2 j eftersom detta kan anses vara nödvändigt för ett arkivändamål av allmänt intresse på grundval av nationell rätt. Personuppgiftsbehandlingen i dessa system är begränsad till bibliogra- fiska uppgifter. Sådana uppgifter inkluderar inte känsliga personupp- gifter eller uppgifter om lagöverträdelser annat än i undantagsfall. När detta ändå förekommer torde samma resonemang som i avsnitt 4.8.3 vara tillämpligt. Det rör sig alltså om nödvändig behandling, i detta fall med stöd av KB:s fastställda uppgift att ansvara för LIBRIS respektive SwePub. Utredningens bedömning: Den registrerades rätt till tillgång enligt artikel 15, rättelse enligt artikel 16 samt rätt till invändning enligt artikel 21 dataskyddsförordningen ska inte gälla vid nöd- vändig behandling för att utföra fastställda arbetsuppgifter för KB vad gäller LIBRIS och SwePub. Ett sådant undantag följer av det undantag som föreslås i avsnitt 4.11.3. Samma argument som har anförts i avsnitt 5.4.4 till varför registrerades rätt till rättelse och till invändning ska inskränkas är tillämpbara även för behandling i LIBRIS och SwePub. Det undantag som föreslagits i avsnitt 4.11.3 omfattar även KB:s personuppgiftsbehandling i dessa samman- hang. 6 Analys av utredningens förslag En utredning ska enligt 14–15 a §§ kommittéförordningen (1998:1474) redovisa vilka konsekvenser förslagen i ett betänkande kan få i olika avseenden. Av 6 § förordningen (2007:1244) om konsekvensutred- ning vid regelgivning följer vidare att en konsekvensutredning ska innehålla vissa beskrivningar, uppgifter och bedömningar. Även om förslagen i dessa deluppdrag redovisas i form av en promemoria i stället för i ett betänkande förefaller det ändå lämpligt att redovisa konsekvenserna i samma avseenden. Dessa redovisas i avsnitt 6.1. Enligt vårt tilläggsdirektiv 2017:87 ska utredningen även redovisa förslagens konsekvenser för aktörer i forskningssystemet. Dessa redovisas i avsnitt 6.2. Slutligen analyseras förlagens konsekvenser för den personliga integriteten i avsnitt 6.2. Det är inledningsvis viktigt att understryka att utredningens upp- drag i denna del är att analysera vilken reglering som är möjlig och kan behövas för att personuppgifter ska kunna behandlas på ett ändamåls- enligt sätt i KB:s och forskningsbibliotekens verksamhet som den enskildes fri- och rättigheter skyddas. Vi ska i det samman- hanget beakta det förslag till lag med kompletterande bestämmelser till dataskyddsförordningen som lämnats av (SOU 2017:39). De konsekvenser som direkt följer av förordningen eller förslag analyseras därför inte nedan. Utredningen föreslår i kapitel 4 att uppgiften att tillgängliggöra kun- skap i syfte att stödja forskning och utbildning inom högskolans verksamhetsområde ska fastställas i nationell rätt för forsknings- biblioteken. En sådan uppgift torde redan vara underförstådd i forskningsbibliotekens uppgift att svara för biblioteksverksamhet inom de områden som anknyter till utbildning och forskning vid eller högskolan (12 § bibliotekslagen [2013:801]). Anledningen till att vi föreslår en uttryckligt fastställd uppgift är inte att vi eftersträvar någon förändring av bibliotekens uppgifter. Vi har dock bedömt att det behövs för att uppfylla dataskyddsförordningens krav på att en uppgift av allmänt intresse ska vara fastställd i nationell rätt samt kraven på tydlighet och förutsägbarhet. De förslag till kompletterande bestämmelser som utredningen lämnar utgör de nödvändiga kompletterande nationella bestämmel- serna för att den samlade regleringen, enligt utredningens bedömning, ska möjliggöra en ändamålsenlig behandling som den skyddar den enskildes fri och rättigheter. En allmän utgångspunkt för utredningen har varit att bibehålla bibliotekens möjligheter att utöva sin verksamhet inom ramen för dataskyddsförordningens utrymme för nationell kompletterande reglering. I vart fall ska inte möjligheterna till sådan verksamhet försämras jämfört med dagens situation. Bibliotekens verksamhet är i många avseenden inte detaljerat reglerad. Dataskyddsförord- ningens krav har därför föranlett att vi i viss utsträckning har fått fastställa bibliotekens uppgifter. Utöver de föreslagna skyddsåtgärderna föreslår utredningen gene- rellt vissa begränsningar av de registrerades rättigheter som anges i artikel 16 (rättelse) och artikel 21 (invändning). Förslaget medför i denna del vissa konsekvenser för de registrerades personliga integritet i syfte att biblioteken ska kunna fortsätta bedriva sin verksamhet på ett ändamålsenligt sätt vad gäller digitalt tillgängliggörande av kunskap. I det följande kommer utredningen sammanfattningsvis att analy- sera konsekvenserna av förslaget att likställa olika biblioteksaktörer med avseende på deras ställning i förhållande till allmänt intresse som rättslig grund för personuppgiftsbehandling, förslaget att tillåta viss behandling av känsliga personuppgifter med vidhängande skydds- åtgärder samt förslaget att i vissa sammanhang införa begränsningar av registrerades rättigheter. beslutade EU en förordning som utgör ny generell reglering för personuppgiftsbehandling inom unionen. I och med att denna börjar tillämpas upphävs nuvarande person- uppgiftslag (1998:204) med tillhörande personuppgiftsförordning (1998:1191). Övriga författningar som reglerar personuppgifts- behandling inom sektorsvisa områden måste anpassas. Dataskydds- utredningen har föreslagit anpassningar och kompletterande för- fattningsbestämmelser på generell svensk nivå. är den personuppgiftsbehandling som förekommer inom forskningsbiblioteken och KB i stor utsträckning oreglerad och stödjer sig i viss utsträckning på undantag i personuppgiftslagen, som kommer att upphävas i och med att dataskyddsförordningen börjar tillämpas. Personuppgiftsbehandling i forskningsbibliotekens och KB:s verksamhet kommer i flera fall att behöva kompletterande reglering i nationell lagstiftning för att sådan behandling ska vara tillåten. Vi har därför fått i uppdrag att föreslå en kompletterande reglering för forsk- ningsbiblioteken och KB utöver den reglering som Dataskyddsutred- ningen redan föreslagit. Dataskyddsförordningen lämnar vissa möjligheter till nationella kom- pletterande och specificerande bestämmelser. Om inte dessa möjlig- heter att införa nationella anpassningar utnyttjas kommer forsknings- bibliotekens och KB:s personuppgiftsbehandlingar i flera fall sakna rättslig grund. Eftersom utredningens övergripande mål är att möjlig- göra en ändamålsenlig behandling av personuppgifter i bibliotekens verksamhet är det inte ett rimligt alternativ att låta bli att föreslå reglering. Utredningens förslag är föranledda av den förändring av som dataskyddsförordningens ikraftträdande medför. Utredningens förslag syftar till att utgöra en kompletterande nationell reglering för personuppgiftsbehandling för forskningsändamål som är förenlig med dataskyddsförordningen, inom det utrymme som data- skyddsförordningen lämnar för nationell rätt. Vi bedömer därmed att förslaget är förenligt med . 6.1.4Tidpunkt och information inför ikraftträdande Dataskyddsförordningen ska börja tillämpas som direkt tillämplig lag i , vilket innebär att nationella kompletterande författningar måste träda i kraft samma datum. I 14 § kommittéförordningen anges att om förslagen i ett betänkande påverkar kostnaderna eller intäkterna för staten, kommuner, lands- ting, företag eller andra enskilda ska en beräkning av dessa konse- kvenser redovisas i betänkandet. Om förslagen innebär samhälls- ekonomiska konsekvenser i övrigt ska dessa redovisas. När det gäller kostnadsökningar och intäktsminskningar för staten, kommuner och landsting ska kommittén föreslå en finansiering. Om ett betänkande innehåller förslag till nya eller ändrade regler, ska förslagens kost- nadsmässiga och andra konsekvenser anges i betänkandet, enligt 15 a § kommittéförordningen. Utredningen bedömer att förslagen inte medför några kostnads- förändringar för de aktörer som omnämns i kommittéförordningen. Den huvudsakliga konsekvensen av förslagen är att behandling i biblioteksverksamhet som pågår ska kunna fortgå även efter att dataskyddsförordningen börjar tillämpas. Konsekvenserna kommer mer troligt vara att kostnaderna stannar på de nivåer som för när- varande gäller. Förslagen kan därför betraktas som kostnadsneutrala i förhållande till dagens situation. Konsekvensen av att avstå från regle- ringen skulle i stället kunna bli en kostnadsökning för de forsknings- aktörer som inte längre skulle kunnat utnyttja biblioteken som en resurs för informationsförsörjning. Vad gäller de föreslagna begränsningarna av de registrerades rättig- heter medför de främst att biblioteken i vissa avgränsade situationer inte behöver beakta en del rättigheter som annars skulle tillkomma de registrerade. Begränsningarna bör därför inte medföra ökade ekono- miska kostnader för biblioteken. 6.1.6Andra konsekvenser enligt kommittéförordningen Av 15 § kommittéförordningen framgår att om förslagen i ett betän- kande har betydelse för den kommunala självstyrelsen ska konse- kvenserna i det avseendet anges i betänkandet. Detsamma gäller när ett förslag har betydelse för brottsligheten och det brottsföre- byggande arbetet, för sysselsättning och offentlig service i olika delar av landet, för små företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i förhållande till större företags, för jämställdheten mellan kvinnor och män eller för möjligheterna att nå de integrations- politiska målen. Utredningen bedömer att de förslag som lämnas inte får några konsekvenser i dessa avseenden. 6.2Konsekvenser för aktörer inom forskningssystemet Forskningsbibliotekens verksamhet är av central betydelse för forsk- ningen. Dataskyddsförordningen får genomgripande konsekvenser för forskningsaktörer, inklusive forskningsbiblioteken och KB i sin roll av nationalbibliotek, i stort. Den kompletterande reglering som vi föreslår riktar sig till samma aktörer. Indirekt berörs också de regist- rerade, även om deras rättsliga ställning i relation till den person- uppgiftsbehandling som bedrivs av biblioteken inte kommer att förändras. Den huvudsakliga konsekvensen av förslagen är att person- uppgiftsbehandling i biblioteksverksamhet som pågår ska kunna fortgå även efter att dataskyddsförordningen börjar tillämpas. För- slagen får alltså inte till huvudsaklig del några större praktiska konsekvenser för biblioteken eller dess besökare. Vad gäller text- och datautvinning (avsnitt 4.10) är detta en verk- samhet hos biblioteken som är under utveckling. Särskilt KB har börjat anpassa system och tjänster för att kunna bedriva sådan verksamhet och även erbjuda text- och datautvinningstjänster externt, medan många forskningsbibliotek inte alls har börjat, eller bara i begränsad utsträckning. Sådan verksamhet har enligt gällande rätt kunnat bedrivas utan uttrycklig reglering med utnyttjande av vissa undantag i personuppgiftslagen. Vi föreslår i stället en uttryck- lig reglering som tillåter sådan behandling med detaljerade bestäm- melser vad gäller känsliga personuppgifter samt uppgifter om lag- överträdelser m.m. både inom och utanför ramen av etikprövade forskningsprojekt. Konsekvensen för forskningsbiblioteken och dess besökare, inklusive forskare, blir en större tydlighet i vad biblioteken får göra som personuppgiftsansvariga i samband med denna typ av behandling. Dataskyddsförordningen lämnar ett visst utrymme för nationell lag- stiftning som begränsar eller inskränker de fri- och rättigheter som förordningen ger individen vad gäller den personliga integriteten. Det ställs dock vissa proportionalitetskrav på sådan lagstiftning. Vi har i avsnitt 4.3.1 gjort bedömningen att bibliotekens nuvarande verksamhet inte medför sådan kartläggning eller övervakning som avses i 2 kap. 6 § regeringsformen. Eftersom våra förslag syftar till att denna verksamhet även fortsättningsvis ska kunna bedrivas anser vi att förslagen inte utgör sådan reglering som medför sådant betydande intrång i den personliga integriteten som avses i regeringsformen. 6.3.1Kartläggning av den föreslagna personuppgiftsbehandlingen Vi har, precis som i utredningens tidigare betänkande, tillämpat Data- inspektionens metod för att kartlägga den personuppgiftsbehandling som ett förslag kan medföra samt vilka konsekvenser den får för den personliga integriteten.98 Mot denna bakgrund har vi beaktat de centrala faktorer som enligt vägledningen behöver belysas i en sådan kartläggning. Särskilda faktorer i personuppgiftsbehandlingen De här diskuterade frågeställningarna är hämtade från Datainspek- tionens vägledning. För vilka ändamål ska personuppgifter behandlas? Utredningen förslag till reglering i en ny förordning om person- uppgiftsbehandling i forskningsbibliotekens verksamhet och till ändring i högskoleförordningen fastställer en generell uppgift för forskningsbibliotek att tillgängliggöra kunskap i syfte att stödja forskning och utbildning. Utöver detta finns redan särskilda uppgifter för KB rörande plikt och e-plikt samt den digitala kulturarvsverksam- heten. Med vilket rättsligt stöd ska personuppgifterna behandlas? När personuppgifter behandlas i bibliotekens verksamhet är det huvudsakligen fråga om nödvändig behandling för en uppgift av allmänt intresse, och har därmed stöd i dataskyddsförordningens artikel 6.1 e. Den rättsliga grunden ges i den föreslagna regleringen, med stöd av artikel 6.2 och 6.3. I de enskilda avsnitten i kapitel 4 och 5 har vi gått igenom befintliga uppgifter fastställda i enlighet med gällande lagstiftning, och i vissa fall föreslagit nya fastställda uppgifter. 98SOU 2017:50 s. 300. Vem ska utföra personuppgiftsbehandlingen och vem ansvarar för den? Varje forskningsbibliotek, inklusive KB, är personuppgiftsansvarig enligt dataskyddsförordningen för den personuppgiftsbehandling som är nödvändig för att utföra uppgifter. Det kan vara som utför själva behandlingen, eller en tredje part (exem- pelvis vid inskanningsarbete, där KB ibland lägger ut jobb på MKC), men detta förändrar inte personuppgiftsansvarets placering. I den mån personuppgifter behandlas som följd av text- och data- utvinning inom ramen för ett etikprövat forskningsprojekt är biblio- teket och forskningsprojektet personuppgiftsansvariga för sin del av behandlingen. Vilka personuppgifter kommer att behöva samlas in och i övrigt behandlas? De personuppgifter som behandlas är huvudsakligen uppgifter som hänför sig till enskilda som förekommer i löpande text i biblioteks- materialet. Biblioteken samlar in dessa uppgifter, även i digital form, som en del av sin biblioteksverksamhet och med stöd av existerande och föreslagna fastställda uppdrag. Det förekommer även mer struk- turerade personuppgifter både i samband med bibliotekens låneverk- samhet (avsnitt 4.4) och i bibliotekens hantering av identifikatorer i samband med databaser och andra katalogsystem (avsnitt 4.9). Hur många personer kommer att beröras av personuppgiftsbehandlingen och hur många uppgifter om varje person kommer att behöva samlas in? Det är vanskligt att kvantifiera hur många personer som kommer att beröras av denna behandling samt hur många uppgifter om varje enskild person som kommer behöva samlas in. Den behandling som är nödvändig för bibliotekens uppgifter är en konsekvens av vilka personuppgifter som kan tänkas förekomma i sådant material som biblioteken har i uppdrag att tillgängliggöra. Vilka kommer att ha åtkomst till personuppgifterna och vilken spridning kan uppgifterna i övrigt komma att få? Personuppgifterna kommer, med undantag för låntagaruppgifter, att vara tillgängliga för besökare, dvs. en bred allmänhet. Detta inkluderar även tillgänglighet på distans över internet. Finns det behov av nya sekretessbestämmelser och sekretessbrytande bestämmelser? Utredningen föreslår varken någon tillkommande sekretessreglering eller sekretessbrytande bestämmelser. Vilka sök- och sammanställningsmöjligheter är nödvändiga för ändamålet och hur kan de begränsas? Det är utifrån bibliotekens verksamhet inte lämpligt att ställa upp generella krav på sökbegränsningar. Det kan däremot i samband med text- och datautvinning möjligt att begränsa sådana behandlingar som utvinner eller på annat sätt specialbehandlat känsliga uppgifter. Hur länge behöver personuppgifter bevaras? Personuppgifterna behöver bevaras i samma utsträckning som biblio- tekens samlingar. Med undantag för KB:s pliktexemplarsverksamhet har biblioteken möjlighet att gallra biblioteksmaterial, även digitalt, när biblioteksverksamheten inte längre kräver att materialet bevaras. Vilket inflytande kommer de registrerade att ha över personuppgiftsbehandlingen? De registrerade kan till den allra största delen inte utöva eget inflytande över vilka uppgifter som förekommer i biblioteksmaterialet eller hur detta tillgängliggörs. Ett undantag föreslås för behandling av person- uppgifter i KB:s digitala kulturarvsverksamhet (se avsnitt 5.7.5). Vilken information om behandlingen av personuppgifter kommer de registrerade få? Personuppgifterna hämtas, med undantag för uppgifter i låneverk- samheten, från annat håll än från den registrerade själv. Enligt artikel 14.5 i dataskyddsförordningen ska den personuppgifts- ansvariges skyldighet att tillhandahålla information till den registrerade inte tillämpas i vissa fall, som kan bli aktuella inom biblioteksverksam- heten (se avsnitt 4.11.3). Det är dock upp till den personuppgifts- ansvarige att bedöma detta från fall till fall. Vilka regler kommer att gälla till skydd för de registrerades personliga integritet vid den föreslagna personuppgiftsbehandlingen? För de flesta typer av behandlingar som avhandlas i kapitel 4 och 5 gör utredningen bedömningen att dessa är nödvändiga för ett arkiv- ändamål av allmänt intresse. Som generell skyddsåtgärd i dessa fall avgränsas det material som biblioteken får behandla till sådant material som har utgivits samt biblioteken har i uppgift att tillhanda- hålla i sin verksamhet. I och med att behandlingen bedöms nödvändig för ett arkivändamål av allmänt intresse gäller även enligt artikel 89.1 att behandlingen ska omfattas av lämpliga skyddsåtgärder. Det är den personuppgiftsansvarige som i det enskilda fallet ska tillse att sådana lämpliga skyddsåtgärder tillämpas. Det förhåller sig så att dataskyddsförordningen, även om den ger visst utrymme för nationell reglering, är direkt tillämplig. En nationell lagstiftning om skyddsåtgärder kan exempelvis aldrig upphäva kravet i artikel 89.1 i dataskyddsförordningen på att personuppgiftsbehand- ling för arkivändamål av allmänt intresse ska vara omgärdad av lämpliga skyddsåtgärder. Om de av utredningen föreskrivna skydds- åtgärderna är otillräckliga i det specifika fallet är det den person- uppgiftsansvariges ansvar att självständigt efterleva dataskyddsförord- ningens krav. Utredningens slutsats blir med hänvisning till ovanstående resone- mang att konsekvenserna för den personliga integriteten är förenliga med det väsentliga innehållet i rätten till dataskydd. I en proportionalitetsbedömning ska det ändamål för vilket person- uppgifterna behandlas, och som måste vara godtagbart enligt olika kriterier, ställas mot det integritetsintrång som behandlingen medför. Vilket eller vilka ändamål motiverar behandlingen av personuppgifter? Ändamålet med bibliotekens verksamhet är generellt legitimt och godtagbart i ett demokratiskt samhälle. Bibliotekens uppgifter, sär- skilt forskningsbibliotekens, är dock inte detaljerat reglerade i nationell lagstiftning. Detta medför vissa svårigheter att fastställa vilka konkreta uppgifter av allmänt intresse som ett forskningsbibliotek egentligen har, och som en konsekvens, vilken personuppgifts- behandling som är nödvändig för dessa uppgifter. Finns det några mindre integritetsingripande alternativ för att uppnå det avsedda ändamålet än den föreslagna personuppgiftsbehandlingen? Det som aktualiserar frågan om dataskydd i bibliotekens verksamhet är framför allt den pågående digitaliseringen. Biblioteken gör som ett led i detta arbete mer material och tjänster tillgängligt på digital väg. Detta medför att behandlingen hamnar inom dataskyddsförord- ningens tillämpningsområde. Att avstå från digitalisering och endast tillhandahålla kunskapen i pappersform skulle vara ett sätt att minska integritetsintrånget, åtminstone i den meningen att dataskydds- förordningen inte längre skulle vara tillämplig på verksamheten. En sådan tillbakagång skulle dock inte vara ändamålsenlig med hänsyn till ändamålen med bibliotekens verksamhet. Ett dylikt arbetssätt skulle inte heller vara förenligt med regeringens förväntningar på hur myndigheter ska arbeta, så som de uttrycks i regeringens digita- liseringsstrategi.99 99För ett hållbart digitaliserat - en digitaliseringsstrategi, dnr N2017/03643/D. Står integritetsintrånget som behandlingen medför i rimlig proportion till den nytta som behandlingen innebär för de avsedda ändamålen? Vad gäller personuppgifter i utgivet material kan spridning av sådana uppgifter i vissa fall medföra ett avsevärt integritetsintrång. Mot bakgrund av den starka ställning som tryckfriheten har i svensk rätt i relation till dataskyddet anser utredningen dock att sådant integritets- intrång som uppstår i samband med utgivning av materialet står i proportion till den nytta som behandlingen innebär. Det ytterligare integritetsintrång som bibliotekens hantering och spridning medför är i sammanhanget litet och står enligt vår bedömning i proportion till nyttan med behandlingen sett utifrån ändamålet med bibliotekens verksamhet. Vi föreslår en nationell reglering som med stöd av artikel 6.2 och 6.3 fastställer den rättsliga grunden allmänt intresse för forsknings- bibliotekens uppgift att tillhandahålla kunskap. Sådan nationell rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Författningarna innehåller även vissa begränsningar av den registrerades rättigheter. Det sammanlagda integritetsintrånget blir dock begränsat. Ställt mot det stora värde för forskningen som forskningsbiblioteken har finner vi att de föreslagna bestämmelserna måste anses vara proportionella. Vi föreslår vidare att det under vissa förutsättningar ska vara tillåtet att behandla känsliga personuppgifter. Av artikel 9.2 j framgår att lagstiftning som tillåter behandling av känsliga personuppgifter ska stå i proportion till det eftersträvade syftet.