sou · H6B336 · 2018-06-05 00:00:00 — EU:s reglering av personuppgiftsbehandling finns i dataskyddsdirektivet.14 I är dataskyddsdirektivet implemen- terat genom personuppgiftslagen (1998:204). Som nämnts tidigare i avsnitt 2.1 ska dataskyddsförordningen börja tillämpas . Dataskyddsdirektivet och personuppgiftslagen upp- hör då att gälla. Dataskyddsförordningen är direkt tillämplig, men kommer att behöva kompletteras med nationell lagstiftning. Flera bestämmelser i dataskyddsförordningen har samma innebörd som de som redan gäller enligt personuppgiftslagen. Förordningen anger i skäl 9 att målen och principerna för dataskyddsdirektivet fort- farande är giltiga. På samma sätt som kommer det även i fort- sättningen vara tillåtet att behandla personuppgifter med stöd av samtycke från de registrerade, för att uppfylla ett avtal eller efter för att utföra en uppgift av allmänt intresse. De registrerade kommer även fortsättningsvis ha rätt att få information om den personuppgifts- behandling som görs, och den som behandlar personuppgifter måste 14Europaparlamentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. skydda uppgifterna med tillräckliga säkerhetsåtgärder. Om det är fråga om behandling av uppgifter om t.ex. hälsa, etniskt ursprung, politisk uppfattning eller religiös tro ställs särskilda krav. Dataskyddsförordningens materiella tillämpningsområde framgår av artikel 2. Där anges att förordningen ska tillämpas på sådan behand- ling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. Tillämpningsområdet är därmed detsamma som för det nu gällande dataskyddsdirektivet. I artikel 9 dataskyddsförordningen regleras behandling av ”särskilda kategorier av personuppgifter”. I sitt betänkande har Dataskydds- utredningen dock valt att använda sig av termen ”känsliga person- uppgifter” för samma begrepp. 15 I vårt delbetänkande har vi använt samma term, 16 vilken även kommer att användas fortsättningsvis. Enligt artikel 9.1 ska behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av gene- tiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning vara förbjuden. Från huvudregeln att det är förbjudet att behandla känsliga personuppgifter finns ett antal undantag i artikel 9.2. De två undan- tag som i det följande bedöms vara tillämpliga i forskningsbiblio- tekens verksamhet är undantaget i artikel (viktigt allmänt intresse) och artikel 9.2 j (arkivändamål av allmänt intresse). 3.1.3Personuppgifter om lagöverträdelser m.m. I dataskyddsförordningen finns särskilda bestämmelser om behand- ling av personuppgifter som rör fällande domar i brottmål och lag- överträdelser eller därmed sammanhängande säkerhetsåtgärder (personuppgifter om lagöverträdelser m.m.). Enligt artikel 10 får 15SOU 2017:39 s. 162. 16Forskningsdatautredningens delbetänkande Personuppgiftsbehandling för forskningsändamål (SOU 2017:50) s. 185 f. sådan behandling endast utföras under kontroll av myndighet eller när behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet. 3.2Förändringar i rättsläget på grund av dataskyddsförordningen och följdlagstiftningen kan behandling av personuppgifter i ostrukturerat material falla under den s.k. missbruksregeln i 5 a § personuppgiftslagen. Den innebär i korthet att det är tillåtet att behandla uppgifter i ostruktu- rerat material så länge det inte är kränkande för någons personliga integritet. När dataskyddsförordningen träder i kraft upphävs data- skyddsdirektivet och personuppgiftslagen. Någon bestämmelse mot- svarande missbruksregeln finns inte i dataskyddsförordningen. Miss- bruksregeln kan därför inte längre tillämpas. Myndigheter måste således stödja sig på en annan rättslig grund för sina personuppgifts- behandlingar. De rättsliga grunderna för laglig behandling av personuppgifter är i stort sett detsamma som i dataskyddsdirektivet och personuppgifts- lagen. De grunder som kan bli aktuella för biblioteken att tillämpa är samtycke, avtal och uppgift av allmänt intresse. En viktig förändring i dataskyddsförordningen är att som laglig behandling räknas inte längre den intresseavvägning enligt 10 § f personuppgiftslagen som myndigheter tidigare kunde åberopa som grund för sin behandling när de fullgör sina uppgifter. Enligt för- ordningen måste myndigheter i stället kunna ange en annan rättslig grund för sin behandling. Av skäl 43 framgår vidare att samtycke inte ska kunna utgöra giltig rättslig grund för behandling i de fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, och då särskilt om den personuppgiftsansvarige är en offentlig myn- dighet. Även om detta inte innebär någon betydande förändring jämfört med dagens rättsläge17 är det ett förtydligande av vad som gäller för att ett samtycke ska kunna betraktas som frivilligt. En annan viktig förändring är att den rättsliga grunden i artikel 6.1 e måste vara fastställd i unionsrätten eller nationell rätt (artikel 6.3). Det kravet finns inte uttryckt i dataskyddsdirektivet . Vad som krävs för att en behandling ska vara laglig framgår av artikel 6. Behandling av personuppgifter är enligt denna bestämmelse endast laglig om ett eller flera av de villkor som anges i bestämmelsen är uppfyllda. Villkoret uppgift av allmänt intresse återfinns i artikel 6.1 e. föreslår en bestämmelse som tydliggör att personuppgifter får behandlas om det är nödvändigt för att den personuppgiftsansvarige ska kunna utföra en uppgift av allmänt intresse som följer av lag eller annan författning eller av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan för- fattning.18 I vårt delbetänkande föreslår vi att personuppgifter, med stöd av artikel 6.1 e i dataskyddsförordningen, ska få behandlas för forskningsändamål om behandlingen är nödvändig och proportioner- lig för att utföra forskning av allmänt intresse.19 Av artikel 6.3 dataskyddsförordningen framgår att det inte är behandlingen som ska fastställas, utan i stället grunden för behand- lingen. Det framgår av artikel 6.3 att en behandling ska kunna härleda sin lagliga grund i unionsrätten eller medlemsstatens nationella rätt. Det framgår även av skäl 45 att dataskyddsförordningen inte medför något krav på en särskild lag för varje enskild behandling, utan att det kan räcka med en lag som grund för flera behandlingar som bygger på en rättslig förpliktelse som åligger den personuppgiftsansvarige att utföra eller om behandlingen krävs för att utföra en uppgift av allmänt intresse. En behandling som är laglig enligt artikel 6.1 innebär inte att den får utföras på vilka uppgifter som helst eller på valfritt sätt. I artikel 5.1 a i dataskyddsförordningen anges ett antal principer för behandling av personuppgifter, bl.a. att uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. Den personuppgiftsansvarige måste därför utöver att ha stöd i en 17SOU 2017:50 s. 176. 18SOU 2017:39, avsnitt 8.3.4. 19SOU 2017:50, avsnitt 5.5.2. rättslig grund även uppfylla kraven i övriga bestämmelser i för- ordningen, t.ex. de allmänna dataskyddsprinciperna i artikel 5 och reglerna om skyddsåtgärder i artikel 89.1. 3.2.3Uppgift av allmänt intresse och viktigt allmänt intresse Begreppet uppgift av allmänt intresse Enligt artikel 6.1 e i dataskyddsförordningen får personuppgifter behandlas om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Begreppet allmänt intresse kommer från unions- rätten, men någon legaldefinition av begreppet finns varken i data- skyddsdirektivet eller i dataskyddsförordningen. Däremot finns det vägledande domar från inom området.20 I tidigare betänkanden anges forskning, arkivering och framställning av statistik som exempel på vad som kan vara en arbetsuppgift av allmänt intresse.21 Enligt borde det vara rimligt att utgå från den svenska förvaltningstraditionen och anta att alla upp- gifter som utförs av statliga myndigheter i syfte att uppfylla ett uttryckligt uppdrag av riksdag eller regering är av allmänt intresse.22 Vi går närmare in på fastställandet av bibliotekens verksamhet som allmänt intresse i avsnitt 4.5.2. Begreppet viktigt allmänt intresse Huvudregeln att känsliga personuppgifter inte får behandlas återfinns i dataskyddsförordningen artikel 9.1. Undantag från förbudet av- seende viktigt allmänt intresse finns i artikel . Av det undantaget framgår att känsliga personuppgifter får behandlas om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätt eller nationell rätt. Sådan rätt måste även innehålla lämpliga och särskilda skyddsåtgärder. Både begreppet allmänt intresse och viktigt allmänt intresse är unionsrättsligt och finns även i artiklarna 7 e och 8.4 i dataskyddsdirektivet. Det saknas en legal- definition av begreppet viktigt allmänt intresse i dataskyddsdirektivet 20EU-domstolens domar C-524/06, C-92/09 och C-73/16. 21Datalagskommitténs betänkande Integritet • Offentlighet • Informationsteknik (SOU 1997:39), s. 364. 22SOU 2017:39 s. 124. Några vägledande beslut från EU- domstolen gällande begreppet finns såvitt utredningen känner till inte. Ett ytterligare undantag från förbudet finns i artikel 9.2 j, om behandlingen är nödvändig för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ända- mål, med motsvarande krav på lämpliga och särskilda skyddsåtgärder. Vi måste ta ställning till om biblioteksverksamheten vid forsk- ningsbiblioteken kan anses utgöra arbetsuppgift av allmänt intresse och då även om verksamheten i förlängningen kan utgöra ett viktigt allmänt intresse, alternativt ett arkivändamål av allmänt intresse. 3.3Grundlagsskyddet och bibliotekens verksamhet 3.3.1Det svenska grundlagsskyddet för tryckt skrift och databaser Grundlagsskyddet för tryck- och yttrandefriheten är ett särskilt skydd i för vissa publiceringar och vissa medier, bl.a. för tidningar, böcker, radio- och tv-sändningar, vissa webbsidor med mera. För biblioteken är frågan om grundlagsskyddet för de tryckta skrifter och de databaser som återfinns inom verksamheten av central betydelse, eftersom personuppgiftsregleringen inte gäller i de fall där grundlagen styr hanteringen av uppgifterna. framgår detta av 7 § första stycket personuppgiftslagen. har i sitt förslag till dataskyddslag behållit denna reglering.23 Grund- lagsskyddet regleras i de två s.k. mediegrundlagarna tryckfrihets- förordningen (TF), och yttrandefrihetsgrundlagen (YGL). Grundlagsskyddet enligt TF gäller för tryckt skrift. Tryckt skrift ska vara framställd i tryckpress för att anses som sådan, vilket bl.a. omfattar tidningar och böcker. Även andra skrifter som framställts med hjälp av en skrivare eller kopiator eller för hand kan omfattas, förutsatt att mångfaldigandeuppgifter har satts ut. Det kan exempelvis gälla flygblad. , vilket inkluderar tidskrifter, som innehar ett utgivningsbevis faller alltid inom tryckfrihetsförord- ningens tillämpningsområde. Ytterligare ett krav är att skriften är utgiven. 23SOU 2017:39 s. 40. Grundlagsskyddet enligt YGL är till stora delar identiskt med det i TF men omfattar i stället radio- och tv-sändningar, tekniska upp- tagningar, vissa databaser (webbplatser) m.m. En teknisk upptagning i YGL:s mening är bland annat CD-skivor, USB-minnen och liknande, förutsatt att de är utgivna och finns tillgängliga för allmän- heten i ett tillräckligt antal exemplar. Sådana tekniska upptagningar måste förses med ursprungsuppgifter, vilket är en straffsanktionerad skyldighet. Termen databas i YGL omfattar bland annat webbsidor, digital bio och vissa print-on-demand-tjänster. Alla webbplatser, även privatpersoners webbsidor, kan omfattas av grund- lagsskydd, förutsatt en ansökan om utgivningsbevis. Detta kallas fri- villigt grundlagsskydd och följer av den s.k. databasregeln i 1 kap 9 § 2 stycket YGL. Ett automatiskt grundlagsskydd gäller däremot för massmedieföretags webbsidor, utan att någon ansökan om utgiv- ningsbevis behöver göras. krävs för grundlagsskydd att en ansvarig utgivare utses och att utgivningsbevis beviljas. Regleringen som avgör om en databas faller in under grundlagens tillämpningsområde återfinns i 1 kap. 9 § YGL och avser överföringar till allmänheten som görs antingen a) direkt till användare efter begäran, b) indirekt genom att användare begär att avsändaren ska framställa och överföra ett yttrande eller c) genom att avsändaren på begäran överför viss bestämd information vid en viss bestämd tid- punkt. I 6 kap. 1 § TF återfinns regleringen om spridningsfriheten av tryckt skrift. Bestämmelsen utgör en del i etableringsfriheten på tryck- frihetens område och garanterar friheten att sprida skrifter. Den beskrivna rätten att ge ut skrifter syftar bl.a. på förbudet mot censur, som behandlas i 1 kap. 2 § TF. Det innebär att etableringsfrihet råder. Denna etableringsfrihet omfattar alla led i en skrifts utgivande: sprid- ning, tryckning, författande och redigerande samt uppgiftsinsam- lande. Skilda led i det som etableringsfriheten omfattar kan emellertid vara underkastade formkrav enligt TF, som t.ex. att skrifter ska åsättas ursprungsuppgifter (4 kap. 2 §), att pliktexemplar ska lämnas (4 kap. 4 §) och att utgivare ska utses (5 kap.). Utanför TF får inga sådana krav uppställas. Etableringsfriheten är inte minst en näringsfrihet. Den innebär att det inte får finnas regler som hindrar någon från att ägna sig åt något eller några led i utgivandet av tryckta skrifter. Detta innebär dock inte att det kan göras utan risk för straff och skadestånd. Den som åsidosätter formkrav av just omtalat slag kan ställas till ansvar för detta. Framför allt kan ansvar för innehållet i utgivna skrifter utkrävas (tryckfrihetsansvar), när förutsättningar för detta föreligger enligt TF 7 kap. 4 och 5 §§. 3.3.3Bibliotekens hantering av grundlagsskyddat material Utredningens bedömning: Det särskilda grundlagsskyddet i TF och YGL påverkar inte forskningsbibliotekens skyldighet att följa dataskydds-regleringen. När biblioteken tillgängliggör tryckt material som har TF-skydd om- fattas biblioteken av spridningsfriheten.24 Detta har ingen praktisk betydelse i relation till dataskyddet, eftersom varken den befintliga lagstiftningen eller dataskyddsförordningen är direkt tillämplig på sådant analogt material. När biblioteken digitaliserar material som har TF-skydd väcks dock frågan om detta skydd på något vis följer med materialet i sin nya, digitala form. Vår bedömning är att ett sådant formatbyte gör att TF-skyddet – som gäller tryckt skrift – inte är tillämpligt på materialet i sin nya form. Det omvandlas inte heller till motsvarande YGL-skydd med mindre än att det digitala materialet införs i en databas som uppfyller kraven i 1 kap. 9 § YGL och för vilken det finns ett utgiv- ningsbevis. Även om det är möjligt för statliga och kommunala myndigheter att ansöka om och få beviljat sådant utgivningsbevis kan dock myndigheten inte åberopa detta för att undgå de förpliktelser som dataskyddsregleringen medför.25 Även för material som i ett visst skede faller in under YGL – som när det ligger i en databas som omfattas av grundlagsskydd, exempel- vis hos en utgivare – är vår bedömning att ett sådant skydd inte följer med materialet när det överförs från denna databas till ett bibliotek.26 24Se Lambertz, Yttrandefrihet och Bibliotek, i festskrift till (2012). 25Datainspektionens beslut , dnr 987-2009. 26Mediegrundlagskommitténs betänkande Ändrade mediegrundlagar (SOU 2016:58), s. 299 f. Detta torde gälla oavsett vilket rättsligt stöd har för denna överföring i övrigt. 3.3.4Journalistiska ändamål, akademiskt skapande, m.m. Utredningens bedömning: Undantaget i dataskyddsförord- ningen och i den föreslagna dataskyddslagen för journalistiska ändamål är inte tillämpliga på forskningsbibliotekens verksamhet när de behandlar och tillgängliggör biblioteksmaterial. Detta gäller också när materialet i sig kan sägas vara ett uttryck för journa- listiska ändamål. På samma sätt är undantaget för akademiskt skapande inte tillämpligt på bibliotekens verksamhet när materialet i sig kan sägas vara ett uttryck för akademiskt skapande. Enligt artikel 85 i dataskyddsförordningen ska medlemsstaterna i lag förena rätten till integritet i enlighet med förordningen med yttrande- och informationsfriheten, inbegripet behandling som sker för journa- listiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. har i sitt förslag till dataskyddslag infört ett undantag från bestämmelserna i dataskyddsförordningens kapitel II och III (artiklarna 5–23), artiklarna 24–30 och 35–43 och kapitel V (artiklarna 44–50) vid behandling av personuppgifter för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. Eftersom biblioteksmaterialet i tryckt form faller under grundlags- skyddet, och artikel 85 syftar till skydd av samma intressen, aktua- liseras frågan om bibliotekens hantering av personuppgifter i någon mån är behandling för ett journalistiskt ändamål. Dataskyddsförord- ningens reglering i denna del har föregåtts av en motsvarande artikel 9 i dataskyddsdirektivet. Denna artikel har genomförts i form av 7 § 2 stycket personuppgiftslagen som anger att många av lagens centrala bestämmelser inte ska tillämpas på sådan behandling av personuppgif- ter som görs uteslutande för bl.a. journalistiska ändamål. Rättsfallet NJA 2001 s. 409 rörde frågan om publicering av en webbsida med kränkande eller nedvärderande personuppgifter eller omdömen kunde föranleda ansvar enligt personuppgiftslagen, eller om undantaget för journalistiska ändamål var tillämpligt. fann att detta undantag skulle tolkas i ljuset av artiklar om skydd för privatlivet (artikel 8) samt rätten till åsiktsfrihet (artikel 10) och att undantaget för journalistiska ändamål får antas vara avsett att betona vikten av en fri informationsspridning i frågor av betydelse för allmänheten eller för grupper av människor och en fri debatt i samhällsfrågor. Domstolen ansåg att det inte var visat annat än att behandlingen av personuppgifter på den aktuella webbsidan utförts uteslutande för journalistiska ändamål. I NJA 2001 s. 409 var det fråga om ansvaret för den som uttryckte uppgifterna eller omdömena. I Google målet27 lyftes en annan central fråga, nämligen om en mellanhand i form av en sökmotor- leverantör kan falla in under undantaget för journalistiska ändamål i samband med indexering och publicering personuppgifter för att kunna presentera sökresultat. Domstolen fann (punkt 85) att även om utgivaren av en webbsida utför en behandling uteslutande för journa- listiska ändamål, är så inte fallet när det gäller den behandling som utförs av sökmotorleverantören. Vi gör bedömningen att biblioteken i sin verksamhet intar en lik- nande roll som mellanhand, och därför inte för sin egen behandling av personuppgifter kan åberopa undantaget för journalistiska ändamål. Forskningsbibliotekens digitalisering rör ofta vetenskapliga publi- kationer såsom avhandlingar. Därför väcks frågan om undantaget för akademiskt skapande kan vara tillämpligt på den personuppgifts- behandling som aktualiseras vid digitaliseringen. Vår bedömning är att syftet med det utrymme som lämnas i artikel 85 och de undantag som anges i förslaget till dataskyddslag endast är att möjliggöra sådana undantag som är nödvändiga för att förena rätten till integritet med yttrande- och informations- friheten.28 Bibliotekens digitalisering och publicering av analogt material bidrar till kunskapsförmedling och fri åsiktsbildning, men 27EU-domstolens dom C-131/12. 28SOU 2017:39 s. 101. digitaliseringen är enligt vår bedömning inte nödvändig för yttrande- och informationsfriheten. Biblioteken måste därför tillämpa data- skyddsförordningen i sin helhet. 3.4Tidigare utredningar om verksamhet KB:s verksamhet har under varit föremål för flera olika statliga utredningar. Dessa har framför allt fokuserat på KB:s roll som mottagare av pliktleveranser i ett kulturlandskap i förändring.29 gavs en utredare i uppdrag att göra en översyn av lagen (1993:1392) om pliktexemplar av dokument (pliktexemplarslagen), och framför allt överväga om sådan elektronisk information som inte omfattas av de nuvarande bestämmelserna i pliktexemplarslagen skulle komma att vara föremål för leveransplikt . 30 Tekniska frågor om hur leveranserna ska gå till skulle även utredas. Utredarens slutsatser presenterades i betänkandet E-plikt – att säkra det elektroniska kulturarvet.31 Utredaren föreslog författnings- ändringar för att möjliggöra att bl.a. KB skulle kunna samla in och bevara allmänt tillgängligt online-material. Med allmänt tillgängligt avsågs sådant material som i princip vem som helst har möjlighet att få tillgång till, även om sådan tillgång kräver lösenord eller avgift. En majoritet av remissinstanserna var positivt inställda till ett så om- fattande bevarande som möjligt av vårt digitala kulturarv.32 Reger- ingen ansåg att det är viktigt att för eftervärlden och för forsknings- ändamål bevara och tillhandahålla yttringar av svenskt liv, svenskt samhälle och svensk kultur. förslag i fråga om elektroniskt material ledde emellertid inte till några författnings- ändringar, eftersom det ansågs nödvändigt att först ändra EG- direktivet om rättsligt skydd för datorprogram (91/250/EG) eftersom det material som skulle omfattas enligt förslaget skulle innehålla ett stort antal datorprogram. 29Jfr kommittédirektiv Översyn av pliktexemplarslagen (dir. 1996:92) som utgår från en ”bak- grund av de snabba informationstekniska förändringarna avseende offentliggörande av dokument”. 32Regeringens proposition Forskning och förnyelse (prop. 2000/01:3),,s. 201 f. beslutade regeringen att tillkalla en särskild utredare med uppgift att göra en översyn av KB, dess verksamhet och arbetsformer. 33 Utredningen presenterade sina slutsatser i betän- kandet KB – ett nav i kunskapssamhället34 där utredaren föreslog insatser inriktade på bl.a. informationsförsörjningen till forskning och utbildning. Insatserna som föreslogs var bl.a. att KB skulle fortsätta att vara ”framtidens minne” genom att samla in allt som trycks – och även det som publiceras digitalt. Betänkandet behandlades forskningspolitiska pro- position Forskning för ett bättre liv,35 där regeringen instämde i att lagen (1993:1392) om pliktleverans av dokument bör ses över så att lagen omfattar även s.k. distansöverfört digitalt material. Definitionen av vilket material som ska omfattas, liksom upphovsrättsliga aspekter av materialets tillgängliggörande och eventuell inverkan på integritets- känsliga uppgifter, behövde dock enligt regeringen fortsatt beredning. Parallellt gjordes även en översyn över Statens ljud- och bildarkivs (SLBA) verksamheter och arbetsformer. presen- terade betänkandet Bevara ljud och rörlig bild. Insamling, migrering – prioritering.36 SLBA:s verksamhet har som nämnts inord- nats i KB . forskningsproposition uttalade regeringen sin avsikt att återkomma om ändringar i pliktlagen. gjordes en departe- mentsutredning37 om en författningsreglerad skyldighet att leverera publicerat elektroniskt material som överförs via nätverk (e-plikt). Utredningen hade endast i uppdrag att bedöma definitioner rörande vad som bör ingå i en lagstadgad leveransskyldighet, inte att utreda förutsättningarna för ett eventuellt tillgängliggörande av det leve- rerade materialet.