sou · H9B332 · 2022-01-01 00:00:00 — Här möjliggör alltså dataskyddsförordningen kompletterande natio- nell lagstiftning. Sådan lagstiftning ska även fastställa lämpliga skyddsåtgärder. Att andra än myndigheter får behandla uppgifter om lagöverträdelser om det behövs för att följa föreskrifter om arkiv följer av 3 kap. 8 § andra stycket dataskyddslagen. Sådana person- uppgifter får också behandlas av andra än myndigheter om behand- lingen är nödvändig för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras, eller för att en rättslig förpliktelse enligt lag eller förordning ska kunna fullgöras. Detta följer av 5 § förordning (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning. Som vi konstaterat tidigare utgör inte pliktregelverket som sådant föreskrifter om arkiv enligt dataskyddslagen. KB ska enligt vårt för- slag kunna överlämna pliktmaterial till andra myndigheter eller organ i enlighet med de förutsättningar som anges i pliktregelverket. Ett sådant överlämnande ska även kunna ske av material som inne- håller personuppgifter om lagöverträdelser. Detsamma gäller möjlig- heten för KB och att besluta om att pliktmaterial som de bevarar ska tillhandahållas hos annan. För att pliktmaterial som innehåller personuppgifter om lagöverträdelser ska kunna hanteras av ett organ som inte är en myndighet krävs kompletterande bestäm- melser. Enligt vårt förslag ska behandling av personuppgifter som rör lagöverträdelser som avses i artikel 10 dataskyddsförordningen få ske hos ett sådant organ när organet hanterar pliktmaterial på uppdrag av KB eller . Bestämmelsen ska förenas med skydds- åtgärder på det sätt som framgår i nästa avsnitt. Den som är skyldig att lämna pliktmaterial enligt pliktregelverket får behandla uppgifter om lagöverträdelser med stöd av 5 § förord- ningen med kompletterande bestämmelser till EU:s dataskydds- förordning, eftersom skyldigheten att lämna pliktmaterial utgör en rättslig förpliktelse. Någon kompletterande bestämmelse behövs därför inte i den delen. Bedömning: För behandling av känsliga personuppgifter i all- männa handlingar, t.ex. i upprättande register som kataloger över samlingarna, innehåller svensk rätt sådana lämpliga och särskilda åtgärder som skyddar enskildas integritet som krävs enligt artikel 9.2 j, t.ex. sekretess, föreskrifter om informationssäkerhet och gallring. Ytterligare skyddsåtgärder behöver inte införas i lag när det gäller behandling av personuppgifter som förekommer i all- männa handlingar. Förslag: Följande skyddsåtgärder ska införas i pliktmateriallagen. –För personal hos KB samt hos andra myndigheter och organ som hanterar pliktmaterial ska tillgången till personuppgifter begränsas till det som varje anställd behöver för att kunna full- göra sina arbetsuppgifter. –Åtkomst till digitalt lagrat pliktmaterial ska endast få ges till en registrerad användare. Vid registreringen ska användaren identi- fiera sig. Användningen ska loggas. –Pliktmaterial får inte tillhandahållas på ett sådant sätt att den som får tillgång till materialet får åtkomst till att spara en digital version av materialet om det är olämpligt med hänsyn till skyd- det för personuppgifter. –Direktåtkomst till pliktmaterial som samlats in genom egen- insamling får medges med KB:s utrustning i myndighetens lokaler. Direktåtkomst ska också få ges på annat sätt om mot- svarande säkerhetsnivå kan upprätthållas. Sådant pliktmaterial får också tillhandahållas på motsvarande sätt hos en annan myn- dighet eller ett annat organ efter beslut av KB. Direktåtkomst får endast medges sedan användaren identifierat sig. –KB ska i enskilda fall få besluta om undantag eller avvikelser från bestämmelserna om skyddsåtgärder beträffande åtkomst till pliktmaterialet vid tillhandahållande av material för sådan forsk- ning som bedrivs inom ramen för universitet eller högskolor eller som godkänts enligt etikprövningslagen. För att känsliga personuppgifter ska få behandlas är det inte tillräckligt att något av undantagen i artikel 9.2 är tillämpligt. Artikel 9.2 j ställer som ovan nämnts krav på att gällande rätt innehåller bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den regi- strerades grundläggande intressen. Motsvarande krav gäller inte för behandling som sker med stöd av artikel 9.2 e. Valet av skydds- åtgärder får effekt på värdet av pliktlagstiftningen. Dataskyddsförordningen anger sällan att vissa specifika skydds- åtgärder ska vidtas. I några sammanhang används termerna ”skydds- åtgärder”, ”tekniska och organisatoriska åtgärder” eller liknande till- sammans med en exemplifierande uppräkning. I artikel 32 anges att den personuppgiftsansvarige ska vidta lämpliga tekniska och organi- satoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken och anger bl.a. pseudonymisering och kryptering som sådana slags åtgärder i de fall det är lämpligt. Av artikel 89.1 framgår att lämpliga skyddsåtgärder får inkludera pseudonymisering under förutsättning att ändamålen kan uppfyllas på det sättet. I skäl 78 anges ett antal övriga skyddsåtgärder som främst är organisatoriska till sin natur. Sådana åtgärder kan bland annat bestå av att uppgifts- behandlingen minimeras, att personuppgifter möjligt pseudo- nymiseras, att öppenhet om personuppgifternas syfte och behandling iakttas, att den registrerade får möjlighet att övervaka uppgiftsbehand- lingen och att den personuppgiftsansvarige får möjlighet att skapa och förbättra säkerhetsanordningar. Utöver sådana skyddsåtgärder som nämns i dataskyddsförordningen finns i svensk rätt andra former av skyddsåtgärder, t.ex. sökbegränsningar och sekretessbestämmelser. Ansvaret för att varje enskild personuppgiftsbehandling uppfyller dataskyddsförordningens krav på lämpliga och särskilda skydds- åtgärder åvilar alltid den personuppgiftsansvarige.24 Dataskyddsförordningen saknar särskilda bestämmelser om sök- ning eller användning av s.k. sökbegrepp. Sökning och sammanställ- ning av uppgifter som sker elektroniskt utgör dock behandling av personuppgifter och omfattas av dataskyddsförordningens bestäm- melser. Sökbegrepp som använder känsliga personuppgifter är typiskt sett förknippade med särskilda risker i integritetshänseende. Vid bedömningen av om sökbegrepp som använder känsliga personupp- gifter bör vara tillåtna måste en avvägning göras mellan intresset av effektivitet i verksamheten, användarnas behov och risken för integ- 2017/18:298, s. 80. Detsamma gäller sökningar som avslöjar uppgifter om lagöverträdelser. Eventuella bestämmelser som begränsar tillåtna sökbegrepp bör alltså ta sikte på sökningar som typiskt sett medför särskilda integritetsrisker. Av 4 kap. 1 § dataskyddslagen följer att personuppgifter som behandlas enbart för arkivändamål av allmänt intresse endast får användas för att vidta åtgärder i fråga om den registrerade om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Vid behandling av personuppgifter för arkivändamål inom ramen för plikt- lagstiftningen torde det inte komma ifråga att vidta åtgärder ifråga om den registrerade. Kompletterande skyddsåtgärder för behandling av personuppgifter som förekommer i allmänna handlingar behöver inte införas När det gäller uppgifter som förekommer i allmänna handlingar kan konstateras att regeringen gjort bedömningen att svensk rätt inne- håller sådana lämpliga och särskilda åtgärder som skyddar enskildas integritet som krävs enligt artikel 9.2 j dataskyddsförordningen, t.ex. i form av bestämmelser om sekretess, rätt till partsinsyn samt föreskrifter om informationssäkerhet och gallring. Detta gäller enligt regeringen i synnerhet bestämmelserna om sekretess, efter- som dessa har utformats efter en avvägning mellan behovet av skydd och intresset av insyn. Ytterligare skyddsåtgärder hos myndigheter kan vid behov införas i sektorspecifika författningar.25 När det gäller känsliga personuppgifter som förekommer i kata- logposterna över samlingarna anser vi inte att det är lämpligt med skyddsåtgärder i form av sökbegränsningar. För att kunna få fram relevanta källor måste det vara möjligt att även söka på känsliga personuppgifter. Detta gäller även sökningar som utförs för att få fram ett urval av personer, som en viss grupp av författare (t.ex. av samiskt ursprung). Det är av naturliga skäl inte heller möjligt att använda sig av pseudonymisering eller anonymisering eller liknande skyddsåtgärder i detta avseende. Vi anser inte heller att det är lämp- ligt att genom lag begränsa vilken typ av uppgifter som får införas i katalogerna. Särskilda bestämmelser, som skiljer sig från vad som 2017/18:105, s. 116 och 119. annars gäller vid katalogisering hos bibliotek, bör inte gälla för plikt- material. Enligt vår bedömning utgör befintliga bestämmelser om sekretess m.m. tillräckliga skyddsåtgärder i detta avseende. Kom- pletterande skyddsåtgärder behövs därför inte. Sökbegränsningar är inte en lämplig skyddsåtgärd för personuppgifter i det insamlade materialet Det är med nu befintlig teknik generellt sett svårare att söka i och sammanställa personuppgifter som förekommer i audiovisuellt material än i textmaterial. Att så är fallet utgör i sig ett visst skydd för personuppgifter om förekommer i det audiovisuella materialet. Detsamma gäller också uppgifter som lagras på annat sätt än i data- filer. Stora delar av det pliktinsamlade digitala materialet utgörs dock av textmaterial som lagras som datafiler. Detta gäller såväl digitaliserade skrifter som material som samlas in med e-plikt. Detsamma gäller material som samlas in genom egeninsamling. Det är svårt att förutse framtida sökmöjligheter med hänsyn till teknik- utvecklingen, varför begränsade sökmöjligheter till följd av nu- varande teknik inte bör betraktas som skyddsåtgärder i sig. Det är inte heller när det gäller uppgifter som förekommer i det insamlade materialet möjligt att använda pseudonymisering, anony- misering eller dylikt som skyddsåtgärder. Med hänsyn till plikt- lagstiftningens syfte är det, enligt vår bedömning, inte lämpligt att helt begränsa tillgången till det pliktinsamlade materialet till den pliktmottagande myndighetens lokaler. Det är inte heller lämpligt att tillgången begränsas genom spärrtider. Ett alternativ skulle kunna vara att använda sökbegränsningar som skyddsåtgärder på så sätt att känsliga personuppgifter och upp- gifter om lagöverträdelser inte får användas som sökbegrepp vid sökning i det pliktinsamlade materialet. Det är dock svårt att se hur detta skulle lösas i praktiken i förhållande till tillhandahållandet av pliktmaterialet. Med hänsyn till materialets omfång och typ framstår det som i princip omöjligt att identifiera alla ord och kombinationer därav som skulle behöva spärras för sökning för att en sådan regel skulle kunna efterlevas. För att syftet med plikten ska kunna uppfyllas måste materialet också kunna användas på ett ändamålsenligt sätt, t.ex. för att få fram källmaterial om en viss religion, fackförening, sjukdom, brott eller liknande. Vidare pågår en utveckling av forskningsmetoder inom bl.a. samhällsvetenskap och humaniora som bygger på att med hjälp av teknik undersöka mycket stora mängder information för att finna mönster, tendenser etc. Möjligheterna att utveckla sådan forsk- ning skulle allvarligt försvåras genom begränsningar av möjligheten att använda känsliga personuppgifter som sökbegrepp. Vi föreslår där- för inte sökbegränsningar som skyddsåtgärd. Tillgången till personuppgifter ska begränsas till det som varje anställd behöver för att kunna fullgöra sina arbetsuppgifter Personuppgiftsbehandling ska inte utföras i större utsträckning än vad som är nödvändigt. För personal hos KB samt hos andra myn- digheter och organ som hanterar pliktmaterial ska tillgången till personuppgifter därför begränsas till det som varje anställd behöver för att kunna fullgöra sina arbetsuppgifter. En sådan bestämmelse ska införas i pliktmateriallagen. Innebörden av bestämmelsen är att det ska finnas ett berättigat behov av åtkomst. Det ska alltså finnas ett reellt behov eller att behovet kan förutses finnas i verksamheten. Det är tillräckligt att det finns ett potentiellt behov av åtkomst för att sådan ska medges. En medarbetare får alltså ha åtkomst till sådana uppgifter som det är tänkbart att han eller hon behöver utifrån sina arbetsuppgifter. Det ankommer på respektive myndighet eller annat organ att följa upp detta, t.ex. genom loggkontroller. Åtkomst till digitalt lagrat pliktmaterial ska endast få ges till registrerade användare. Vid registreringen ska användaren identifiera sig. Användningen ska loggas. Vi anser att en lämplig skyddsåtgärd är att det digitala pliktmaterialet endast ska vara tillgängligt för registrerade användare. Detta ska gälla oavsett om materialet samlats in i digital form eller om det har digi- taliserats efter insamling. Krav på registrering ska, som framgått ovan, inte gälla för åtkomst till katalogposter över samlingarna. Person- uppgifter i katalogerna skyddas genom bestämmelserna om allmänna handlingar och sekretess m.m. Kravet på registrering avser åtkomst till det insamlade materialet som sådant. Detta innebär att endast den som registrerat sig för sådan åtkomst ska ges tillgång till materialet. krav på identifiering. Användaren måste alltså legitimera sig för att erhålla ett användarkonto eller motsvarande. Däremot innebär kravet inte att identifiering ska ske vid varje användning. I detta avseende är det tillräckligt att inloggning sker med användarkonto för åtkomst. Som ytterligare skyddsåtgärd ska gälla att användningen ska loggas så att det t.ex. går att spåra vem som tagit del av ett visst pliktmaterial, om materialet skrivits ut, sparats eller vidarebefordrats. Att logga infor- mation om användning av datorer, databaser och andra tjänster kan stävja missbruk. Denna typ av loggning kan ses som en del av sådana säkerhetsåtgärder som den personuppgiftsansvarige är skyldig att vidta enligt artikel 32 dataskyddsförordningen. Uppgifter om vad en enskild lånat eller på annat sätt tagit del av är inte känsliga personuppgifter i dataskyddsförordningens mening. Datoriserade utlåningssystem inne- bär dock möjligheter till kartläggning av enskildas läsvanor, vilket kan utgöra ett hot mot den personliga integriteten. Sådana uppgifter som förekommer i loggar och användarregister skyddas av 40 kap. 3 § OSL. Åtkomst till att spara digitala versioner av pliktmaterialet får inte ges om det är olämpligt med hänsyn till skyddet för personuppgifter Det är vanligt att bibliotekens användare tar kopior av fysiskt material genom skanning för eget bruk, att digitala kopior skickas till e-post eller sparas på databärare etc. Sådana åtgärder framstår som praktiska och ändamålsenliga för såväl som besökaren. I de allra flesta fall innebär de inte heller något allvarligt hot mot den personliga integriteten. Om det däremot sker i stor omfattning eller det på något sätt framgår att syftet är att kartlägga enskilda fysiska personer, kan det dock vara problematiskt. Enligt vårt förslag får pliktmaterial inte tillhandahållas på ett sådant sätt att den som tar del av det kan spara en digital version om det är olämpligt med hänsyn till skyddet för personuppgifter. Att tillhanda- hålla pliktmaterial på ett sådant sätt att användaren kan spara en digital version av materialet kan exempelvis anses olämpligt om det tillhanda- hållna materialet innehåller särskilt känsliga personuppgifter, stora datamängder av integritetskränkande kartläggningar och sammanställ- ningar av personuppgifter som ursprungligen behandlats med laglig grund eller om det kan antas att uppgifterna kommer att behandlas i strid med dataskyddsförordningen. Det ankommer på den som till- handahåller materialet att avgöra i vilka fall det är olämpligt att en enskild användare kan spara en digital version av materialet. För material som kan innehålla integritetskänsliga uppgifter finns det alltså skäl för den personuppgiftsansvarige att ordna åtkomsten till materialet på ett sådant sätt att materialet endast kan sparas eller lämnas ut digitalt efter prövning av behörig personal. En sådan lösning kan t.ex. vara lämplig för egeninsamlat material från sociala medier. Sådant material kan innehålla integritetskänsliga uppgifter, t.ex. bilder, filmer eller andra uppgifter som rör barn. Barns personupp- gifter förtjänar enligt dataskyddsförordningen ett särskilt skydd.26 Det kan noteras att material endast får lämnas ut digitalt om annan lagstiftning tillåter det.27 Särskilda skyddsåtgärder för egeninsamlat material Vi har i avsnitt 9.5.1 behandlat egeninsamlingen i förhållande till den personliga integriteten. Som vi där konstaterade anser vi att det är av stor vikt att sådant som offentliggörs t.ex. på internet men inte om- fattas av leveransplikt samlas in för att det pliktinsamlade materialet på ett ändamålsenligt sätt ska kunna uppfylla de demokrati-, kultur- arvs- och forskningsaspekter som lyfts fram i lagens inledande paragraf. Att myndigheter samlar in nätpublicerat material kan dock utgöra ett ingrepp i den personliga integriteten för den vars person- uppgifter förekommer i det insamlade materialet. Till skillnad från vad som ska gälla för leveransplikten träffar egeninsamlingen mate- rial som har publicerats av enskilda utan grundlagsskydd och där publiceringen inte heller skett yrkesmässigt. Det är fråga om ett om- fattande material som kan innehålla integritetskänsliga uppgifter. Insamlingen kan också träffa material som har publicerats av barn. Detta innebär enligt vår bedömning att det bör införas särskilda skyddsåtgärder för material som samlats in med egeninsamling. Enligt vårt förslag får direktåtkomst till pliktmaterial som samlats in genom egeninsamling medges med KB:s utrustning i myndig- hetens lokaler. Begreppet direktåtkomst innebär här att en person, 26Se skäl 38 och 75 dataskyddsförordningen. Det kan i detta sammanhang noteras att alla person- uppgifter som rör barn inte är att betrakta som integritetskänsliga. Det är skillnad på uttryck av mer privat karaktär som texter, bilder, filmer etc. och uttryck för deltagande i den offentliga debatten och opinionsbildningen, t.ex. rörelsen Fridays for Future. 27Jfr t.ex. URL och förslag till lag om öppna data och vidareutnyttjande av information från myndigheter och offentliga företag, SOU 2020:55. som inte är anställd hos KB, har åtkomst till materialet på ett sådant sätt att han eller hon självständigt kan söka i det, läsa det etc. Det- samma gäller enligt kulturarw3-förordningen. För att minska inlåsningseffekten anser vi dock att bestämmelsen bör kompletteras så att KB kan ge direktåtkomst till materialet även på annat sätt. Detta förutsätter dock att motsvarande säkerhetsnivå kan uppnås. Vid åtkomst till materialet via myndighetens egen utrustning och i myndighetens lokaler möjliggörs att åtkomst endast ges till den som identifierar sig och loggar in i myndighetens system. Det innebär också att användningen kan loggas. Av bestämmelsen ska också följa att direktåtkomst endast får medges sedan användaren identifierat sig. Detta innebär ett krav på legitimering vid varje användning. För att motsvarande säkerhetsnivå ska kunna uppnås vid direktåtkomst som ges på annat sätt än i , t.ex. på så sätt att digital åtkomst ges till myndighetens system, förutsätts alltså säker identifiering. Detta ställer krav på att åtkomst endast ges till den som identifierar sig, t.ex. genom e-legiti- mation. Användningen ska liksom vid annan användning av digitalt material loggas. Det innefattar också ett krav på att överföringen från KB till användaren kan ske på ett säkert sätt. Direktåtkomst till det egeninsamlade materialet ska också kunna medges på motsvarande sätt hos en annan myndighet eller ett annat organ efter beslut av KB, dvs. åtkomst via myndighetens eller organets egen utrustning i myndighetens eller organets lokaler. Kraven på identifiering och loggning gäller även i dessa fall. Möjlighet att bevilja undantag för viss forskning När det gäller forskning som utförs inom ramen för universitet och högskolor, på lägst forskarutbildningsnivå, samt etikprövad forskning finns inte skäl för samma restriktivitet i tillhandahållandet i förhållande till dataskyddsregleringen. Den som utför sådan forskning har att följa etiska regler, t.ex. bestämmelserna i etikprövningslagen. Nämnda lag innehåller bestämmelser om att forskning som innefattar känsliga personuppgifter eller uppgifter som rör lagöverträdelser bara får ut- föras om den godkänts vid etikprövning. Enligt 3 a § högskolelagen (1992:1434) ska högskolorna värna vetenskapens trovärdighet och god forskningssed i sin verksamhet. I lagen (2019:504) om ansvar för god forskningssed och prövning av oredlighet i forskning finns bestäm- melser om forskares och forskningshuvudmäns ansvar för att forsk- ning utförs i enlighet med god forskningssed och om att en särskild nämnd ska pröva frågor om oredlighet i forskning. Den sistnämnda lagen innehåller särskilda bestämmelser om personuppgiftsbehandling. Enligt vårt förslag ska KB beträffande sådan forskning i enskilda fall få besluta om undantag eller avvikelser från bestämmelserna om kravet på identifierad registrerad användning och loggning, möjlig- heten att spara digitala kopior och direktåtkomst till egeninsamlat material. KB ska med stöd av bestämmelsen t.ex. kunna besluta om att, inom ramen för ett forskningsprojekt, ge en viss forsknings- huvudman direktåtkomst till pliktmaterial i större utsträckning än vad som följer av lagen. En annan möjlighet skulle vara att medge åtkomst till materialet i ett sådant projekt utan att ställa krav på identifierad registrering av de enskilda forskare som deltar i projektet. De föreslagna skyddsåtgärderna gäller all behandling av personupp- gifter och är alltså inte begränsade till behandling av känsliga person- uppgifter eller uppgifter om lagöverträdelser. Det är därför inte till- räckligt att föreslå att beslut om undantag ska kunna beviljas för sådan forskning som godkänts enligt etikprövningslagen utan denna möjlig- het bör föreligga beträffande all forskning som utförs inom ramen för universitet och högskolor, på lägst forskarutbildningsnivå. Förslag: Den registrerades rätt till rättelse enligt artikel 16 och rätt att göra invändningar enligt artikel 21 dataskyddsförordningen ska inte gälla för behandling av personuppgifter vid hantering av plikt- material enligt pliktmateriallagen eller föreskrifter som har med- delats i anslutning till den lagen. Undantagen ska inte gälla beträffande uppgifter som förekommer i leverantörs- och användar- register. Bestämmelser om detta ska införas i nationell rätt genom utredningens förslag till ny pliktmateriallag. Dataskyddsförordningens bestämmelser om de registrerades rättig- heter finns i artikel 12–22 och artikel 34. Artikel 12 innehåller över- gripande bestämmelser om bl.a. hur och i vilken form information ska lämnas till de registrerade samt tidsfristerna för detta. behandlas inte vidare nedan. I artikel 13–22 och artikel 34 regleras de registrerades rättigheter relativt detaljerat. Artikel 22 gäller automati- serat individuellt beslutsfattande. Sådana beslut som avses i artikeln förekommer inte vid hanteringen av pliktmaterial, varför den inte behandlas vidare. Artikel 34 gäller information till den registrerade om en personuppgiftsincident. Inte heller denna behandlas nedan. Det kan konstateras att flera av de rättigheter som tillerkänns de registrerade kan vara svåra eller omöjliga att efterleva inom ramen för hanteringen av pliktmaterial. Det är inte förenligt med pliktlag- stiftningens syfte att ändra eller radera uppgifter som förekommer i det pliktinsamlade materialet oavsett om uppgifterna skulle visa sig vara felaktiga. Det är därför nödvändigt att ta ställning till i vilken utsträckning det finns behov av och utrymme för undantag samt vilken kompletterande nationell reglering som kan behövas.