sou · H9B332 · 2022-01-01 00:00:00 — Personuppgiftsbehandling får enligt 2 kap. 2 § dataskyddslagen ske med stöd av artikel 6.1 e dataskyddsförordningen om behand- lingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning. Enligt förarbetena till data- skyddslagen är det inte enbart lagtextens ordalydelse som är av betydelse vid bedömningen av om något följer av lag utan förarbets- uttalanden, bestämmelsens syfte och det rättsliga sammanhang bestämmelsen befinner sig i kan behöva beaktas.19 Det finns inget krav på att själva personuppgiftsbehandlingen behöver regleras i unionsrätten eller nationell rätt. Det som måste ha stöd i rättsord- ningen är i stället att uppgiften är av allmänt intresse.20 Av vårt förslag till pliktmateriallag och tillhörande förordning framgår att KB, i sin roll som pliktansvarig myndighet, ska samla in, bevara och tillhandahålla pliktmaterialet. KB är, enligt 1 § KB:s instruktion, med uppgift att främja den svenska forskningens kvalitet och en demokratisk samhällsutveck- ling genom att tillhandahålla källmaterial och en effektiv forsknings- infrastruktur. Av 2 § KB:s instruktion följer att myndigheten ska samla in, beskriva, bevara och tillhandahålla fysiskt och digitalt material som behövs för att fullgöra myndighetens uppgifter. Ett av syftena med pliktinsamlingen är att materialet ska kunna tillhanda- hållas för forskning. Enligt vår bedömning kan det finnas åtgärder som kan behöva vidtas bl.a. för att KB ska kunna tillhandahålla en effektiv forskningsinfrastruktur som ligger utanför vad som kan anses ingå i att samla in, beskriva, bevara och tillhandahålla material. Materialet kan behöva struktureras på olika sätt, taggas för att göras sökbart eller bearbetas på annat sätt. Vi föreslår därför att 2 § KB:s instruktion ska ändras på så sätt att ordet bearbeta läggs till. Tillägget tydliggör att KB, som ett led i sitt arbete med forskningsinfrastruk- turen, har ett ansvar att bearbeta pliktmaterialet på nämnda sätt. För att tydliggöra att samtliga uppgifter som följer av myndig- hetens instruktion också gäller i förhållande till plikten föreslår vi att 2017/18:105, s. 188. 2017/18:105, s. 49. det ska införas en hänvisning till 2 § KB:s instruktion i pliktmaterial- förordningen. Någon sådan hänvisning finns inte i dagens pliktlag- stiftning. Införandet av en sådan innebär att KB får beskriva plikt- materialet i enlighet med instruktionen, trots att den uppgiften inte framgår direkt av det föreslagna pliktregelverket. Hänvisningen tydliggör även den rättsliga grunden för den personuppgiftsbehand- ling som utförs för att beskriva materialet. Denna lösning, samman- taget med tillägget av ordet bearbeta i KB:s instruktion, innebär att KB:s uppgifter att samla in, beskriva, bearbeta, bevara och tillhanda- hålla pliktmaterial på ett tydligt sätt kommer att följa av pliktregel- verket. Därigenom är KB:s uppgifter i detta avseende fastställda i författning. Arbetet med att samla in, beskriva, bearbeta, bevara och tillhandahålla pliktmaterial är uppgifter av allmänt intresse. KB kan därför tillämpa den rättsliga grunden allmänt intresse i artikel 6.1 e dataskyddsförordningen när nödvändig behandling av personuppgifter utförs för att fullfölja de uppgifter som följer av pliktregelverket. Enligt vårt förslag ska vara mottagare av ett pliktexemplar av skrifter. Pliktexemplaren utgör nationella reserv- exemplar och ska bevaras för framtiden. får tillhandahålla det pliktinsamlade materialet i enlighet med pliktregel- verket. (Se kapitel 15 och 16.) I den mån hanteringen av pliktmate- rialet föranleder personuppgiftsbehandling som omfattas av data- skyddsförordningen och som är nödvändig för att utföra uppgifter enligt pliktregelverket får behandlingen ske med stöd av artikel 6.1 e dataskyddsförordningen. Som ovan nämnts ska KB enligt vårt förslag under vissa förut- sättningar kunna överlämna pliktmaterial till en annan myndighet eller ett annat organ. Som förutsättning för överlämnandet gäller att mottagaren ska behandla materialet i enlighet med pliktregelverket. Det innebär bl.a. att den mottagande myndigheten eller organet är skyldig att följa dataskyddsbestämmelserna i lagen. Av bestämmel- sen ska också följa att KB, när pliktmaterialet överlämnas, får uppdra åt mottagaren att fullgöra de uppgifter avseende materialet som följer av pliktmateriallagen eller föreskrifter som meddelats i anslutning till lagen och som inte avser myndighetsutövning. Detta innebär att upp- gifterna att beskriva, bearbeta, bevara och tillhandahålla materialet kan överlåtas. Att fullgöra ett uppdrag att utföra de uppgifter som följer av pliktregelverket utgör uppgifter av allmänt intresse. Den personupp- giftsbehandling som är nödvändig för att fullgöra sådana uppgifter får ske med stöd av artikel 6.1 e dataskyddsförordningen. KB:s möjlig- het att överlämna pliktmaterial behandlas vidare i avsnitt 15.1.4. KB och ska, som redan nämnts, kunna besluta att ett pliktmaterial de bevarar ska tillhandahållas hos en annan myn- dighet eller organ samt vilka villkor som ska gälla för tillhanda- hållandet. Beslutanderätten ska framgå av pliktmaterialförord- ningen (se avsnitt 16.1). Även mottagarens uppgift att tillhandahålla material efter beslut av KB eller är en uppgift av allmänt intresse. Personuppgiftsbehandling får därför ske med stöd av artikel 6.1 e hos sådana myndigheter eller organ om behandlingen är nödvändig för att uppdraget ska kunna fullgöras. Att personuppgiftsbehandling får ske med stöd av artikel 6.1 e om behandlingen är nödvändig för att utföra en uppgift som följer av lag eller annan författning följer av dataskyddslagen. Komplet- terande bestämmelser i detta avseende behövs därför inte. Bedömning: KB får behandla personuppgifter gällande leveran- törer av pliktmaterial med stöd av artikel 6.1 e dataskyddsförord- ningen när det är nödvändigt för att utföra de uppgifter som följer av pliktregelverket eller som ett led i KB:s myndighetsutövning enligt pliktregelverket. Vid hantering av pliktmaterial hos andra myndigheter och organ än KB får behandling av leverantörs- uppgifter ske med stöd av artikel 6.1 e när det är nödvändigt för att utföra en uppgift som följer av pliktregelverket. För att KB ska kunna dokumentera inkomna leveranser och följa upp uteblivna eller bristande leveranser är det nödvändigt för myn- digheten att behandla uppgifter om leverantörerna. Leverantörs- uppgifter måste också behandlas vid beslut om rekvisition och vid uppföljning av sådana beslut. Även vid egeninsamling måste, i den mån det är möjligt, uppgifter om vem materialet har samlats in ifrån registreras och behandlas. Behandling av leverantörsuppgifter är också nödvändig för att KB ska kunna erbjuda tjänster för leveranser över datanät, själv ska kunna hämta material över datanät etc. Även efter- följande behandling kan behöva ske. Att uppgifter om vem mate- rialet har samlats in ifrån registreras är också av betydelse för att syftet med pliktlagstiftningen ska kunna uppfyllas. I den mån person- uppgiftsbehandlingen sker som ett led i KB:s myndighetsutövning som följer av pliktregelverket får behandling ske med stöd av artikel 6.1 e dataskyddsförordningen och 2 kap. 2 § dataskyddslagen. Sådan personuppgiftsbehandling som inte utgör myndighetsutövning får ske med stöd av samma bestämmelser om behandlingen är nöd- vändig för att fullgöra en uppgift som följer av pliktregelverket. De personuppgifter som kan förekomma i denna del är i första hand namn, adress, telefonnummer, e-postadress samt personnummer. Enligt vårt förslag är det endast KB som ska samla in pliktmaterial genom egeninsamling och rekvisition och som ska ha rätt att vidta åtgärder gentemot leverantörer vid brister i leveranser etc. (se kapitel 15). Andra myndigheter och organ som hanterar pliktmaterial kommer alltså inte att utöva myndighetsutövning i förhållande till leverantörerna. Sådana myndigheter och organ får behandla person- uppgifter med avseende på leverantörer med stöd av artikel 6.1 e data- skyddsförordningen och 2 kap. 2 § dataskyddslagen om behandlingen är nödvändig för att fullgöra en uppgift som följer av pliktregel- verket (jfr ovan). Personnummer får behandlas när det är klart motiverat med hän- syn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl (jfr 3 kap. 10 § dataskyddslagen). Vårt förslag till pliktlagstiftning kan medföra att fysiska personer kan ha leveransplikt eller bli föremål för rekvisition. Att inte fullgöra en leveransplikt kan leda till föreläggande vid vite. Även ett beslut om rekvisition kan förenas med vite. I dessa situationer är det viktigt att en fysisk person kan identifieras entydigt. Det sker genom person- nummer. Inte heller när det gäller personuppgiftsbehandling av leverantörs- uppgifter är det enligt vår bedömning nödvändigt att införa kom- pletterande bestämmelser. Personuppgiftsbehandling hos de pliktskyldiga Bedömning: Skyldigheten att lämna pliktmaterial är en rättslig förpliktelse som antingen följer direkt av pliktregelverket eller av beslut som har meddelats med stöd av detsamma. Sådan person- uppgiftsbehandling som är nödvändig för att skyldigheterna att lämna pliktmaterial ska kunna fullgöras får därför ske hos den som är pliktskyldig med stöd av artikel 6.1 c dataskyddsförordningen. Den personuppgiftsbehandling som sker i de pliktskyldigas interna verksamhet faller inte inom pliktregelverket och omfattas inte av vårt uppdrag. Detta gäller oavsett om personuppgiftsbehandlingen gäller uppgifter som förekommer i material som omfattas av plikt eller inte. De pliktskyldiga kan dock behöva behandla personupp- gifter i samband med pliktleveranser, t.ex. vid överföring av mate- rialet till KB. I den mån personuppgiftsbehandlingen är nödvändig för att fullgöra de förpliktelser som följer enligt pliktregelverket eller beslut som har meddelats med stöd av detsamma får behandlingen ske enligt artikel 6.1 c dataskyddsförordningen. Sådana skyldigheter föreligger för den som har en leveransplikt enligt lagen eller träffas av ett beslut om rekvisition. Vilka som har en skyldighet att på eget initiativ lämna pliktexemplar, dvs. en leveransplikt, ska framgå av pliktmateriallagen (se kapitel 10). Ett beslut om rekvisition får fattas av KB i enskilda fall. Såväl vem skyldigheten riktas mot som vad som ska lämnas ska framgå av beslutet (se kapitel 11). Egeninsamling föranleder inget behov av personuppgiftsbehandling hos den som gjort materialet tillgängligt. Att personuppgifter får behandlas med stöd av artikel 6.1 c data- skyddsförordningen om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som följer av lag eller annan författning eller av beslut som har med- delats med stöd av lag eller annan författning följer av 2 kap. 2 § data- skyddslagen. Det är därför inte nödvändigt att införa kompletterande bestämmelser i denna del. Bedömning: Känsliga personuppgifter får behandlas av KB och andra myndigheter och organ vid hantering av pliktmaterial med stöd av artikel 9.2 e dataskyddsförordningen om behandlingen rör personuppgifter som på ett tydligt sätt har offentliggjorts av den registrerade. Känsliga personuppgifter får också behandlas för arkivändamål av allmänt intresse om det krävs för att följa föreskrifter om arkiv. Eftersom det finns behov av behandling av känsliga personuppgifter som faller utanför nämnda områden krävs kompletterande bestämmelser. Förslag: Av pliktmateriallagen ska följa att känsliga personupp- gifter får behandlas för arkivändamål av allmänt intresse och för vetenskapliga eller historiska forskningsändamål med stöd av artikel 9.2 j dataskyddsförordningen, om behandlingen är nöd- vändig för att den personuppgiftsansvarige ska kunna fullgöra de uppgifter som följer av pliktmateriallagen eller föreskrifter som har meddelats i anslutning till lagen. Känsliga personuppgifter förekommer i stor utsträckning i det plikt- insamlade materialet men kan även förekomma i strukturerade metadata. Det kan inte uteslutas att sådana uppgifter även kan före- komma i leverantörsregister eller liknande. För att pliktmaterialet ska kunna samlas in, beskrivas, bearbetas, bevaras och tillhandahållas är det alltså nödvändigt att behandla känsliga person- uppgifter. Det måste då finnas ett tillämpligt undantag för att behand- lingen ska vara tillåten. De undantag som enligt vår bedömning kan komma ifråga är artikel 9.2 e (uppgifter som offentliggjorts av den registrerade) (viktigt allmänt intresse) och artikel 9.2 j (arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statis- tiska ändamål). Kraven i artikel och 9.2 j innefattar förutom att behandlingen sker för de beskrivna ändamålen att det finns stöd för undantagen i unionsrätten eller nationell rätt. Regleringen ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsent- liga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda skyddsåtgärder. Om nationell reglering sak- nas eller inte uppfyller samtliga krav, främst kravet på lämpliga och särskilda skyddsåtgärder, krävs kompletterande nationella regler. Om behandlingen bedöms nödvändig med hänsyn till ett arkiv- ändamål av allmänt intresse, vetenskapliga eller historiska forsk- ningsändamål eller statistiska ändamål aktualiseras för den person- uppgiftsansvarige även artikel 89.1, som ålägger denne att se till att behandlingen omfattas av lämpliga skyddsåtgärder i enlighet med dataskyddsförordningen för den registrerades rättigheter och friheter. Skyddsåtgärderna, i form av tekniska och organisatoriska åtgärder, ska säkerställa att särskilt principen om uppgiftsminimering iakttas. Som exempel nämns att pseudonymisering21 eller andra åtgärder som inne- bär att de registrerade inte kan identifieras ska användas när detta är möjligt med hänsyn till ändamålet. Den personuppgiftsansvarige ges alltså ansvar för att i det enskilda fallet se till att lämpliga skydds- åtgärder tillämpas. Bestämmelsen är direkt tillämplig och riktar sig till den personuppgiftsansvarige. Detta utesluter dock inte att vissa skyddsåtgärder som avses i artikeln föreskrivs i författning.22 Enligt skäl 156 dataskyddsförordningen bör medlemsstaterna införa lämp- liga skyddsåtgärder för behandlingen av personuppgifter för arkiv- ändamål av allmänt intresse, vetenskapliga eller historiska forsk- ningsändamål eller statistiska ändamål. Detta gäller oavsett om personuppgiftsbehandlingen omfattar känsliga personuppgifter eller inte. Vi återkommer till frågan om skyddsåtgärder i avsnitt 14.2.6. förutsätter att materialet har gjorts tillgängligt för allmänheten för att det ska omfattas av insamlingen. I den mån den vars personuppgifter förekommer i materialet själv på ett tydligt sätt har offentliggjort uppgifterna får uppgifterna behandlas med stöd av artikel 9.2 e dataskyddsförordningen. Bestämmelsen kan t.ex. tillämpas vid behandling av personuppgifter som förekommer i självbiografiskt material, intervjuer och vid åter- givande av sådana uppgifter som tydligt har offentliggjorts av den upp- gifterna rör. Känsliga personuppgifter kan dock inte behandlas med stöd av bestämmelsen om uppgifterna har offentliggjorts av någon 21Med pseudonymisering avses behandling av personuppgifter på ett sätt som innebär att upp- gifterna inte kan tillskrivas en specifik registrerad person utan att kompletterande uppgifter används. Det krävs dock att de kompletterande uppgifterna förvaras separat och är föremål för tekniska och organisatoriska åtgärder som säkerställer att personuppgifterna inte tillskrivs en identifierad eller identifierbar fysisk person, se artikel 4 dataskyddsförordningen. 2017/18:105, s. 110. annan än den som berörs. Det måste i sådana fall finnas annan grund för behandlingen. Som vi tidigare nämnt utgör bibliotekens upprättade handlingar, som beståndregister över pliktsamlingarna och leverantörsregister, allmänna handlingar och ska arkiveras i enlighet med arkivlagen. Myndigheternas arkiv är enligt 3 § arkivlagen23 en del av det natio- nella kulturarvet och ska bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av infor- mation för rättskipningen och förvaltningen samt forskningens behov. Det följer av 3 kap. 6 § dataskyddslagen att känsliga person- uppgifter får behandlas för arkivändamål av allmänt intresse om det krävs för att följa föreskrifter om arkiv. Detta gäller oavsett om personuppgifterna samlas in för arkivändamål av allmänt intresse eller om uppgifter som samlats in för andra ändamål vidarebehandlas för arkivändamål av allmänt intresse. Bevarandet av allmänna handlingar är en förutsättning för att allmänheten, genom offentlighetsprincipen, ska kunna få insyn i myndigheternas verksamhet. Myndigheternas arkivbildning syftar också som ovan nämnts till att tillgodose behovet av information för rättskipningen och förvaltningen samt forskningens behov. KB och andra myndigheter och organ som hanterar pliktmaterial kan alltså tillämpa undantaget i artikel 9.2 j vid behandling av känsliga personuppgifter i samband med hantering av allmänna handlingar. Stöd för att tillämpa undantaget i artikel 9.2 j i detta avseende finns i dataskyddslagen varför någon kompletterande bestämmelse inte behövs. Vi har i kapitel 7 utvecklat syftet med pliktmaterialet. Pliktmate- rialet kan bidra till en demokratisk samhällsutveckling genom att vara ett sammanhållet och oförvanskat källmaterial. Det är också en tydlig resurs för forskningen och en viktig del av det gemensamma kulturarvet som ska hållas ordnat och vårdas. Den behandling av personuppgifter som behövs för att uppgifter enligt pliktregelverket ska kunna fullgöras är mot den bakgrunden proportionerlig mot syftet med behandlingen och inte oförenlig med det grundläggande skyddet för personuppgifter. Som vi konstaterat är pliktmaterialet inte allmänna handlingar och pliktregelverket kan inte betraktas som föreskrifter om arkiv enligt 3 kap. 6 § första stycket dataskyddslagen. Det behövs därför kompletterande bestämmelser för behandlingen av känsliga person- 23Jfr 2 § förslaget till ny arkivlag, SOU 2019:58. Som vi också konstaterat utgör de uppgifter som följer av pliktregelverket uppgifter av allmänt intresse. Liksom arkivlagen syftar pliktlagstiftningen inte endast till att bevara det insamlade materialet utan materialet ska samlas in för att tillgodose rätten att ta del av och skapa kunskap, åsikter och andra uttryck. Pliktmaterialet ska tillhandahållas för forskning och annan användning. Syftet med pliktlagstiftningen är enligt vår bedömning sådant att undantaget för arkivändamål av allmänt intresse i artikel 9.2 j dataskyddsförordningen är tillämpligt (jfr skäl 158 dataskyddsförord- ningen). Såväl att samla in, beskriva och bevara pliktmaterialet samt de åtgärder som vidtas för att materialet ska kunna bevaras (migrering, digitalisering etc.) utgör enligt vår bedömning person- uppgiftsbehandling för arkivändamål av allmänt intresse. Även till- handahållandet av materialet måste betraktas som en del av arkiv- ändamålet. Detsamma gäller den personuppgiftsbehandling som sker för att materialet ska kunna tillhandahållas. Enligt vårt förslag ska en bestämmelse införas i pliktregelverket som klargör att känsliga personuppgifter får behandlas för arkiv- ändamål av allmänt intresse med stöd av artikel 9.2 j dataskydds- förordningen om behandlingen är nödvändig för att den person- uppgiftsansvarige ska kunna fullgöra de uppgifter som följer av pliktmateriallagen eller föreskrifter som har meddelats i anslutning till lagen. Bestämmelsen ska vara tillämplig för samtliga myndigheter och organ som fullgör uppgifter enligt pliktregelverket, dvs. för KB och såväl som för de myndigheter eller organ som hanterar pliktmaterial på uppdrag av KB eller . KB ska enligt 1 § i sin instruktion främja den svenska forskningens kvalitet och en demokratisk samhällsutveckling genom att tillhanda- hålla källmaterial och en effektiv forskningsinfrastruktur. Om ett forskningsprojekt vänder sig till KB eller annan som bevarar plikt- material med en förfrågan om att få åtkomst till visst material är den som tar fram och tillhandahåller materialet personuppgiftsansvarig för sin del av personuppgiftsbehandlingen. För att en sådan förfrågan ska kunna besvaras kan personuppgifter behöva behandlas på olika sätt. Sådan behandling som är nödvändig för att material ska kunna ställas till forskningens förfogande på detta sätt kan enligt vår bedömning ske med stöd av undantaget för vetenskapliga och historiska forsk- ningsändamål i artikel 9.2 j dataskyddsförordningen. Genom vårt för- slag till utökning av 2 § KB:s instruktion och den hänvisning som ska införas i pliktmaterialförordningen tydliggörs också KB:s uppdrag i förhållande till forskningen. Sådan bearbetning som inte faller inom arkivändamålen omfattas av undantaget för forskningsändamål. Vi har när det gäller den rättsliga grunden slagit fast att det utgör en uppgift av allmänt intresse att fullgöra de uppgifter som följer av plikt- regelverket samt att personuppgiftsbehandlingen sker för arkivända- mål eller forskningsändamål. Det finns därför inte skäl att komplettera lagen med en bestämmelse om att känsliga personuppgifter också får behandlas med stöd av artikel . Känsliga personuppgifter kan också i vissa fall behöva behandlas för att ta fram statistik av olika slag. Känsliga personuppgifter får enligt 3 kap. 7 § dataskyddslagen behandlas med stöd av artikel 9.2 j dataskyddsförordningen om behandlingen är nödvändig för statis- tiska ändamål och samhällsintresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Det kan dock noteras att dataskyddsförordningen inte gäller för anonym information, dvs. information som inte hänför sig till en identifierad eller identifierbar fysisk person, eller för personuppgifter som anony- miserats på ett sådant sätt att den registrerade är identi- fierbar. Någon kompletterande bestämmelse beträffande behandling av känsliga personuppgifter för statistiska ändamål behövs inte enligt vår bedömning. Frågan om skyddsåtgärder behandlas i avsnitt 14.2.6. Bedömning: KB och andra myndigheter som hanterar plikt- material får behandla sådana uppgifter som avses i artikel 10 data- skyddsförordningen (uppgifter om lagöverträdelser) i egenskap av myndigheter. Andra än myndigheter får enligt 3 kap. 8 § andra stycket data- skyddslagen behandla sådana uppgifter om det är nödvändigt för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv. För att andra än myndigheter ska få behandla uppgifter om lagöver- trädelser även i andra fall krävs kompletterande bestämmelser. Förslag: Andra än myndigheter ska få behandla uppgifter om lag- överträdelser när de hanterar pliktmaterial på uppdrag av KB eller . En sådan bestämmelse ska införas i vårt förslag till pliktmateriallag. Att myndigheter får behandla personuppgifter som rör uppgifter om lagöverträdelser följer direkt av artikel 10 dataskyddsförordningen och förtydligas genom bestämmelsen i 3 kap. 8 § första stycket data- skyddslagen. Det innebär att KB och andra myndigheter som hante- rar pliktmaterial får behandla sådana uppgifter. Artikel 10 innehåller inget krav på skyddsåtgärder vid behandling av personuppgifter om lagöverträdelser hos myndigheter. För sådan personuppgiftsbehand- ling som sker för arkivändamål av allmänt intresse följer dock krav på skyddsåtgärder enligt artikel 89.1. Skäl 156 anger som ovan nämnts att sådana skyddsåtgärder bör införas i nationell rätt. Vi behandlar frågan om skyddsåtgärder i avsnitt 14.2.6. För andra än myndigheter krävs att behandlingen av uppgifter om lagöverträdelser är tillåten enligt unionsrätten eller nationell rätt.