sou · GZB310 · 2011-02-02 00:00:00 — Överföring av personuppgifter till tredje land Överföring till tredje land får ske endast om landet säkerställer en adekvat skyddsnivå. Bedömningen av skyddsnivån ska ske på grund- val av alla de förhållanden som har samband med överföringen, var- vid särskilt ska beaktas uppgiftens art, den eller de avsedda behand- lingarnas ändamål och varaktighet, ursprungslandet och det slutliga bestämmelselandet, de allmänna respektive särskilda rättsregler som gäller i ifrågavarande tredje land. (Artikel 25). Kommissionen kan konstatera att ett tredje land genom sin interna lagstiftning eller på grund av de internationella förpliktelser som ålig- ger landet har en skyddsnivå som är adekvat i den mening som angivits ovan. Undantag från förbudet mot överföring av personuppgifter till tredje land som inte har adekvat skyddsnivå finns i artikel 26. Oav- sett om något av undantagen är tillämpliga får en medlemsstat tillåta överföring av personuppgifter till ett tredje land som inte har en adekvat skyddsnivå om den registeransvarige ställer tillräckliga garan- tier för att privatliv och enskilda personers grundläggande fri- och rättigheter skyddas samt för utövningen av motsvarande rättig- heter. Sådana garantier kan framgå av lämpliga avtalsklausuler. Om en medlemsstat tillåter sådan överföring ska och övriga medlemsstater underrättas. Överföring får också ske om överföringen är nödvändig eller bin- dande enligt författning av skäl som rör viktiga allmänna intressen (artikel 26.1 d). Det är alltså möjligt för att tillåta nödvändig överföring som sker av skäl som rör viktiga allmänna intressen. Personuppgifter ska enligt artikel 6 e) i dataskyddsdirektivet förvaras på ett sätt som förhindrar identifiering av den registrerade än vad som är nödvändig för de ändamål de samlades in eller för vilka de senare behandlades. Arbetsgruppen för skydd av enskilda med avseende på behandling av personuppgifter Enligt artikel 29 i dataskyddsdirektivet inrättades en arbetsgrupp för skydd av enskilda med avseende på behandling av personuppgifter. Arbetsgruppen kallas i fortsättningen Artikel 29-gruppen. Arbets- gruppen ska vara rådgivande och oberoende. Den ska vara samman- satt av en företrädare för den eller de tillsynsmyndigheter som utsetts av varje medlemsstat, av en företrädare för den eller de myndigheter som har inrättats för gemenskapens institutioner och organ samt av en företrädare för kommissionen. 10.4EU-kommissionens syn på standard standard för skydd av den personliga integriteten och för personuppgifter har varit föremål för diskussioner mellan och EU i olika omgångar, då standarden i vissa avseenden ansetts strida mot EG-direktivet om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (95/46/EG, dataskyddsdirektivet). i detta avsnitt redovisas de kvarstående punkter där standarden inte ansetts överens- stämma med direktivet. Artikel 29-gruppen har haft kritiska synpunk- ter på utformningen av standarden. I dessa frågor har också Över- vakningsgruppen för mot dopning inom idrotten och ad hoc kommitté för WADA-frågor (Mondial Anti-Dopage, CAHAMA) varit aktiva för att påverka till en utformning av standarden som inte strider mot EG-direktivet. Efter bl.a. yttrande av Artikel 29-gruppen (WP 162) ändrades därefter den ur- sprungliga standarden av genom ett beslut , med ikraftträdande . Standardens namn i den nya versionen är International Standard for Protection of Privacy and personal information (ISPPPI). En av tillsatt arbetsgrupp mot dopning behand- lade därefter bl.a. den nya standarden vid ett möte . Vid detta möte i mot dopning summerade företrädaren för CAHAMA de frågeställningar som kvarstod efter ändringen av standarden till följd av Artikel 29-gruppens synpunkter i ovannämnda yttrande (WP 162). I summeringen instämde före- trädare för . Vid mötet beslutades också om en expertgrupp med CAHAMA som huvudman vid namn on Data Protec- tion. I expertgruppen ingår, förutom ordföranden i CAHAMA, tre personer från , två från , samt repre- sentanter från och företrädare i exeku- tivkommitté. Expertgruppens uppgift är att arbeta vidare med de utestående frågorna. Vid den av tillsatta arbets- gruppens möte rapporterades från expertgruppens senaste möte dagen innan. Det konstaterades att en av svårighe- terna med att lösa de utestående frågeställningarna var att medlems- staterna inte var överens om tolkningen av EG-direktivet, vilket med- förde att alla frågor inte kunde lösas genom expertgruppens arbete. Frågan om samtycke var en sådan fråga, som måste lösas inom varje land för sig. Artikel 29-gruppens uppfattning i denna fråga var att samtycket inte på något sätt ges frivilligt eftersom deltagare som vägrar att iaktta skyldigheterna riskerar sanktioner och följder. Vid ett möte med arbetsgrupp om antidop- ning lämnades en rapport från expertgruppen med CAHAMA som huvudman och på nytt diskuterades de kvarstående frågeställningarna, som definierades som 1.Vistelserapportering och proportionalitet. 3.Överföring av data från EU till och från till anti- dopningsorganisationer i länder utanför EU och det europeiska ekonomiska samarbetsområdet. Vid mötet lämnades en tidplan när de utestående frågeställningarna kunde tänkas vara lösta, nämligen beträffande gallringsfristerna första halvan av 2010, vistelserapportering m.m. andra halvan , transferering av uppgifter första halvan av 2011 och slutligen publi- cering av bestraffningar andra halvan av 2011. Av de utestående frå- orna är det endast bestämmelserna om publicering som är reglerad i Världsantidopningskoden, varför en ändring i detta avseende inte kan göras förrän vid nästa översyn av koden, vilken beräknas ske 2013. Artikel 29-gruppen har ansett att artikel 7 e i dataskyddsdirek- tivet (om en arbetsuppgift av allmänt intresse) kan ge en rättslig grund för behandling av uppgifter, förutsatt att antidopningsorganisatio- nerna har offentlig status och ett klart definierat nationellt offent- ligt uppdrag som enligt nationell lagstiftning ger dem tillstånd att behandla de uppgifter som är nödvändiga för att fullgöra detta upp- drag, med iakttagande av bestämmelserna i direktivet såsom det inför- livats i nationell lagstiftning. I fråga om behandling av känsliga person- uppgifter respektive personuppgifter om lagöverträdelser har gruppen hänvisat till nationella undantag enligt artikel 8.4 och 8.5. Gruppen har ansett att det vore mycket svårt att tillämpa undantaget i artikel 26.1 d för överföring av uppgifter av skäl som rör viktiga allmänna intressen. Frågan om omfattningen av vistelserapportering har diskuterats. Artikel 29-gruppen ansåg i sitt yttrande (WP 162) att kravet på vistelserapportering inte var rimligt. Framför allt gällde gruppens synpunkter andra idrottsutövare än de på elitnivå. Kontrollpoolerna borde därför fastställas efter en riskanalys avseende bl.a. vilken idrott idrottsutövaren tävlar i och om bruk av dopnings- substanser kan vara ett medel att förbättra prestationsförmågan. informerade vid mötet om att de utfärdat riktlinjer för hur kontrollpooler skulle kunna konstrueras Rikt- linjerna är inte bindande och varje antidopningsorganisation kan bestämma sina egna kriterier för kontrollpool/pooler. Artikel 29-gruppen uttalade som rimligt att det offentliggörande av beslut om avstängningar för förseelser mot dopningsreglerna som föreskrivs i ISPPPI och som beskrivits under punkten 10.2.3 inkräktar på rätten till respekt för privatlivet och skydd av personuppgifter. För att ett sådant intrång ska vara befogat måste det vara nöd- vändigt för att uppnå ett specifikt, legitimt syfte. De av angivna syftena att hindra idrottsutövare från att ta på sig en annan roll inom idrotten eller att delta i annan idrott samt att publiceringen skulle ha en avskräckande effekt för en idrottsutövare eller andra idrottsutövare från att dopa sig avfärdas av Artikel 29-gruppen med att syftena kan nås på ett mindre inkräktande sätt. effekterna av åtgärden i proportion till dessa syften enligt Artikel 29-gruppen. Överföring av data från EU till och från till antidopningsorganisationer i länder utanför EU och det europeiska ekonomiska samarbetsområdet En fråga som också tidigare diskuterats och inte är löst är om har en sådan adekvat nivå för skyddet av personuppgifter som enligt dataskyddsdirektivet krävs för att det ska vara tillåtet att föra över personuppgifter till databas i . Som framgår under avsnitt 10.3.2 ankommer det på EU- kommis- sionen att konstatera att ett tredje land har en adekvat skyddsnivå. Det finns inget sådant kommissionsbeslut gällande som land, endast ett beslut som gäller den kanadensiska lagen om elektroniska handlingar och skydd för personuppgifter (Personal Information Protection and Electronic Documents Act, PIPEDA). Lagen gäller dock bara organisationer i den privata sektorn som samlar in, använder eller lämnar ut personuppgifter i samband med kommersiell verk- samhet. verksamhet är dock inte kommersiell, varför kommissionsbeslutet inte kan åberopas. Den kanadensiska datatillsynsmyndigheten har framhållit att databehandlingar i täcks av PIPEDA och av provinsiell lagstiftning () med samma nivå av skydd som PIPEDA. Därmed skulle det inte finnas några hinder mot att föra över personuppgifter till databas enligt den kana- densiska datatillsynsmyndigheten. Vid mötet efterfrågades en officiell bekräftelse att omfattas av PIPEDA. En sådan bekräftelse förefaller alltjämt saknas. Möjligheterna att överföra personuppgifter från till andra länder skulle kunna lösas genom avtalsklausuler, där överföring till länder med låg nivå av personskydd vid överföring av personupp- gifter kunde begränsas. Artikel-29 gruppen har uttalat tveksamhet om PIPEDA är tillämp- lig avseende . Vid det tidigare nämnda mötet i EU-kom- missionens arbetsgrupp mot dopning försäkrade före- trädare för de kanadensiska datatillsynsmyndigheterna att PIPEDA och motsvarande lagstiftning på provinsiell nivå är tillämpbara och att en adekvat skyddsnivå därmed skulle existera såväl för överföring av personuppgifter till som att uppgifter därifrån kunde hämtas av antidopningsorganisationer utanför . Något kom- missionsbeslut eller annat uttalande finns ännu inte i denna fråga. Viss tveksamhet i bedömningen finns sålunda alltjämt bland olika datatillsynsmyndigheter i , liksom hos den svenska Data- inspektionen. Från den kanadensiska datatillsynsmyndigheten har Datainspek- tionen fått ta del av ett brev till ordföranden i Artikel 29-gruppen daterat med gemensam underskrift av den kanaden- siska datakommissionären och ordföranden i den regionala datatill- synsmyndigheten, Commission dáccés à l´information du . Av brevet framgår att de försäkrar att såväl datalagstift- ning som PIPEDA är tillämpliga för och att lag Act Respecting the Protection of Personal Information in the Private Sector är i princip densamma som PIPEDA men att lag- stiftning också omfattar icke-kommersiella organisationer. Av brevet framgår att den kanadensiska lagstiftningen uppges tillförsäkra per- sonuppgifterna en adekvat säkerhetsnivå varför det inte finns några legala hinder som hindrar antidopningsorganisationer i att överföra data till i . Då godkännandeförfarandet mellan och tagit har ett stort antal NADO i tagit initiativet att genom Europa- rådets kommitté för WADA-frågor (CAHAMA) tillskriva ansvarig EU-kommissionär med en begäran att påskynda arbetet med att god- känna överförandet av personuppgifter från till i . En fråga som redan nu är under behandling är frågan om gallrings- frister. Som framhållits tidigare finns ett förslag från med olika gallringsfrister för olika typer av uppgifter. Förslaget har varit ute på remiss och ett beslut förväntas . Detta beskrivs i avsnitt 10.2.3. Personuppgiftslagen gäller för sådan behandling av personuppgifter som är helt eller delvis automatiserad. Lagen gäller även för annan behandling av personuppgifter om uppgifterna ingår i eller är avsedda att ingå i ett register (5 §). För att ett sådant manuellt register ska omfattas av personuppgiftslagen förutsätts dock att uppgifterna är strukturerade på sådant sätt att de är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Behandling av person- uppgifter som inte ingår i eller är avsedda att ingå en samling av personuppgifter, som har strukturerats för att underlätta sökning efter eller sammanställning av personuppgifter är undantagna vissa bestäm- melser i lagen. Sådan behandling får dock inte utföras om den inne- bär kränkning av den registrerades personliga integritet (5 a §). Om det i annan lag eller i en förordning finns bestämmelser som avviker från bestämmelserna i personuppgiftslagen ska de bestämmelserna gälla (2 §). De flesta av lagens bestämmelser är undantagna vid behandling av personuppgifter för journalistiska ändamål (7 § andra stycket). Bestämmelserna i personuppgiftslagen ska inte heller till- lämpas i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsförordningen eller yttrande- frihetsgrundlagen. I personuppgiftslagen åläggs den personuppgiftsansvarige att upp- rätthålla vissa grundläggande krav på behandlingen av personupp- gifter (9 §). Den personuppgiftsansvarige ska se till att a)personuppgifter behandlas bara om det är lagligt, b)personuppgifter alltid behandlas på ett korrekt sätt och i enlig- het med god sed, c)personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål, d)personuppgifter inte behandlas för något ändamål som är ofören- ligt med det för vilket uppgifterna samlades in, e)de personuppgifter som behandlas är adekvata och relevanta i för- hållande till ändamålen med behandlingen, f)inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen, g)de personuppgifter som behandlas är riktiga och, om det är nöd- vändigt, aktuella, h)alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen, och i)personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Personuppgifter får bevaras för historiska, statistiska eller vetenskap- liga ändamål än som sagts i första stycket i). Personuppgifterna får dock i sådana fall inte bevaras än vad som behövs för det ursprungliga ändamålet men inte längre än som behövs för det historiska, statistiska eller vetenskapliga ändamålet. I 10 § personuppgiftslagen anges när behandling av person- uppgifter över huvud taget är tillåten. För behandling krävs att den registrerade har lämnat sitt samtycke till behandlingen eller att behandlingen ska vara nödvändig för att a)ett avtal med den registrerade ska kunna fullgöras eller åtgär- der som den registrerade begärt ska kunna vidtas innan ett avtal träffas, b)den personuppgiftsansvarige ska kunna fullgöra en rättslig skyl- dighet, c)vitala intressen för den registrerade ska kunna skyddas, d)en arbetsuppgift av allmänt intresse ska kunna utföras, e)den personuppgiftsansvarige eller en tredje man till vilken person- uppgifter lämnas ut ska kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller f)ett ändamål som rör ett berättigat intresse hos den personupp- giftsansvarige eller hos en sådan tredje man till vilken person- uppgifterna lämnas ut ska kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränk- ning av den personliga integriteten. Enligt 50 § personuppgiftslagen får regeringen eller den myndighet som regeringen bestämmer (dvs. Datainspektionen) meddela när- mare föreskrifter om i vilka fall behandling av personuppgifter är tillåten. Om behandlingen grundar sig enbart på samtycke från den regi- strerade får någon ytterligare behandling inte ske om den registre- rade återkallar sitt samtycke. (12 §) Det är som huvudregel förbjudet att behandla känsliga person- uppgifter (13 §). Dit räknas bl.a. uppgifter som rör hälsa och sexualliv. Förbudet gäller inte om den registrerade har lämnat ett uttryckligt samtycke till behandlingen. (15 §). Det gäller heller inte om det är fråga om en nödvändig behandling av känsliga personuppgifter inom arbetsrätten, för att skydda vitala intressen eller för att kunna fast- ställa, göra gällande eller försvara rättsliga anspråk (16 §). Ideella organisationer med politiskt, filosofiskt, religiöst eller fackligt syfte får inom sin verksamhet behandla känsliga personuppgifter om organisationens medlemmar (17 §). Även för hälso- och sjukvårds- ändamål får känsliga personuppgifter behandlas (19 §). Under vissa omständigheter får känsliga personuppgifter behandlas också för forsknings- och statistikändamål (19 §). Regeringen, eller den myn- dighet som regeringen bestämmer, får om det behövs med hänsyn till ett viktigt allmänt intresse, medge ytterligare undantag från för- budet att behandla känsliga uppgifter (20 §). Det är enligt personuppgiftslagen förbjudet för andra än myn- digheter att behandla personuppgifter om lagöverträdelser som inne- fattar brott, domar i brottmål, straffprocessuella tvångsmedel eller andra administrativa frihetsberövanden (21 §). Regeringen, eller den myndighet som regeringen bestämmer, får dock besluta om undan- tag från förbudet. Personnummer får behandlas bara om den registrerade har lämnat sitt samtycke till det eller om det är klart motiverat av ändamålet med behandlingen, vikten av en säker identifiering, eller något annat beaktansvärt skäl (22 §). Av 23–27 §§ personuppgiftslagen framgår vilken information som ska lämnas till den registrerade och när sådan information ska lämnas. Personuppgifter som är felaktiga eller ofullständiga eller som annars inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som meddelats med stöd av lagen ska på begäran av den registrerade rättas, blockeras eller utplånas (28 §). Enligt 33 § personuppgiftslagen är det förbjudet att föra över personuppgifter som är under behandling till tredje land om landet inte har en adekvat nivå för skyddet av personuppgifterna. Det är också förbjudet att föra över sådana uppgifter för behandling i tredje land. Frågan om ett land har en adekvat skyddsnivå ska bedömas med hänsyn till samtliga omständigheter som har samband med över- föringen. Särskild vikt ska läggs vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen ska pågå, ursprungslandet, det slutliga bestämmandelandet och de regler som finns för behandling i det tredje landet. I lagen finns vissa undantag från förbudet, bl.a. om den registrerade har lämnat sitt samtycke till behandlingen eller om överföringen är nödvändigt för att ett avtal mellan den person- uppgiftsansvarige och tredje man som är i den registrerades intresse ska kunna ingås eller fullgöras (34 §). Regeringen får meddela föreskrifter om undantag från förbudet i 33 § för överföring av personuppgifter till vissa stater. Regeringen får också meddela föreskrifter om att överföring av personuppgifter till tredje land är tillåten, om överföringen regleras av ett avtal som ger tillräckliga garantier till skydd för de registrerades rättigheter. Regeringen, eller den myndighet som regeringen bestämmer, får vidare meddela föreskrifter om undantag från förbudet om det behövs med hänsyn till ett viktigt allmänt intresse eller om det finns till- räckliga garantier till skydd för de registrerades rättigheter. Slutligen får regeringen eller den myndighet som regeringen bestämmer besluta om undantag från förbudet i vissa enskilda fall. 10.6Behandlingen av personuppgifter i antidopningsverksamheten inom idrotten Den nationella antidopningsorganisationens roll Avsikten är att NADO:n ska ta över verksamheten med att genom- föra dopningskontroller inom idrottsrörelsen och därvid såsom personuppgiftsansvarig behandla personuppgifter. För detta behöver NADO:n få uppgift från idrottsföreningarna om en person är med- lem eller inte och personuppgifter om elitidrottare för att kunna besluta om kontrollpooler. Avsikten är vidare att idrottsrörelsen själv ska som sköta sanktionerna, inklusive publiceringen av de personer som fått en sanktion. För att detta ska kunna ske behöver NADO:n kunna till behöriga organ inom idrottsrörelsen lämna ut personuppgifter om misstänkta förseelser mot idrottens antidop- ningsregler. Behandlingen måste kunna omfatta känsliga personuppgifter om bl.a. hälsa. Den måste vidare kunna omfatta personuppgifter om lag- överträdelser som innefattar brott, eftersom ett provsvar som visar förekomst av olagligt dopningsmedel tillsammans med avsaknaden av styrkt medicinskt behov får anses utgöra en personuppgift om en sådan lagöverträdelse, i vart fall när uppsåtligt bruk i erkänts. Avsikten är att personuppgifter ska kunna föras över till databasen i , och det kan inte anses utrett att den över- föringen omfattas av något beslut av som gör att överföringen ska tillåtas. Personnummer måste kunna användas, eftersom det är viktigt med en säker identifiering vid dopnings- kontroller, analys av prover och bedömning av provsvar. För att kunna klara sina arbetsuppgifter behöver NADO:n i stor utsträckning kunna behandla personuppgifter i en eller flera data- baser. Därmed kan NADO:n inte förlita sig på undantaget för behandling av personuppgifter i ostrukturerat material (5 a §). Vikten av att behandlingen kan ske Avsikten är att inte fler personuppgifter ska behandlas än vad som krävs enligt det internationella regelverket mot dopning, som genom- förts genom Idrottens antidopingreglemente med tillhörande före- skrifter. Avsikten är också att personuppgifterna bara ska behandlas på det sätt som krävs enligt regelverket. Regelverket är alltså av interna- tionell karaktär och tillämpas i många stater. Att regelverket följs är en förutsättning för att svenska idrottsutövare ska kunna tävla utom- lands och för att svenska idrottare ska kunna tävla mot idrottare från andra länder vid internationella tävlingar som hålls i . Att så kan fortsätta ske får anses vara ett viktigt allmänt intresse för . I flera demokratiska länder är det staten själv som sköter idrottsrörel- sen eller i vart fall dopningskontrollerandet inom denna, vilket kan anses visa att upprätthållandet av en dopningsfri idrottsverksamhet med internationellt tävlande faktiskt är ett viktigt allmänt intresse. Samtycke som rättslig grund för behandlingen Det särskilda samtycke som enligt RF:s föreskrifter lämnas av idrotts- utövare eller annan (tränare, ledare m.fl.) vars personuppgifter be- handlas enligt antidopningsreglerna omfattar varje typ av behandling och är – eftersom det är skriftligt – både otvetydigt och uttryckligt. Därmed återstår frågan om samtycket är frivilligt. Artikel 29- gruppen anser inte att det är fråga om ett frivilligt samtycke efter- som deltagare som vägrar att iaktta skyldigheterna (t.ex. att vistelse- rapportera) riskerar sanktioner och följder (WP 162, s. 11). Som Artikel 29-gruppen uttrycker det kan idrottsutövare straffas om de inte lämnar de uppgifter som begärs och kan efter upprepning för- hindras att delta i organiserad idrott. Samma påföljd skulle förmod- ligen bli resultatet om någon idrottsutövare återkallar sitt samtycke till behandlingen av alla adekvata personuppgifter eller sådana som är nödvändiga för kontrollplanering respektive anmälan av en möj- lig förseelse mot IDR. Enligt 12 § personuppgiftslagen ska den registrerade ha en sådan möjlighet att återkalla sitt samtycke. Ytter- ligare personuppgifter får efter återkallandet inte behandlas om rätten till behandlingen grundar sig enbart på samtycke. Något alternativ till tävlingsidrottande utanför RF finns inte i många idrotter. Sam- tycket anses därmed inte som frivilligt av Artikel 29-gruppen. Frågan om frivillighet tolkas olika i olika EU-länder, vilket är orsaken till att frågeställningen överlämnats till det enskilda landets datasäkerhetsmyndighet att avgöra.