sou · H6B336 · 2018-06-05 00:00:00 — Vi behand- lar därför frågan om undantag från de registrerades rättigheter i dessa sammanhang i det nedanstående avsnittet. Vad gäller vissa andra personuppgiftsbehandlingar behandlar vi frågor om undantag från registrerades rättigheter i anslutning till övriga förslag (exempelvis för text- och datautvinning i avsnitt 4.10.5 samt för KB:s kulturarw³- verksamhet i avsnitt 5.7.5). Undantag från vissa rättigheter Rätten till tillgång framgår av artikel 15 och omfattar vad som tidigare benämndes registerutdrag. Regeln har till skillnad från bestämmelsen om information som den personuppgiftsansvarige ska tillhandahålla till den registrerade enligt artikel 14 inget inbyggt undantag. Denna rättighet ger en enskild person möjlighet att framför allt begära information om huruvida ett bibliotek behandlar uppgifter om honom eller henne genom att uppgifter förekommer lagrade i det digitaliserade materialet. Om det förekommer direkta personuppgifter, framför allt om personen är namngiven, kan det vara möjligt för att tillgodo- se denna rättighet genom att fulltextsöka igenom sitt digitaliserade material. Detta ställer dock höga krav på informations- hantering i sin verksamhet med bl.a. tillförlitlig textigenkänning (OCR) av det digitaliserade materialet samt bra söksystem. Tvetydig namngivning kan också försvåra för att tillgodose denna rättighet. Om t.ex. en person med ett vanligt namn och inga andra identifierande uppgifter begär tillgång enligt artikel 15 kan få svårt att skilja uppgifter om just denna person från alla andra personer med samma namn. Rent praktiskt riskerar denna rätt att bli omöjlig eller mycket svår för biblioteken att efterleva. Vår bedömning är att om denna rättighet skulle tillgodoses skulle det göra det mycket svårare att uppfylla de särskilda ändamålen med bibliotekens digitala hantering av biblioteksmaterial i enlighet med avsnitt 4.5, 4.6, 4.7 och 4.8.Vi har i dessa avsnitt bedömt att den personuppgiftsbehandling som förekommer i dessa verksamheter är nödvändig för ett arkiv- ändamål av allmänt intresse. Det finns därför ett utrymme att med stöd av artikel 89.3 föreskriva ett undantag från rätten till tillgång vid sådana personuppgiftsbehandlingar. Vi föreslår att ett sådant undan- tag tas in i den föreslagna nya förordningen. Rätt till rättelse följer av artikel 16. Det är för ett bibliotek otänkbart att faktiskt gå in och ändra uppgifter i en författares verk, även när dessa skulle visa sig felaktiga. I den mån en rätt till rättelse skulle omfatta ändringar av verk i digital form måste därför denna rättighet för den enskilde begränsas. En sådan begränsning är tillåten eftersom verksamheten enligt utredningens bedömning behandlar person- uppgifterna för ett arkivändamål av allmänt intresse, och ett tillgodo- seende av denna rättighet skulle göra det omöjligt eller mycket svårare att uppfylla detta ändamål. Det finns därför ett utrymme för att med stöd av artikel 89.3 föreskriva ett undantag från rätten till rättelse vid denna typ av personuppgiftsbehandlingar. Vi föreslår att ett sådant undantag tas in i den föreslagna nya förordningen. Rätt att göra invändningar Den registrerade ska, enligt artikel 21, ha rätt att göra invändningar mot behandling av sina personuppgifter av skäl som hänför sig till hans eller hennes specifika situation när denna behandling utförs och den är nödvändig på grund av en arbetsuppgift av allmänt intresse. Den personuppgiftsansvarige får inte längre behandla personupp- gifterna såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättig- heter och friheter. För den aktuella behandlingen torde biblioteken regelmässigt kunna påvisa sådana tvingande berättigade skäl utifrån sitt uppdrag. Det är lika otänkbart att gå in och stryka uppgifter ur ett verk som det är att ändra uppgifter (jfr rätten till rättelse ovan). Vi har i tidigare avsnitt bedömt att de ovannämnda personuppgiftsbehand- lingarna är nödvändiga för arkivändamål av allmänt intresse. Det finns därför ett utrymme att med stöd av artikel 89.3 föreskriva ett undan- tag från rätten att göra invändningar vid sådana personuppgifts- behandlingar. Vi föreslår att ett sådant undantag tas in i den nya förordningen. Information till den registrerade Enligt artikel 14 i dataskyddsförordningen ska den personuppgifts- ansvarige förse den registrerade med viss information när person- uppgifterna inte har erhållits från denne. Enligt artikel 14.5 ska dock denna skyldighet inte tillämpas om tillhandahållandet av sådan infor- mation visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning, särskilt för bl.a. behandling för arkivändamål av allmänt intresse. Detta torde enligt utredningens bedömning vara fallet för sådana uppgifter som förekommer i löpande text i biblioteks- materialet. Det är dock upp till den personuppgiftsansvarige att bedöma detta från fall till fall. Rätt till radering enligt artikel 17 föreligger endast i vissa uppräknade fall, varav egentligen endast artikel 17.1 c (när den registrerade in- vänder mot behandlingen i enlighet med artikel 21.1 eller 21.2) kan vara tillämplig i de aktuella verksamheterna. Det saknas utrymme för att med stöd av artikel 89.3 begränsa denna rättighet, Eftersom vi föreslår ett undantag i rätten till invändning kommer rätten till radering i praktiken inte kunna användas av enskild för att få biblio- teken att radera uppgifter om denne i sådant biblioteksmaterial som är nödvändigt att behandla för arkivändamål av allmänt intresse. Se ovan angående undantag från artikel 21. Rätt till begränsning av behandling Även rätten till begränsning av behandling enligt artikel 18 föreligger endast i vissa uppräknade fall, varav egentligen endast artikel 18.1 d (den registrerade har invänt mot behandling i enlighet med artikel 21.1) kan vara tillämplig i de aktuella verksamheterna. Inte heller denna rättighet kommer i praktiken kunna användas av enskild när det är fråga om nödvändig behandling för arkivändamål av allmänt intresse. Se ovan angående undantag från artikel 21. Anmälningsskyldighet avseende rättelse eller radering Anmälningsskyldigheten för den personuppgiftsansvarige enligt artikel 19 föreligger endast om inte detta visar sig vara omöjligt eller medföra en oproportionell ansträngning, och blir bara aktuellt om rättelse eller radering skulle vara för handen, vilket inte lär bli fallet Det saknas därför anledning att överväga ett undantag från denna rättighet i nationell rätt. Rätt till dataportabilitet enligt artikel 20 föreligger endast när behand- lingen grundar sig på samtycke eller avtal, vilket som regel inte är fallet i den aktuella verksamheten. 5Personuppgiftsbehandling särskilt i verksamhet 5.1Inledning och relevanta författningar I föregående kapitel avhandlades forskningsbibliotekens verksamhet. Mot bakgrund av att KB enligt sin instruktion, förordning (2008:1421) med instruktion för Kungl. , utgör ett forskningsbibliotek är föregående kapitel även tillämpligt på KB. I detta avsnitt upp- märksammas sådana delar av KB:s verksamhet som är unika för , utifrån denna myndighets särskilda ställning och uppdrag. Det finns ett antal lagar och förordningar som särskilt reglerar dessa uppdrag. Det rör sig om lagen (1993:1392) om pliktexemplar av dokument samt förordningen (2008:1420) om pliktexemplar av dokument (nedan kallad pliktlagstiftningen), lagen (2012:492) om pliktexemplar av elektroniskt material samt förordningen (2012:866) om pliktexemplar av elektroniskt material (nedan kallad e-pliktlagstift- ningen) samt förordningen (2002:287) om behandling av person- uppgifter i Kungl. digitala kulturarvsprojekt, nedan kallad kulturarw³-förordningen. Vi kommer i detta kapitel att analysera denna speciallagstiftning utifrån kraven i dataskyddsförordningen78. 78Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG. Ett sätt att beskriva KB:s verksamhet är utifrån de olika samlingarna i . Ur ett personuppgiftsperspektiv är det då särskilt relevant att behandla dels de analoga samlingarna, dels de digitala samlingarna. Figur 2 KB:s samlingar Innehållet i och hanteringen av de olika samlingarna är reglerat i ovan- nämnda författningar. Den praktiskt viktigaste regleringen återfinns i plikt- och e-pliktlagstiftningen. Det som kan betecknas som ”traditionell biblioteksverksamhet” – att samla in, hålla ordning och tillhandahålla tryckt material i fysisk/analog form, och som rör de analoga samlingarna – medför endast begränsad behandling av personuppgifter i datasskyddsförordningens mening. Det rör sig främst om metadata om innehållet i bibliotekskatalogen och främst då uppgifter om verkens författare eller redaktörer, till- sammans med titlar och andra uppgifter om verken. Sådana uppgifter utgör endast undantagsvis känsliga personuppgifter. Innehållet i verken kan däremot förväntas innehålla känsliga personuppgifter samt uppgifter om lagöverträdelser m.m. i större utsträckning, men behandling av dessa faller enligt vår bedömning utanför såväl person- uppgiftslagen (1998:204) som dataskyddsförordningens tillämp- ningsområde, eftersom det inte är fråga om behandling som helt eller delvis företas på automatisk väg. Detta innebär att tillhandahållande av verken till allmänheten – vilket får sägas en av de mest centrala upp- gifterna för ett nationalbibliotek – inte utgör personuppgifts- behandling, utöver den registrering av den enskilde besökaren i låntagarregister, besöksloggar och liknande som kan förekomma (och som har avhandlats i avsnitt 4.3). Vad gäller de digitala samlingarna är rättsläget ett annat. Det är fråga om ungefär samma typer av känsliga personuppgifter samt upp- gifter om lagöverträdelser m.m. i dessa verk, men eftersom behandling av innehållet i de digitaliserade verken (såväl text som audiovisuella verk) företas helt eller delvis på automatiserad väg faller den under personuppgiftslagens respektive dataskyddsförordningens tillämp- ningsområde. Detta innebär att allt företar sig med innehållet i den digitala samlingen (införskaffande, lagrande, tillgäng- liggörande, m.m.) måste ha en rättslig grund i enlighet med data- skyddsförordningen, och i övrigt följa denna reglerings krav på behandlingen. På vissa områden inom de analoga samlingarna har KB inlett digitaliseringsprojekt, främst rörande äldre källmaterial såsom kartor, bilder och handskrifter, men även vissa dagstidningar. I den ut- sträckning detta material innehåller uppgifter om nu levande personer utgör även digitaliseringen, såväl som efterföljande lagring och till- gängliggörande, personuppgiftsbehandling. Den centrala delen av KB:s samlingar går under beteckningen , och innehåller såväl analogt som digitalt material. omfattar sådant material som är inlämnat till KB med stöd av pliktlagstiftningen i pliktlagen, vilket gällande analogt tryckmaterial till övervägande del är sådana skrifter som omfattas av 1 kap 5 § tryck- frihetsförordningen (jfr 5–9 §§ pliktlagen). Av KB:s instruktion 2 § 2 p framgår att ska samla, förvara, beskriva och tillhandahålla utomlands utgivna publikationer med svensk anknytning. , som alltså underhålls utan stöd i pliktlagstiftning, innehåller utländsk litteratur om och svenska förhållanden och svensk litteratur i översättning till främmande språk. Samlingen kallas för Suecana. Av KB:s instruktion 2 § 3 p framgår vidare att ska samla, förvara, beskriva och tillhandahålla en representativ samling utländsk litteratur, särskilt inom samhällsvetenskap och humaniora. Denna uppgift anknyter närmare till KB:s roll som forskningsbibliotek, snarare än nationalbibliotek. KB får enligt 3 § instruktionen ta emot donationer eller på annat sätt förvärva material av vissa typer. Detta har i praktiken medfört två delsamlingar; dels personarkiven, dels filmarkivet i . Gemensamt för dessa är att det i allmänhet är fråga om sådant material som inte tillgängliggjorts för allmänheten enligt regleringen i tryck- frihetsförordningen och yttrandefrihetsgrundlagen. innehålla känsliga personuppgifter och uppgifter om lagöverträdelser m.m. i löpande text samt i bild. Bland de övriga samlingarna räknas även KB:s samlingar av äldre handskrifter, kartor, bilder samt samlingarna i Roggebiblioteket i Strängnäs.79 Dessa torde, på grund av materialets ålder, endast i undantagsfall innehålla uppgifter om nu levande personer. 5.3.2Dataskyddsförordningens tillämpning på behandlingen Utredningens bedömning: Analogt material faller normalt inte in under dataskyddsförordningens tillämpningsområde. Tillgänglig- görandet av fysiska exemplar i enlighet med pliktlagen omfattas inte heller av regleringen i dataskyddsförordningen. Det analoga materialet omfattas av grundlagsskyddet i TF. Behandling av personuppgifter i analogt material omfattas normalt inte av dataskyddsförordningens bestämmelser. Dataskyddsförord- ningen kan i vissa fall bli tillämplig även på behandling av personuppgifter nämligen om personuppgifterna ingår i eller är avsedda att ingå i ett manuellt register som är sökbart enligt särskilda kriterier.80 Det analoga materialet på KB omfattas dock av grund- lagsskyddet för tryckt skrift i TF och då främst skrifter som både trycks och utges inom . Det finns emellertid undantag för utländskt tryckt skrift.81 Nyckelorden i detta sammanhang är tryckt skrift. Härmed avses det fysiska exemplaret som därmed omfattas av grundlagsskyddet i TF. Enligt utredningens bedömning bör de analoga samlingarna till största delen omfattas av grundlagsskyddet i TF. 79Roggebiblioteket är ursprungligen ett stift- och läroverksbibliotek med anor som är en del av KB. Innehållet i beskrivs på 80Artikel 2.1 och 4.2 samt skäl 15. 81Se avsnitt 3.3 i denna promemoria. 5.4Svenska samlingens digitala del (e-plikt) 5.4.1Beskrivning av verksamheten och aktuella personuppgiftsbehandlingar Enligt e-pliktlagen är varje utgivare skyldig att skicka elektroniskt material som omfattas av regleringen på en fysisk databärare (exem- pelvis ) till KB. Eftersom de som publicerar leveranspliktigt material gör detta i en heldigital miljö med tillgång till snabba internet- förbindelser är förstås en sådan form för överlämnande opraktisk. I praktiken kan därför publicister leverera materialet över nätet. Detta görs på frivillig basis. sker det genom automatiska nätverks- leveranser82 där antingen leverantören överför materialet till en FTP- server83 hos KB, eller där KB automatiskt hämtar det material som leverantören publicerat i ett RSS-flöde,84 eller genom upp- laddning av materialet i ett webbgränssnitt som KB tillhandahåller. Varken e-pliktlagstiftningen eller KB:s instruktion reglerar särskilt allmänhetens tillgång till det insamlade materialet. Från våra tilläggs- direktiv (dir. 2017:29) framgår inte att utredningens uppdrag omfattar frågan om tillgängliggörande av det insamlade materialet. Regeringen har uttalat sin avsikt att utreda frågan i särskild ordning. E-plikt-frågan i allmänhet är omfattande och väl- utredd. Tre separata utredningar har föreslagit e-plikt (SOU 1998:111, SOU 2003:129 och Ds. 2009:61), varav endast det sista förslaget har lett till lagstiftning. I den utredningen hade man explicit inte i uppdrag att utreda integritetsskyddsaspekter på tillgänglig- görandet av det insamlade materialet. 82Automatiska nätverksleveranser beskrivs på 83File Transfer Protocol, en standard för filöverföringar över Internet. 84Rich Site Summary, en standard för att tillgängliggöra publicering av innehåll på en webb- plats så att nytillkommet material kan hämtas med automatik. Regeringen uttalade i senare proposition ”Leveransplikt för elek- troniskt material” att man avsåg att återkomma när det gäller till- handahållandet av det material som samlas in med leveransplikt. 85 Liknande uttalande gjordes i propositionen ”Forskning för ett bättre liv” efter den andra utredningen.86 Tillgängliggörande av e-pliktmaterial måste förenas med skydds- åtgärder, eftersom känsliga uppgifter kan förekomma i materialet. Många olika skyddsåtgärder är tänkbara för ett sådant tillgänglig- görande, exempelvis åtkomst via särskilda terminaler i , att materialet endast är tillgängligt för forskare, att distansåtkomst är möjlig från andra forskningsbibliotek, att sökbegränsningar gäller för materialet, m.m. Valet av skyddsåtgärd(er) får avsevärd effekt på värdet av e-pliktsystemet i sin helhet. Vårt uppdrag är att utreda KB:s hantering av personuppgifter i verksamheten. Generellt tillhandahållande av e-pliktmaterial är i dags- läget inte en verksamhet för KB. Det finns enligt uppgift från KB inget system som ger access till materialet. Att generellt tillhandahållande av e-pliktmaterial inte är en del av verksamheten framgår motsatsvis av KB:s instruktion. 1 § 1 p säger att man ska ”ta emot, förvara, beskriva och tillhandahålla den svenska tryckproduktionen”, medan 2 § 1 p endast säger att man ska ”fullgöra de uppgifter som följer av … förordningen (2012:866) om pliktexemplar av elektroniskt material”, och den förordningen ålägger i sin tur KB endast att ”för framtiden bevara det som lämnats enligt lagen om pliktexemplar av elektroniskt material”. Sammantaget är vår bedömning att frågan om tillhandahållande av e-pliktmaterialet måste utredas i särskild ordning med stöd av ett tydligt uppdrag. Vi delar KB:s bedömning att förutsättningarna för tillhandahållande av materialet måste utredas.87 5.4.2Rättslig grund för behandlingen Utredningens bedömning: KB:s arbetsuppgift att samla in och bevara e-pliktmaterial är fastställd i nationell rätt genom en tydlig, precis och förutsägbar reglering. KB kan därför tillämpa den 2011/12:121 s. 12 2004/05:80 s. 110 f 87KB:s studie ”Pliktenunder lupp!” (2017), avsnitt 16.1.3 och 16.2.4. rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e när nöd- vändig behandling av personuppgifter utförs för att fullgöra upp- giften. Insamlande och bevarande av e-pliktmaterialet är följakt- ligen en arbetsuppgift av allmänt intresse. Det saknas däremot rättslig grund för den personuppgiftsbehandling som följer av att materialet tillgängliggörs. Insamling och bevarande av material i elektronisk form medför behandling av en stor mängd av personuppgifter, såväl i strukturerade metadata som de personuppgifter som förekommer i löpande text i materialet. Uppgiften att samla in och bevara materialet är fastställd i e-pliktlagstiftningen. Den rättsliga grunden för behandlingen är därför i första hand att den är nödvändig för att utföra en uppgift av allmänt intresse. Tillgängliggörande av det insamlade materialet regleras inte i e-plikt- lagen eller någon annan lagstiftning och kan på grund av detta inte anses utgöra en arbetsuppgift av allmänt intresse enligt artikel 6.1 e. Det saknas därför enligt vår bedömning rättslig grund för den behandling av personuppgifter som hör samman med att materialet tillgänglig- görs.88 Fastställd uppgift av allmänt intresse Personuppgiftsbehandlingen är nödvändig för KB:s arbetsuppgift att insamla och bevara materialet som har fastställts i e-pliktlagstift- ningen. Enligt utredningens bedömning måste denna uppgift anses vara av allmänt intresse. 88SOU 1998:111, E-plikt – att säkra det elektroniska kulturarvet s. 159 5.4.3Känsliga personuppgifter samt uppgifter om lagöverträdelser m.m. Utredningens förslag: KB ska få behandla känsliga person- uppgifter samt uppgifter om lagöverträdelser m.m. i löpande text med stöd av artikel 9.2 j när detta är nödvändigt att utföra de arbetsuppgifter som framgår av e-pliktlagstiftningen. Utredningens bedömning: Befintliga bestämmelser om vilket material som omfattas av e-plikten och därför får behandlas av KB utgör sådana skyddsåtgärder som krävs enligt artikel 9.2 j. E-pliktmaterialet kan innehålla känsliga personuppgifter samt upp- gifter om lagöverträdelser m.m. För att behandling av sådant material ska vara tillåten (jfr. avsnitt 4.4.4) krävs att någon av möjligheterna till undantag i artikel 9.2 är tillämpliga. De undantag som ligger närmast till hands är behandling som är nödvändig av hänsyn till ett viktigt allmänt intresse enligt artikel , eller behandling som är nödvändig för arkivändamål av allmänt intresse enligt artikel 9.2 j. I e-plikt- lagstiftningens förarbeten framgår det att syftet med lagstiftningen är att tillgodose forskningens behov och att bevara det svenska kultur- arvet.89 Detta talar för att det är fråga om ett arkivändamål av allmänt intresse. Vi bedömer därför personuppgiftsbehandlingen utifrån detta ändamål. E-pliktlagstiftningen utgör enligt utredningens bedömning en sådan precis och förutsägbar reglering som krävs för att uppfylla kraven i artikel 9.2 j, men saknar dock uttryckligt reglerade lämpliga och särskilda åtgärder för att skydda den registrerades fri- och rättigheter. Det är dock svårt att förena skyddsåtgärder i form av exempelvis begränsad tillgång till, samt begränsad sökbarhet i, materialet med lagstiftningens uttalade syfte att tillgodose forsk- ningens behov och att bevara det svenska kulturarvet. Tillhanda- hållande av materialet är inte reglerat, vilket rent praktiskt utgör ett skydd för den enskildes integritet. De begränsningar av vilket material som kan omfattas av e-pliktlagstiftningen (3 § e-pliktlagen) utgör också ett skydd för den registrerade, även om de inte är uttryckligen är utformade som skyddsåtgärder. Vår sammantagna bedömning är 2011/12:121 s. 17. därför att nuvarande reglering utgör sådana skyddsåtgärder som krävs enligt artikel 9.2 j. Om frågan om tillhandahållande av materialet utreds, får i det sammanhanget närmare analyseras vilka bestämmelser om särskilda och lämpliga skyddsåtgärder som ska ingå i den regleringen. Utredningens förslag: Den registrerades rätt till tillgång enligt artikel 15, rätt till rättelse enligt artikel 16 samt rätt till invändning enligt artikel 21 dataskyddsförordningen ska inte gälla vid nöd- vändig behandling för att utföra uppgifterna som framgår av e- pliktlagstiftningen. En sådan bestämmelse ska tas in i e-plikt- förordningen med stöd av artikel 89.3. De svårigheter som finns för forskningsbiblioteken att tillämpa vissa av de registrerades rättigheter när uppgifter förekommer i biblioteks- material, som har behandlats i avsnitt 4.11.3, gäller i samma utsträck- ning för e-pliktmaterialet i KB:s verksamhet. Det är lika otänkbart att i denna verksamhet rätta felaktiga personuppgifter i e-pliktmaterialet eller att låta den enskilde invända mot behandlingen. Med hänvisning till resonemanget i avsnitt 4.11.3 föreslår vi därför att motsvarande undantag tas in i e-pliktförordningen. 5.5.1Beskrivning av verksamheten och aktuella personuppgiftsbehandlingar Redan innan den generella e-plikten infördes fanns en begränsad form av elektronisk pliktleverans. I 4 § förordningen (2006:1226) om Post- och (PoIT-förordningen) stadgas att Bolags- verket, som ansvarig för PoIT, ska göra utskrifter av nya uppgifter och sända dessa till bl.a. KB. Av andra stycket framgår att KB har rätt att begära uppgifterna i elektronisk form, vilket också görs. Denna form av elektronisk pliktleverans har förekommit innan de generella e-pliktleveranserna inleddes. 5.5.2Rättslig grund för behandlingen Utredningens bedömning: KB:s insamlande och bevarande av upp- gifter från Post- och är en arbetsuppgift av allmänt intresse. Uppgiften är fastställd i nationell rätt genom 4 § PoIT- förordningen, vilken utgör en tydlig, precis och förutsägbar reglering. KB kan därför tillämpa den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e när nödvändig behandling av personuppgifter utförs för att fullgöra arbetsuppgiften. De personuppgifter som förekommer i PoIT är av skilda slag och rör framför allt näringslivet. Detta hindrar inte att vissa uppgifter hänför sig till enskilda fysiska personer.