sou · H6B336 · 2018-06-05 00:00:00 — 4.6.1Beskrivning av verksamheten och aktuella 4.6.3Känsliga personuppgifter samt uppgifter om lagöverträdelser m.m........................................ 4.7Digitalisering på användares begäran (on-demand- 4.7.1Beskrivning av verksamheten och aktuella 4.7.3Känsliga personuppgifter samt uppgifter om lagöverträdelser m.m. ...................................... 4.8.1Beskrivning av verksamheten och aktuella 4.8.3Känsliga personuppgifter samt uppgifter om lagöverträdelser m.m. ...................................... 4.9Bibliotekens hantering av , ORCID och andra identifikatorsystem .............................................. 4.9.1Beskrivning av verksamheten och aktuella 4.10 Text- och datautvinning........................................................ 4.10.1Beskrivning av verksamheten och aktuella 4.10.2 Rättslig grund för behandlingen............................ 4.10.3Känsliga personuppgifter samt uppgifter om lagöverträdelser m.m. ...................................... 4.11.1 Möjligheter att söka efter information i 4.11.2 Allmänt om bibliotekens roll som förlag.............. Personuppgiftsbehandling särskilt i Kungliga Inledning och relevanta författningar................................... Översikt över samlingar.................... Beskrivning av verksamheten................................. Svenska samlingens digitala del (e-plikt) .............................. 5.4.1Beskrivning av verksamheten och aktuella Rättslig grund för behandlingen ............................ 5.4.3Känsliga personuppgifter samt uppgifter om lagöverträdelser m.m........................................ 5.5 Post- och ................................................... 5.5.1Beskrivning av verksamheten och aktuella Rättslig grund för behandlingen ............................ 5.5.3Känsliga personuppgifter samt uppgifter om lagöverträdelser m.m........................................ 5.6 De audiovisuella samlingarna ................................................ 5.6.1Beskrivning av verksamheten och aktuella Rättslig grund för behandlingen ............................ 5.6.3Känsliga personuppgifter samt uppgifter om lagöverträdelser m.m........................................ 5.7.1Beskrivning av verksamheten och aktuella Rättslig grund för behandlingen ............................ 5.7.3Känsliga personuppgifter samt uppgifter om lagöverträdelser m.m........................................ Grundläggande principer för behandlingen .......... 5.8Personuppgiftsbehandling utanför de egentliga 5.8.1Beskrivning av verksamheten och aktuella personuppgiftsbehandlingar i LIBRIS och Rättslig grund för behandlingen............................ 5.8.3Känsliga personuppgifter samt uppgifter om lagöverträdelser m.m. ...................................... Analys av utredningens förslag ................................... Problem- och målbeskrivning ............................... Förslagens förenlighet med ................. Tidpunkt och information inför ikraftträdande ... Konsekvenser för aktörer inom forskningssystemet........... Kartläggning av den föreslagna 1.1Förslag till förordning om personuppgiftsbehandling i forskningsbibliotekens verksamhet Härigenom föreskrivs följande. 1 § Syftet med denna förordning är att möjliggöra personuppgifts- behandling i forskningsbibliotekens verksamhet som den enskildes fri- och rättigheter skyddas. 2 § Denna förordning kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), nedan kallad dataskydds- förordningen. 3 § Om inte annat följer av denna förordning gäller lagen (2018:xx) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen). 4 § Denna förordning gäller vid behandling av personuppgifter i forskningsbibliotekens verksamhet. 5 § Med forskningsbibliotek avses i denna förordning Kungl. , högskolebiblioteken som avses i 12 § bibliotekslagen (2013:801) och de privatfinansierade högskolebiblioteken. Uppgifter av allmänt intresse 6 § Ett forskningsbibliotek utför uppgifter av allmänt intresse genom att 1.utföra uppgifter som finns reglerade i förordningen (2008:1421) med instruktion för Kungl. 2.utföra uppgifter som finns reglerade i bibliotekslagen (2013:801) och i högskoleförordningen (2003:100), och 3.tillgängliggöra kunskap i syfte att stödja forskning och utbild- ning inom en högskolas verksamhetsområde. Behandling av känsliga personuppgifter 7 § Ett forskningsbibliotek får behandla känsliga personuppgifter för arkivändamål av allmänt intresse i enlighet med de förutsättningar som anges i artikel 9.2 j i dataskyddsförordningen. 8 § Ett forskningsbibliotek får behandla känsliga personuppgifter genom text- och datutvinning i enlighet med de förutsättningar som anges i artikel i dataskyddsförordningen. 9 § Ett forskningsbibliotek får behandla personuppgifter som rör fällande domar i brottmål, lagöverträdelser som innefattar brott eller straffprocessuella tvångsmedel. 10 § Ett forskningsbibliotek får endast behandla känsliga person- uppgifter och personuppgifter om lagöverträdelser som finns i sådant material, som 1.har utlämnats till försäljning eller för spridning på annat sätt (utgivits), och 2.biblioteket har i uppgift att tillhandahålla i sin verksamhet. 11 § Text- och datautvinning enligt 8 § får inte utföras 1.i syfte att utvinna känsliga personuppgifter eller uppgifter om lagöverträdelser, eller 2.om sådana uppgifter processas under något skede av behand- lingen. Begränsningen i första stycket gäller inte om det är nödvändigt att forskningsbiblioteket utför sådan text- och datautvinning för att tillhandahålla kunskap till forskning, som har godkänts vid etik- prövning enligt lagen (2003:460) om etikprövning av forskning som avser människor. Undantag från den registrerades rättigheter 12 § Den registrerades rättigheter enligt artikel 15, 16, och 21 data- skyddsförordningen ska inte gälla när ett forskningsbibliotek behandlar personuppgifter för arkivändamål av allmänt intresse. Undantaget gäller enbart för personuppgifter som förekommer i sådant material hos forskningsbiblioteket, som har utlämnats till försäljning eller för spridning på annat sätt (utgivits). Denna förordning träder i kraft . 1.2Förslag till lag om ändring i lagen (1993:1392) om pliktexemplar av dokument Härigenom föreskrivs att det i lagen (1993:1392) om pliktexemplar av dokument ska införas en ny paragraf, 36 a §, av följande lydelse. Regeringen eller den myndig- het som regeringen bestämmer får meddela ytterligare föreskrifter om på vilket sätt skyldigheten att lämna pliktexemplar ska fullgöras. Denna lag träder i kraft . 1.3Förslag till förordning om ändring i högskoleförordningen (1993:100) Härigenom föreskrivs att 2 kap. 16 § högskoleförordningen (1993:100) ska ha följande lydelse. Ett högskolebibliotek ska till- gängliggöra kunskap i syfte att stödja forskning och utbildning inom högskolans verksamhets- område. Ett högskolebibliotek ska avgiftsfritt ställa litteratur ur de egna samlingarna till andra högskolebiblioteks förfogande. Denna förordning träder i kraft . 1.4Förslag till förordning om ändring i förordningen (2002:287) om behandling av personuppgifter i Kungl. Härigenom föreskrivs i fråga om förordning (2002:287) om behandling av personuppgifter i Kungl. dels att 12 och 13 §§ ska upphävas, dels att rubriken till förordningen, rubriken närmast före 3 och 7 §§ samt 1–11 §§ ska ha följande lydelse. Förordning om behandling av personuppgifter i Kungl. Denna förordning skall tilläm- pas vid helt eller delvis automa- tiserad behandling av personupp- gifter i Kungl. verk- samhet med det digitala kultur- arvsprojektet. Med det digitala kulturarvs- projektet avses i denna förordning Kungl. projekt att med hjälp av automatiserad robot- teknik samla in, bevara och till- handahålla det nationella digitala kulturarvet i form av det svenska Denna förordning ska tilläm- pas vid helt eller delvis auto- matiserad behandling av person- uppgifter i Kungl. digitala kulturarvsverksamhet, som görs i syfte att tillgodose behovet av forskning och information om det nationella digitala kulturarvet. Med den digitala kulturarvs- verksamheten avses i denna för- ordning Kungl. verk- samhet att med hjälp av automa- tiserad robotteknik samla in, bevara och tillhandahålla det nationella digitala kulturarvet i material som publiceras på Inter- net. Med det svenska material som publiceras på Internet avses i denna förordning material som går att hänföra till genom sådan anknytning som adress, adressat, språk, upphovsman eller avsän- dare. form av det svenska material som publiceras på internet. Med det svenska material som publiceras på internet avses i denna förordning material som går att hänföra till genom sådan anknytning som adress, adressat, språk, upphovsman eller avsän- dare. Personuppgiftslagen (1998:204) gäller vid behandling av person- uppgifter i projektet, om inte något förordning (EU) 2016/679 av den annat följer av denna förordning om skydd för fysiska eller annars av 2 § personuppgifts- personer med avseende på behand- ling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG förordning), nedan kallad data- Om inte annat följer av denna gäller lagen (2018:xx) (dataskyddslagen). En registrerad person har inte rätt att motsätta sig sådan behandling som är tillåten enligt denna förordning. Den registrerade får dock in- vända mot att vissa uppgifter till- gängliggörs genom direktåtkomst enligt 10 §. Dessa uppgifter ska i så fall genast spärras från direkt- åtkomst, om inte Kungl. kan påvisa berättigade skäl för behandlingen som väger tyngre än den registrerades intresse av att upp- gifterna spärras. uppgiftsansvarigt för sin behand- uppgiftsansvarigt för sin behand- ling av personuppgifter i projektet. ling av personuppgifter i kultur- Personuppgifter får behandlas i Personuppgifter får behandlas i projektet för att tillgodose behovet kulturarvsverksamheten för att till- av forskning och information. godose behovet av forskning och som anges i 13 § person- ter som anges i artikel 9.1 i data- skyddsförordningen får behandlas i behandlas i projektet bara om det är verksamheten bara om det är nödvändigt för att tillgodose de nödvändigt för att tillgodose de ändamål som anges i 5 § denna ändamål som anges i 5 § denna Inom projektet får Kungl. teket ha en samling av personupp- gifter som med hjälp av auto- av personuppgifter som med hjälp matiserad behandling används för de ändamål som anges i 5 § (databas används för de ändamål som anges i för projektet). 5 § (databas för kulturarvsverksam- I projektets databas får behandlas bas får behandlas bara sådana har offentliggjorts genom publice- personuppgifter som har offentlig- ring i det svenska materialet på gjorts genom publicering i det svenska materialet på internet. Uppgifter i projektets databas får lämnas ut på medium för auto- matiserad behandling bara för att användas i forskning. biblio- teket får ta ut avgifter för sådant medium med belopp som mot- svarar självkostnaden. Uppgifter i kulturarvsverksam- hetens databas får lämnas ut på medium för automatiserad behand- ling bara för att användas i forsk- ning. får ta ut avgifter för sådant medium med belopp som motsvarar självkostna- den. Direktåtkomst får medges till uppgifter i projektets databas bara via terminaler inom Kungl. biblio- tekets lokaler. Direktåtkomst får medges till uppgifter i kulturarvsverksam- hetens databas bara via terminaler inom Kungl. ter som anges i 13 § personuppgifts- anges i artikel 9.1 och artikel 10 i lagen (1998:204) och sådana perso- nuppgifter som anges i 21 § samma användas som sökbegrepp. lag får inte användas som sök- Denna förordning träder i kraft . 1.5Förslag till förordning om ändring i förordningen (2006:1226) om Post- och Härmed föreskrivs att det i förordningen (2006:1226) om Post- och ska införas en ny paragraf, 8 a §, av följande lydelse. får samla in och bevara känsliga personuppgifter som förekommer i Post- och inrikes tidningar med stöd av artikel 9.2 j i och rådets för- ordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behand- ling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskydds- förordning), nedan kallad data- skyddsförordningen. Den registrerades rättigheter enligt artikel 15, 16, och 21 i data- skyddsförordningen ska inte gälla när Kungl. behandlar personuppgifter med stöd av denna förordning. Denna förordning träder i kraft . 1.6Förslag till förordning om ändring av förordningen (2008:1420) om pliktexemplar av dokument Härigenom föreskrivs att det i förordningen (2008:1420) om plikt- exemplar av dokument ska införas en ny paragraf, 12 §, av följande lydelse. får meddela föreskrifter om och i enskilda fall besluta om på vilket sätt skyldig- heten att lämna pliktexemplar ska fullgöras. Denna förordning träder i kraft . 1.7Förslag till förordning om ändring i förordningen (2008:1421) med instruktion för Kungl. Härigenom föreskrivs att 2 § förordningen (2008:1421) med instruk- tion för Kungl. ska ha följande lydelse 1. fullgöra de uppgifter som följer av –lagen (1993:1392) om pliktexemplar av dokument, –lagen (2012:492) om pliktexemplar av elektroniskt material, – förordningen (2008:1420) om – förordningen (2008:1420) om pliktexemplar av dokument och pliktexemplar av dokument, – förordningen (2012:866) om – förordningen (2012:866) om – förordningen (2002:287) om 2.samla, förvara, beskriva och tillhandahålla utomlands utgivna publikationer med svensk anknytning, 3.samla, förvara, beskriva och tillhandahålla en representativ samling utländsk litteratur, särskilt inom samhällsvetenskap och humaniora, 4.vårda och förkovra äldre samlingar av böcker och annat tryck, handskrifter, kartor och bilder, 6.svara för frågor om samverkan mellan forskningsbibliotek när det gäller digitalisering och digitalt tillgängliggörande, och 7.analysera utvecklingen inom forskningsbiblioteken i landet. Denna förordning träder i kraft . 6Senaste lydelse 2012:867. 1.8Förslag till förordning om ändring i förordningen (2012:866) om pliktexemplar av elektroniskt material Härigenom föreskrivs att det i förordningen (2012:866) om plikt- exemplar av elektroniskt material ska införas två nya paragrafer 9 och 10 §§ och närmast före 9 § en ny rubrik av följande lydelse. av artikel 9.2 j i Europaparlamen- tets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med av- seende på behandling av person- uppgifter och om det fria flödet av sådana uppgifter och om upp- 95/46/EG ningen, om det är nödvändigt för att enligt artikel 15, 16, och 21 i data- personuppgifter med stöd av denna Denna förordning träder i kraft . 2 Vårt uppdrag och arbete (KB) är en statlig myndighet. Av förordningen (2008:1421) med instruktion för Kungl. (instruktionen) framgår att KB är och arkiv för ljud- och bilddokument och rörliga bilder. KB ska ta emot, förvara, beskriva och tillhandahålla den svenska tryckproduktionen i dess helhet och dokument för elektronisk återgivning enligt 10 § första stycket lagen (1993:1392) om pliktexemplar av dokument. (2008:1420) om pliktexemplar av dokument finns närmare bestäm- melser om hur dokumenten ska bevaras för framtiden samt hållas tillgängliga. KB ska även fullgöra de uppgifter som följer av lagen (2012:492) om pliktexemplar av elektroniskt material och förordningen (2012:866) om pliktexemplar av elektroniskt material. I lagen ges föreskrifter om skyldighet att lämna exemplar av elektroniskt material som har gjorts tillgängligt för allmänheten här i landet genom överföring via nätverk. Med elektroniskt material förstås enligt lagen en avgränsad enhet av en elektronisk upptagning med text, ljud eller bild som har ett på förhand bestämt innehåll som är avsett att presenteras vid varje användning. Av förordningen med kompletterande bestämmelser till lagen framgår att även det elektroniska materialet ska bevaras för framtiden. KB ska inom sitt verksamhetsområde också vara en resurs för forskning i rollen som främst humanistiskt och samhällsvetenskapligt forskningsbibliotek och främja den svenska forskningens kvalitet genom att tillhandahålla en effektiv forskningsinfrastruktur. ska KB även ha en nationell överblick över det allmänna biblioteks- väsendet och främja samverkan och utveckling inom området. KB ska särskilt ansvara för bl.a. de nationella bibliotekssystemen LIBRIS. KB har dessutom en uppgift, som dock inte framgår av instruk- tionen, att med hjälp av automatiserad robotteknik samla in, bevara och tillhandahålla det nationella digitala kulturarvet i form av det svenska material som publiceras på internet. Detta regleras i förord- ningen (2002:287) om behandling av personuppgifter i Kungl. biblio- tekets digitala kulturarvsprojekt (Kulturarw³-förordningen). Det material som KB har i uppgift att hantera innehåller en stor mängd personuppgifter. Myndigheten stöder till stor del sin behandling av personuppgifter på undantaget för behandling av personuppgifter i ostrukturerat material enligt den s.k. missbruks- regeln i 5 a § personuppgiftslagen (1998:204), som har sin grund i dataskyddsdirektivet.7 ska dataskyddsförordningen8 börja tillämpas vilket innebär att dataskyddsdirektivet och personuppgifts- lagen upphör att gälla. Till skillnad från dataskyddsdirektivet ska dataskyddsförordningen inte implementeras i svensk rätt. I stället ska förordningens bestämmelser tillämpas av enskilda, myndigheter och domstolar precis som om de vore nationella författningsbestäm- melser. Dataskyddsförordningen är med andra ord direkt tillämplig, men kommer att behöva kompletteras med nationell lagstiftning. Någon bestämmelse motsvarande missbruksregeln finns inte i dataskyddsförordningen. I många fall är dessutom de personuppgif- ter som finns i KB:s samlingar av sådan art att de omfattas av artikel 9 eller 10 i dataskyddsförordningen. Det är alltså fråga om sådana känsliga personuppgifter eller uppgifter om lagöverträdelser där enligt dataskyddsförordningen särskilda förutsättningar gäller för att det ska vara lagligt att behandla uppgifterna. Det kan exempelvis vara fråga om uppgifter i böcker eller tidningsartiklar om någons hälsa, politiska åsikter eller lagöverträdelser. 7Europaparlamentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. 8Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG. bibliografisk information om samlingarna kan i undantagsfall inne- hålla denna typ av personuppgifter. KB:s verksamhet är av allmänt intresse9 och det är av vikt att en ändamålsenlig personuppgiftsbehandling kan utföras i verksamheten även fortsättningsvis när dataskyddsförordningen börjar tillämpas som den enskildes fri- och rättigheter skyddas. Utredningen har fått i tilläggsuppdrag10 att analysera vilka rättsliga förutsättningar som finns i dataskyddsförordningen för behandling av person- uppgifter i KB:s verksamhet. Vi ska också analysera vilken reglering som är möjlig och kan behövas utöver dataskyddsförordningen, med beaktande av de förslag som lämnats av , för att personuppgifter ska kunna behandlas på ett ändamålsenligt sätt i myndighetens verksamhet som den enskildes fri- och rättigheter skyddas. Vi ska även lämna de författningsförslag som behövs. Enligt 12 § bibliotekslagen (2013:801) ska det finnas tillgång till högskolebibliotek vid alla universitet och högskolor som omfattas av högskolelagen (1992:1434). Dessa bibliotek ska svara för biblioteks- verksamhet inom de områden som anknyter till utbildning och forsk- ning vid universitet och högskolor. Högskolebibliotek finns också hos privatfinansierade högskolor. I forskningsbibliotekens verksamheten behandlas en stor mängd personuppgifter. Utredningen har fått i ytterligare tilläggsuppdrag11 att analysera i vilken utsträckning dataskyddsförordningen kommer att vara tillämplig när personuppgifter behandlas i verksamheten hos forskningsbiblioteken och för vilken behandling av personuppgifter som forskningsbiblioteken har ett personuppgiftsansvar, samt vilka rättsliga förutsättningar som i sådana fall finns i dataskyddsförord- ningen för behandling av personuppgifter i den verksamhet som bedrivs av forskningsbiblioteken. Vi ska även analysera vilken regle- ring som är möjlig och kan behövas utöver dataskyddsförordningen, med beaktande av det förslag till kompletterande dataskyddslag som 10Kommittédirektiv Tilläggsdirektiv till (U 2016:04), (dir. 2017:29). 11Kommittédirektiv Tilläggsdirektiv till (2016:04), (dir.2017:87). lagts fram av Dataskyddsutredningen12 samt lämna de författnings- förslag som behövs. Eftersom begreppet forskningsbibliotek inte har en legaldefinition analyserar vi detta begrepp i avsnitt 4.2 med syfte att definiera utred- ningsuppdraget. I utredningens förslag avser vi med begreppet forsk- ningsbibliotek KB och såväl offentligt som privat finansierade hög- skolebibliotek. Utredningen har bedrivit arbetet i nära samråd med KB. Utöver ett flertal möten med jurister och verksamhetsansvariga har utredningen tagit del av ett antal promemorior om pågående och planerade verk- samheter samt en inventering av it-system och verksamhetsprocesser som finns hos KB. Utredningen har även beaktat KB:s studie ”Plikten under lupp”, som utförts parallellt med utredningsuppdraget.13 Av det tilläggsdirektiv som rör forskningsbibliotekens verksamhet framgår att vi vid genomförandet av uppdraget ska inhämta syn- punkter från ett urval av forskningsbibliotek och forskningsaktörer. Utredningen har därför tillkallat en särskild referensgrupp bestående av representanter från biblioteken vid , , , Lunds universi- tet, , , och , samt av forskare vid och . Utredningen har träffat referensgruppen för att diskutera forskningsbibliotekens verksamhet. Representanterna i gruppen har även lämnat synpunkter på utkast till denna promemoria. Vi behandlar grundläggande rättsliga frågor av betydelse för biblio- tekens verksamhet i kapitel 3. I avsnitt 3.8 beskriver vi vilken metod vikommer att använda när vi i kapitel 4 och 5 redovisar vår bedömning av om forskningsbibliotekens behandlingar av personuppgifter är 13http:///aktuellt/nyheter/2017/Pliktlagstiftningen-har-stora-brister-och- behover-revideras/ förenliga med dataskyddsförordningen. I kapitel 4 beskriver vi även vår avgränsning av uppdraget om forskningsbibliotekens verksamhet. I samma kapitel beskriver vi också de delar av dessa biblioteks verk- samhet som medför personuppgiftsbehandling. Även KB:s verksam- het som forskningsbibliotek behandlas i samma kapitel. För varje enskild identifierad verksamhet gör vi sedan en bedömning av vilka rättsliga förutsättningar för verksamheten som finns i dataskydds- förordningen samt lämnar förslag på nödvändig reglering. Kapitel 5 ägnas åt sådan verksamhet som KB, i kraft av sitt uppdrag som nationalbibliotek, är ensam om att utföra, de rättsliga förutsätt- ningarna i dataskyddsförordningen, samt förslag på nödvändig reglering. Kapitel 6 innehåller en integritetsanalys av de lämnade för- slagen, tillsammans med en konsekvensanalys innefattande en analys av vilka konsekvenser förslagen får för aktörer i forskningssystemet. 3Bakgrund och grundläggande frågor Vi presenterar i denna inledning en kortfattad rättslig översikt över de regler som gäller för behandling av personuppgifter och vilka som kommer att tillämpas . Översikten är allmänt hållen med intentionen att kort illustrera de områden som vi har identifierat som viktiga för bibliotekens verksamhet.