sou · H0B323 · 2012-04-11 00:00:00 — 2 § Detta kapitel gäller vid behandling av personuppgifter i idrotts- verksamhetens brottsbekämpande verksamhet för , aktuella idrottsverksamheten och idrottsorganisation som anordnar idrottsarrangemang, om behandlingen är helt eller delvis automatiserad eller om person- uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller samman- ställning enligt särskilda kriterier. 3 § Med arrangörsavstängning avses den rätt som tillkommer arran- gören av ett idrottsarrangemang att förbjuda en person tillträde till idrottsarrangemanget. 4 § Om inte annat anges i 5 §, gäller denna lag i stället för person- uppgiftslagen (1998:204). 5 § När personuppgifter behandlas enligt denna lag, eller enligt föreskrifter som har meddelats med stöd av lagen, gäller följande bestämmelser i personuppgiftslagen (1998:204): 1.3 § om definitioner, 2.8 § om förhållandet till offentlighetsprincipen, 3.9 §, med undantag för första stycket i och tredje stycket, om grundläggande krav på behandlingen av personuppgifter, 4.23 och 25–27 §§ om information till den registrerade, 5.28 § om rättelse, 6.30 och 31 §§ samt 32 § första stycket om säkerheten vid behand- ling, 7.33–35 §§ om överföring av personuppgifter till tredje land, 8.38–41 §§ om personuppgiftsombud m.m., 9.42 § om upplysningar till allmänheten om vissa behandlingar, 10.43 och 44 §§, 45 § första stycket och 47 § om tillsynsmyndighetens befogenheter, 11.48 § om skadestånd, 12.49 § om straff, och 13.51 § första stycket, 52 § första stycket och 53 § om överklagande. Om personuppgifter ska gallras enligt denna lag, eller enligt föreskrifter som har meddelats i anslutning till lagen, gäller inte 8 § andra stycket personuppgiftslagen. Information enligt 23 § personuppgiftslagen behöver inte lämnas vid behandling som består av insamling av personuppgifter genom bilder. Förbud enligt 44 eller 45 § personuppgiftslagen får inte förenas med vite. 6 § och aktuella idrottsverksamheten är personuppgiftsansvarig för den behandling av personuppgifter som respektive förbund utför. som anordnar idrottsarrangemang är person- uppgiftsansvarig för den behandling av personuppgifter som organisationen utför. 7 § , aktuella idrottsverksamheten och idrottsorganisation som anordnar idrottsarrangemang och som behandlar personuppgifter enligt detta kapitel ska utse ett eller flera personuppgiftsombud. Den personuppgiftsansvarige ska anmäla till tillsynsmyndigheten enligt personuppgiftslagen (1998:204) när ett personuppgiftsombud utses eller entledigas. 8 § Personuppgifter får behandlas om det behövs för att 1.förebygga, förhindra eller upptäcka brottslig verksamhet i samband med idrottsarrangemang, 3.ansöka om tillträdesförbud, 4.beivra överträdelser mot tillträdesförbud och arrangörsavstäng- ningar vid idrottsarrangemang, eller 5.fullgöra förpliktelser som följer av internationella åtaganden. 9 § Personuppgifter får behandlas om 1.behandlingen är nödvändig för handläggningen av tillträdesförbud och arrangörsavstängningar, eller 2.det är nödvändigt för beivrandet av meddelade tillträdesförbud och arrangörsavstängningar. Behandling av känsliga uppgifter 10 § Uppgifter om en person får inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fack- förening, hälsa eller sexualliv. Om uppgifter om en person behandlas på annan grund får de kompletteras med sådana uppgifter som avses i första stycket när det är absolut nödvändigt för syftet med behandlingen. Uppgifter som avses i första stycket får också behandlas med stöd av 8 §. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. 11 § Tillgången till personuppgifter ska begränsas till vad varje handläggare behöver för att kunna fullgöra sina arbetsuppgifter. Regeringen eller den myndighet som regeringen bestämmer med- delar närmare föreskrifter om tillgången till personuppgifter. 12 § Vid sökning i personuppgifter får som sökbegrepp inte användas uppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening eller som rör hälsa eller sexualliv. 13 § Varje idrottsorganisation som anordnar idrottsarrangemang har rätt att ta del av personuppgifter om vilka personer som har meddelats tillträdesförbud och arrangörsavstängning samt därtill hänförliga uppgifter som har betydelse för ärendet. Rätten tillfaller endast den idrottsorganisation som anordnar aktuellt idrottsarrangemang. Rätten att ta del av uppgifter begränsas till uppgifter om personer som associeras med de två idrottsorganisationer som idrottsarrangemanget avser. aktuella idrottsverksamheten har rätt att löpande ta del av personuppgifter om vilka personer som har meddelats tillträdesförbud och arrangörsavstängning samt därtill hänförliga uppgifter som har betydelse för ärendet. 14 § Polismyndigheter och har rätt att ta del av personuppgifter om den mottagande myndigheten behöver uppgifterna i sin brottsbekämpande verksamhet. 15 § Personuppgifter som är nödvändiga för att ordnings- och säkerhetspersonal vid ett idrottsarrangemang ska kunna fullgöra sin arbetsuppgift att avvisa personer som har meddelats tillträdesförbud eller arrangörsavstängning, får lämnas ut till ansvarig chef för den juridiska person som ansvarar för ordningen och säkerheten vid idrottsarrangemanget. De utlämnade personuppgifterna ska kvitteras av mottagaren och får endast lämnas ut i nära anslutning till varje idrottsarrangemang. efter avslutat tjänstgöringstillfälle ska ansvarig chef för den juridiska person som ansvarar för ordningen och säkerheten vid idrottsarrangemanget återlämna förteckningen över personuppgifter. Varje person som arbetar med ordningen och säkerheten på idrotts- arrangemanget ska underteckna ett sekretessavtal avseende de personuppgifter som han eller hon kommer i kontakt med. Elektroniskt utlämnande av personuppgifter 16 § Enstaka personuppgifter får lämnas ut på medium för automatiserad behandling. Regeringen meddelar föreskrifter om att uppgifter får lämnas ut på sådant medium även i andra fall. 17 § Utlämnande genom direktåtkomst är tillåtet bara i den utsträck- ning som följer av detta kapitel. Samling av personuppgifter som struktureras för sökning efter eller sammanställning av personuppgifter Samling av personuppgifter avseende personer som meddelats tillträdesförbud eller arrangörsavstängning 18 § får på nationell basis samla personuppgifter om personer som har meddelats tillträdesförbud eller arrangörsavstängning och strukturera dessa för sökning efter eller sammanställning av personuppgifter i enlighet med 19–24 §§. 19 § av personuppgifter som avses i 18 § får föras i syfte att göra det möjligt att avvisa en person som har meddelats tillträdes- förbud enligt denna lag, eller som har avstängts av arrangören av idrottsarrangemanget, från att tillträda idrottsarrangemanget. 20 § Personuppgifter i sådan samling av personuppgifter som avses i 18 § får inte bevaras än vad som behövs för något eller några av de i lagen angivna ändamålen. 21 § Uppgifter om en registrerad person i sådan samling av person- uppgifter som avses i 18 § ska gallras senast efter att ett till- trädesförbud eller en arrangörsavstängning har slutat att gälla. Uppgifter hänförliga till ett ärende som har avskrivits ska gallras ur sådan samling som avses i 18 § så snart ärendet har avslutats. 22 § som anordnar idrottsarrangemang får medges direktåtkomst till sådan samling av personuppgifter som avses i 18 §. Direktåtkomst får medges endast enligt 13 § första stycket. idrottsverksamhet får medges direktåtkomst till sådan samling av personuppgifter som avses i 18 §. Direktåtkomst får medges endast enligt 13 § andra stycket. Regeringen eller den myndighet som regeringen bestämmer med- delar närmare föreskrifter om omfattningen av direktåtkomsten samt om behörighet och säkerhet. 23 § I sådan samling av personuppgifter som avses i 18 § får uppgifter behandlas om en person som 1.har meddelats interimistiskt beslut eller slutligt beslut om tillträdes- förbud till idrottsarrangemang av åklagare, 2.har avstängts från idrottsarrangemang genom arrangörsavstängning meddelad av en idrottsorganisation som anordnar idrottsarrange- mang, eller 3.handläggs för arrangörsavstängning av idrottsorganisation som anordnar idrottsarrangemang. Uppgifter om en person enligt första stycket 3 får behandlas innan ett avstängningsbeslut har fattats endast om det är av särskild betydelse för bekämpningen av idrottsrelaterade brott och säkerställandet av ordningen vid idrottsarrangemang. 24 § av personuppgifter som avses i 18 § får innehålla följande uppgifter om en enskild person: 3.folkbokföringsadress eller annan stadigvarande adress, 8.uppgifter om särskilda fysiska kännetecken, 9.beskrivning av brottsmisstanke eller brott som ligger till grund för beslut om tillträdesförbud eller avstängning, 10.händelserapport, 13.överträdelser av arrangörsavstängningar och tillträdesförbud, och 14.uppgifter om målsman/föräldrar om den enskilde personen är underårig. Uppgifter som avses i första stycket 10–11 får registreras bara om de har direkt betydelse för ärendet. Uppgifter om personnummer får behandlas bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. förordning om ändring i förordningen (2005:323) om tillträdesförbud vid idrottsarrangemang 1 § När åklagaren har beslutat i 1 § I denna fråga om tillträdesförbud, skall parterna underrättas om beslutet. Att beslut om tillträdesförbud sådan behandling av person- skall delges den mot vilken för- uppgifter som omfattas av lagen budet avses gälla framgår av 4 § lagen (2005:321) om tillträdes- vid idrottsarrangemang. förbud vid idrottsarrangemang. och uttryck som används i denna förordning har samma innebörd 2 § När åklagaren har beslutat i åklagare beslutar om tillträdes- fråga om tillträdesförbud, ska förbud eller häver eller ändrar parterna underrättas om beslutet. ett sådant förbud, skall polis- myndigheten på den eller de orter där förbudet avses bli ska delges den mot vilken förbudet avses gälla framgår av lagen (2005:321) om till- och rapportering av beslut om (1998:620) om belastningsregister (1969:293). SOU 2012:23 Bilaga 5 anmälan om tillträdesförbud har åklagare beslutar om tillträdes- gjorts muntligen, ska åklagaren förbud eller häver eller ändrar ett sådant förbud, ska polismyndig- avser, vem som gjort anmälan heten på den eller de orter där anförs till stöd för anmälan. Bestämmelser om registrering och rapportering av beslut om till- (1998:620) om belastningsregister 4 § Om en polismyndighets an- tillämpningen av lagen (2005:321) om tillträdesförbud vid idrotts- avser, vem som gjort anmälan och de omständigheter som anförs till stöd för anmälan. 5 § Ytterligare föreskrifter för tillämpningen av lagen (2005:321) om tillträdesförbud vid idrotts- arrangemang får meddelas av . Förhållandet till personuppgifts- förordningen 6 § Denna förordning gäller istället för personuppgiftsförord- ning (1998:1191). 7 § Datainspektionen är tillsyns- myndighet enligt personuppgifts- lagen och lagen om tillträdes- förbud vid idrottsarrangemang. 8 § Datainspektionen får med- dela närmare föreskrifter om till- gången till personuppgifter för personer som är verksamma inom , special- idrotts- verksamhet och idrottsorganisation som anordnar idrottsarrange- mang. För tilldelning av behörig- het för åtkomst till person- uppgifter ska särskilt beaktas att det, utöver behovet av upp- gifterna, ställs krav på utbildning och erfarenhet. 9 § , aktuella idrottsverksamheten och idrottsorganisation som anordnar idrottsarrangemang ansvarar för att det inom den egna organis- ationen finns rutiner för till- delning, förändring, borttagning och regelbunden uppföljning av behörigheter för åtkomst till personuppgifter. 10 § Vid Riksidrottsför- bund, aktuella idrottsverksamheten och idrottsorganisation som an- ordnar idrottsarrangemang ska uppgifter registreras om in- och utloggning, ändringar, öppning av dokument och ärenden samt sökningar i sådan samling av personuppgifter som avses i 18 § lagen (2005:321) om tillträdes- förbud vid idrottsarrangemang. De registrerade uppgifterna ska sparas så länge ett ärende är öppet och gallras i samband med att ett ärende om tillträdesförbud eller arrangörsavstängning gallras. 11 § Vid inloggning i sådan sam- ling av personuppgifter som avses i 18 § lagen (2005:321) om till- trädesförbud vid idrottsarrange- mang krävs stark autentisering. 12 § Uppgifter om lagöverträd- elser får lämnas ut via öppet nät endast till identifierade använd- are vars identitet är säkerställd med stark autentisering. Vid sådant utlämnande över öppet nät ska personuppgifterna även förses med krypteringsskydd. 13 § Datainspektionen får med- dela ytterligare föreskrifter om be- handling av personuppgifter enligt lagen (2005:321) om tillträdes- förbud och denna förordning. Utredningens uppdrag och arbete Uppdraget innebär i huvudsak att utreda möjligheten för idrotts- rörelsen att föra ett nationellt register över personer som har blivit avstängda från idrottsarenor genom att åklagaren meddelat tillträdesförbud eller arrangören har nyttjat sin rätt till arrangörs- avstängning. Närmare ska frågan utredas huruvida ett undantag från 21 § personuppgiftslagen (1998:204) kan införas i lagen (2005:321) om tillträdesförbud vid idrottsarrangemang och vilka övriga ändringar i samband därmed som kan aktualiseras. Till grund för utredningen ligger främst förarbeten till person- uppgiftslagen (1998:204) samt lagen (2005:321) om tillträdes- förbud vid idrottsarrangemang, Datainspektionens beslut att bevilja Elitfotboll undantag från 21 § personuppgifts- lagen samt övrig registerlagstiftning, däribland polisdatalagen (2010:361) med förarbeten. Enskilda personer kan bli avstängda från idrottsarenor enligt lagen om tillträdesförbud vid idrottsarrangemang samt genom arrangörsavstängning. Personuppgiftslagens bestämmelser i fram- för allt 21 § hindrar lämplig instans inom idrottsverksamheten från att föra register över de personer som belagts med tillträdesförbud och/eller arrangörsavstängning, vilket försvårar kontrollen över att förbuden och avstängningarna efterföljs. Datainspektionen har enligt samma lag möjlighet att i enskilda fall meddela dispens från registerförbudet. Elitfotboll ansökte om undantag hos Datainspektionen och beviljades sedermera rätt att föra register. får numera föra register med bilder över personer som meddelats tillträdesförbud och arrangörsavstängning. Rätten gäller endast på hemmamatcher. För att andra idrottsorganisationer ska få föra liknande register krävs enligt den nuvarande lagstiftningen att även de ansöker om dispens hos Data- inspektionen. Frågan om ett centralt nationellt register över samt- liga personer med tillträdesförbud och arrangörsavstängning har väckts, med möjlighet för den idrottsorganisation som anordnar ett idrottsarrangemang, att vid match få ut information om de personer från de två berörda idrottsorganisationerna som har till- trädesförbud och arrangörsavstängning. Denna fråga har föranlett följande utredning. 1.2Bakgrund till gällande rätt 1.2.1Personuppgiftslagen (1998:204) Personuppgiftslagen (1998:204) ersätter den tidigare datalagen och genomför och rådets direktiv /45/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (Dataskyddsdirektivet). Dataskyddsdirektivet syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter. Vidare syftar direktivet till att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Medlemsstaterna får inom den ram som anges i direktivet närmare precisera villkoren för när behandling av personuppgifter får förekomma. Sådana preciseringar får dock inte hindra det fria flödet av personuppgifter inom unionen. Regeringen har i personuppgiftsförordningen (1998:1191) gett kompletterande föreskrifter beträffande sådan behandling av personuppgifter som omfattas av personuppgiftslagen. Vidare har Datainspektionen meddelat föreskrifter om dels skyldigheten att anmäla behandlingar av personuppgifter till inspektionen, dels undantag från förbudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser m.m. (2010:1). Syftet med personuppgiftslagen är att skydda människor mot otillbörligt intrång i den personliga integriteten vid behandling av personuppgifter. Personuppgiftslagen följer i huvudsak EG-direk- tivets disposition och text. Till skillnad från datalagen är personuppgiftslagen teknik- oberoende. Personuppgiftslagen omfattar all behandling av person- uppgifter som är helt eller delvis automatiserad. Lagen gäller även för behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i ett register. Personuppgiftslagen gäller inte för sådan behandling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur. Lagen innehåller också en bestämmelse som anger att personuppgiftslagen inte ska tillämpas, om det inskränker myndigheternas skyldighet att lämna ut uppgifter enligt 2 kap. tryckfrihetsförordningen. Lagen är alltså tillämplig på behandling av personuppgifter. Med behandling av personuppgifter avses varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte. Behandlingen kan innefatta exempelvis insamling, registrering, organisering, lagring, bearbetning eller ändring, inhämtande, användning, utlämnande genom över- sändande eller spridning. Personuppgifter definieras som all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Personuppgiftslagen är subsidiär, det vill säga särregler i annan lagstiftning tar över bestämmelser i personuppgiftslagen. Utöver personuppgiftslagen har det utarbetats en stor mängd specialför- fattningar med bestämmelser om behandling av personuppgifter. Syftet har varit att anpassa lagstiftningen till de särskilda behov som finns inom olika verksamhetsområden och göra avvägningar mellan behovet av effektivitet i berörd verksamhet och behovet av skydd för enskildas integritet. Något tillståndsförfarande motsvarande det som fanns i data- lagen förekommer inte i personuppgiftslagen. Behandling av personuppgifter som är helt eller delvis automatiserad ska däremot anmälas till Datainspektionen som är tillsynsmyndighet. Undantag från anmälningsskyldigheten gäller bland annat för sådan behand- ling av personuppgifter som regleras genom särskilda föreskrifter i lag eller förordning. Personuppgiftsansvarig är den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Personuppgifterna får endast användas till det ändamål som de avsetts för. Det slås fast vissa grundläggande krav på behandlingen av personuppgifter i lagen. Den personuppgiftsansvarige ska se till att personuppgifter behandlas bara om det är lagligt. Vidare ska personuppgifter alltid behandlas på ett korrekt sätt och i enlighet med god sed. Personuppgifter får samlas in endast för särskilda, uttryckligt angivna och berättigade ändamål och de får inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. De personuppgifter som behandlas ska vara adekvata och relevanta i förhållande till ändamålen med Den personuppgiftsansvarige ska även se till att inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen samt att de personuppgifter som behandlas är riktiga och, om det är nödvändigt, aktuella. Vidare ska alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen och personuppgifter ska inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. 1.2.1.3När personuppgifter får behandlas Lagen innehåller en uttömmande uppräkning av de fall då person- uppgifter får behandlas. Personuppgifter får i princip alltid behand- las om den registrerade har lämnat sitt samtycke. Annars krävs att behandlingen är nödvändig för vissa angivna ändamål, exempelvis att behandlingen av personuppgifter är nödvändig för att en arbetsuppgift av allmänt intresse ska kunna utföras. Om känsliga personuppgifter, uppgifter om lagöverträdelser m.m. eller person- nummer ska behandlas, måste behandlingen dessutom vara tillåten i enlighet med de bestämmelser som gäller för behandling av sådana uppgifter. Förbudet mot behandling av känsliga personuppgifter är emellertid inte undantagslöst. Det regleras under vilka omständig- heter en behandling av känsliga uppgifter trots förbudet är tillåten. 1.2.1.4Information till den registrerade Personuppgiftslagen reglerar när information måste lämnas till den registrerade. Lagstiftaren skiljer på information som den person- uppgiftsansvarige ska lämna självmant och information som ska lämnas efter ansökan från den registrerade. Den personuppgiftsansvarige ska självmant lämna information till den registrerade om uppgifterna har samlats in från personen själv. Informationen ska lämnas i samband med insamlandet av uppgifterna och ska avse information om den personuppgifts- ansvariges identitet, uppgift om ändamålen med behandlingen av uppgifterna och all övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter i samband med behandlingen. Den övriga informationen kan exempelvis avse information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Sådana uppgifter som den registrerade redan känner till undantas från informationsskyldigheten. Om personuppgifterna har samlats in från någon annan källa än den registrerade finns det vissa undantag från skyldigheten att informera. Undantagen avser situationer då det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor ansträng- ning att lämna information samt då registreringen eller utlämnan- det uttryckligen föreskrivs i författning. Det ska enligt EG- direktivet finnas lämpliga skyddsåtgärder för dessa undantagsfall i den nationella lagstiftningen.1 I de ovan angivna fallen ska den personuppgiftsansvarige lämna informationen självmant. Det krävs således inte att den registrerade begär att få informationen. Utöver den information som ska lämnas självmant är den personuppgiftsansvarige skyldig att till var och en som ansöker om det, lämna besked om personuppgifter som rör den sökande behandlas eller inte. Om sådana uppgifter behandlas ska inform- ation även ges om bland annat varifrån uppgifterna har hämtats och ändamålen med behandlingen. I personuppgiftslagen finns bestämmelser om de säkerhetsåtgärder som ska vidtas vid behandling av personuppgifter. Den personupp- giftsansvarige är skyldig att vidta lämpliga tekniska och organisa- toriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns inom organi- sationen, kostnaderna för att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna samt hur känsliga de behandlade personuppgifterna är. Det finns även bestämmelser om säkerhet då den personuppgiftsansvarige anlitar ett personuppgiftsbiträde. Bland annat ska det finnas ett skriftligt avtal om personuppgiftsbiträdets behandling av personuppgifter för den personuppgiftsansvariges räkning. Det uttalas i förarbetena till personuppgiftslagen att säkerhets- brister vid behandling av personuppgifter i princip är oacceptabla.