»Helt ude i hampen« siger ekspert om KU's stop for udlån af specialer

I midten af juli lukkede Københavns Universitetsbibliotek, der er en separat enhed under Det Kongelige Bibliotek, for udlån af specialer. Årsagen er den nye persondataforordning, der trådte i kraft 25. maj.

Flere af de ældre, trykte specialer indeholder nemlig cpr-nummer eller andre personoplysninger. Helt konkret betyder det, at de flueben, som tidligere studerende har sat på forsiden om samtykke til udlån af specialet, ikke nødvendigvis er nok til at retfærdiggøre udlån efter den nye persondataforordning.

I hvert fald som Københavns Universitetsbibliotek tolker forordningen, der også omtales som GDPR-reglerne (efter den engelske titel General Data Protection Regulation).

»Hysteri«

Men den vurdering er professor i persondataret Peter Blume uenig i. Han betegner det som »hysteri«, at specialerne ikke har været tilgængelige for offentligheden i over tre måneder.

Det er helt ude i hampen. Hvis den studerende har givet tilladelse til udlån af specialet, så har han eller hun givet sit samtykke

Professor i persondataret, Peter Blume

»Det er helt ude i hampen. Hvis den studerende har givet tilladelse til udlån af specialet, så har han eller hun givet sit samtykke. Hensynet til informationsfrihed taler i øvrigt for, at der her kan ske udlån.«

Peter Blume understreger, at indholdet i persondataforordningen på mange måder ikke er nyt – fx havde borgerne også under den gamle persondatalov ret til at give samtykke til at deres oplysninger blev brugt. Det nye er, at myndigheder og virksomheder kan få store bøder for at bryde loven, og det gør dem skræmt.

»Der er intet juridisk nyt i i forhold til persondataloven, hvor man uden videre har udlånt som følge af samtykket. De studerende har jo givet tilladelse til, at deres specialer må gøres tilgængelige eller ej. Så hvis biblioteket ikke mener, de skal udlånes nu, så skulle de heller ikke have udlånt dem tidligere. Noget andet er, at der ingen grund er til, at der står et personnummer,« siger Peter Blume.

Klippede cpr-numre ud

1. januar i år blev Aarhus Universitetsbibliotek – AU Library – fusioneret med Det Kgl. Bibliotek. Men selv om de er en del af samme organisation, har biblioteket i Aarhus håndteret GDPR-problematikken anderledes.

Alle studerende og ansatte, der befinder sig på campus, har fortsat adgang til specialerne. I sommer gennemgik personalet på AU Library BSS (Business & Social Sciences) deres specialearkiv for at sikre sig, at der ikke står cpr-numre eller andre personoplysninger i nogle af specialerne.

De øvrige fakultetsbiblioteker på AU Library har gennemført lignende procedure for at sikre, at de overholder reglerne i henhold til persondataforordningen.

»Vi har været igennem samtlige specialer manuelt. Det tog cirka to dage for en studentermedhjælper. I de specialer, hvor der stod cpr-nummer, har vi simpelthen klippet det ud,« fortæller biblioteksleder på AU Library BSS, Susanne D. Krag via en Skype-forbindelse fra Aarhus.

»Nogle af de specialer, der ikke er til udlån, kan man komme og kigge i. Men der er også nogle specialer, som slet ikke må offentliggøres, fordi de f.eks. afslører virksomheders forretningshemmeligheder, eller fordi de handler om særlige procedurer inden for politiet,« forklarer hun.

På Aalborg Universitet oplyser de, at bibliotekets specialer er tilgængelige for alle både i og uden for universitetet.

Kontroversiel beslutning

Spørgsmålet er, hvorfor Københavns Universitetsbibliotek ikke har gjort som AU Library og gennemgået specialerne manuelt for at sikre sig, at de ikke indeholder personoplysninger.

»Jeg er godt klar over, at det er en kontroversiel løsning. Men hensynet til den studerendes rettigheder som ophavsmand er højere end at sikre adgang til specialer for andre

Kira Stine Hansen, Universitetsbibliotikar på Københavns Universitetsbibliotek

Kort inden sommerferien blev universitetstjenesten kontaktet af flere studerende, der gjorde opmærksom på, at deres specialer indeholdt personfølsomme oplysninger. Københavns Universitetsbibliotek råder over en samling på omkring 170.000 trykte specialer.

Men da de ikke kunne få overblik over hvilke specialer i samlingen, der indeholdt cpr-nummer, valgte Universitetsbibliotekar for Københavns Universitetsbibliotek og vicedirektør på Det Kgl. Bibliotek Kira Stine Hansen det, hun selv betegner som en »kontroversiel løsning«: At lukke helt for udlån.

»Jeg er godt klar over, at det er en kontroversiel løsning. Men hensynet til den studerendes rettigheder som ophavsmand er højere end at sikre adgang til specialer for andre, indtil vi har en afklaring. Selvfølgelig vi ønsker ikke en sag, hvor vi risikerer at bryde persondataforordningen.«

Kompliceret forløb

I stedet kontaktede Københavns Universitetsbibliotek i juli Datatilsynet for at få afklaret, hvordan biblioteket skulle forholde sig til de ældre, trykte specialer, der indeholder personoplysninger. På det Kongelige Bibliotek er de i tvivl om to aspekter:

1. Først og fremmest, om specialerne igen kunne stilles til rådighed for brugerne, selv om de rummer personoplysninger og i flere tilfælde endda cpr-numre.

2. Om det er nødvendigt at indhente samtykke fra studerende, der har afleveret speciale inden loven trådte i kraft i maj.

Nu har Københavns Universitetsbibliotek modtaget en »principiel udtalelse« fra Datatilsynet. Ifølge tilsynet er der principielt ikke problemer med personoplysninger på de trykte specialer, da specialesamlingerne som sådan ligger uden for lovgivningens rammer. Der var bare lige en lille hage.

For da specialesamlingerne indeholder cpr-numre, henviste Datatilsynet til cpr-kontoret – som henviste til ressortministerierne Kulturministeriet og Uddannelses- og Forskningsministeriet. Så der ligger sagen nu.

Forsigtig tilgang

Resultatet er, at de studerende på KU ikke har kunnet låne specialerne fra Københavns Universitetsbibliotek i tre en halv måned.

Kira Stine Hansen medgiver, at Københavns Universitetsbibliotek har forvaltet GDPR-reglerne med en forsigtig tilgang, men hun afviser, at de har overtrådt reglerne.

»Jeg er ikke jurist, men min DPO (databeskyttelsesrådgiver, red.) siger noget andet end Peter Blume. De studerende har givet et samtykke til, at specialet må udlånes, men ikke til, hvorvidt deres personoplysninger må være tilgængelige for offentligheden. Og vi vurderer, at hensynet til den enkeltes rettigheder vejer tungest,« siger hun og tilføjer:

GDPR-forordningen blev varslet to år før den trådte i kraft. Hvorfor kontaktede I først Datatilsynet i midten af sommeren?

»Fordi det er et område, vi ikke havde set komme. Vi har analyseret grundigt, hvor vi kunne få udfordringer, men det er ikke registreret nogle steder, at specialerne kunne indeholde personoplysninger. Så da vi fik henvendelser fra de studerende, blev vi bekymrede.«

Men hvorfor kontaktede I Datatilsynet, som jo ikke træffer konkrete afgørelser, men kun fungerer som rådgiver og vejleder?

»Det er jeg helt med på, men vi havde brug for at få rådgivning om, hvor alvorligt et problem, vi kunne have med specialer, der fx indeholdt cpr-nummer eller adresse. Vi har ikke haft nogle sager endnu om personoplysninger, så vi havde brug for at få en vurdering af, hvor der kunne være problemer. Alle er nye inden for dette område, og derfor var det naturligt at søge vejledning i, hvordan vi skal håndtere persondata-problematikker,« siger Kira Stine Hansen.

Manuel gennemgang

Københavns Universitetsbibliotek er gået i gang med en manuel gennemgang af de trykte specialer, mens de venter stadig på en udmelding fra Kulturministeriet og Forsknings- og Uddannelsesministeriet. Det er den samme process, som AU Library gik i gang med i sommerferien, men som Københavns Universitetsbibliotek ikke havde personale til på det tidspunkt.

Kira Stine Hansen regner med, at specialerne igen bliver tilgængelige i midten af november. Men tilbage melder sig en række spørgsmål om forløbet.

Hvorfor begyndte I ikke at gennemgå specialerne tidligere i processen?

»Fordi vi ikke havde ressourcer til det. Vi har mange flere specialer end de har i Aalborg og Aarhus, og de står ikke på magasin, men åbne hylder. Men jeg er godt klar over den gene, det har skabt for mange studerende.«

Kunne I have gjort nogle ting anderledes?

»Vi kunne godt have stillet 10-20 specialer på hylderne og gennemgået dem manuelt. Det ville måske have afhjulpet noget. Jeg troede, at denne her sag ville blive hurtigt afklaret. Som leder skal du vurdere forskellige vinkler i en sag og tage en beslutning, også selv om den kan være upopulær.«

Har I været gode nok til at kommunikere til brugerne?

»Det kan altid diskuteres, om vi har lavet en god nok kommunikationsstrategi i sagen. Det er vanskeligt at kommunikere uden at kunne angive en løsningshorisont. Men hvis de studerende har henvendt sig til bibliotekarerne, så har de fået en forklaring.«

Tekniske problemer

Som om det ikke var nok med problemerne med persondataforordningen, har det trukket ud med en teknisk løsning for adgangen til de digitale specialer på Københavns Universitetsbibliotek.

Ifølge Kira Stine Hansen skulle en ny platform til upload af digitale specialer være klar i det nye år.

»Det har intet med persondataloven at gøre, men er en rent teknisk udfordring. Men det er selvfølgelig virkelig dårlig timing for os. Vi ville gerne have, at vores brugere får adgang til så mange specialer som muligt. Vi glæder os til, at det her er overstået,« siger hun.