sou · H9B332 · 2022-01-01 00:00:00 — KB har poängterat att bristen på ett fortsatt rättsligt stöd för behandlingen av personuppgifter skulle få mycket långtgående och skadliga konsekvenser för möjlighet att erbjuda TDM och liknande tjänster för den primära målgruppen: högre utbildning och forskning.9 14.2Behov av kompletterande reglering Bedömning: Det finns ett behov av att införa kompletterande bestämmelser i nationell rätt om behandling av personuppgifter vid hantering av pliktmaterial. 8Det material som har samlats in inom Kulturarw3 är endast sökbart på webb- adresser. 9KB, Plikten under lupp!, s. 35. Behandlingen av personuppgifter vid hanteringen av pliktmaterial regleras inte i pliktlagarna eller i tillhörande förordningar. Det finns inte heller några andra specialregler som särskilt reglerar personuppgiftsbehandling vid hantering av pliktmaterial. Det saknas också särskilda bestämmelser om behandling av personuppgifter som gäller för bibliotek generellt. Personuppgiftsbehandlingen vid hanteringen av pliktmaterial regleras alltså av dataskydds- förordningen och dataskyddslagen medan regle- ras av kulturarw3-förordningen. Det kan noteras att förslag till kompletterande reglering av personuppgiftsbehandling i forskningsbibliotekens10 verksamhet med anledning av ikraftträdandet av dataskyddsförordningen lades fram av i promemorian Personuppgifts- behandling i forskningsbibliotekens verksamhet.11 Forskningsdata- utredningen lämnade också förslag till ändringar i kulturarw3- förordningen. Förslagen har inte genomförts. Eftersom vi föreslår att egeninsamlingen ska bli en del av plikten (se kapitel 9) avser vi med pliktmaterial nedan även egeninsamlat material. Vi har i kapitel 7 behandlat syftet med pliktmaterialet. Som fram- går där är pliktmaterialet betydelsefullt i ett demokratiskt samhälle eftersom det utgör ett oförvanskat källmaterial. Det är dessutom en del av kulturarvet och en resurs för forskning inom ett brett spekt- rum av discipliner. För att pliktmaterialet ska kunna fylla dessa viktiga funktioner är det absolut nödvändigt att personuppgifter behandlas när pliktmaterialet samlas in men också när det katalogiseras eller på annat sätt bearbetas för att kunna tillhandahållas, när det bevaras och när det tillhandahålls för forskning eller till andra användare. Vi kom- mer i detta avsnitt att föreslå regler som ska beaktas vid behandling av personuppgifter vid hantering av pliktmaterial. Reglerna syftar till att skapa en god nivå för skyddet av personuppgifter vid behandling av dessa i pliktmaterial. Enligt vår uppfattning resulterar förslaget i en rimlig avvägning mellan intresset av att behandla personuppgifter i pliktmaterial och intresset av att skydda den personliga integriteten för den vars personuppgifter behandlas. Personuppgiftsbehandlingen vid hanteringen av pliktmaterial om- fattar behandling av strukturerade personuppgifter som ingår i ett register enligt artikel 4.6 dataskyddsförordningen. 10Med forskningsbibliotek avses i förslaget KB samt universitets- och högskolebiblioteken. 11SOU 2018:36, bilaga 5. uppgifter rörande upphovsmän och personuppgifter i verksnamn och liknande som förekommer i katalogposter. Strukturerade personupp- gifter förekommer också i register över leverantörer av pliktmaterial och över låntagare och andra användare. Vidare omfattas behandling av personuppgifter som förekommer i det material som samlas in. Detta gäller såväl det material som samlas in i digital form som digitaliserade versioner av analogt material och gäller både skrift och audivisuellt material. Behandling av personuppgifter som förekom- mer i fysiska exemplar av skrifter faller huvudsakligen utanför data- skyddsregleringen, eftersom det då inte är fråga om behandling som helt eller delvis görs på automatisk väg. När sådant material digita- liseras hamnar dock personuppgiftsbehandlingen inom dataskydds- förordningens regelverk. Dataskyddsförordningen kan även vara tillämplig på behandling av personuppgifter i de fall person- uppgifterna ingår i eller är avsedda att ingå i ett manuellt register som är sökbart enligt särskilda kriterier.12 Det finns i detta sammanhang anledning att något uppehålla sig vid bestämmelsen i 1 kap. 7 § dataskyddslagen. Som ovan nämnts ska dataskyddsförordningen och dataskyddslagen inte tillämpas i den ut- sträckning det strider mot tryckfrihetsförordningen eller yttrande- frihetsgrundlagen. Hur bestämmelsen förhåller sig till material som har givits ut med grundlagsskydd och som tillhandahålls på bibliotek är inte givet. Med hänsyn till etableringsfriheten och bibliotekens rätt att låna ut material kan bestämmelsen tolkas som att biblioteken inte måste tillämpa dataskyddsregleringen vid behandling av person- uppgifter som förekommer i det insamlade materialet. Frågan är dock inte så enkel. Såväl tryckfrihetsförordningen som yttrandefri- hetsgrundlagen reglerar ett skydd som den enskilde har gentemot det allmänna. har vid upprepade tillfällen konstaterat att det allmänna som regel inte kan åberopa grundlags- bestämmelser för att undgå förpliktelser enligt lag som är avsedda att skydda den enskildes integritet.13 har också i ett resningsärende uppgett att tryckfrihetsförordningens regler inte är tillämpliga för en statlig myndighet, eftersom de reglerar enskildas rättigheter gentemot det allmänna och inte kan hindra ett ingripande riktat mot staten.14 12Artikel 2.1 och 4.2 samt skäl 15. 13Se t.ex. beslut , dnr 987-2009; beslut , dnr 655-2012; beslut , dnr 1755-2011 samt samrådsyttrande , dnr 1347-2011. 14NJA 1995 s. 677. I undantagsfall kan det finnas ett utrymme även för det allmänna att åberopa grundlagsskyddet, men då endast om det har betydelse, inte för myndigheten, utan för att enskilda ska kunna utöva sina rättig- heter. Tryckfrihetens och yttrandefrihetens syfte är att säkerställa ett fritt meningsutbyte, en fri och allsidig upplysning och ett fritt konst- närligt skapande. Pliktlagstiftningen har ett liknande syfte. Även bib- liotekslagen nämner den fria åsiktsbildningen. Det allmänna biblio- teksväsendet skulle alltså kunna ses som ett verktyg för att enskilda ska kunna ta i anspråk sin rätt till tryck- och yttrandefrihet. finns ett behov av skydd för den vars personuppgifter förekommer i det insamlade materialet. Vi anser att förhållandet mellan grundlags- bestämmelserna och dataskyddsreglerna i förhållande till biblioteken bör uppfattas så att etableringsfriheten medför en rätt att behandla personuppgifter som förekommer i det material som getts ut med grundlagsskydd. Grundlagsbestämmelserna kan däremot inte åberopas av myndigheter för att undgå att tillämpa reglering som är avsedd att skydda enskildas integritet. Bestämmelserna i tryckfrihetsförord- ningen och yttrandefrihetsgrundlagen inverkar därmed, enligt vår bedömning, inte på bibliotekens skyldighet att tillämpa dataskydds- regleringen vid sin hantering av det insamlade pliktmaterialet. Beträffande låntagare och andra användare av pliktmaterialet kan konstateras att personuppgifter om dessa visserligen måste regi- streras och på andra sätt behandlas för att pliktmaterialet ska kunna tillhandahållas. Enligt vår bedömning är det dock inte lämpligt att behandlingen av personuppgifter om låntagare regleras särskilt i för- hållande till användande av pliktmaterial. Detta eftersom lån och annan användning av material och utnyttjande av bibliotekens tjänster normalt är kopplat till användarens lånekort. Lånekortet gäller biblio- teket i stort och är inte enbart kopplat till användningen av just plikt- material. Våra förslag är därför i förhållande till användarna begränsade till frågan om skyddsåtgärder i relation till tillhandahållandet av pliktmaterialet. Dataskyddsförordningen omfattar inte personuppgifter som rör avlidna personer (skäl 27). Detta innebär att dataskyddsregleringen normalt sett är oproblematisk när det gäller de äldre delarna av bibliotekens samlingar av pliktmaterial. All behandling av personuppgifter som omfattas av dataskydds- förordningen ska ha rättslig grund och i övrigt följa förordningens krav för att vara laglig. KB och andra som hanterar pliktmaterial måste, precis som övriga personuppgiftsansvariga, ordna sin verksamhet så att den är förenlig med dataskyddsförordningen och dataskydds- lagen. Rättslig grund för personuppgiftsbehandlingen kommer i huvudsak att finnas genom de föreslagna bestämmelserna i plikt- materiallagen (se vidare avsnitt 14.2.3). Det finns dock situationer där en del av verksamheten inte ryms inom de förutsättningar som dataskyddsförordningen och dataskyddslagen ger. Det kan t.ex. vara fallet när det gäller behandling av känsliga personuppgifter och upp- gifter om lagöverträdelser enligt artikel 9 och 10 dataskyddsförord- ningen. Känsliga personuppgifter och uppgifter om lagöverträdelser kan förekomma såväl i bibliotekens register som i det insamlade mate- rialet. När det gäller uppgifter i det insamlade materialet torde sådana integritetskänsliga uppgifter vara vanligt förekommande. Enligt vårt förslag ska det följa av förordning att KB får över- lämna pliktmaterial till en annan myndighet eller ett annat organ, under förutsättning att –myndigheten eller organet har särskild kompetens avseende material av viss art, –materialet kommer att hanteras i enlighet med pliktmateriallagen och tillhörande föreskrifter, –tillgången till pliktmaterialet inte påverkas, och –det finns en ordning för hur pliktmaterialet återgår till KB om myndighetens eller organets verksamhet upphör eller väsentligen förändras. När ett pliktmaterial överlämnas ska KB få uppdra åt myndigheten eller organet att fullgöra de uppgifter avseende materialet som följer av pliktmateriallagen och tillhörande föreskrifter och som inte avser myndighetsutövning. Av förordning ska också följa att KB och får besluta att ett pliktmaterial de bevarar ska tillhandahållas hos någon annan myndighet eller organ och vilka villkor som ska gälla för till- handahållandet. De närmare förutsättningarna för ett sådant överläm- nande och för beslut om tillhandahållande behandlar vi i avsnitt 15.1.4 respektive 16.1. När vi i det följande talar om andra myndigheter och organ än KB och , är det alltså myndigheter och organ som hanterar pliktmaterial efter överlämnande eller beslut enligt ovan som avses. KB och andra myndigheter som hanterar pliktmaterial har i egen- skap av myndigheter stöd för att behandla personuppgifter om lag- överträdelser enligt 3 kap. 8 § dataskyddslagen. Behov av komplet- terande bestämmelser om skyddsåtgärder kan behövas. Myndigheter omfattas av arkivlagen (1 §)15. Det innebär att de enligt dataskydds- lagen har rätt att behandla personuppgifter för arkivändamål av all- mänt intresse och att även känsliga personuppgifter får behandlas för detta ändamål med avseende på personuppgifter som förekommer i allmänna handlingar som omfattas av bibliotekens arkiv. Den rättslig grunden för behandling av känsliga personuppgifter som förekom- mer i upprättade register som t.ex. bibliotekens katalogposter, finns alltså i dataskyddslagen. Eftersom bibliotekens samlingar inte är all- männa handlingar utgör de inte en del av bibliotekens arkiv. Det kan övervägas om pliktlagstiftningen med hänsyn till det krav på bevarande av materialet som regelverket uppställer och till att plikt- materialet är en del av kulturarvet kan anses utgöra föreskrifter om arkiv på så sätt att stöd för att behandla känsliga personuppgifter finns i dataskyddslagen. Bestämmelsen i dataskyddslagen tar emellertid sikte på sådana arkiv som utgörs av allmänna handlingar och som där- med också omfattas av bestämmelser i , föreskrifter om gallring m.m.Eftersom pliktsamlingarna inte består av allmänna handlingar anser vi inte att pliktlagstiftningen kan betraktas som föreskrifter om arkiv i dataskyddslagens mening. Vi gör därför bedömningen att kom- pletterande bestämmelser behövs. Kompletterande bestämmelser behövs dessutom för behand- lingen av känsliga personuppgifter och uppgifter om lagöverträdelse för sådana organ som hanterar pliktmaterial efter överlämnande eller beslut enligt pliktregelverket och som inte är myndigheter. Våra närmare överväganden och förslag behandlas nedan. 15Jfr 3 § förslaget till ny arkivlag, SOU 2019:58. 14.2.1Kompletterande bestämmelser om personuppgiftsbehandling ska införas i den nya pliktmateriallagen Förslag: Bestämmelser om personuppgiftsbehandling vid hantering av pliktmaterial ska införas i det förslag till ny pliktmateriallag som vi lämnar. Bestämmelserna kompletterar dataskyddsförord- ningen och ska omfatta den pliktansvariga myndigheten, nedan KB, och andra myndigheter och organ när de hanterar plikt- material. Vid behandling av personuppgifter enligt pliktmaterial- lagen ska dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gälla, om inte annat följer av pliktmaterial- lagen eller föreskrifter som har meddelats i anslutning till plikt- materiallagen. Kulturarw3-förordningen ska upphävas. Som vi konstaterat i avsnitt 14.2 krävs i vissa avseenden särskilda bestämmelser som kompletterar dataskyddsförordningen och data- skyddslagen. Kompletterande bestämmelser ska bara införas i den mån det är nödvändigt och i den utsträckning som dataskyddsför- ordningen medger. De bestämmelser vi föreslår ska tillämpas vid behandling av person- uppgifter i verksamhet enligt pliktmateriallagen eller enligt före- skrifter som har meddelats i anslutning till lagen. Bestämmelserna ska också tillämpas på verksamhet som avses i pliktexemplarslagen och e-pliktlagen. Detta innebär att bestämmelserna även ska tillämpas vid personuppgiftsbehandling i sådant material som samlats in med stöd av de upphävda lagarna. Behovet av särskilt anpassade bestämmelser till skydd för enskildas personuppgifter framstår som lika relevant för personuppgifter i material som samlats in enligt nu gällande regelverk som för sådant som samlas in enligt den nya lagen. Bestäm- melserna torde dock få begränsad betydelse för , , , och , eftersom de universiteten främst tar emot skrifter och inte har i uppdrag att bevara pliktexemplaren. Deras eventuella verksamhet med att digitalisera sitt pliktmaterial kan därför inte ses som en del av pliktverksamheten. Sådant material omfattas således inte av de nya dataskyddsreglerna utan regleras precis som av dataskyddsförordningen och data- skyddslagen. (Se vidare avsnitt 17.2.) Om dessa universitet hanterar pliktmaterial på uppdrag av KB eller med stöd av pliktregelverket omfattas den personuppgiftsbehandling som då sker av pliktmateriallagens regler om dataskydd. När det gäller bedömningen av lämplig normgivningsnivå måste bestämmelserna i 2 kap. regeringsformen beaktas. Den bedömning som måste göras är om den personuppgiftsbehandling som utförs inom ramen för pliktregelverket är av sådan karaktär att den kan anses utgöra ett sådant intrång i den personliga integriteten som avses i 2 kap. 6 § regeringsformen. Bestämmelsen i regeringsformen har behandlats i avsnitt 9.5.1 i förhållande till egeninsamlingen. Av förarbetena till 2 kap. 6 § regeringsformen framgår att bestämmelsen bara ska omfatta vissa kvalificerade intrång i den personliga integri- teten. Stor vikt ska vid bedömningen läggas vid uppgifternas karak- tär. Ju känsligare uppgifterna är, desto mer ingripande måste det all- männas hantering av uppgifterna normalt anses vara. Av förarbetena framgår vidare att ändamålet med behandlingen ska beaktas vid bedömningen av intrångets karaktär. Mängden uppgifter kan också var en betydelsefull faktor och även omfattningen av utlämnande av uppgifter till andra som sker utan stöd av offentlighets- principen kan vara av betydelse vid bedömningen.16 Både och regeringen har uttalat att myndighetsregister som innehåller ett stort antal registrerade och har ett särskilt känsligt innehåll bör regleras särskilt i lag.17 Regeringen har också uttalat att behovet av lagstiftning är särskilt stort om uppgifterna sprids externt i inte obetydlig omfattning.18 Att samla in, beskriva, bevara och tillhandahålla pliktmaterial inne- bär behandling av ett stort antal personuppgifter om ett stort antal enskilda. Såväl känsliga personuppgifter som andra integritetskänsliga uppgifter, t.ex. uppgifter om lagöverträdelser, kan förekomma i stor utsträckning, särskilt i det insamlade materialet. Behandlingen av personuppgifter sker normalt sett utan samtycke från de enskilda som berörs. Materialet ska för att uppfylla pliktlagstiftningens syfte i så stor utsträckning som möjligt tillhandahållas för forskning och annan användning. Den krets som uppgifter ur samlingarna kan kom- ma att lämnas ut till är mycket stor t.ex. studenter, forskare, journa- lister eller allmänheten. 2009/10:80, s. 183 f. 1990/91:KU11, s. 11, bet. 1997/98:KU18, s. 48, prop. 1990/91:60, s. 58, samt prop. 1997/98:44, s. 41. 1990/91:60, s. 58. Att böcker, tidningar, filmer etc. som har publicerats för allmän- heten samlas in, katalogiseras, bevaras och tillhandahålls på bibliotek torde enligt vår bedömning ytterst sällan, om alls, kunna bli fråga om ett betydande intrång i den personliga integriteten enligt 2 kap. 6 § regeringsformen. Det är dock som vi konstaterat i avsnitt 9.5.1 mera komplext att säga detsamma om den webbinsamling som KB ska ut- föra inom ramen för pliktregelverket. Som vi anfört i avsnitt 9.5.1 kommer egeninsamlingen i den form vi föreslår inte att begränsas till insamling från professionella publicister utan träffar även publi- ceringar av privatpersoner som t.ex. inlägg på ”öppna” sociala medier, bloggar, kommentarsfält etc. Materialet kan innehålla integritets- känsliga uppgifter. Sådana uppgifter kan också ha publicerats av annan än den som uppgifterna rör. Vi har mot den bakgrunden gjort bedöm- ningen att egeninsamlingen som sådan bör regleras i lag. Även om den personuppgiftsbehandling som utförs syftar till att främja bl.a. åsiktsfrihet och informationsfrihet talar mängden data och uppgifter som behandlas, de risker för integritetsintrång som nya tekniker för behandling av uppgifterna möjliggör samt den stora obestämda krets som uppgifterna kan lämnas ut till för att bestämmelserna om personuppgiftsbehandling bör finnas i lag. Enligt vår bedömning är det ändamålsenligt att bestämmelserna om behandling av personuppgifter tas in i den nya pliktmaterial- lagen. Det blir därmed en naturlig koppling mellan syftet med plikt- materialet, den rättsliga grunden för personuppgiftsbehandlingen och de bestämmelser som behövs för att komplettera dataskydds- förordningen och dataskyddslagen. En praktisk konsekvens av den lagtekniska lösningen är att det inte behövs några särskilda bestäm- melser om för vilka ändamål personuppgiftsbehandling får ske, se avsnitt 14.2.2. Bestämmelserna ska, som nämnts ovan, vara tillämp- liga vid behandling av personuppgifter i verksamhet enligt plikt- materiallagen eller enligt föreskrifter som har meddelats i anslutning till lagen och tillämpas av den pliktansvariga myndigheten samt andra myndigheter och organ när de hanterar pliktmaterial. Enligt vårt förslag till ny pliktmateriallag ska som tidigare nämnts en av regeringen utsedd myndighet ansvara för plikten. Av förslaget till pliktmaterialförordning framgår att KB är pliktansvarig myndighet (se kapitel 15). Av övergångsbestämmelserna till pliktmateriallagen ska framgå att bestämmelserna även ska tillämpas på verksamhet som avses i pliktexemplarslagen och e-pliktlagen. Eftersom egeninsamling enligt vårt förslag ska ske inom ramen för pliktregelverket ska kulturarw3-förordningen upphävas och ersättas av de bestämmelser som ska gälla för personuppgiftsbehandling vid hantering av pliktmaterial i stort. Dataskyddsbestämmelserna i den nya pliktmateriallagen ska även tillämpas vid behandling av person- uppgifter i det material som avses i den upphävda förordningen. Enligt vårt förslag framgår det i övergångsbestämmelserna till förordningen om upphävande av kulturarw3-förordningen. Bedömning: Det är inte nödvändigt att införa särskilda ända- målsbestämmelser med avseende på personuppgiftsbehandlingen i pliktmateriallagen. Att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål är en allmän dataskyddsrättslig princip som anges i artikel 5.1 b dataskyddsförordningen. Bestäm- melsen anger också den s.k. finalitetsprincipen, dvs. att de insamlade uppgifterna inte senare får behandlas på ett sätt som är oförenligt med dessa ändamål. Finalitetsprincipen medför att det är väsentligt att alla de ändamål för vilka de insamlade uppgifterna kan tänkas behöva användas är angivna redan när insamlingen sker. Det finns inte något hinder mot att ange flera ändamål vid insamlingen. Enligt bestämmelsen i artikel 5.1 b anses dock inte behandling för arkiv- ändamål av allmänt intresse, vetenskapliga eller historiska forsk- ningsändamål eller statistiska ändamål i enlighet med artikel 89.1 vara oförenliga med de ursprungliga ändamålen. Med behandling avses i detta sammanhang varje typ av åtgärd eller kombination av åtgärder som vidtas i fråga om personuppgifter, vare sig den vidtas på auto- matiserad väg eller inte, t.ex. insamling, registrering, organisering, bearbetning, utlämnande genom översändande, spridning eller till- handahållande på annat sätt, utplåning eller förstöring (se artikel 4.2 dataskyddsförordningen). Ändamålen för personuppgiftsbehandlingen bestäms av den personuppgiftsansvarige. Ändamålen kan dock även framgå av med- lemsstaternas nationella rätt (jfr artikel 4.7 dataskyddsförordningen). Oavsett om ändamålen fastställts i författning eller inte är det alltid den personuppgiftsansvarige som ansvarar för och ska kunna visa att principerna i artikel 5.1 följs (se artikel 5.2). Eftersom personupp- giftsbehandlingen enligt vårt förslag ska regleras i pliktmateriallagen finns det enligt vår bedömning inte skäl att införa särskilda bestäm- melser om ändamål för personuppgiftsbehandlingen. Ändamålen följer i stället av lagens materiella bestämmelser. 14.2.3Rättslig grund för behandlingen Personuppgifter som förekommer i det insamlade materialet Bedömning: Arbetet med att samla in, beskriva, bearbeta, bevara och tillhandahålla pliktmaterial är uppgifter av allmänt intresse. De myndigheter och organ som behandlar personuppgifter vid hantering av pliktmaterial enligt pliktmateriallagen eller före- skrifter som har meddelats med stöd av lagen kan därför tillämpa den rättsliga grunden uppgift av allmänt intresse i artikel 6.1 e dataskyddsförordningen när nödvändig behandling av person- uppgifter utförs för att fullgöra uppgifterna. Förslag: KB:s och Lunds universitets uppgifter ska framgå av pliktmateriallagen och den tillhörande förordningen. I förord- ningen ska det också införas en hänvisning till 2 § KB:s instruktion. 2 § instruktionen ska ändras på så sätt att ordet bearbeta läggs till. KB ska kunna överlämna pliktmaterial till en annan myndighet eller annat organ under vissa förhållanden. I samband med det kan KB överlåta sina uppgifter enligt pliktregelverket, med undantag för myndighetsutövning, till mottagaren. KB och får besluta att ett pliktmaterial de bevarar ska tillhandahållas hos någon annan myndighet eller organ och vilka villkor som ska gälla för tillhandahållandet. Insamling, beskrivning, bevarande och tillhandahållande av plikt- material medför behandling av en stor mängd personuppgifter, såväl i strukturerade metadata som de personuppgifter som förekommer i det insamlade materialet. Det pliktinsamlade materialet ska bevaras för framtiden och tillhandahållas i så stor utsträckning som möjligt. För att insamlingen ska vara ändamålsenlig och för att materialet ska kunna bevaras och tillhandahållas måste pliktmaterialet beskrivas och katalogiseras. Materialet kan också behöva organiseras, struk- tureras, digitaliseras, migreras, överföras etc. Enligt vår bedömning kan denna typ av personuppgiftsbehandling generellt anses nödvän- dig för att utföra de uppgifter som följer av pliktregelverket.