sou · H6B336 · 2018-06-05 00:00:00 — Detta ska dock endast vara tillåtet när uppgifterna förekommer i utgivet material som det ingår i bibliotekens uppdrag att tillhandahålla. Bestämmelser om detta ska införas i nationell rätt genom utred- ningens förslag till förordning om personuppgiftsbehandling i forskningsbibliotekens verksamhet. I de sällsynta fall när katalogen innehåller känsliga uppgifter är huvud- regeln enligt dataskyddsförordningen att behandlingen är förbjuden enligt artikel 9.1. Sådan behandling av känsliga personuppgifter behöver ett rättsligt stöd som uppfyller kraven i artikel 9.2. Intresset av att biblioteken även i detta avseende kan hantera ett korrekt register av publikationer torde vara viktigt såväl ur biblioteks- lagens som ur högskolelagens perspektiv. Av bibliotekens fastställda uppgift att bidra till kunskapsförmedling följer, som vi bedömt ovan i avsnitt 4.8.2, att behandling av personuppgifter, även känsliga sådana, i en publikationsdatabas metadata är nödvändig. Behandlingen är också proportionerlig sett till detta syfte, och även förenlig med det väsentliga innehållet i dataskyddet (särskilt vad gäller forskningens intressen). Detta uppfyller de grundläggande kriterierna för nöd- vändig behandling för arkivändamål av allmänt intresse som framgår av artikel 9.2 j. Det saknas dock i nationell rätt bestämmelser om lämpliga och särskilda skyddsåtgärder. Med undantag för skydds- åtgärder finns det således stöd i befintlig nationell rätt för den behandling av metadata om publikationerna som förekommer i biblio- tekens publikationsdatabaser. De skyddsåtgärder som vi föreslår i avsnitt 4.5.3 är dock tillämpliga även på denna behandling. I den mån känsliga personuppgifter och uppgifter om lagöverträdelser m.m.förekommer i den ostrukturerade fulltexten i en publikations- databas hänvisar vi vad gäller analys och motivering till vårt resone- mang i avsnitt 4.5.3. 4.9Bibliotekens hantering av , ORCID och andra identifikatorsystem 4.9.1Beskrivning av verksamheten och aktuella personuppgiftsbehandlingar Med identifikatorsystem avser vi ett system för att tilldela unika, otvetydiga identifierare för personer, dokument och andra typer av resurser. En vanlig identifierare för böcker är exempelvis ISBN- nummer. Inom forskning och forskningspublicering är särskilt syste- men och av stor praktisk betydelse. Digital Object Identifier () är en standard för att identifiera digitala dokument (objekt). Utgivaren av ett dokument kan registrera detta genom en ”” och då få en identifierare för objektet. Identifierare är på formen doi:10.1000/182, där de olika delarna av identifierarna anger att det är fråga om just en DOI-identi- fierare, vilken part som har begärt att få , samt ett löpnummer som identifierar ett visst objekt hos den parten. Själva identifieraren innehåller alltså inga direkta personuppgifter. Metadatamodellen som används när DOI:s registreras innehåller dock möjlighet att ange författare eller annan person som har en roll för objektet, och därigenom innefattar registreringen av DOI:s hantering av direkta personuppgifter. utgör därför en indirekt person- uppgift då den kan hänvisa till objektets författare. Open Researcher and Contributor ID Open Researcher and Contributor ID (ORCID) är ett system för att skapa otvetydiga, maskinläsbara identifierare för forskare och andra som är involverade i forskningssystemet. Identifieraren är knuten till forskaren själv och förändras inte när forskaren byter arbetsgivare, namn eller andra uppgifter. Forskaren registrerar själv sitt eget ORCID samt använder en central tjänst för att tillhandahålla grund- läggande uppgifter om sig själv i sin forskarroll. Identifieraren kan sedan användas av olika aktörer inom forskningssystemet, förutom bibliotek även lärosäten, finansiärer, akademiska tidskrifter, konfe- renser m.m. Alla som hanterar ett ORCID behandlar en uppgift om den forskaren, men den är i sig varken mer eller mindre speciell än ett (otvetydigt) personnamn. Forskaren kan utöva viss kontroll över vem som får tillgång till de grundläggande uppgifterna, men själva identi- fieraren är alltid publik. ORCID kan användas av bibliotek för att exempelvis katalogisera publikationer av en viss forskare. Till skill- nad från ett personnamn är det alltid otvetydigt vem som avses med ett visst ORCID. Även andra aktörer inom forskningssystemet kan vilja använda ORCID för att exempelvis utvärdera en forskares produktivitet och renommé. I bibliotekens verksamhet förekommer många andra typer av identi- fikatorer för både verk och personer. Det finns dock inget som talar för att bibliotekens hantering av dessa identifikatorer medför någon annan typ av personuppgiftsbehandling än de ovanstående, varför vi koncentrerar framställningen på de ovan nämnda. Utredningens bedömning: Registrering av identifikatorer för publikationer och personer kan utföras med stöd av den registre- rades samtycke, under förutsättning att sådant samtycke verkligen kan ges frivilligt. Användning av identifikationer i publikationsdatabaser och andra kataloger är nödvändig för att utföra ett forskningsbiblioteks grundläggande uppgift, vilken utgör en fastställd uppgift av all- mänt intresse. I den mån biblioteken registrerar DOI- och ORCID-identifikatorer så görs det i många fall med den registrerades samtycke. Med tanke på den roll som exempelvis ORCID börjar få kan det möjligtvis ifrågasättas om ett sådant samtycke är frivilligt. Det vanliga för- farandesättet är dock att den enskilde forskaren registrerar sin egen ORCID-identifikator. Vad gäller bibliotekens hantering av redan registrerade DOI:s i publikations- eller andra databaser skiljer sig inte den frågan från annan personuppgiftsbehandling i samband med hantering av biblio- tekskataloger. Den rättsliga grunden för sådan behandling är alltså att den är nödvändig för att utföra en arbetsuppgift av allmänt intresse. Sådan hantering kan i sig inte anses vara hantering av känsliga person- uppgifter. I den utsträckning bibliotek använder ORCID eller andra identi- fierande uppgifter för att bedöma vissa personliga egenskaper hos en forskare kan detta utgöra profilering enligt artikel 4.4. Det torde dock inte vara aktuellt att forskaren blir föremål för ett automatiserat beslut eller en automatisk bedömning från just biblioteken, och att ett sådant beslut eller sådan bedömning har rättsliga följder för honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne, något som annars är särskilt reglerat i artikel 22. Användning av identifikationer i publikationsdatabaser och andra kataloger är nödvändig för att förvalta innehållet i dessa kataloger, vilket utgör en arbetsuppgift av allmänt intresse. Behandlingen kan därför göras med stöd av artikel 6.1 e. Fastställd uppgift av allmänt intresse Utredningens bedömning: Hantering av identifikatorer i publika- tionsdatabaser och andra kataloger eller register är en nödvändig behandling för den för forskningsbiblioteken fastställda arbets- uppgiften att bidra till kunskapsförmedling. Personuppgifts- behandling i form av sådan registerförvaltning är nödvändig för att utföra en uppgift av allmänt intresse enligt artikel 6.1 e i data- skyddsförordningen. Att hantera identifikatorer i publikationsdatabaser eller andra kata- loger eller register skiljer sig i dataskyddshänseende inte från hante- ring av övriga personuppgifter i samma verksamhet. resonemang om uppgiften att förvalta register över biblioteks sam- lingar i avsnitt 4.8.2 är därför tillämpligt även på hanteringen av identifikatorer. 4.10.1Beskrivning av verksamheten och aktuella personuppgiftsbehandlingar Text- och datautvinning (Text and , TDM) är ett samlingsnamn för sådan automatisk analysteknik som används för att analysera text och data i digital form för att generera information såsom mönster, trender och korrelationer. Text- och datautvinning kan alltså göras på såväl material i textform som bild, ljud och video. Bland möjliga tillämpningar kan nämnas system för fulltextsökning, kategorisering av texter, ansiktsigenkänning med mera.71 Text- och datautvinning handlar på ett grundläggande plan om att utvinna strukturerad information från ostrukturerad data i form av text, bild, ljud, video eller andra källor. 4.10.2Rättslig grund för behandlingen Utredningens bedömning: Att använda befintliga digitala sam- lingar för att utvinna kunskap ryms inom den i avsnitt 4.5.2 före- slagna arbets-uppgiften att tillgängliggöra kunskap i syfte att stödja forskning och utbildning. Personuppgiftsbehandling i form av sådan utvinning är därför nödvändig för att utföra en fastställd arbetsuppgift av allmänt intresse enligt artikel 6.1 e i dataskydds- förordningen. I den mån personuppgiftsbehandlingen är nödvändig för att utföra en arbetsuppgift av allmänt intresse i form av forskning, kan det finnas en rättslig grund för behandling i artikel 6.1 e. ”Nödvändig” ska här inte tolkas som att det är omöjligt att utföra uppgiften utan att sådan 71Se generellt , ”Legal Implications of ” (2016). I stället räcker det med att en automatiserad behand- ling av personuppgifter innebär en påtaglig förenkling.72 Att utvinna ny kunskap ur befintliga samlingar bör enligt vår bedömning ses som en arbetsuppgift av allmänt intresse. Personuppgiftsbehandling i form av sådan utvinning är därför nödvändig för att utföra en uppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. Fastställd uppgift av allmänt intresse Att utföra text- och datautvinning är för forskningsbiblioteken en framväxande uppgift som är tätt förknippad med datadriven forsk- ning, ett område som särskilt lyfts fram forsknings- proposition.73 Det är biblioteken – särskilt KB – som har tillgång till de stora informationsmängder i digital form som krävs för olika former av text- och datautvinning. Det kan vidare förutsättas att biblioteken inom ramen för sin uppgift att tillgängliggöra kunskap använder teknikens möjligheter för att utnyttja innehållet i de befint- liga samlingarna på bästa sätt. Att utvinna kunskap ur befintliga samlingar ryms därför enligt vår bedömning inom den fastställda uppgift att tillgängliggöra kunskap i syfte att stödja forskning och utbildning som vi föreslagit avsnitt 4.5.2. 4.10.3Känsliga personuppgifter samt uppgifter om lagöverträdelser m.m. Utredningens förslag: Känsliga personuppgifter ska kunna behandlas genom text- och datautvinning med stöd av artikel när de ingår i informationsunderlag i form av löpande text. Som skyddsåtgärd ska dock gälla att text- och datautvinning inte får utföras om syftet med behandlingen är att utvinna känsliga personuppgifter eller om behandlingen i något skede processar sådana uppgifter. Sådana skyddsåtgärder ska dock inte tillämpas om det är nödvändigt att utvinning eller annan behandling av sådana uppgifter görs för att kunna tillhandhålla kunskap till ett etikgodkänt forskningsprojekt med stöd av artikel 9.2 j. 72Se SOU 2017:50 s. 125 f och där hänvisade rättsfall samt förarbeten. 2016/17:50 s. 95. Privata forskningsbibliotek ska få behandla uppgifter om lag- överträdelser m.m. för text- och datautvinning med motsvarande skyddsåtgärder. Bestämmelser om detta ska införas i nationell rätt genom utredningens förslag till förordning om personuppgiftsbehandling i forskningsbibliotekens verksamhet. När känsliga personuppgifter förekommer i underlaget Text- och databehandling utgår från stora mängder information i digital form, t.ex. text, ljud, bild eller annan data. Sådant informations- underlag inom en text- eller datautvinningsprocess kan innehålla känsliga personuppgifter eller uppgifter om lagöverträdelser. Exem- pelvis kan innehållet i en rättsfallssamling innehålla många direkta eller indirekta uppgifter om hälsa eller lagöverträdelser. Om informationsunderlaget innehåller känsliga personuppgifter eller uppgifter om lagöverträdelser innebär text- och databehandling av materialet alltid en behandling av dessa personuppgifter, även om slutresultatet inte innehåller sådana uppgifter. Det krävs därför stöd i något av undantagen från förbudet som framgår av artikel 9.2 för att behandlingen ska vara tillåten. Det undantag som enligt utredningens bedömning bör kunna komma ifråga är sådan behandling som är nödvändig av hänsyn till ett viktigt allmänt intresse, enligt artikel . Det viktiga allmänna intresset skulle alltså i detta fall vara att kunna utvinna kunskap ur bibliotekens befintliga digitala samlingar av utgivet och allmänt tillgängligt material. Vi bedömer att ett sådant undantag är proportionerligt och förenligt med det väsentliga inne- hållet i rätten till dataskydd, med beaktande av den mycket begränsade inverkan sådan behandling har på den enskildes personliga integritet. Regleringen måste dock även innehålla bestämmelser om lämpliga och särskilda skyddsåtgärder. Vi föreslår därför som skyddsåtgärder att text- och datautvinning inte får utvinna känsliga uppgifter eller uppgifter om lagöverträdel- ser m.m., eller på annat sätt processa dessa uppgifter under något skede av behandlingen. Med detta avses att textmaterial som inne- håller t.ex. känsliga personuppgifter exempelvis får indexeras för fulltextsökning när orden som avslöjar de känsliga uppgifterna enbart behandlas som vilka ord som helst, men att indexerings- processen inte får särskilt identifiera och behandla känsliga personuppgifter som just sådana personuppgifter. Begränsningen omfattar alltså inte enbart slutresultatet av text- och data- utvinningen, utan även de enskilda stegen i behandlingen. Med begreppet processa menar vi sådana delar av en personuppgifts- behandling som identifierar eller på annat sätt hanterar känsliga personuppgifter som just sådana uppgifter. I begreppet processa inräknar vi inte sådana handlingar (eller automatiska) som inte försöker tolka den semantiska innebörden i det underlag där de känsliga uppgifterna förekommer. Vi föreslår denna utformning av begränsningen eftersom det särskilda integritetsintrånget i att behandla någons känsliga personuppgifter uppstår redan när sådana uppgifter förekommer i en automatisk process, även om ingen människa tar del av uppgifterna. Denna begränsning i vad som tillåts utgör en lämplig och för ändamålet särskild skyddsåtgärd. För vissa typer av text- och datautvinning, särskilt sådana som använder sig av tekniker för maskininlärning, är en viktig del av denna inlärningsprocess att träna upp modeller för exempelvis klassificering av data. Beroende på parametrarna och det informationsunderlag som modellen tränas på kan det vara svårt även för systemets konstruk- törer att avgöra om modellen identifierar eller på annat sätt särskilt hanterar känsliga personuppgifter som en del av sin klassificering. Att det kan vara svårt att veta om känsliga uppgifter förekommer i modellen påverkar dock inte vår föreslagna begränsning, eftersom det särskilda integritetsintrånget enligt ovan uppstår redan när upp- gifterna förekommer i modellen. Om det med en viss text- och data- utvinningsteknik inte framgår hur ett system utför sin klassificering, ens för systemets ansvariga, är detta i sig en omständighet som påkallar extra försiktighet. När känsliga personuppgifter utvinns eller på annat sätt behandlas särskilt Den ovan nämnda begränsningen av vilken text- och datautvinning som är tillåten kan tänkas omöjliggöra viss forskning där känsliga uppgifter om enskilda individer utgör relevant forskningsunderlag, och där text- och datautvinning kan vara det enda sättet att utvinna dessa uppgifter. Vi föreslår därför, som ett undantag från ovanstående begränsning, att biblioteken ska få utvinna eller i övrigt processa känsliga personuppgifter om det görs inom ramen för ett etikgodkänt forskningsprojekt. Det rör alltså situationer där ett forskningsprojekt vänder sig till med en förfrågan om att få en viss text- eller datautvinning utförd på digitalt material i samlingar. Biblioteken kommer i dessa fall att ha ett självständigt person- uppgiftsansvar för sin del av behandlingen. Vår föreslagna reglering gör det möjligt för biblioteken att med hänsyn till att behandlingen är nödvändig för forskningsändamål i enlighet med artikel 9.2 j utvinna sådana uppgifter och även lämna ut dem till forskningsprojektet. En utmaning för all text- och datautvinning är att förena det grund- läggande kravet att personuppgifter endast får samlas in för särskilda, uttryckligt angivna och berättigade ändamål med att uppgifterna inte senare behandlas på ett sätt som är oförenligt med dessa ursprungliga ändamål enligt principen om ändamålsbegränsning, artikel 5.1 b. Dock gäller att ytterligare behandling för bl.a. forskningsändamål inte ska anses vara oförenlig med de ursprungliga ändamålen. Vad gäller ändamålsbegränsningen för biblioteken är det dock sällan så att personuppgifterna samlats in för just text- och data- utvinning. I stället är det fråga om bibliotekens vanliga samlingar som samlats in för biblioteks-verksamhet. Om syftet med text- och datautvinningen är forskning ryms behandlingen inom ändamålsbegränsningens ramar. Om syftet är ett annat, exempelvis att beskriva bibliotekens samlingar eller upptäcka nya kopplingar mellan verk, får först bedömas om detta är oförenligt med det ändamål för vilken uppgifterna samlades in. Generellt i biblio- teksverksamhet, särskilt sett mot det i bibliotekslagen angivna syftet att bl.a. bidra till kunskapsförmedling och intresset för forskning (2 § bibliotekslagen), kan det presumeras att text- och datautvinning är förenligt med det ursprungliga syftet såvida inte text- och data- utvinningen i det specifika fallet syftar till något som ligger långt utanför detta syfte. Det är dock den personuppgiftsansvarige som ansvarar för att de grundläggande principerna, inklusive principen om ändamålsbegränsning, följs i varje enskilt fall av text- och data- utvinning. Utredningens bedömning: Det saknas möjlighet att inskränka den registrerades rättigheter när personuppgifter behandlas inom ramen för text- och datautvinning. I avsnitt 4.11.3 behandlas frågan om hur registrerades rättigheter enligt dataskyddsförordningen påverkar bibliotekens möjligheter att i praktiken utföra sina uppgifter. Våra förslag i dessa delar syftar till att se till att bibliotekens samlingar i digital form inte ska kunna förändras genom invändningar eller liknande från de vars uppgifter förekommer i materialet. Detta på grund av att samlingarna och dess bevarande generellt utgör ett arkivändamål av allmänt intresse. Samlingarna utgör även informationsunderlag för text- och data- behandling. Materialet samlas således inte in för detta ändamål, vilket gör att det i allmänhet kommer att vara praktiskt svårgenomförbart att exempelvis rätta en uppgift om en enskild inom ramen för person- uppgiftsbehandling i form av text- och databehandling, eftersom personuppgifterna inte lagras för denna verksamhet utan för ett annat syfte (för vilket vi föreslagit begränsningar i rätten till rättelse). Däremot skulle ett sätt att resonera ta sin utgångspunkt i att den registrerade kan utnyttja sin rätt till invändning, under förutsättning att denne kan tillhandahålla viss information om sig själv. Om den registrerade tillhandahåller ytterligare information för att med säkerhet skulle kunna identifiera textavsnitt eller liknande där denne förekommer kan i praktiken utesluta detta material från text- och datautvinningsprocessen, i enlighet med artikel 11.2 i dataskyddsförordningen. Problemet är att det inte är möjligt att radera i eller markera sådana invändningar i källmaterialet, eftersom det lagras för andra syften. En tillämpning av rätten till invändning skulle därför vara tvungen att göras vid själva inläsningstillfället, och i så fall utgå från ett för detta ändamål särskilt konstruerat register ur vilket det framgår vem och vilka textavsnitt som inte ska tas med i analysen. Att hantera ett sådant register är i sig personuppgiftsbehandling, som i och för sig kan vara nödvändig för den fastslagna uppgiften. går det endast i vissa fall att hävda att text- och data- utvinningen görs för forskningsändamål eller för arkivändamål av allmänt intresse (vi har ovan bedömt att det i huvudsak utförs för ett viktigt allmänt intresse med stöd av artikel ). Utrymmet för inskränkningar i de registrerades rättigheter med stöd av artikel 89.2 eller 89.3 är därför litet. Vi föreslår därför inte några inskränkningar i de registrerades rättigheter när personuppgifter behandlas för text- och datautvinning. 4.11.1Möjligheter att söka efter information i databaser På biblioteken finns olika databaser som innehåller information att söka fram. Databaserna är ofta kopplade till olika söktjänster som har utgivningsbevis74 vilket i sin tur innebär att de omfattas av grundlags- skyddet i yttrandefrihetsgrundlagen75 och inte av regelverket i person- uppgiftslagen. föreslår att grundlagsskyddet ska gälla även framför dataskyddsförordningen.76 Det är med andra ord tillåtet för den leverantör som tillhandahåller tjänsten att publicera personuppgifter som t.ex. namn och adress utan att behöva ta hänsyn till dataskyddsregleringen. Ett utgivningsbevis ger dock inte leveran- tören rätt att publicera vad som helst. Strider mot grundlagen gör till exempel förtal, olaga hot eller hets mot folkgrupp vilket kan polis- anmälas. Däremot finns det inga hinder att behandla information som inbegriper känsliga personuppgifter och lagöverträdelser m.m. Att skaffa utgivningsbevis är frivilligt. Vad gäller myndigheter kan de visserligen skaffa utgivningsbevis, men de kan inte åberopa grund- lagens bestämmelser – som enligt 1 kap. 1 § yttrandefrihetsgrund- lagen utgör ett skydd för den enskildes yttrandefrihet gentemot staten –för att undgå förpliktelser enligt lag.77 Med tanke på att det här handlar om tjänster som biblioteken inte kan påverka när det gäller innehåll och utformning, innebär det att biblioteken inte kan anses ha något personuppgiftsansvar. Av den anledningen ska någon bedömning av rättslig grund enligt data- skyddsförordningen inte utföras. Någon reglering i denna del blir därför inte aktuell. 74Ett utgivningsbevis är en typ av intyg som behövs i vissa fall för att erhålla grundlagsskydd enligt tryckfrihetsförordningen (TF) eller yttrandefrihetsgrundlagen (YGL). 751 kap. 9 § yttrandefrihetsgrundlagen. 76SOU 2017:39 s. 98 ff. 77Datainspektionens beslut , dnr 987-2009. 4.11.2Allmänt om bibliotekens roll som förlag Det förekommer att forskningsbiblioteken ägnar sig åt viss förlags- verksamhet och utgivning av publikationer. Det rör sig vanligen inte om en central verksamhet för biblioteken och handlar ofta om sådana publikationer som har en tydlig anknytning till verksamheten vid och dess lärosäte. I de fall där biblioteken själva kan anses bedriva förlagsverksamhet omfattas den delen av verksamheten av grundlagsskyddet i TF. Enligt dataskyddsutredningens förslag ska dataskyddsförordningen då inte tillämpas i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i TF och YGL (1 kap 4 § förslaget till dataskyddslag). Utredningens förslag: Den registrerades rätt till tillgång enligt artikel 15, rätt till rättelse enligt artikel 16 och rätt till invändning enligt artikel 21 ska inte gälla vid sådan personuppgiftsbehandling som är nödvändig för ett arkivändamål av allmänt intresse. Ett undantag avseende dessa rättigheter ska därför införas med stöd av artikel 89.3. Detta undantag ska endast gälla för material som är utgivet. Bestämmelse om detta ska införas i nationell rätt genom utred- ningens förslag till förordning med bestämmelser om person- uppgiftshantering i forskningsbibliotekens verksamhet. De personuppgiftsbehandlingar som beskrivs i avsnitt 4.5–4.9 har alla det gemensamt att det rör sådan behandling av uppgifter i löpande text som förekommer i det material biblioteken har i uppgift att tillhanda- hålla. De registrerades rättigheter kan vara svåra eller omöjliga att tillämpa inom biblioteksverksamhet i dessa sammanhang.