sou · H0B323 · 2012-04-11 00:00:00 — Behand- lingen innebär även att en stor mängd integritetskänsliga uppgifter om samma person kommer att registreras. Andra risker som kan förekomma är förväxling av person vilket kan leda till att oskyldiga registreras i registret. Det finns även en betydande risk för att oskyldiga pekas ut som en person med tillträdesförbud eller arrangörsavstängning om bilden från registret inte är tillräckligt detaljerad och skarp. Det är svårt att på förhand överblicka vilken effekt registrer- ingen får i förhållande till syftet med den. Det är emellertid inte heller klarlagt att syftet som eftersträvas kan nås genom registrer- ing av personuppgifter. Svårigheter att bedöma hur den enskildes personliga integritet kommer att påverkas av registreringen före- ligger också vilket försvårar bedömningen av en eventuell lag- reglering avsevärt. Omständigheten att det är svårt att överblicka konsekvenserna kan tala för att ansökningsförfarandet bör kvarstå. Om ansökningsförfarandet tillämpas avseende fler idrotts- organisationer får lagstiftaren, det tidsbegränsade undantagsbeslutet gäller, möjlighet att utvärdera de konsekvenser behandlingen av personuppgifter inom idrottsverksamheten får för den registrerade, hur besluten efterlevs samt det faktiska behovet av att föra register. Många av de ovan angivna nackdelarna med en lagreglering föreligger dock även vid ett ansökningsförfarande. Nackdelarna snarare för frågan om möjligheten att föra register om lagöver- trädelser inom idrottsrörelsen ska få förekomma över huvud taget. Om man väger för- och nackdelarna mot varandra kan man konstatera att det är fråga om extremt integritetskänsliga uppgifter om bland annat lagöverträdelser. Sammanfattningsvis bör saken underställas om man finner att idrottsrörelsen ska beviljas rätt att behandla den här typen av uppgifter för att säker- ställa de enskildas personliga integritet. Undantag från huvudregeln att endast myndigheter får behandla personuppgifter om lagöver- trädelser genom lagstiftning bör ge ett mer tillfredsställande skydd för den registrerade än ett ansökningsförfarande som kan vara mer rättsosäkert. Vidare bör man fråga sig i vilken utsträckning upp- gifter bör få registreras. Rätten att behandla personuppgifter kan exempelvis begränsas genom hur långtgående uppgifter som får behandlas, vilka instanser som uppgifterna får utlämnas till samt gallringstider och liknande. Risken för kränkning av den personliga integriteten torde minska desto färre uppgifter som behandlas, desto uppgifterna bevaras och ju färre instanser som uppgifterna lämnas ut till. Behovet och syftet med en eventuell lagstiftning måste analyseras för att göra en korrekt avvägning mellan behovet av att behandla personuppgifter och den personliga integriteten. Det har inom idrottsrörelsen uttalats att behovet av att ha ett nationellt register över personer som har meddelats tillträdesförbud och arrangörs- avstängningar är stort. Den nationella samordnaren mot idrotts- relaterad brottslighet och övriga inom idrottsrörelsen har framfört att möjligheten att föra register är en förutsättning för att kontrollen av beslutade tillträdesförbud och arrangörs- avstängningar ska vara effektiv. bedöms behovet av att behandla de känsliga uppgifterna av Datainspektionen i det enskilda fallet genom ansökningsförfarandet. Vid en eventuell lagreglering bedöms behovet att behandla personuppgifter i stället generellt. En lagreglering kan innebära att lagen kommer att om- fatta organisationer vars behov inte skulle anses vara tillräckligt för att beviljas undantag enligt ett ansökningsförfarande. Å andra sidan torde inte särskilt många tillträdesförbud och arrangörs- avstängningar meddelas i en sådan idrottsorganisation vilket kan innebära att problemet är självreglerande. Det finns även risker med att avgränsa lagen. Det kan innebära att lagen blir allt för snäv i omfattning vilket genererar problem i motsatt riktning. Klart är dock att behovet, både i den enskilda idrottsorganisationen och i samhället, måste beaktas. Den enskildes personliga integritet måste vägas mot behovet av att behandla personuppgifter. Det är mycket integritetskänsliga uppgifter som kommer att behandlas om en lagändring gör det möjligt för idrottsrörelsen att behandla personuppgifter om lag- överträdelser. Antalet personer som kan tänkas ingå i registret är relativt begränsat om tillträdesförbud och arrangörsavstängningar fortsätter att meddelas i samma omfattning som . Mängden uppgifter om varje enskild person är däremot stor. Som har berörts tidigare i framställningen är det besvärligt att i förväg bedöma hur den registrerades personliga integritet påverkas av registreringen. Risken för otillbörliga intrång i den personliga integriteten är självfallet större när uppgifter registreras och lagras på ett sådant sätt att flera personer vid en eller flera organisationer har möjlighet att ta del av dem, än när en enskild handläggare behandlar uppgifter vid sin egen dator utan att någon annan har åtkomst till uppgifterna. Om lagstiftaren finner att intresset av att registrera uppgifterna väger tyngre än det intrång i integriteten som registreringen kan komma att innebära bör behandlingen av personuppgifter regleras på ett sådant sätt att den blir proportionerlig med hänsyn till syftet med behandlingen. Det bör övervägas på vilka sätt man i utform- ningen av bestämmelserna kan begränsa risken för kränkning av den personliga integriteten, exempelvis genom att begränsa till- gången till personuppgifterna samt till vilka instanser som upp- gifterna utlämnas. Endast de personuppgifter som är absolut nöd- vändiga för behovet bör få behandlas. Behovet bör även vara betyd- ligt tyngre vägande än intresset av skydd, för att en lagreglering ska komma i fråga. Uppgifter om exempelvis etniskt ursprung kan vara av betydelse för identifieringen av personer. Särskilda bestämmelser om den här typen av känsliga uppgifter bör införas i lagen om tillträdesförbud om man finner att uppgifterna ska få registreras. Att registrera fysiska kännetecken för att underlätta identifier- ing är mycket integritetskänsligt men kan även vara en effektiv metod för att uppnå syftet med lagen. om det är nödvändigt att behandla den typen av personuppgifter för att tillgodose behovet med regleringen. 1.6.1Hur en eventuell lagändring bör förhålla sig till personuppgiftslagen En första övergripande fråga vid utformningen av förslaget till lagändring är hur lagen bör förhålla sig till personuppgiftslagen. Frågan är mer specifikt om en heltäckande reglering bör införas i lagen om tillträdesförbud vid idrottsarrangemang eller om den endast bör innehålla de avvikande bestämmelser som är nödvändiga inom området. Personuppgiftslagen är generellt tillämplig på behandling av personuppgifter. Den gäller därför om det inte finns avvikande bestämmelser i lag eller förordning. För att ta ställning till frågan ovan har jämförelser gjorts med bland annat polisdatalagen och socialtjänstlagen. Enligt regeringens anförande i förarbetena13 till den nuvarande polisdatalagen är en upprepning av personuppgiftslagens bestäm- melser möjlig, men ett sådant system skulle bli väldigt tungrott. En dubbelreglering bör därför undvikas. Regeringen anförde även att det inte får råda någon tvekan om vilka regler i personuppgiftslagen som gäller trots särregleringen samt att det är viktigt att behovet av en särreglering noga övervägs. Inom polisen framfördes kritik mot konstruktionen med polis- datalagen som komplement till personuppgiftslagen. För lag- tillämparen är det opraktiskt att arbeta med två olika lagar. Det är svårt för den som ska tillämpa lagen att klart och tydligt se vilka bestämmelser i personuppgiftslagen som är tillämpliga och i vilken omfattning det i särregleringen finns bestämmelser som kanske endast delvis avviker från personuppgiftslagen. Ett liknande reso- nemang kan föras gällande en eventuell ändring av lagen om till- trädesförbud vid idrottsarrangemang avseende behandling av personuppgifter. Att endast ange vilka bestämmelser i person- uppgiftslagen som ska tillämpas kan vara riskfyllt och otillfreds- ställande av flera skäl. Om personuppgiftslagen skulle ändras kan det innebära att lagen om tillträdesförbud hänvisar till fel bestäm- 1997/98:97 s. En följdändring i lagen om tillträdesförbud skulle då vara nödvändig. Å andra sidan kan det vara att föredra om personupp- giftslagen ändras, då definitioner och liknande i lagen om tillträdes- förbud vid en ändring automatiskt får samma betydelse och lydelse. I förarbetena till den nya polisdatalagen som träder i kraft har lagstiftaren valt att utforma en teknikneutral lag som gäller i stället för personuppgiftslagen. Frågan hur polisdata- lagen ska förhålla sig till personuppgiftslagen har lösts genom att i lagen ange de hänvisningar till bestämmelser i personuppgiftslagen som ska vara tillämpliga i polisens brottsbekämpande verksamhet.14 En liknande ordning torde vara att föredra i det här fallet för att undvika tillämpningsproblem. Att upprepa all lagtext i personupp- giftslagen skapar en alltför lång lag om tillträdesförbud och skapar problem vid en eventuell ändring av personuppgiftslagen. Lagförslaget till ändring av lagen om tillträdesförbud bör därför innehålla en bestämmelse där det framgår vilka bestämmelser i personuppgiftslagen som är tillämpliga inom idrottsverksamhetens brottsbekämpande verksamhet. 1.6.2Tillträdesförbud och/eller arrangörsavstängning Den nationella samordnaren för idrottsrelaterad brottslighet har uttalat att lagregleringen bör omfatta både tillträdesförbud och arrangörsavstängningar för att uppnå störst effektivitet. Även Datainspektionens bifallsbeslut innefattar undantag vad gäller båda typerna av avstängningar. Lagförslaget har därför utformats i enlig- het härmed. Om lagstiftaren finner att arrangörsavstängningar inte ska omfattas av lagregleringen bör lagstiftaren fråga sig om det nuvarande ansökningsförfarandet om undantag från 21 § person- uppgiftslagen i enskilda fall ska användas för arrangörs- avstängningar. Det bör i det fallet även utredas vilken effekt en arrangörsavstängning får om den inte får registreras. Vidare bör frågan väckas om möjligheten för arrangörer att stänga av personer enligt ett idrottsligt regelverk ska tas bort eller om den bör regleras i författning. 2009/10:85 s. 1.6.3Register eller samling av personuppgifter Tekniskt är det fråga om man ska använda ordet register i lagen om tillträdesförbud vid idrottsarrangemang eller om något mer flexibelt ord ska användas. Register i ordets traditionella bemärk- else anses vara avgränsade system där uppgifter förs in på ett systematiserat sätt efter vissa kriterier och är sökbara endast med särskilda sökord. Detta gäller i första hand vissa äldre system. Utvecklingen inom andra områden går mot att registerformen överges för mer flexibla datasystem.15 I den nya polisdatalagen har lagstiftaren exempelvis valt att benämna det personuppgifter som har gjorts gemensamt tillgängliga. Förslagsvis bör därför ordet register undvikas i lagen då det är svårt att förutse hur datasystemen inom idrottsverksamheten kommer att vara utformade . Rätt att samla person- uppgifter som struktureras för sökning efter eller sammanställning av personuppgifter torde därför vara en mer lämplig benämning i lagen. Benämningen har hämtats från 5 a § personuppgiftslagen. Vid utformningen av lagregleringen måste det fastställas vem som får föra register och vem som är ansvarig för behandlingen av personuppgifterna. Utredningen avser möjligheten att föra ett nationellt register och den nationella samordnaren har framfört att torde vara en lämplig registerförare. Frågan gäller därför om , special- idrottsförbundet inom respektive idrott eller den enskilda idrotts- organisationen bör föra register för att uppnå syftet med lag- regleringen och syftet med registreringen. Utredningen utgår ifrån att det på central nivå torde finnas större resurser och bättre kompetens för att skydda den enskildes personliga integritet. På central nivå torde det vidare finnas större möjligheter juridiskt och vad gäller IT-system och IT-säkerhet. Dessa omständigheter talar för att eller specialidrottsförbundet inom respektive idrott bör ges rätt att föra register. eller bör utses som registerförare torde vara av mindre betydelse. Huvudsaken är att ett överordnat förbund är registerförare. 2009/10:85 s. 56. organisation skulle föra sitt eget register uppstår frågetecken kring vilka kriterier en idrottsorganisation måste uppfylla för att få föra ett register enligt lagen. Det skapar även problem vid regleringen av exempelvis utlämnandet av uppgifter till övriga idrotts- organisationer. Utredningen utgår därför från som registerförare, i enlighet med den nationella sam- ordnarens önskemål. Tillgången till uppgifterna i det nationella registret bör dock medges de enskilda idrottsorganisationerna och specialidrotts- aktuella idrottsverksamheten inom vid behov och begränsas då rent tekniskt både när det gäller vem som ska ha tillgång till uppgifterna och när tillgång ska ges. I avsnitt 1.7.1.6 behandlas utlämnandet av upp- gifter till bland annat de enskilda idrottsorganisationerna. och bör således vara personuppgiftsansvarig för den behandling av personuppgifter som respektive förbund utför. Varje idrottsorganisation bör vara personuppgiftsansvarig för den behandling av personuppgifter som organisationen utför. Vilka uppgifter som får registreras, gallring av uppgifter, åtkomst till och utlämnande av uppgifter, IT-säkerhet samt information till den registrerade bör regleras i lagstiftningen. Rättelse, skadestånd, straffansvar och tillsynsbefogenheter bör också regleras. Vad gäller vilka uppgifter som får registreras, gallring av uppgifter, åtkomst till och utlämnande av uppgifter samt säkerhet bör uttryckliga bestämmelser införas i lagen om tillträdesförbud vid idrotts- arrangemang. Det är av stor vikt att det exakt regleras vilka upp- gifter som får behandlas samt åtkomst till och utlämnande av uppgifter för att säkerställa en rättssäker tillämpning av lagen och för att minska risken för otillbörliga intrång i den personliga integriteten. Vad gäller gallring av uppgifter föreslås gallring av uppgifter ske varför en lagreglering är nödvändig då bestämmelserna avviker från personuppgiftslagens reglering. Förslagsvis är det tillräckligt att vad gäller rättelse, skadestånd, straffansvar och tillsynsbefogenheter hänvisa till bestämmelserna i personuppgiftslagen med angivande av tillämpliga paragrafer. Säkerhetsbestämmelserna i lagen om tillträdesförbud bör minst motsvara de krav på säkerhet som uppställs i EG-direktivet, personuppgiftslagen och Datainspektionens allmänna råd. Det bör således krävas stark autentisering vid inloggning i databasen. Inga uppgifter om lagöverträdelser får heller kommuniceras över öppna nät utan att förses med krypteringsskydd. Säkerhetsåtgärder vad gäller inloggning och utlämnande över öppet nät bör införas i förslag till förordning om ändring i för- ordning on tillträdesförbud vid idrottsarrangemang. Syftet med lagförslaget är att ge rätt att föra register över lagöverträdelser m.m., vilket som huvudregel är förbjudet enligt 21 § personuppgiftslagen. Vidare är syftet att ge , specialidrottsförbundet inom den aktuella idrottsverksamheten samt idrottsorganisationer som an- ordnar idrottsarrangemang möjlighet att behandla personuppgifter på ett ändamålsenligt sätt för att ha möjlighet att tillse att efter- levnaden av lagen om tillträdesförbud efterlevs och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. En utgångspunkt bör vara att skapa en teknikneutral och flexi- bel reglering som ger ramarna för idrottsverksamhetens person- uppgiftsbehandling men som i detalj reglerar vilka personuppgifter som får behandlas i det nationella registret. Genom lagändringen bör man komma till rätta med olika problem som den nuvarande regleringen har visat sig ge upphov till, bland annat när det gäller möjligheterna att identifiera och avvisa en person med tillträdesförbud eller som har stängts av genom arrangörsavstängning. Den nya lagregleringen bör också skapa förutsättningar för ett bättre samarbete mellan idrottsrörelsen och de brottsbekämpande myndigheterna genom utökade möjligheter till informationsutbyte. Lagen bör, med några få undantag, reglera all behandling av personuppgifter i idrottsrörelsens brottsbekämpande verksamhet vid , specialidrottsförbundet inom den aktuella idrottsverksamheten samt idrottsorganisation som an- ordnar idrottsarrangemang. Bestämmelserna avseende behandling av personuppgifter bör införas i ett eget avsnitt, förslagsvis i ett nytt kapitel 2 i lagen om tillträdesförbud. Systematiskt bör bestämmelserna som införs överensstämma med systematiken i personuppgiftslagen. Enligt direktiv från den nationella samordnaren har lagförslaget i sak utformats enligt Datainspektionens beslut. I förslagets 1 § anges syftet med lagregleringen. Syftet är dels att förbättra kontrollen av att meddelade tillträdesförbud och arrangörsavstängningar efterföljs genom att tillåta att behandlar personuppgifter avseende dessa personer. Bestämmelsernas syfte är vidare att skydda de personer som har meddelats förbud och avstängning mot att deras person- liga integritet kränks genom behandling av personuppgifter. I enlighet med bestämmelsernas syftet har därför ett förhållandevis stort antal bestämmelser om behandling av personuppgifter införts för att skydda de enskildas integritet. Avsikten med den föreslagna regleringen är att skyddet för enskilda personers integritet ska ligga på en hög nivå. Bestämmelsen i förslagets 2 § avseende lagregleringens tillämp- ningsområde motsvarar regleringen i 2 § polisdatalagen (2010:361) och har i stort samma sakinnehåll och ordalydelse som 5 § person- uppgiftslagen (1998:204). Bestämmelsen anger att lagen om till- trädesförbud vid idrottsarrangemang är tillämplig vid behandling av personuppgifter inom , specialidrotts- samt idrottsorganisation som anordnar idrottsarrangemang. Behandlingen av personuppgifter ska vara helt eller delvis automatiserad alternativt ska personuppgifterna ingå i eller vara avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställ- ning enligt särskilda kriterier, för att omfattas av lagens tillämp- ningsområde. Frågan hur bestämmelserna ska förhålla sig till personuppgiftslagen har diskuterats i avsnitt 1.6.1 ovan. Utredningen fann att den mest lämpliga lösningen var att i likhet med polisdatalagen, ange de hänvisningar till bestämmelser i personuppgiftslagen som ska vara tillämpliga. Det framgår därför av den föreslagna 4 § att lagen om tillträdesförbud gäller i stället för personuppgiftslagen om det inte framgår annat av efterföljande paragraf. Efterföljande paragraf, 5 §, innehåller en bestämmelse där det framgår vilka bestämmelser i personuppgiftslagen som är tillämpliga inom idrottsverksamhetens brottsbekämpande verksamhet. Personuppgiftsansvarig är den person som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behand- lingen av personuppgifter. Det framgår av 3 § personuppgiftslagen. Den personuppgiftsansvarige ska tillse att en mängd grundläggande krav på behandlingen av personuppgifter uppfylls. Den personupp- giftsansvarige får utse ett personuppgiftsbiträde som behandlar personuppgifter för den personuppgiftsansvariges räkning. I den föreslagna 6 § anges att är personuppgiftsansvarig för den behandling av personuppgifter som förbundet utför. inom den aktuella idrotts- verksamheten ansvarar för den behandling som utförs inom för- bundet. Varje idrottsorganisation är personuppgiftsansvarig för den behandling av personuppgifter som organisationen utför. Personuppgiftsombud definieras enligt personuppgiftslagen som den fysiska person som, efter förordnande av den personupp- giftsansvarige, självständigt ska se till att personuppgifter behandlas på ett korrekt och lagligt sätt. Det regleras i 7 § att respektive förbund och organisation ska utse ett eller flera personuppgiftsombud. Ändamålet med behandlingen framgår av förslagets 8–9 §§. Det anges att personuppgifter får behandlas om det behövs för att förebygga, förhindra eller upptäcka brottslig verksamhet i samband med idrottsarrangemang, handlägga arrangörsavstängningar, beivra överträdelser mot tillträdesförbud och arrangörsavstängningar vid idrottsarrangemang, eller fullgöra förpliktelser som följer av inter- nationella åtaganden. Personuppgifter får vidare behandlas om behandlingen är nödvändig för handläggningen av arrangörs- avstängningar, eller det är nödvändigt för beivrandet av meddelade tillträdesförbud och arrangörsavstängningar. Bestämmelsen att personuppgifter får behandlas för att handlägga arrangörsavstängningar infördes då förslaget till lag- ändring, enligt uppdrag, i största mån ska motsvara Data- inspektionens beslut att bevilja ansökan om undantag. I ansökan till Datainspektionen angavs att behov av att behandla personuppgifter förelåg vad gäller arrangörs- avstängningar under handläggning. Datainspektionen beslutade i enlighet med ansökan men angav att de registrerade uppgifterna ska gallras så snart ärendet har avslutats om ärendet avskrivs. Gallring behandlas nedan i avsnitt 1.7.1.8. Vad gäller omständigheten att personuppgifter får behandlas om det behövs för att fullgöra förpliktelser som följer av inter- nationella åtaganden är avsikten att bestämmelsen ska tillämpas då exempelvis världsmästerskap hålls i och det föreligger internationella förpliktelser i samband med detta. Behovet av bestämmelsen är svår att överblicka, men har införts för att inte onödigtvis begränsa lagens tillämpningsområde. Att personuppgifter får behandlas om det behövs för att före- bygga, förhindra eller upptäcka brottslig verksamhet i samband med idrottsarrangemang samt beivra överträdelser mot tillträdes- förbud och arrangörsavstängningar vid idrottsarrangemang är före- slaget för att uppnå syftet med bestämmelserna. I förslagets 13 § regleras rätten för enskilda idrottsorganisationer och aktuella idrottsverksamhetens att ta del av uppgifter. Varje idrottsorganisation som anordnar idrottsarrangemang har rätt att ta del av personuppgifter om vilka personer som har meddelats tillträdesförbud och arrangörs- avstängning samt därtill hänförliga uppgifter som har betydelse för ärendet. Rätten tillfaller endast den idrottsorganisation som an- ordnar aktuellt idrottsarrangemang. Rätten att ta del av uppgifter begränsas till uppgifter om personer som associeras med de två idrottsorganisationer som idrottsarrangemanget avser. Ordalydelsen att rätten att ta del av uppgifter endast föreligger avseende personer som har meddelats tillträdesförbud och arrangörsavstängning innebär att avstängningar under utredning inte omfattas av rätten. Att registrera uppgifter avseende ännu inte meddelade avstängningar saknar betydelse för syftet med lagregler- ingen, det vill säga att förhindra tillträde till idrottsarrangemang för personer som har meddelats tillträdesförbud och arrangörs- avstängning. Avsikten är att endast den idrottsorganisation som handlägger en eventuell arrangörsavstängning ska kunna ta del av uppgifter som har registrerats i den egna handläggningen. Om ärendet avskrivs, ska de registrerade uppgifterna gallras så snart ärendet avslutats. Paragrafens andra stycke reglerar aktuella idrottsverksamhetens rätt att löpande ta del av person- uppgifter om vilka personer som har meddelats tillträdesförbud och arrangörsavstängning samt därtill hänförliga uppgifter som har betydelse för ärendet. Syftet med bestämmelsen är att möjliggöra för specialidrottsförbundet att ansöka om tillträdesförbud enligt den initiativrätt som tillfaller förbundet i den nuvarande 6 § andra stycket lagen om tillträdesförbud vid idrottsarrangemang.