Personopplysninger og avlevering av arkiv
EUs nye personvernforordning, GDPR, ble innført i Norge 20. juli 2018. Den er gjeldende for alle virksomheter som behandler personopplysninger. Flere fagforbund har spurt oss i Arbeiderbevegelsens arkiv og bibliotek (Arbark) om hva dette betyr i praksis. Kan personopplysninger fortsatt oppbevares dersom medlemmer melder seg ut eller dør? Kan fagbevegelsens arkiver avleveres til Arbark som før? Er det visse typer saker eller opplysninger som må slettes eller makuleres før avlevering?
GDPR og ny personopplysningslov vil stille nye krav til både organisasjoner og arkivinstitusjoner. Men fagbevegelsens arkiver kan fortsatt avleveres til Arbark som før! Det nye regelverket slår klart fast at personopplysninger innsamlet for andre formål også kan behandles for arkivformål, allmennhetens interesse og for vitenskapelig og historisk forskning.
Vi er nå i en situasjon hvor viktig dokumentasjon av fagbevegelsens virksomhet står i fare for å gå tapt, og Arbark har følgende oppfordringer til fagorganisasjonene:
Det nye regelverket er langt på vei en videreføring av gjeldende rett i Norge. Altså kan historiske arkiver fortsatt avleveres til Arbark. I artikkel 5 pkt. bokstav b slås det fast at personopplysninger kan samles inn for spesifikke, uttrykkelig angitte og berettigede formål. «Arkivformål i allmennhetens interesse» er her angitt som et eget formål som er forenlig med de opprinnelige innsamlingsformålene.
I EU-forordningen refereres det flere steder til arkiv- og langtidsbevaring. I artikkel 5 pkt. 1 bokstav e står det at personopplysninger kan lagres i lengre perioder dersom de utelukkende vil bli behandlet for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål. I fortaletekst 50 heter det: «Behandling av personopplysninger for andre formål enn de formål personopplysningene opprinnelig ble samlet inn for, bør bare være tillatt dersom behandlingen er forenlig med formålene som personopplysningene opprinnelig ble samlet inn for […] Viderebehandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål bør anses som forenlige og lovlige behandlingsaktiviteter».
Den nye forordningen befester dermed arkivinstitusjoners mandat til å bevare historiske arkiver. For eksempel åpner artikkel 89 for å gjøre unntak fra visse andre forordningsartikler dersom disse kan være til hinder for arkiv- og forskningsformål. Selv om forordningen gir depotinstitusjoner fullmakter, og selv om den kan ses på som en videreføring av tidligere regelverk, må likevel gode behandlingsrutiner og nødvendige tekniske og organisatoriske sikringstiltak være på plass – både i organisasjonene og hos oss i Arbark. Arbark mener at arbeiderbevegelsens organisasjoner nå først og fremst bør etablere gode rutiner og forbedre sikkerheten ved behandling av personopplysninger.
Fra flere fagforbund har vi blitt bedt om retningslinjer og konkrete henvisninger i lov og forordning som gir dem anledning til å avlevere arkiver som inneholder personopplysninger til Arbark. Vi har særlig fått spørsmål om yrkesskadeerstatningssaker og andre medlemssaker som inneholder helseopplysninger og andre personopplysninger av sensitiv karakter. Arbark mener at slike saker bør bevares for arkiv- og forskningsformål, men også på grunn av sakenes verdi som rettighetsdokumentasjon for medlemmene. Vår erfaring er at forbundene (og LOs juridiske avdeling) ofte etterspør opplysninger fra slike saker.
Gir så EU-forordningen anledning til bevaring av slike saker? Vi mener helt klart ja. I forordningens artikkel 9 nevnes eksempler på særlige kategorier av personopplysninger, eller det som i den gamle personopplysningsloven ble omtalt som sensitive personopplysninger. Fagforeningsmedlemskap regnes som en sensitiv personopplysning, og visse vilkår må være oppfylt for at slike opplysninger kan behandles. Fagforeninger gis anledning til dette gjennom artikkel 9, pkt. 2, bokstav d: «Behandlingen utføres av en stiftelse, sammenslutning eller et annet ideelt organ hvis mål er av politisk, religiøs eller fagforeningsmessig art, som ledd i organets berettigede aktiviteter og med nødvendige garantier, forutsatt at behandlingen bare gjelder organets medlemmer eller tidligere medlemmer […]».
Men etter bokstav j er behandling av slike opplysninger også tillatt «for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål […]», noe som også understøttes av fortaletekst 52.
EU-forordningen har fått en del oppmerksomhet fordi de registrertes rett til i visse situasjoner å få slettet opplysninger har blitt betegnet som en «rett til å bli glemt». Dette er regulert i artikkel 17, men det er en rekke unntak fra denne retten – blant annet hvis behandling er nødvendig for arkivformål i allmennhetens interesse, for vitenskapelig forskning, for historisk forskning eller for statistiske formål (artikkel 17, pkt. 3, bokstav d). Se også fortaletekst 65.
Den nye personvernlovgivningen representerer med andre ord ikke noe hinder for at fagforbund, fagforeninger og klubber fortsatt kan avlevere sine arkiver til Arbark – og dette gjelder også for saker som inneholder personopplysninger av sensitiv karakter.
Vi har fått spørsmål fra noen forbund om medlemmer må informeres eller gi samtykke når arkiv med personopplysninger avleveres til Arbark. Som vi har sett skal viderebehandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål, anses som forenlig med de opprinnelige formålene (artikkel 5, pkt. 1, bokstav e). Avlevering av arkiv fra en fagorganisasjon til Arbark er en viderebehandling av personopplysninger som er forenlig med det opprinnelige formålet, og krever følgelig ikke annen hjemmel i lov eller samtykke. Det vil altså ikke være nødvendig å opplyse medlemmer eller andre om at opplysninger om dem kan ha blitt avlevert til Arbark.
Likevel kan det med fordel sies noe om en framtidig arkivavlevering ved innmelding av nye medlemmer. Se for eksempel Arbeiderbevegelsens Arbeidsgiverforening (AAF) sine nettsider, og AAFs forslag til formulering i forbindelse med innmelding: «Alle data blir lagret forsvarlig og tas vare på for forskningsmessige, statistiske og historiske formål». I en slik formulering ligger det jo implisitt at opplysningene sikres på lang sikt gjennom avlevering til depot. Enkelte fagforbund har også personvernerklæringer på sine nettsider, hvor det framgår at arkivverdig materiale vil bli avlevert til Arbark.
Vi vil legge til at Arbark alltid har håndtert arbeiderbevegelsens arkiver i henhold til gjeldende lovverk og avtaler med organisasjonene. Alle våre arkiver er klausulerte med regulert innsyn. Vi vil sikre at våre rutiner også tilfredsstiller kravene i det nye lov- og regelverket.
Arbeiderbevegelsens arkiv og bibliotek, 5. desember 2018
GDPR og ny personopplysningslov vil stille nye krav til både organisasjoner og arkivinstitusjoner. Men fagbevegelsens arkiver kan fortsatt avleveres til Arbark som før! Det nye regelverket slår klart fast at personopplysninger innsamlet for andre formål også kan behandles for arkivformål, allmennhetens interesse og for vitenskapelig og historisk forskning.
Viktig dokumentasjon kan gå tapt
Vi er nå i en situasjon hvor viktig dokumentasjon av fagbevegelsens virksomhet står i fare for å gå tapt, og Arbark har følgende oppfordringer til fagorganisasjonene:
- Unngå forhastede beslutninger om sletting av dokumenter med personopplysninger
- Sjekk AAFs nettsider for råd og veiledning om medlemsinformasjon, samtykkeerklæringer, forslag til personverntekst til nettsider etc: https:/www.aaf.no/gdpr/
- Følg med på arbeidet i Samarbeidsforumet for personvern i LO-forbundene
- Kontakt oss i Arbark for konkrete forespørsler om bevaringsvurderinger og avlevering av arkivmateriale som inneholder personopplysninger: lesesal@arbark.no
EU-forordning og personopplysningslov – hvilke krav gjelder?
Det nye regelverket er langt på vei en videreføring av gjeldende rett i Norge. Altså kan historiske arkiver fortsatt avleveres til Arbark. I artikkel 5 pkt. bokstav b slås det fast at personopplysninger kan samles inn for spesifikke, uttrykkelig angitte og berettigede formål. «Arkivformål i allmennhetens interesse» er her angitt som et eget formål som er forenlig med de opprinnelige innsamlingsformålene.
I EU-forordningen refereres det flere steder til arkiv- og langtidsbevaring. I artikkel 5 pkt. 1 bokstav e står det at personopplysninger kan lagres i lengre perioder dersom de utelukkende vil bli behandlet for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål. I fortaletekst 50 heter det: «Behandling av personopplysninger for andre formål enn de formål personopplysningene opprinnelig ble samlet inn for, bør bare være tillatt dersom behandlingen er forenlig med formålene som personopplysningene opprinnelig ble samlet inn for […] Viderebehandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål bør anses som forenlige og lovlige behandlingsaktiviteter».
Den nye forordningen befester dermed arkivinstitusjoners mandat til å bevare historiske arkiver. For eksempel åpner artikkel 89 for å gjøre unntak fra visse andre forordningsartikler dersom disse kan være til hinder for arkiv- og forskningsformål. Selv om forordningen gir depotinstitusjoner fullmakter, og selv om den kan ses på som en videreføring av tidligere regelverk, må likevel gode behandlingsrutiner og nødvendige tekniske og organisatoriske sikringstiltak være på plass – både i organisasjonene og hos oss i Arbark. Arbark mener at arbeiderbevegelsens organisasjoner nå først og fremst bør etablere gode rutiner og forbedre sikkerheten ved behandling av personopplysninger.
Avlevering til Arbark – mer om bestemmelsene i regelverket
Fra flere fagforbund har vi blitt bedt om retningslinjer og konkrete henvisninger i lov og forordning som gir dem anledning til å avlevere arkiver som inneholder personopplysninger til Arbark. Vi har særlig fått spørsmål om yrkesskadeerstatningssaker og andre medlemssaker som inneholder helseopplysninger og andre personopplysninger av sensitiv karakter. Arbark mener at slike saker bør bevares for arkiv- og forskningsformål, men også på grunn av sakenes verdi som rettighetsdokumentasjon for medlemmene. Vår erfaring er at forbundene (og LOs juridiske avdeling) ofte etterspør opplysninger fra slike saker.
Gir så EU-forordningen anledning til bevaring av slike saker? Vi mener helt klart ja. I forordningens artikkel 9 nevnes eksempler på særlige kategorier av personopplysninger, eller det som i den gamle personopplysningsloven ble omtalt som sensitive personopplysninger. Fagforeningsmedlemskap regnes som en sensitiv personopplysning, og visse vilkår må være oppfylt for at slike opplysninger kan behandles. Fagforeninger gis anledning til dette gjennom artikkel 9, pkt. 2, bokstav d: «Behandlingen utføres av en stiftelse, sammenslutning eller et annet ideelt organ hvis mål er av politisk, religiøs eller fagforeningsmessig art, som ledd i organets berettigede aktiviteter og med nødvendige garantier, forutsatt at behandlingen bare gjelder organets medlemmer eller tidligere medlemmer […]».
Men etter bokstav j er behandling av slike opplysninger også tillatt «for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål […]», noe som også understøttes av fortaletekst 52.
EU-forordningen har fått en del oppmerksomhet fordi de registrertes rett til i visse situasjoner å få slettet opplysninger har blitt betegnet som en «rett til å bli glemt». Dette er regulert i artikkel 17, men det er en rekke unntak fra denne retten – blant annet hvis behandling er nødvendig for arkivformål i allmennhetens interesse, for vitenskapelig forskning, for historisk forskning eller for statistiske formål (artikkel 17, pkt. 3, bokstav d). Se også fortaletekst 65.
Den nye personvernlovgivningen representerer med andre ord ikke noe hinder for at fagforbund, fagforeninger og klubber fortsatt kan avlevere sine arkiver til Arbark – og dette gjelder også for saker som inneholder personopplysninger av sensitiv karakter.
Vi har fått spørsmål fra noen forbund om medlemmer må informeres eller gi samtykke når arkiv med personopplysninger avleveres til Arbark. Som vi har sett skal viderebehandling for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål, anses som forenlig med de opprinnelige formålene (artikkel 5, pkt. 1, bokstav e). Avlevering av arkiv fra en fagorganisasjon til Arbark er en viderebehandling av personopplysninger som er forenlig med det opprinnelige formålet, og krever følgelig ikke annen hjemmel i lov eller samtykke. Det vil altså ikke være nødvendig å opplyse medlemmer eller andre om at opplysninger om dem kan ha blitt avlevert til Arbark.
Likevel kan det med fordel sies noe om en framtidig arkivavlevering ved innmelding av nye medlemmer. Se for eksempel Arbeiderbevegelsens Arbeidsgiverforening (AAF) sine nettsider, og AAFs forslag til formulering i forbindelse med innmelding: «Alle data blir lagret forsvarlig og tas vare på for forskningsmessige, statistiske og historiske formål». I en slik formulering ligger det jo implisitt at opplysningene sikres på lang sikt gjennom avlevering til depot. Enkelte fagforbund har også personvernerklæringer på sine nettsider, hvor det framgår at arkivverdig materiale vil bli avlevert til Arbark.
Vi vil legge til at Arbark alltid har håndtert arbeiderbevegelsens arkiver i henhold til gjeldende lovverk og avtaler med organisasjonene. Alle våre arkiver er klausulerte med regulert innsyn. Vi vil sikre at våre rutiner også tilfredsstiller kravene i det nye lov- og regelverket.
Arbeiderbevegelsens arkiv og bibliotek, 5. desember 2018