sou · H9B332 · 2022-01-01 00:00:00 — Enligt vår bedömning finns inte skäl för ett sådant undantag. Ett sådant beslut kommer endast att kunna överklagas av den som inte beviljats undantag, eftersom klagorätt endast föreligger för den som saken har gått emot.4 Enligt vår bedömning bör den pliktansvariga myndighetens beslut även kunna prövas i ett sådant fall. Beslut enligt lagen överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. 442 § förvaltningslagen. Vite, överklagande och verkställighetsföreskrifter Förslag: Regeringen eller den myndighet regeringen bestämmer ska få meddela närmare föreskrifter om hur pliktexemplar och det som ska åtfölja pliktexemplar enligt lagen ska lämnas och om den information som ska åtfölja pliktexemplar. Regeringen eller den myndighet som regeringen bestämmer ska få meddela s.k. verkställighetsföreskrifter som närmare anger hur plikt- exemplar och det som ska åtfölja pliktexemplaret ska lämnas och om den information som ska åtfölja det lämnade pliktexemplaret. Möjlig- heten att meddela sådana föreskrifter ska tillkomma KB. Det sist- nämnda ska framgå av förordning. Av förordningen ska också följa att föreskrifter som meddelas av KB inte gäller för myndig- heter, regeringen, eller utrikesrepresentationen (se vidare avsnitt 15.1.2). Motsvarande möjlighet att meddela föreskrifter finns i e-plikt- lagen och e-pliktförordningen.5 Det finns alltså en möj- lighet för KB att meddela närmare föreskrifter om hur pliktexemplar ska lämnas och den information, dvs. metadata, som ska medfölja pliktexemplaret. Med hänsyn till den snabba teknikutvecklingen bör det alltjämt finnas möjlighet att utan dröjsmål kunna anpassa regel- verket ifråga om metoder för överlämnande och metadata efter nya förhållanden. Det är därför inte lämpligt att detta regleras på detaljnivå i lag eller förordning. Enligt vårt förslag ska det ankomma på KB att tillhandahålla ändamålsenliga system för att lämna pliktexemplar samt sådant som ska åtfölja pliktexemplaret. KB:s skyldighet bör åtföljas av en möjlighet att meddela närmare föreskrifter om hur materialet ska lämnas och om den information som ska lämnas. Detta behandlar vi närmare i avsnitt 15.1.3. ska användas för att fylla ut lag- bestämmelserna. måste alltså hålla sig inom ramen för vad som följer av lagens bestämmelser om vilket material och vilken information som ska lämnas vid varje enskild leverans. Vad som ska gälla i dessa delar enligt vårt förslag har vi behandlat i avsnitt 10.6. Föreskrifterna får alltså inte innebära några egentliga ytterligare skyldigheter för leverantörerna utan får endast 515 § e-pliktlagen och 4 och 7 §§ e-pliktförordningen. Vite, överklagande och verkställighetsföreskrifter precisera de skyldigheter som följer av lagen. Verkställighetsföre- skrifterna kan t.ex. röra hur nätverksleveranser ska gå till, hur mate- rialets logiska format ska anges, hur sambandet mellan olika material ska beskrivas, att informationen ska lämnas enligt ett visst formulär etc. Att KB får meddela föreskrifter om hur det som ska åtfölja plikt- exemplaret ska lämnas innebär t.ex. att myndigheten kan föreskriva att den som ska lämna fysiska pliktexemplar ska lämna leveransförteck- ning och i förekommande fall digital förlaga och datorprogram via nätverk. KB:s föreskriftsrätt behandlas vidare i avsnitt 15.1.2–15.1.3. Det finns inget som hindrar att KB träffar överenskommelser med de leveranspliktiga om att ytterligare metadata ska lämnas eller att myndigheten köper kompletterande metadata. När KB och övriga pliktmottagande bibliotek samlar in, beskriver, bevarar och tillhandahåller det material som samlas in enligt plikt- regelverket är det nödvändigt för dem att behandla personuppgifter. Även leverantörer av pliktmaterial behandlar personuppgifter i sam- band med leveranserna. KB behandlar också personuppgifter vid hanteringen av den egeninsamling som KB genomför. Utrednings- uppdraget omfattar att analysera om dataskyddsregleringen behöver kompletteras för att nödvändig personuppgiftsbehandling ska kunna ske på ett ändamålsenligt sätt som rätten till skydd för den personliga integriteten och andra fri- och rättigheter skyddas. Upp- draget omfattar inte personuppgiftsbehandling i de delar av KB:s och de övriga pliktmottagande bibliotekens verksamhet som ligger utan- för hanteringen av plikten och (jfr avsnitt 2.1). Som exempel kan nämnas inköp och donationer av material och admi- nistration av själva verksamheten. Uppdraget omfattar inte heller sådan personuppgiftsbehandling som sker vid TDM (jfr avsnitt 2.4.2). Bestämmelser som reglerar personuppgiftsbehandling finns i data- skyddsförordningen. Förordningen benämns ofta med sin engelska förkortning GDPR. I det här betänkandet använder vi dock det svenska namnet dataskyddsförordningen. Dataskyddsförordningen, som började tillämpas , är till alla delar bindande och direkt tillämplig i alla medlemsstater. Förordningens bestämmelser ska alltså tillämpas av enskilda och myndigheter som om de vore nationella författningsbestämmelser. Ett av förordningens syften är att skydda enskildas grundläggande rättigheter och friheter, särskilt rätten till skydd av personuppgifter. Rätten till privatliv uttrycks såväl i den Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande fri- heterna (EKMR) som i EU:s stadga om grundläggande rättigheter. I artikel 8 i EU:s rättighetsstadga finns också en särskild bestämmelse om rätt till skydd för personuppgifter. Rätten till skydd för den personliga integriteten vid behandling av personuppgifter regleras också i 2 kap. 6 § regeringsformen. Dataskyddsförordningen är tillämplig på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register (artikel 2). All behandling av personuppgifter måste uppfylla de grundläggande krav som framgår av artikel 5.1 dataskyddsförordningen. Uppgifterna ska bl.a. behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade och uppgifterna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oför- enligt med dessa ändamål. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska inte anses vara oför- enlig med de ursprungliga ändamålen. Det är den personuppgifts- ansvarige som ska säkerställa att kraven följs (artikel 5.2). För att personuppgiftsbehandlingen ska vara laglig måste det finnas en rättslig grund för behandlingen (artikel 6.1). Enligt punkten a får behandling ske om den registrerade har lämnat sitt samtycke till behandlingen. Enligt punkten b kan behandling ske om den är nöd- vändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås. I punkten c anges att behandling får utföras om den är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Enligt punkten d får behandlingen utföras om den är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person. Enligt punkten e får behandling ske om den är nödvändig för att utföra en uppgift som är av allmänt intresse eller som ett led i den person- uppgiftsansvariges myndighetsutövning. I punkten f anges att upp- gifter får behandlas efter en intresseavvägning mellan den registrerades och den personuppgiftsansvariges eller en tredje parts berättigade intressen. Om personuppgiftsbehandling utförs med stöd av rättslig för- pliktelse, allmänt intresse eller myndighetsutövning, dvs. punkterna c och e, måste den rättsliga grunden fastställas i unionsrätten eller i nationell rätt (artikel 6.3 första stycket). Enligt artikel 6.3 andra stycket ska vidare syftet med behandlingen fastställas i den rättsliga grunden eller, i fråga om behandling enligt artikel 6.1 e, vara nöd- vändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Den rättsliga grunden kan enligt artikel 6.3 andra stycket inne- hålla särskilda bestämmelser för att anpassa tillämpningen av be- stämmelserna i dataskyddsförordningen. Bestämmelserna kan bl.a. gälla de allmänna villkor som ska gälla för den personuppgifts- ansvariges behandling, vilken typ av uppgifter som ska behandlas och vilka registrerade som berörs. Bestämmelserna kan vidare gälla de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstider samt typer av och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling. De särskilda bestämmelserna i den nationella rätten ska i detta avseende uppfylla ett mål av allmänt intresse och vara proportionerliga mot det legitima mål som efter- strävas. Vidare framgår av artikel 6.2 att medlemsstaterna får införa mer specifika bestämmelser för att anpassa tillämpningen av bestäm- melserna i förordningen med hänsyn till behandling för att utföra bl.a. en uppgift av allmänt intresse. Bestämmelserna kan närmare fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling. Enligt artikel 9 dataskyddsförordningen är behandling av ”sär- skilda kategorier av personuppgifter” som huvudregel förbjuden. De kategorier som avses är personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, med- lemskap i fackförening, behandling av genetiska uppgifter, bio- metriska uppgifter för att entydigt identifiera en fysisk person, upp- gifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Behandling av sådana personuppgifter måste stödja sig på något av de undantag som finns i artikel 9.2 för att vara tillåten. I den svenska dataskyddslagen används termen känsliga personupp- gifter för dessa kategorier av personuppgifter. Denna term används fortsättningsvis för dessa särskilda kategorier av personuppgifter i vårt betänkande. Enligt artikel 9.2 e får behandling av känsliga personuppgifter ske av sådana personuppgifter som på ett tydligt sätt har offentliggjorts av den registrerade. Enligt artikel får behandling av känsliga personuppgifter ske om den är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Enligt artikel 9.2 j får behandling ske om den är nödvändig för arkivändamål av allmänt intresse, vetenskapliga eller historiska forsk- ningsändamål eller statistiska ändamål i enlighet med artikel 89.1, på grundval av unionsrätten eller medlemsstaternas nationella rätt. Lag- stiftningen ska stå i proportion till det eftersträvade syftet och inne- hålla bestämmelser om lämpliga och särskilda åtgärder för att säker- ställa den registrerades grundläggande rättigheter och intressen. Av artikel 89.1 följer att personuppgiftsbehandling för arkivända- mål av allmänt intresse, vetenskapliga eller historiska forsknings- ändamål eller statistiska ändamål ska omfattas av lämpliga skydds- åtgärder för den registrerades rättigheter och friheter. Dataskydds- förordningen innehåller också bestämmelser om behandling av person- uppgifter som rör fällande domar i brottmål samt överträdelser (artikel 10). Behandling av sådana personuppgifter får endast utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. I dataskyddslagen används begreppet uppgifter om lagöverträdelser för de kategorier av personuppgifter som avses i artikel 10. Detta begrepp används fortsättningsvis i detta betänkande. Bestämmelser om de registrerades rättigheter finns i artikel 13–22 och omfattar bl.a. rätt till information, tillgång, rättelse och radering. Om personuppgifter behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål får det enligt artikel 89.2 och 89.3 göras undantag från vissa av dessa rättigheter om rättigheterna sannolikt kommer att göra det omöjligt eller mycket svårare att uppfylla de särskilda ändamålen, och undantagen krävs för att uppnå dessa ändamål. Även vid sådana undantag krävs skyddsåtgärder enligt artikel 89.1. Dataskyddsförordningen innehåller bestämmelser som förutsätter eller ger utrymme för kompletterande nationella bestämmelser av olika slag. Möjligheten till kompletterande bestämmelser gäller fram- för allt behandling av personuppgifter inom den offentliga sektorn i respektive medlemsstat. Medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestäm- melserna i dataskyddsförordningen bl.a. när det handlar om behand- ling av personuppgifter som sker för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.2). När det gäller behandling av personuppgifter för bl.a. arkivändamål av all- mänt intresse både förutsätter och möjliggör förordningen en kom- pletterande nationell reglering (artikel 9.2 j och 89). Kompletterande bestämmelser av detta slag finns i dataskydds- lagen. Dataskyddsförordningen och dataskyddslagen kan också kom- pletteras av författningar som reglerar behandling av personuppgifter på ett avgränsat område, s.k. registerförfattningar (1 kap. 6 § data- skyddslagen). Sådana finns exempelvis för personuppgiftsbehand- lingen i domstolarna, tullen och polisen m.fl. Enligt 2 kap. 2 § dataskyddslagen får personuppgifter behandlas med stöd av artikel 6.1 e dataskyddsförordningen om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning, eller som ett led i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan författning. I förarbetena till dataskyddslagen uttalas att den verksamhet som en statlig eller myndighet bedriver, inom ramen för sin befogenhet, är av allmänt intresse. Därmed bör den rättsliga grunden i artikel 6.1 e dataskyddsförordningen van- ligen tillämpas av myndigheter, även utanför området för myndig- hetsutövning. Detta utesluter dock inte att också andra rättsliga grunder kan vara tillämpliga i vissa situationer.1 Regeringen eller den myndighet som regeringen bestämmer får enligt 2 kap. 3 § dataskyddslagen meddela föreskrifter om att sådana personuppgiftsansvariga som inte omfattas av föreskrifter om arkiv får behandla personuppgifter för arkivändamål av allmänt intresse. Den myndighet som regeringen bestämmer får i enskilda fall besluta 2017/18:105, s. 57. att sådana personuppgiftsansvariga får behandla personuppgifter för arkivändamål av allmänt intresse. Ett beslut får förenas med villkor. Enligt 3 kap. 6 § dataskyddslagen får känsliga personuppgifter behandlas för arkivändamål av allmänt intresse med stöd av artikel 9.2 j dataskyddsförordningen, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv. Regeringen eller den myndighet som regeringen bestämmer får med- dela föreskrifter om att personuppgiftsansvariga som inte omfattas av föreskrifter om arkiv får behandla känsliga personuppgifter för arkivändamål av allmänt intresse. Den myndighet som regeringen bestämmer får i enskilda fall besluta att sådana personuppgifts- ansvariga får behandla känsliga personuppgifter för arkivändamål av allmänt intresse. Ett beslut får förenas med villkor om det behövs för att uppfylla kraven enligt artikel 9.2 j på lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättig- heter och intressen. Enligt förarbetena kan sådana villkor t.ex. avse begränsningar av åtkomsten till de känsliga uppgifterna, krav på särskilda tekniska säkerhetsåtgärder eller någon annan åtgärd som bedöms lämplig och proportionerlig i det aktuella fallet.2 Med föreskrifter om arkiv avses föreskrifter som säkerställer att sådana arkiv som utgör en del av det svenska kulturarvet bevaras, hålls ordnade och vårdas. I förarbetena uttalas att sådana föreskrifter finns i arkivlagen och arkivförordningen samt i och andra arkivmyndigheters föreskrifter. Föreskrifter om arkiv finns även t.ex. i lagen (1998:1591) om . Bestämmelsen i 3 kap. 6 § dataskyddslagen förtydligar att dataskyddsförordningen och dataskyddslagen inte hindrar att myndigheter, eller andra som omfattas av offentlighetsprincipen, arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet.3 Begreppet arkivändamål av allmänt intresse definieras inte i data- skyddsförordningen. I förarbetena till dataskyddslagen uttalas att det enligt regeringens mening står klart att den personuppgifts- behandling som utförs för att uppfylla de krav som ställs i arkivlagen och anslutande föreskrifter måste anses ske för arkivändamål av all- mänt intresse. Vidare uttalas att föreskrifter om arkiv även finns på andra områden än inom den offentliga sektorn. I detta avseende nämns att det följer av 12 § lagen om att kyrkans arkiv 2017/18:105, s. 197. 2017/18:105, s. 196 f. ska bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av kyrkans handlingar, behovet av information för rättskipning och förvaltning samt forskningens behov. Regeringen gjorde bedöm- ningen att behandling av personuppgifter som är nödvändig för att uppfylla sådan annan arkivlagstiftning, som på motsvarande sätt som arkivlagen syftar till att bevara och vårda en del av det svenska kultur- arvet, också måste anses ske för arkivändamål av allmänt intresse.4 Myndigheter och andra som omfattas av offentlighetsprincipen får enligt 3 kap. 3 § dataskyddslagen behandla känsliga personupp- gifter med stöd av artikel dataskyddsförordningen om upp- gifterna har lämnats till den personuppgiftsansvarige och behand- lingen krävs enligt lag. Dessutom får en myndighet behandla käns- liga personuppgifter om det är nödvändigt för handläggningen av ett ärende. Vidare får känsliga personuppgifter behandlas av en myndig- het om behandlingen är nödvändig med hänsyn till ett viktigt all- mänt intresse och inte innebär ett otillbörligt intrång i den regi- strerades personliga integritet. Vid behandling som sker enbart med stöd av de nämnda grunderna, är det förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga person- uppgifter. Regeringen får meddela ytterligare föreskrifter om sådan behandling (3 kap. 4 § dataskyddslagen). Personuppgifter som rör lagöverträdelser enligt artikel 10 data- skyddsförordningen får enligt 3 kap. 8 § dataskyddslagen behandlas av myndigheter. Även andra än myndigheter får behandla sådana personuppgifter, om behandlingen är nödvändig för att den person- uppgiftsansvarige ska kunna följa föreskrifter om arkiv. Enligt 5 kap. 3 § dataskyddslagen får regeringen meddela ytter- ligare föreskrifter om begränsningar enligt bl.a. artikel 89.3 data- skyddsförordningen. Sådana begränsningar gäller som ovan nämnts de registrerades rättigheter när personuppgifter behandlas för arkiv- ändamål av allmänt intresse. Enligt 1 kap. 7 § dataskyddslagen ska dataskyddsförordningen och dataskyddslagen inte tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen eller yttrandefrihetsgrundlagen. 2017/18:105, s. 110 f. innebär bl.a. att regelverket inte ska tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet att lämna ut allmänna handlingar.5 Om myndigheten väljer att lämna ut allmänna handlingar digitalt ska dock reglerna i dataskyddsförordningen följas. Det betyder bl.a. att känsliga personuppgifter som lämnas ut digitalt måste skyddas med lämpliga skyddsåtgärder.6 Bibliotekens samlingar utgör inte allmänna handlingar (2 kap. 14§ tryckfrihetsförordningen). Handlingar som upprättas av biblio- teken, som låntagarregister och register över samlingar, är dock allmänna handlingar. Av 40 kap. 3 § OSL följer att sekretess gäller i biblioteksverksamhet för uppgift i register om en enskilds lån, reservation eller annan form av beställning och för uppgift om en enskilds användning av informationsteknik, om det inte står klart att uppgiften kan röjas utan att den som uppgiften rör eller någon närstående lider men. Bestämmelsen i 1 kap. 7 § dataskyddslagen innebär också att de grundlagsskyddade rättigheterna att framställa och sprida yttranden undantas från dataskyddsförordningens och dataskyddslagens tillämp- ningsområde. Etablerings- och spridningsfriheten i grundlagarna med- för att biblioteken har en grundlagsskyddad rätt att sprida skrifter och andra medier som omfattas av grundlagarna vidare genom att t.ex. låna ut materialet.7 Genom dataskyddslagen upphävdes PUL. Av övergångsbestäm- melserna till dataskyddslagen följer dock att PUL fortfarande gäller i den utsträckning det i annan lag eller förordning finns bestäm- melser som innehåller hänvisningar till den lagen. Sådana bestäm- melser finns i kulturarw3-förordningen. Förordningen har inte änd- rats sedan det nya dataskyddsregelverket trädde i kraft. Enligt förordningen gäller PUL vid behandling av personupp- gifter i Kulturarw3 om inget annat följer av förordningen eller annars 2017/18:105, s. 42 f. 6Integritetsskyddsmyndighetens vägledning för personuppgiftsbehandling hos myndigheter. Jfr dock Öppna datautredningens förslag till lag om öppna data och vidareutnyttjande av infor- mation från myndigheter och offentliga företag, 4 kap. SOU 2020:55. 7Lambertz, Yttrandefrihet och bibliotek. Det kan noteras att begränsningar i spridningsrätten kan föreligga till följd av det upphovsrättsliga regelverket, se 1 kap. 11 § tryckfrihetsförordningen och 1 kap. 18 § yttrandefrihetsgrundlagen. Se vidare angående upphovsrätten, avsnitt 16.3. av 2 § PUL. En registrerad person har inte rätt att motsätta sig sådan personuppgiftsbehandling som är tillåten enligt förordningen. Personuppgifter får behandlas för att tillgodose behovet av forsk- ning och information. Sådana känsliga personuppgifter som anges i 13 § PUL får bara behandlas om det är nödvändigt för att tillgodose behovet av forskning och information. Inom projektet får KB ha en samling av personuppgifter som med hjälp av automatiserad behand- ling används för att tillgodose behovet av forskning och information (databas för projektet). I projektets databas får bara sådana person- uppgifter behandlas som har offentliggjorts genom publicering i det svenska materialet på internet. Med det sistnämnda avses enligt för- ordningen material som går att hänföra till genom sådan anknytning som adress, adressat, språk, upphovsman eller avsändare. Uppgifter i projektets databas får bara lämnas ut på medium för automatiserad behandling för att användas i forskning. Direktåt- komst får bara medges via terminaler inom . Sådana känsliga personuppgifter som anges i 13 § PUL och sådana person- uppgifter om lagöverträdelser m.m. som anges i 21 § samma lag får inte användas som sökbegrepp.8 Bestämmelserna i om rättelse och skadestånd gäller vid behandling av personuppgifter enligt för- ordningen. KB har i studien under lupp! påtalat att kulturarw3- förordningen behöver omarbetas till följd av ikraftträdandet av data- skyddsförordningen.