sou · H6B336 · 2018-06-05 00:00:00 — Avgörande för om en åtgärd ska anses innebära övervakning eller kartläggning är inte dess huvudsakliga syfte utan vilken effekt åtgärden har. Vid bedömning av vilka åtgärder som kan anses utgöra ett ”betydande intrång” ska både åtgärdens omfattning och arten av det intrång åtgärden innebär beaktas.49 Med andra ord innebär detta att åtgärder som är av sådant slag som anges i 2 kap. 6 § andra stycket RF bara får vidtas om det finns lagstöd för detta (jfr 2 kap. 20–22 §§ RF). 49Regeringens proposition En reformerad grundlag (prop. 2009/10:80) s. 171 ff. Den bedömning som här måste göras är om den personuppgifts- behandling som utförs inom forskningsbiblioteken är av sådan karak- tär att den kan anses utgöra sådant intrång i den personliga integri- teten som avses i enligt 2 kap. 6 § RF. De personuppgifter som forskningsbiblioteken behandlar åter- finns i olika typer av informationssamlingar. kan person- uppgiftsbehandlingarna i dessa informationssamlingar omfatta integritetskänsliga personuppgifter om enskilda, beroende på hur en sammanställning ser ut när den är färdig. De personuppgifter som forskningsbiblioteken behandlar förkommer dock oftast i löpande text och inte i något myndighetsregister, med undantag för de låne- register som biblioteken för. De personuppgifter som kan förekomma om individer i löpande text är oftast allmänt kända . Resultaten av sökningar i bibliotekens uppgiftssamlingar är inte heller av den beskaffenheten att de kan samköras med andra uppgifts- samlingar, exempelvis andra myndigheters register. I tidigare lagstiftningsärenden har det bedömts att när det handlar om myndighetsregister med särskilt känsligt innehåll och ett stort antal registrerade, ska registret regleras i lag. Vidare har det i för- arbeten bedömts att en reglering i en s.k. registerförfattning50 inte är nödvändig i de fall där personuppgifter behandlas för strikt av- gränsande ändamål i ett register.51 Av utredningens kartläggning framkommer det att forskningsbiblioteken inte för några myndig- hetsregister vari det registreras känsliga personuppgifter om enskilda. De personuppgiftsbehandlingar som förekommer, utförs antingen för arkivändamål eller för forskningsändamål, och består huvudsakligen av lagring och tillgängliggörande av uppgifter som förekommer i löpande text i utgivet material. Utredningen gör bedömningen att det i bibliotekens verksamhet inte förekommer några sådana betydande intrång i den personliga integriteten, vilka innebär kartläggning eller övervakning, som avses i 2 kap. 6 § RF. Detta gäller även när behand- lingen rör mer strukturerade uppgifter, som låntagaruppgifter (avsnitt 4.4) eller vid text- och datautvinning (avsnitt 4.10), sett utifrån vilken effekt denna behandling får för den enskilde.52 50Registerförfattningar är kompletterande lagstiftning till personuppgiftslagen. 51Se t.ex. Regeringens propositioner Personuppgiftslag (prop. 1997/98:44) s. 41, Registrering av fastighetsrättsliga förhållanden, m.m. (prop. 1999/2000:39) s.78 samt om offentlighet, integritet och ADB (prop. 1990/91:60) s. 57 f. 2009/10:80 s. 250. Mot bakgrund av ovanstående finner vi därför att regleringar som innebär ändringar i redan befintliga förordningar görs på en godtagbar normgivningsnivå. Vi föreslår också att bestämmelser om person- uppgiftsbehandling i forskningsbibliotekens verksamhet kan och ska regleras i en ny förordning. I dataskyddsutredningens förslag till dataskyddslag (SOU 2017:39) finns förslag om bemyndiganden för regeringen att meddela före- skrifter. Regeringen ska enligt förslaget få meddela föreskrifter dels om att känsliga personuppgifter får behandlas för arkivändamål av allmänt intresse (3 kap. 6 § förslaget till dataskyddslag) dels om ytter- ligare undantag från förbudet att behandla känsliga personuppgifter, ifall det behövs med hänsyn till ett viktigt allmänt intresse (8 § samma kapitel). Vår bedömning är att även dessa förslag på bemyndiganden talar för att regleringen kan göras i förordningsform. Utredningens förslag: En ny förordning som reglerar person- uppgifts-behandling i forskningsbibliotekens verksamhet ska in- föras. Förordningens tillämpningsområde ska omfatta , sådana högskolebibliotek som omfattas av 12 § biblio- tekslagen, och privat finansierade högskolebibliotek. Förord- ningen ska komplettera dataskyddsförordningen. Om det i data- skyddslagen finns bestämmelser som avviker från den föreslagna förordningen, ska förordningens bestämmelser gälla. I följande avsnitt konstaterar vi att det finns viss personuppgifts- behandling inom forskningsbibliotekens verksamhet som inte är fullt förenlig med dataskyddsförordningen. Det finns i vissa fall bestämmelser i nationell rätt som kan utgöra en rättslig grund för behandlingen, men vi gör i de följande avsnitten bedömningen att den befintliga nationella regleringen inte fullt ut motsvarar förordningens krav. Det finns därför behov av kompletterande författning. I föregående avsnitt har vi gjort bedömningen att denna kan göras i förordningsform. Det är dock inte självklart i vilken förordning som regleringen ska införas. I avsnitt 4.2.4 har vi bedömt hur ”forskningsbibliotek” i utred- ningens uppdrag bör avgränsas. Tillämpningsområdet för den tänkta regleringen omfattar alltså KB (i sin roll som forskningsbibliotek), sådana högskolebibliotek som avses i 12 § bibliotekslagen och privat finansierade högskolebibliotek. Med privat högskolebibliotek avses ett bibliotek som är knutet till ett privat universitet eller en privat högskola, som svarar för biblioteksverksamhet inom de områden som anknyter till utbildning och forskning vid eller hög- skolan. Eftersom det inte finns någon befintlig författning med ett sådant specialiserat tillämpningsområde anser vi det vara ändamåls- enligt att införa en ny författning. Vi föreslår för tydlighets skull att det av denna nya förordning ska framgå att den kompletterar dataskyddsförordningen. Däremot ska den gälla i stället för den föreslagna dataskyddslagen i den mån den avviker från den nya förordningen. I den mån det finns specialreglering i form av lag eller förordning som rör en mer specifik personuppgifts- behandling hos ett eller fler bibliotek inom förordningens tillämp- ningsområde följer av principen om lex specialis att en sådan författ- ning har företräde framför den nya förordningen. Syftet med förordningen är inte att fullständigt reglera biblioteken inom dess tillämpningsområde, utan bara innehålla kompletterande reglering som ska göra personuppgiftsbehandlingen möjlig hos forsk- ningsbiblioteken. Vi föreslår att detta begränsade syfte med förord- ningen framgår av dess titel: förordning om personuppgiftsbehand- ling i forskningsbibliotekens verksamhet. 4.3.3Rättslig grund för de privatfinansierade högskolebiblioteken Utredningens bedömning: Såväl offentliga som privata högskole- bibliotek utför uppgifter av allmänt intresse. Det är inte givet att privata högskolebibliotek kan författningsregleras av lagstiftaren. I stället kan det vara tillåtet för de privata högskole- biblioteken att behandla personuppgifter efter en intresseavvägning enligt artikel 6 f. Det krävs då att behandlingen är nödvändig för berättigade intressen och att den registrerades intresse av skydd för sina personuppgifter inte väger tyngre. Det är dock inte tillåtet att behandla känsliga personuppgifter med stöd av en intresseavvägning. Något av undantagen i artikel 9.2 måste vara tillämpligt för att en sådan behandling ska vara tillåten. Undantagen i artikel 9.2 är inte tillämpliga för de privata högskolebibliotekens verksamhet, om de inte kan anses utföra en uppgift av allmänt intresse. Konsekvensen av att tillämpa intresseavvägning som en rättslig grund för behandlingen blir i så fall att de privata högskolebiblioteken inte kan utföra laglig behandling av känsliga personuppgifter. De privata högskolebiblioteken, som t.ex. tekniska hög- skola och Stiftelsen utför uppgifter i sin verksamhet som i allt väsentligt liknar den verksamhet som utförs vid de offentligt finansierade högskolebiblioteken. De privata hög- skolorna har liksom de offentliga tillstånd att utfärda examina. Detta framgår av lagen (1993:792) om tillstånd att utfärda vissa examina. Av den lagen framgår det att deras utbildning ska bedrivas så att den uppfyller kraven som ställs i högskolelagens första kapitel. I övrigt gäller inte högskolelagen för dessa aktörer. För varje examen som tillståndet gäller ska utbildningen dessutom uppfylla de särskilda krav som gäller enligt examensordningen som är en bilaga till hög- skoleförordningen. Övriga delar av högskoleförordningen gäller dock inte för privata utbildningsanordnare. Av första kapitlet i högskole- lagen framgår det att högskolorna ska verka för att utbildning och forskning håller god kvalitet samt att man ska verka för att de forsk- ningsresultat som är tillkomna vid högskolan kommer till nytta. Vidare gäller offentlighetsprincipen även för och Stiftelsen samt, i begränsad om- fattning, i de studenter och forskare som är verksamma vid en högskola är det i praktiken ingen formell skillnad mellan att vara verksam vid en offentlig eller privat finansierad högskola. Det är heller ingen skillnad mellan de uppdrag som forskningsbiblioteken har på dessa högskolor. Vår bedömning är därför att såväl offentliga som privata högskolebibliotek utför upp- gifter av allmänt intresse. 53Bilagan till offentlighets- och sekretesslagen (2009:400), proposition 1996/96:142 s. 15 ff Handlingsoffentlighet vid vissa stiftelser. 4.4Personuppgifter om låntagare och biblioteksanvändning 4.4.1Beskrivning av verksamheten och aktuella personuppgiftsbehandlingar Den mest traditionella biblioteksverksamheten, även hos forsknings- bibliotek, kan antas vara utlåning av böcker och annat textmaterial i fysisk form. För att kunna erbjuda lån behöver bibliotek i allmänhet kontaktuppgifter till låntagaren, normalt namn, adress och i vissa fall personnummer. Dessa uppgifter inhämtas vanligen i samband med utfärdande av lånekort eller liknande. Utöver dessa direkta personuppgifter kräver bibliotekens verk- samhet även att de behandlar indirekta personuppgifter i form av uppgifter om vilka böcker eller annat material som en viss låntagare har lånat, beställt eller reserverat. För att få lånekort hos KB krävs att den enskilde ingår ett lån- tagaravtal med . I avtalet anges särskilt att KB behandlar namn, adressuppgifter och personnummer. För att låna material från samtycker i stället den enskilde låntagaren till personuppgiftsbehandlingen. Oavsett den exakta for- men för personuppgiftsbehandlingens precisering ligger det inom bibliotekens ansvar och möjligheter att anordna verksamheten så att behandlingen blir tillåten. Sådana enskilda uppgifter om en låntagares lån eller beställningar har tidigare i normalfallet inte betraktats som särskilt integritets- känsliga. I och med övergången till datoriserade utlåningssystem följde dock större möjligheter till kartläggning av enskildas läsvanor, vilket kan utgöra ett hot mot den personliga integriteten.54 Detta resulterade i att sekretess gäller i biblioteksverksamhet för uppgift i register om en enskilds lån, reservation eller annan form av beställ- ning, om det inte står klart att uppgiften kan röjas utan att den som uppgiften rör eller någon närstående till denne lider men (nuvarande 40 kap 3 § offentlighets- och sekretesslagen [2009:400]). Uppgifterna är däremot inte känsliga i dataskyddsförordningens mening. Uppgifterna får enligt de grundläggande principerna inte behand- las än som behövs för ändamålet. 54Konstitutionsutskottets betänkande Sekretesskydd för uppgifter i bibliotekens låntagarregister (bet. 1988/89:KU38), s. 6 och 11. raderas eller anonymiseras när de inte längre behövs för verksamhet, dvs. när det lånade materialet är tillbakalämnat. Regeringen har lagt en proposition55 om att utöka sekretessen till att även omfatta uppgifter om enskilds användning av informations- teknik såsom besökares användning av databaser, surfvanor m.m. I propositionen finns bakgrund kring den föreslagna nya sekretess- regeln och de intressen som ligger bakom denna. Lagändringen föreslås träda i kraft . Loggning och annan behandling av uppgifter om användning Bibliotekens digitala miljöer används bl.a. för att tillhandahålla tjänster över nätverk till användare, både sådana tjänster som själv ansvarar för (som egna katalogtjänster och publika- tionsdatabaser) och externa tjänster som man förmedlar tillgång till (som databaser och elektroniska tidskrifter). I båda dessa fall finns ett behov att logga information om användning av tjänsterna för att bl.a. kunna stävja missbruk. Denna typ av loggning kan ses som en del av sådana säkerhetsåtgärder som den personuppgiftsansvarige är skyldig att vidta enligt artikel 32 i dataskyddsförordningen. I den mån logg- ning även innebär personuppgiftsbehandling måste dock även denna behandling vara tillåten. Det förekommer att biblioteken har behov av att använda sig av ut- låningsuppgifter och andra uppgifter om användning av tjänster för att bl.a. ta fram statistik och underlag för verksamhets- utveckling. Det finns vid sådan behandling normalt inte anledning att även bevara och i övrigt behandla uppgifter om enskilda biblioteksanvändares identitet. 55Regeringens proposition Några frågor om offentlighet och sekretess (prop. 2016/17:208), s. 78 ff. 4.4.2Rättslig grund för behandlingen Utredningens bedömning: Behandling av låntagaruppgifter kan utföras med stöd av samtycke i artikel 6.1 a eller avtal i artikel 6.1 b. Av 9 § bibliotekslagen framgår att allmänheten på folkbiblioteken ska avgiftsfritt få låna eller på annat sätt få tillgång till litteratur. Denna fastställda uppgift utgör rättslig grund för folkbiblioteken att utföra nödvändig personuppgiftsbehandling för att utföra denna uppgift, exempelvis att föra ett register över låntagare och dess lån.56 Någon motsvarande uppgift framgår inte för högskolebiblioteken eller KB. För högskolebiblioteken finns endast den generella uppgiften att enligt 12 § bibliotekslagen svara för biblioteksverksamhet inom de områden som anknyter till utbildning och forskning vid eller högskolan. Någon sådan reglering för de privata högskole- biblioteken finns inte heller. Vi gör bedömningen att denna uppgift inte med tillräcklig tydlighet gör det nödvändigt att behandla person- uppgifter om låntagare och deras lån. Det kan därför inte vara fråga om nödvändig behandling för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning enligt artikel 6.1 e. Personuppgiftsbehandlingen kan i stället göras med stöd av antingen samtycke enligt artikel 6.1 a eller med stöd av avtal med den registrerade enligt artikel 6.1 b. Vi bedömer att ett sådant samtycke kan ges frivilligt eftersom den enskilde, även i de fall denne är student vid lärosätet, kan välja att inte nyttja låneverksamhet. Det föreligger därför inte en betydande ojämlikhet mellan den enskilde och (jfr skäl 43 i dataskyddsförord- ningen) 56SOU 2017:39 s. 127. 4.5Digitalisering av analoga samlingar och publicering av dessa på internet 4.5.1Beskrivning av verksamheten och aktuella personuppgiftsbehandlingar I forskningsbibliotekens samlingar förekommer material som man av olika anledningar strävar efter att digitalisera, i första hand för att kunna tillgängliggöra detta på internet. Det kan vara fråga om äldre historiskt material som annars bara kan läsas på plats eftersom det är för känsligt för fjärrlån (i vissa fall, särskilt i KB:s samlingar, är visst material inte tillgängligt för visning överhuvudtaget).57 Bibliotek har även en generell upphovsrättslig möjlighet att med stöd av 16 § 1 p. upphovsrättslagen (1960:729) framställa ytterligare exemplar (även i digital form) för bevarandeändamål, kompletteringsändamål eller forskningsändamål, s.k. bevarandedigitalisering. Detta gäller framför allt tidningar, men även äldre TV- och radioprogram digitaliseras. Det kan också vara fråga om digitalisering av material som man från bibliotekens sida önskar sprida i större utsträckning än vad som är möjligt med traditionellt tillhandahållande från lokaler. Detta kan exempelvis vara fallet med KB:s digitalisering av kartor och bilder. Att digitalisera analogt material väcker som redan framkommit såväl upphovsrättsliga som dataskyddsrättsliga frågor. Eftersom vårt uppdrag inte omfattar upphovsrättsfrågor kommer vi inte att behand- las dessa.58 I historiskt material saknas ofta personuppgifter om nu levande personer. Arbetet med att digitalisera sådant material är därför oproblematiskt ur ett dataskyddsperspektiv eftersom förordningen inte gäller behandling av personuppgifter rörande avlidna personer (skäl 27). I nyare material förekommer dock personuppgifter om levande personer. Det kan handla om uppgifter om verkens författare, redaktörer eller andra sammanställare och om uppgifter om personer 57Exempelvis den s.k. Djävulsbibeln (Codex Gigas), som är tillgänglig i högupplöst format på 58För ett exempel på dessa frågeställningar, se universitetsbiblioteks projekt med att digitalisera samtliga doktorsavhandlingar från (1906-1960), samt avhandlingar publicerade i ACTA-serier från , publikationer/digitaliseringsprojektet-vid-stockholms-universitetsbibliotek-1.155906 samt JK:s beslut i ärende 7402-13-40. i verkens innehåll. I innehållet kan förekomma känsliga personuppgif- ter samt uppgifter om lagöverträdelser m.m. I en digitaliseringsverksamhet kan det vara svårt att avgöra var en personuppgiftsbehandling slutar och nästa börjar. I de flesta fall torde det dock gå att särskilja åtminstone fyra separata former av person- uppgiftsbehandlingar. 1.När de analoga exemplaren överförs till digital form (skannas). Resultatet av denna process är en uppsättning digitala filer som avbildar utseendet på de enskilda sidorna i de analoga materialen. 2.När de avbildade sidorna behandlas med ett textigenkännings- program (OCR) för att göra texten på sidorna maskinläsbar. Denna process kan ofta generera fel i materialet i form av bokstäver och ord som inte känns igen korrekt. Illustrationer och andra bilder behandlas vanligen inte i denna process. 3.När metadata om verken i sin digitala form tillförs. Dessa metadata kan ofta utgå från befintliga bibliotekskatalog- uppgifter, men överförs till verket i sin digitala form genom att bl.a. filerna namnges på ett konsekvent sätt utifrån verkets titel eller andra egenskaper, att maskinläsbar metadata bäddas in i filerna, m.m. 4.När verken i sin digitala form tillgängliggörs för besökare i terminaler på plats på eller över internet via olika publikationsdatabaser. KB ska enligt sin instruktion svara för frågor om samverkan mellan forskningsbibliotek när det gäller digitalisering och digitalt tillgänglig- görande samt verka för utveckling och samordning av digitala tjänster och system inom biblioteksväsendet. Inom området digitalisering samverkar KB med andra bibliotek via expertgruppen för digita- lisering. Myndigheten är representerad i styrgruppen för Samord- ningssekretariatet för digitalisering, digitalt bevarande och digital förmedling (Digisam) vid och ska där särskilt svara för samordningen inom bibliotekssektorn. KB deltar även på olika sätt i det europeiska arbetet med digitalisering, bland annat inom Europeana och Library.59 Särskilt om digitalisering i form av offentlig-privat samverkan Viss digitalisering av de analoga samlingarna görs inom ramen för en offentlig-privat samverkan. Exempelvis har KB samarbetat kring digitalisering av tidningar. Inom ramen för EU:s digitala agenda har sådan offentlig-privat samverkan kring digitalisering av kulturarv särskilt lyfts fram som något som bör uppmuntras.60 Frågan om offentlig-privat samverkan förändrar dock inte biblio- tekens personuppgiftsansvar i samband med frågor om digitalisering av analoga samlingar. Sådan digitalisering får fortfarande bedömas precis som annan digitalisering enligt nedanstående resonemang om tillämplig rättslig grund för den personuppgiftsbehandling som blir följden, undantag för behandling av känsliga personuppgifter, m.m. Forskningsbibliotekens analoga samlingar faller utanför dataskydds- förordningens tillämpningsområde. Den behandling av personuppgif- ter som en digitalisering av sådant materialet innefattar leder dock till att verksamheten hamnar inom dataskyddsförordningens regelverk. I den mån det digitaliserade materialet innehåller uppgifter som kan hänföras till en fysisk person som är i livet blir därmed den första frågan vilken rättslig grund som är möjlig att tillämpa för att behandlingen ska vara tillåten. Eftersom behandlingen generellt rör fysiska personer som inte har någon närmare kontakt med biblioteken i fråga, kan enligt vår bedöm- ning samtycke enligt artikel 6.1 a knappast vara praktiskt möjligt för biblioteken att tillämpa som rättslig grund. De personuppgifter som återfinns i biblioteksmaterialet ger inte biblioteken möjligheten att unikt identifiera varje person eller dennes kontaktuppgifter, 60Se skäl 7 i kommissionens rekommendation av om digitalisering av och tillgång via internet till kulturellt material och digitalt bevarande (2011/711/EU). Behandlingen kan vara tillåten om den är nödvändig för att utföra en arbetsuppgift av allmänt intresse (artikel 6.1 e). Utredningen gör bedömningen att denna grund är möjlig att tillämpa för person- uppgiftsbehandling i samband med digitalisering av forskningsbiblio- tekens samlingar och publicering av dessa på internet, utifrån biblio- tekens övergripande uppdrag att bidra till kunskapsförmedling och fri åsiktsbildning.61 Den omständigheten att behandlingen är laglig enligt artikel 6.1 i dataskyddsförordningen, dvs. att den är rättsligt grundad, innebär inte att behandling kan utföras när det gäller vilka personuppgifter som helst eller på valfritt sätt. Den personuppgiftsansvarige måste också uppfylla kraven i övriga bestämmelser i förordningen, t.ex. de allmänna principerna i artikel 5. Det är den personuppgifts- ansvariges ansvar att se till att behandlingen är laglig. Forsknings- biblioteken måste alltid göra en sådan bedömning av de behandlingar av personuppgifter som förekommer i verksamheten. Fastställd uppgift av allmänt intresse Utredningens bedömning: KB:s uppgifter att bl.a. förvara och tillhandahålla den svenska tryckproduktionen framgår av förord- ningen med instruktion för Kungl. Härigenom är uppgiften fastställd i nationell rätt och KB kan tillämpa den rätts- liga grunden uppgift av allmänt intresse vid digitalisering av analoga samlingar och publicering på internet. Högskolebibliotekens grundläggande uppgift att tillgänglig- göra material för bl.a. utbildning och forskning är inte tydligt reglerad i nationell rätt. Uppgiften är därmed inte fastställd i nationell rätt och högskolebiblioteken kommer inte att kunna använda den rättsliga grunden uppgift av allmänt intresse om inte uppgiften regleras tydligare. Utredningens förslag: Högskolebibliotekens uppgifter att till- gängliggöra kunskap i syfte att stödja forskning och utbildning ska regleras i en ny paragraf i högskoleförordningen. När det gäller de privata högskolebiblioteken ska det regleras i vårt förslag till 61Se avsnitt 3.2.3. gällande begreppen uppgift av allmänt intresse och viktigt allmänt intresse. förordning om personuppgiftsbehandling i forskningsbibliotekens verksamhet. För KB:s del framgår det av dess instruktion att myndigheten har till uppgift att bl.a. förvara och tillhandahålla den svenska tryck- produktionen. Uppgiften är med andra ord fastställd i nationell rätt och KB kan tillämpa den rättsliga grunden att utför upp- gifter av allmänt intresse vid digitalisering av analoga samlingar och publicering på internet. Vad gäller högskolebiblioteken är det inte lika lätt att beskriva vilka uppgifter de har. Verksamheten är, med få undantag, inte reglerad.