sou · H7B358 · 2019-12-18 00:00:00 — Det EG-direktiv31 som föregick EU:s dataskyddsförordning inne- höll inga specifika bestämmelser om arkiv eller arkivering. Direkti- vet implementerades huvudsakligen genom den numera upphävda Kompletterande bestämmelser till EU:s dataskyddsförordning (SOU 2017:39). 2017/18:105. 31Europaparlamentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Reglering av enskilda arkivsektorn personuppgiftslagen (1998:204). I förarbetena till personuppgifts- lagen gjordes bedömningen att myndigheternas bevarande av all- männa handlingar var tillåtet enligt de grundläggande bestämmelserna i dataskyddsdirektivet. I betänkandet konstaterades att bevarande av allmänna handlingar utgör en förutsättning för att offentlighetsprinci- pen i tryckfrihetsförordningen ska kunna uppfylla sina syften. Vidare sägs i betänkandet: De ändamål som bevarandet av myndighetsarkiven skall tillgodose kan hänföras under vad som i EG-direktivet kallas ”historiska, statistiska och vetenskapliga ändamål”. Det är således inte nödvändigt att myndig- heterna redan när personuppgifterna samlas in uttryckligen anger arki- vering och bevarande som ett ändamål för behandlingen. Är en myndig- hets primära hantering av uppgifterna tillåten, kan det inte anses oför- enligt med den primära hanteringen att bevara uppgifterna. Det kan inte heller anses oförenligt med de ursprungligen angivna ändamålen att myndigheten lämnar över sina handlingar till en arkivmyn- dighet för långtidsförvaring. Myndigheterna är rättsligt förpliktade att bevara allmänna handlingar, och bevarandet är också en arbetsuppgift av allmänt intresse. Den behandling av icke känsliga personuppgifter som bevarandet utgör är således tillåten enligt artikel 7.32 En uttrycklig bestämmelse infördes i 8 § andra stycket första meningen personuppgiftslagen där det fastställdes att bestämmelserna i personuppgiftslagen inte hindrade att en myndighet arkiverade och bevarade allmänna handlingar eller att arkivmaterial togs om hand av en arkivmyndighet. Ett särskilt undantag ansågs dock nödvändigt för att myndigheterna skulle kunna bevara också känsliga person- uppgifter. Det aktuella undantaget i 8 § andra stycket första meningen omfattade även den insamling och det långtidsbevarande av person- uppgifter som sker hos de särskilda arkivmyndigheterna. Person- uppgiftsbehandlingen i myndigheternas arkiv var således direkt reglerad medan övriga arkiv inte nämns i lagen. I 9 § andra stycket personuppgiftslagen infördes en bestämmelse av betydelse för arkiven. Där stadgades att en behandling av person- uppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses som oförenlig med de ändamål för vilka uppgifterna sam- lades in. Av betänkandet framgår att vid behandling för historiska ändamål, är det i första hand bevarandet av arkiv som kommer i blickfånget. Det kan visserligen inte uteslutas att bevarandet för framtiden av en enstaka personuppgift skulle kunna ske 32Personuppgiftslag (prop. 1997/98:44), s. 47–48. Reglering av enskilda arkivsektorn för sådana historiska ändamål som avses. Men huvudfallet är nog ändå det bevarande av uppgiftssamlingar för framtiden som myndig- heter och enskilda kan ägna sig åt.33 I 10 § personuppgiftslagen infördes en uttömmande uppräkning av i vilka fall behandling av personuppgifter var tillåten och i 10 § d stadgades att personuppgifter fick behandlas bara om behandlingen var nödvändig för att utföra en arbetsuppgift av allmänt intresse. I förarbetena nämns att arkivering kan vara exempel på en arbets- uppgift som kan vara av allmänt intresse.34 11.5Gällande bestämmelser – dataskyddslagen Enligt EU:s dataskyddsförordning är en av grundförutsättningarna för att få behandla personuppgifter, att det ska finnas en rättslig grund för behandlingen. De rättsliga grunderna räknas upp i artikel 6.1. Uppräkningen är uttömmande, vilket innebär att behandlingen inte laglig och inte får utföras om inte någon av de angivna grunderna som anges är uppfylld. Behandling är enligt bestämmelsen laglig endast om och i den mån som åtminstone ett av de villkor som räknas upp är uppfyllt: a)Den registrerade har lämnat sitt samtycke till att dennes person- uppgifter behandlas för ett eller flera specifika ändamål. b)Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås. c)Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. d)Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person. e)Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndig- hetsutövning. 33SOU 1997:39, s. 356. 1997/98:44, s. 121. Se även SOU 1997:39, s. 364. Reglering av enskilda arkivsektorn f)Behandlingen är nödvändig för ändamål som rör den personupp- giftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, sär- skilt när den registrerade är ett barn. Bestämmelsen är direkt tillämplig i svensk rätt men det har införts en s.k. upplysningsbestämmelse i 2 kap. 2 § dataskyddslagen. Para- grafen är avsedd att vara en vägledning för rättstillämpningen i och anger att personuppgifter får behandlas med stöd av artikel 6.1 e i EU:s dataskyddsförordning, om behandlingen är nöd- vändig 1.för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har med- delats med stöd av lag eller annan författning, eller 2.som ett led i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan författning. Ändamålet för behandlingen behöver inte framgå men ändamålet med varje enskild behandling måste dock vara nödvändigt för att ut- föra den fastställda uppgiften. Bestämmelsen uttrycker det samband som måste finnas mellan behandlingen och den fastställda uppgiften och riktar sig till den som bestämmer de särskilda ändamålen för be- handlingen, vilket i normalfallet är den personuppgiftsansvarige men i vissa fall även kan vara lagstiftaren. I 2 kap. 3 § dataskyddslagen anges den rättsliga grunden för en- skilda arkiv: enskilda arkiv får behandla personuppgifter för arkiv- ändamål av allmänt intresse i enlighet med föreskrifter som meddelas av . 11.5.2Vad är uppgift av allmänt intresse? Rent språkligt kan begreppet uppgift av allmänt intresse antas avse något som är av intresse för eller berör många människor på ett bre- dare plan, i motsats till ett särintresse eller ett enskilt intresse. Begreppet allmänt intresse definieras inte i EU:s dataskyddsför- ordning. Av skäl 45 följer dock att allmänintresset inbegriper hälso- Reglering av enskilda arkivsektorn och sjukvårdsändamål, folkhälsa, socialt skydd och förvaltning av hälso- och sjukvårdstjänster. I förarbetena till dataskyddslagen konstaterar också regeringen att begreppet är EU-rättsligt och att det inte kan definieras i natio- nell lagstiftning. Begreppet måste i stället ges utrymme att utvecklas i rättstillämpningen.35 För att försöka tolka begreppet får man därför söka ledning i tidigare bestämmelser där begreppet används exem- pelvis i motsvarande bestämmelser i artikel 7 e dataskyddsdirektivet och 10 § d personuppgiftslagen där begreppet förekommer. I förarbetena till bestämmelserna om när behandling av person- uppgifter ska vara tillåten enligt personuppgiftslagen, exemplifieras arbetsuppgifter av allmänt intresse som arkivering, forskning och framställning av statistik.36 Vidare nämns etablerade idrottsorgani- sationers registrering av vilka personer som vunnit svenska mäster- skap eller innehar svenskt rekord i erkända sportgrenar. Där sägs också att den registrering som sker av personer som har fått allmänt erkända utmärkelser, t.ex. , kan vara en arbetsuppgift av allmänt intresse. Enligt betänkandet kan arbetsuppgiften utföras av en myndighet eller något enskilt subjekt. Vidare sägs att det faktum att någon själv kan tjäna pengar på att utföra arbetsuppgiften inte utesluter att den ändå kan vara av allmänt intresse, såsom när upp- gifter som tidigare skötts av det allmänna läggs ut på privata företag som drivs i vinstsyfte. I förarbetena till dataskyddslagen konstateras att myndigheters verk- samhet är av allmänt intresse.37 Verksamheten måste dock också vara fastställd i enlighet med unionsrätten eller den nationella rätten. Reger- ingen slår i propositionen fast att så är fallet; myndigheternas uppdrag och åligganden framgår av författningar, regeringsbeslut och kommu- nala reglementen, antagna i enlighet med regeringsformens bestäm- melser om normgivningskompetens och kommunalt självstyre. De åt- gärder som myndigheterna vidtar i syfte att utföra dessa uppdrag eller uppfylla dessa åligganden har därmed i sig en legal grund, som har offentliggjorts genom tydliga, precisa och förutsebara regler. 2017/18:105, s. 113. 36Integritet – Offentlighet – Informationsteknik (SOU 1997:39), s. 364. 2017/18:105, s. 56–57. Reglering av enskilda arkivsektorn I propositionen anges att även privata aktörer kan utföra fastställda uppgifter av allmänt intresse.38 Även här är förutsättningen att upp- giften är fastställd i enlighet med unionsrätten eller den nationella rätten. Regeringen konstaterar vidare att EU:s dataskyddsförordning i förhållande till den privata sektorn innebär en väsentlig förändring på så sätt att det är självklart att en personuppgiftsansvarig inom den sektor som utför en uppgift av allmänt intresse kan utföra nödvändig behandling av personuppgifter på den grunden. Genom kravet på att grunden för behandlingen ska fastställas i enlighet med unionsrätten eller den nationella rätten begränsas nämligen tillämp- ningsområdet för artikel 6.1 e. Det räcker inte att en behandling av personuppgifter är nödvändig för att utföra en uppgift av allmänt intresse – uppgiften måste också vara fastställd i enlighet med gäl- lande rätt.39 Om så är fallet finns det en rättslig grund för nödvändig behandling enligt artikel 6.1 e. utför också privaträttsliga organ en inte obetydlig del av de uppgifter som sannolikt skulle anses vara av allmänt intresse, även i begreppets mest snäva bemärkelse. Exempel på uppgifter av allmänt intresse inom den kommunala sektorn är förskoleverksamhet och skola, hälso- och sjukvård samt stöd och service till funktionshindrade. Inom den traditionellt stat- liga sektorn kan nämnas rikstäckande infrastruktur, kommunikation och energiförsörjning. bedrivs verksamheten alltjämt under eller statlig styrning, i form av kommunala eller statliga bolag, men på andra områden förekommer också enbart privata subjekt som är associationsrättsligt helt fristående från den offentliga sektorn. I propositionen anges att det kan finnas alternativa rättsliga grun- der för personuppgiftsbehandling. Om det råder tveksamhet om en verksamhet som bedrivs av en privaträttslig aktör, exempelvis ett en- skilt arkiv, är av allmänt intresse i unionsrättslig mening, är det i stället ofta möjligt att grunda nödvändig behandling av personuppgifter på en intresseavvägning i enlighet med artikel 6.1 f i dataskyddsförord- ningen eller att inhämta den registrerades samtycke. Detsamma gäller om verksamheten visserligen är av allmänt intresse, men uppgiften inte är fastställd i enlighet med vare sig unionsrätten eller den natio- nella rätten.40 2017/18:105, s. 56. Reglering av enskilda arkivsektorn 11.5.3Arkivändamål av allmänt intresse konstaterar i sitt betänkande att det i EU:s dataskyddsförordning finns ett antal bestämmelser som särskilt rör personuppgiftsbehandling för arkivändamål av allmänt intresse samt för vetenskapliga eller historiska forskningsändamål eller för statist- iska ändamål. Enligt artikel 5.1 b EU:s dataskyddsförordning gäller exempelvis att ytterligare behandling41 av personuppgifter för sådana ändamål, i enlighet med artikel 89.1, inte ska anses oförenlig med de ursprungliga ändamålen. Av artikel 5.1 e följer att personuppgifter får lagras än vad som normalt gäller, om uppgif- terna enbart kommer att behandlas för arkivändamål i allmänhetens intresse eller för vetenskapliga eller historiska forskningsändamål eller för statistiska ändamål. Den förlängda bevarandetiden gäller i den mån som lämpliga tekniska och organisatoriska åtgärder vidtas i enlighet med kraven i artikel 89.1 för att säkerställa de registrerades fri- och rättigheter.42 Bestämmelserna är, som hela EU: dataskyddsförordning, direkt tillämpliga i svensk rätt. Vad som ska avses med arkivändamål av all- mänt intresse är således också något som får utvecklas i rättstillämp- ningen. Beträffande vad som ska anses vara allmänt intresse anförs i betänkandet: I dataskyddsförordningen används begreppet arkivändamål av allmänt intresse, i stället för det som i dataskyddsdirektivet benämns historiska ändamål. Begreppet allmänt intresse är ett unionsrättsligt begrepp som inte med enkelhet låter sig avgränsas. Begreppet definieras varken i data- skyddsdirektivet eller i dataskyddsförordningen och dess innebörd har ännu inte heller utvecklats av . Rent språkligt kan be- greppet allmänt intresse antas avse något som är av intresse för eller be- rör många människor på ett bredare plan, i motsats till ett särintresse. Den närmare innebörden av begreppet arkivändamål av allmänt intresse, särskilt i förhållande till begreppet historiska forskningsändamål, behö- ver dock klargöras i rättstillämpningen, inte minst genom EU-domsto- lens praxis.43 41I används vanligen den vedertagna termen vidarebehandling. 42SOU 2017:39, s. 211–212. 43a.a., s. 214 f. Reglering av enskilda arkivsektorn Även i propositionen konstateras att begreppet arkivändamål av all- mänt intresse inte definieras i EU:s dataskyddsförordning: Begreppet arkivändamål av allmänt intresse definieras inte i dataskydds- förordningen. I dataskyddsdirektivet används i stället begreppet histo- riska ändamål. Det är oklart om någon skillnad i innebörd är avsedd. Den närmare innebörden av begreppet arkivändamål av allmänt intresse får därför klargöras i rättstillämpningen, särskilt i förhållande till be- greppet historiska forskningsändamål som i dataskyddsförordningen ofta används i samma bestämmelser.44 Regeringen slår ändå fast i propositionen att den behandling av per- sonuppgifter, som myndigheter och andra utför när de i enlighet med föreskrifter om arkiv arkiverar sina handlingar, utgör en vidarebe- handling som sker för arkivändamål av allmänt intresse. Exempel på sådana föreskrifter är tryckfrihetsförordningen och arkivlagen. Be- handlingen ska därmed enligt artikel 5.1 b inte anses som oförenlig med de ursprungliga ändamålen. Det krävs då inte någon annan rätts- lig grund än den med stöd av vilken insamlingen av personuppgifter medgavs.45 När en arkivmyndighet, t.ex. , övertar arkivmaterial från en annan myndighet övergår hela ansvaret för det materialet till arkiv- myndigheten. Den myndighet som har överlämnat materialet förfogar därefter inte längre över detta. Den myndigheten bestämmer inte heller längre över ändamålen eller medlen för arkivmyndighetens be- handling av de personuppgifter som förekommer i materialet. Det är i stället arkivmyndigheten som bär personuppgiftsansvaret för de be- handlingar som sker därefter. Detta innebär att det behövs en rättslig grund för arkivmyndigheternas behandling av de personuppgifter som finns i det övertagna materialet. Den behandlingen sker för att utföra en i arkivlagstiftningen fastställd uppgift av allmänt intresse, jfr ovan. Nödvändig behandling hos arkivmyndigheterna kan därmed ske med dessa bestämmelser som rättslig grund. Detta gäller även t.ex. när enligt sin instruktion tar emot arkivhandlingar från en- skilda som är av särskild betydelse för forskning och kulturarv. 2017/18:105, s. 110. 45a.a., s. 111. Reglering av enskilda arkivsektorn Den behandling av personuppgifter som sker av andra än myndig- heter kan också omfattas av arkivändamål av allmänt intresse. I pro- positionen sägs: Även de som inte omfattas av arkivlagstiftningen kan i vissa fall behandla personuppgifter för arkivändamål av allmänt intresse. Av skäl 158 till data- skyddsförordningen framgår att ett sådant organ bör ha en rättslig skyl- dighet att förvärva, bevara, bedöma, organisera, beskriva, kommunicera, främja, sprida och ge tillgång till uppgifter av bestående värde för all- mänintresset. Medlemsstaterna bör enligt samma skäl ha rätt att före- skriva att personuppgifter får vidarebehandlas för arkivering, exempel- vis i syfte att tillhandahålla specifik information om politiskt beteende under tidigare totalitära regimer, folkmord, brott mot mänskligheten, särskilt Förintelsen, eller krigsförbrytelser.46 Enligt regeringen uppstår här en osäkerhet rörande regleringen av de enskilda arkivinstitutionernas verksamhet. För att dessa arkiv ska omfattas av bestämmelserna i dataskyddsförordning kan ett klargörande av de nationella reglerna krävas. skickade ut sitt förslag till föreskrifter i enlighet med bemyndigandet i 7 § förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning. har angivit att det övergripande syftet med föreskrif- terna är att reglera behandlingen av personuppgifter som kan anses ske för arkivändamål av allmänt intresse inom den enskilda sektorn. utgångspunkt är att om en personuppgiftsansvarig ut- för arkivverksamhet av allmänt intresse, uppfyller behandlingen av personuppgifterna inom denna verksamhet villkoren för laglig be- handling enligt EU:s dataskyddsförordning artikel 6.1 e. Förslaget till föreskrifter anger vad som krävs för att en arkiv- verksamhet ska anses vara en uppgift av allmänt intresse. Vidare anger förslaget vilka förpliktelser, med hänsyn till behandling av person- uppgifter det innebär, utöver det som anges i EU:s dataskydds- förordning. Sista datum för att lämna svar på remissen var den 16 sep- tember 2019. 2017/18:105, s. 112–113. Reglering av enskilda arkivsektorn Förslaget innebär att föreskrifter ska gälla för per- sonuppgiftsansvariga inom den enskilda sektorn som inte enligt EU:s dataskyddsförordning omfattas av föreskrifter om arkiv. Före- skrifterna får även avse behandling av känsliga personuppgifter. ska pröva och besluta om en personuppgiftsansvarig be- driver en arkivverksamhet av allmänt intresse. Personuppgiftsansvariga får ansöka skriftligen till om en prövning av verksamheten. En personuppgiftsansvarig som ansöker om en sådan prövning ska kunna visa att denne i sin dagliga verksamhet på ett professionellt sätt förvärvar, bevarar, bedömer, organiserar, beskriver, tillhandahåller, informerar om och främjar användandet av handlingar och information av bestående värde för allmänintresset. Formuleringen känns igen från skäl 158 till EU:s dataskyddsförord- ning. Vidare ställer krav på att arkivverksamheten ska drivas inom stabila ekonomiska och organisatoriska ramar och utföras av personal med relevant akademisk utbildning, alternativt med ledning och översyn av sådan personal och att den personuppgiftsansvarige i sin verksamhet ska respektera grundläggande demokratiska principer, inklusive jämställdhet och förbud mot diskriminering. Dessa förut- sättningar återfinns dock inte i EU:s dataskyddsförordning. fick elva svar på sin remiss. De lämnade synpunkterna varierade men ingen av remissinstanserna har avstyrkt förslaget i sin helhet. Några allmänna synpunkter som lämnades var att förslaget innebär ett ökat inflytande för staten, genom , över de enskilda arkivens verksamhet och att handläggnings- börda kan bli orimlig. Flera av remissinstanserna har föreslagit att bör avvakta denna utrednings betänkande. , , är en officiell expertgrupp under Europeiska kommissionen. Den bildades och består av re- presentanter för nationella arkiv i EU:s medlemsländer. repre- senteras av . EAG:s uppdrag är att säkerställa samarbete och samordning av frågor som rör arkiv. EAG rådgivande till kom- missionen i arkivfrågor. Reglering av enskilda arkivsektorn EAG har sammanställt riktlinjer för arkivens behandling av per- sonuppgifter. Riktlinjerna tillhandahåller grundläggande informa- tion om och, i viss mån, praktiska råd till arkivarier avseende de sär- skilda utmaningar som tillämpningen av EU:s dataskyddsförordning utgör inom arkivsektorn. Riktlinjerna är inte avsedda att utgöra ett juridiskt dokument utan är, som nämnts, endast råd. Riktlinjerna är allmänt hållna och inte särskilt konkreta. Eftersom riktlinjerna vilar på unionsrätten ges inga definitioner eller tolk- ningar av de begrepp som används i EU:s dataskyddsförordning. Riktlinjerna ger således inte någon ytterligare vägledning för tolk- ningen av bestämmelserna om personuppgiftsbehandling som utförs av enskilda arkivbildare eller arkivinstitutioner.47 11.5.6Det finansiella stödet till vissa enskilda arkivinstitutioner Som framgår av kapitel 10 kan enskilda arkivinstitutioner erhålla olika former av statsbidrag. Beslutande myndigheter är Statens kultur- råd respektive . Av 1 § förordningen (2012:515) med in- struktion för framgår att myndigheten har till uppgift att, med utgångspunkt i de nationella kulturpolitiska målen, verka för kulturens utveckling och tillgänglighet genom att fördela och följa upp statliga bidrag och genom andra främjande åtgärder. Vidare framgår det av 10 § förordningen (2009:1593) med instruktion för att myndigheten ska främja utvecklingen av enskild arkivverksamhet genom fördelning av statliga bidrag. Det ingår såle- des i dessa myndigheters myndighetsutövning att fördela statsbidrag. Man bör naturligtvis kunna förutsätta att handläggningen vid de två myndigheterna sköts på ett korrekt sätt och att besluten om bi- drag därför uppfyller alla villkor och kriterier som ställs. En särskild garanti för detta är att myndigheterna och deras tjänstemän står under tillsyn av såväl ombudsmän () som Justitie- kanslern. Tillsynen har till syfte att kontrollera att lagar och andra författningar efterlevs. 47European archives group. Guidance on data protection for archive services. EAG guidelines on the implementation of the Protection Regulation in the archive sector. Reglering av enskilda arkivsektorn Ändamålet med fördelning av detta statsbidrag är enligt 4 § förord- ningen (2010:2012) om fördelning av vissa statsbidrag till regional kulturverksamhet att statsbidraget ska bidra till att de nationella kultur- politiska målen uppnås samt ge ökade möjligheter till regionala prioriteringar och variationer. Enligt 8 § ska ansvara för att bidragsgivningen enligt förordningen främjar en god tillgång för länets invånare till bl.a. regional enskild arkivverksamhet. Bidraget är baserat på den regionala, dvs. I förord- ningen finns också krav på att det landsting som fördelar statsbidrag ska följa upp hur medlen har använts och vilka effekter som upp- nåtts. Resultatet ska redovisas till . Syftet med detta bidrag är att främja regional arkivverksamhet och att bättre integrera arkivområdet i den regionala kulturpolitiken, 7 § förordningen (1996:1598) om statsbidrag till regional kulturverk- samhet. Ansökan om bidrag ska göras hos men fördelar stödet till de regionala arkivinstitutionerna. De arkivinstitutioner som får bidrag ska rapportera till Riks- arkivet hur man använt medlen. Detta bidrag kan ges till sådana enskilda arkiv som inte omfattas av kultursamverkansmodellen. Bidraget beslutas av . Enligt riktlinjer prioriteras nationella, enskilda arkivinstitu- tioner och dito arkivföreningar samt organisationer eller institu- tioner av nationell karaktär och räckvidd som på ett betydande sätt främjar arkivforskning. förutsätter att samlingarna och sökverktygen i möjligaste mån och på lika villkor är öppna och till- gängliga för allmänhet och forskning.