sou · H0B323 · 2012-04-11 00:00:00 — har därför rätt att meddela beslut om säker- 1997/98:44 s. 78. hetsåtgärder i enskilda fall. I beslutet får den personuppgifts- ansvarige preciserat exakt vilka åtgärder som måste vidtas för att uppfylla säkerhetskraven. Regler om skyddsåtgärder kan även finnas i annan lagstiftning. Sådana bestämmelser gäller vid sidan av de bestämmelser om skyddsåtgärder som gäller enligt personupp- giftslagen med anknytande författningar och beslut.2 måste på ett effektivt sätt utöva tillsyn över den behandling av personuppgifter som förekommer. För att uppnå detta har tillsynsmyndigheten rätt att på begäran få tillgång till de personuppgifter som behandlas, få tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter samt få upplysningar om och dokumentation av behandlingen av person- uppgifter och säkerheten vid denna. Myndighetens uppgift är att ta reda på om den behandling av personuppgifter som utförs är laglig. Om tillräckligt underlag för bedömningen inte bereds tillsyns- myndigheten på begäran från denna har myndigheten en vites- möjlighet. Myndigheten kan vid vite förbjuda den personuppgifts- ansvarige att fortsätta behandla personuppgifter på annat sätt än genom att lagra dem. Personuppgiftslagen innehåller bestämmelser om rättelse, blocker- ing eller utplåning av sådana personuppgifter som inte har behand- lats i enlighet med personuppgiftslagen eller föreskrifter som har meddelats med stöd av lagen. Rättelse, blockering eller utplåning ska ske efter begäran från den registrerade. Om person- uppgifter har behandlats i strid med personuppgiftslagen och den registrerade därav har orsakats skada och kränkning av den person- liga integriteten, ska den personuppgiftsansvarige ersätta den regi- strerade. Lagen innehåller även bestämmelser om straffansvar och över- klagande. 2 a. prop. trädde vissa ändringar av personuppgiftslagen i kraft. Ändringarna innebär att lagen i viss utsträckning har utformats enligt en så kallad missbruksmodell. Motsvarande be- grepp är hanteringsmodell. En reglering uppbyggd enligt en hanteringsmodell reglerar själva hanteringen av personuppgifter oavsett om behandlingen kan anses som känslig eller inte ur integritetssynpunkt. Regleringen omfattar således all användning av personuppgifter oavsett dess syfte, omfattning eller art. I en sådan modell finns det regler om hur personuppgifter ska hanteras från det att de samlas in till det att de utraderas. En missbruksmodell å andra sidan tar inte sikte på själva hanteringen av person- uppgifterna utan på att uppgifterna inte får missbrukas till skada för någons personliga integritet. Så länge personuppgifterna inte missbrukas på så sätt att den personliga integriteten kränks är behandlingen tillåten. I missbruksmodellen är det huvudsakliga att identifiera vilken användning av personuppgifter som utgör ett sådant missbruk att den bör förbjudas genom att i första hand beläggas med skadestånd eller kriminaliseras. Behandling av personuppgifter i ostrukturerat material, till exempel löpande text och enstaka bild- och ljudupptagningar, undantas från de flesta av personuppgiftslagens detaljerade hanteringsregler. Sådan behand- ling tillåts under förutsättning att den registrerades personliga integritet inte kränks.3 Bestämmelser om uppgifter om lagöverträdelser m.m. finns i 21 § personuppgiftslagen. Enligt huvudregeln får uppgifter om lagöver- trädelser bara behandlas av myndigheter. Paragrafen tillämpas inte vid sådan behandling av personuppgifter i ostrukturerat material som avses i 5 a § personuppgiftslagen. Med lagöverträdelser förstås överträdelser som innefattar brott. Straff måste vara föreskrivet för överträdelsen. Uppgifter om över- trädelser som är osanktionerade eller som bara för med sig admini- strativa sanktioner omfattas således inte av bestämmelsen. Språkligt sett omfattas bara brottsliga överträdelser av förhållningsregler i lagar och inte i förordningar beslutade av regeringen. 2005/06:173 s. 12. innebära att överträdelser av arrangörsavstängningar inte omfattas av lydelsen. Det framgår inte av lagtexten eller förarbetena i vilken utsträckning lagöverträdelser som innefattar brott enligt utländsk lagstiftning omfattas. En uppgift om att någon har eller kan ha begått något visst brott utgör en uppgift om lagöverträdelse, även om det inte finns någon dom eller motsvarande beträffande brottet. Artikel 8.5 i EG-direktivet föreskriver att ett fullständigt regis- ter över brottmålsdomar får föras endast under kontroll av en myndighet. Sådana uppgifter är otvivelaktigt av så känslig natur att vem som helst inte bör få hantera uppgifterna hur som helst. Myndigheter behöver ofta hantera just sådana uppgifter för att kunna fullgöra de samhällsuppdrag som lagts på dem. I vilken utsträckning myndigheter får hantera sådana uppgifter framgår av de föreskrifter som reglerar respektive myndighets verksamhet. Eftersom det kan finnas fall där det är befogat att enskilda behandlar uppgifter om lagöverträdelser m.m. innehåller paragrafen ett bemyndigande för regeringen eller den myndighet som reger- ingen bestämmer att meddela föreskrifter om undantag från för- budet.4 Regeringen har enligt 9 § personuppgiftsförordningen bemyndigat Datainspektionen att meddela sådana föreskrifter. Det är generella föreskrifter som avses. I 2010:1 har Data- inspektionen föreskrivet att personuppgifter som avses i 21 § får behandlas i vissa särskilda fall. Exempelvis får sådana uppgifter behandlas om det är nödvändigt för att fullgöra en föreskrift på socialtjänstområdet eller behandlingen endast avser enstaka uppgift som är nödvändig för att anmälningsskyldighet enligt lag ska kunna fullgöras. En möjlighet till dispens i enskilda fall finns i paragrafens fjärde stycke. Exempel på situationer då det enligt förarbetena kan vara befogat med undantag är privata vård- och behandlingshem som kan behöva behandla uppgifter om brottmålsdomar för att kunna vårda den dömde på ett effektivt sätt.5 Enskilda personuppgifts- ansvariga kan således ansöka hos Datainspektionen om undantag för vissa bestämda behandlingar av sådana uppgifter som avses i första stycket som de avser att genomföra. Möjligheten att meddela undantag ska tillämpas restriktivt. Exempel på undantag som har beviljats är SL avseende klotter och Elitfotboll av- seende tillträdesförbud till idrottsarrangemang. an- sökan behandlas nedan i avsnitt 3. 1997/98 s. 74–75. 1.2.2Lagen (2005:321) om tillträdesförbud vid idrottsarrangemang Problemen med ordningsstörningar, som våld och skadegörelse, vid idrottsarrangemang har funnits . Det rör sig bland annat om läktarvåld, inkastande av föremål på spelplanen samt skadegörelse och våld utanför arenorna. Den som har äganderätt, eller på annat sätt förfogar över en plats, bestämmer normalt vem som har rätt att vistas där. Detta gäller även om allmänheten har tillträde till platsen. Idrottsorganisationer kan därmed förbjuda en person att besöka idrottsarrangemang genom att meddela så kallad arrangörsavstängning. Rätten och ibland skyldigheten att avstänga en person genom arrangörsrätten framgår av allmänna idrottsregelverk. En avstängning kan meddelas i stället för tillträdesförbud eller i kombination med tillträdes- förbud. Det krävs särskilda skäl för att en arrangörsavstängning ska kunna beslutas. Det ställs inga krav på att beteendet är brottsligt utan särskilda skäl kan exempelvis vara ordningsstörande beteende eller bristande respekt för de ordningsregler som finns på arenan. Arrangörsavstängningarna upprätthålls genom att de avstängda personerna avvisas i samband med biljettkontroll vid inpassering till arenan. En arrangörsavstängning är att betrakta som en bestraff- ning och överträdelser utgör därför inget brott. har i ett avgörande6 slagit fast att straffbestämmelsen om olaga intrång i inte är tillämp- lig då en person besöker en plats dit allmänheten har tillträde även om personen i fråga förbjudits att besöka platsen. Vad gäller tillämpningen av bestämmelsen om olaga intrång i idrottssamman- hang har Hovrätten över och uttalat i dom7 att en idrottsplats, som under offentliga idrottsarrangemang, är tillgänglig och upplåten för allmänheten, inte skyddas enligt bestämmelserna om olaga intrång. Behovet av en lagstiftning som ger möjlighet att 6NJA 1995 s. 84. 7Hovrättens över och dom i mål B 679–99. under straffansvar utestänga huliganer från idrottsarenor uppstod därmed. Lagen om tillträdesförbud vid idrottsarrangemang trädde i kraft . Regleringen syftar främst till att förhindra brott och skapa trygghet för allmänheten vid idrottsarrangemang. Lagen har till stor del utformats och byggts upp på liknande sätt som lagen (1988:688) om besöksförbud. Besöksförbudslagen har seder- mera ersatts av lagen om kontaktförbud. Ett tillträdesförbud innebär att en person förbjuds att få tillträde till och vistas på inhägnad plats huvudsakligen avsedd för idrotts- utövning när idrottsarrangemang anordnas på platsen av idrotts- organisation. Även platser där det bedrivs annan verksamhet än idrott omfattas av förbudet. Som exempel kan nämnas försäljning av mat och dryck.8 Område utanför arenan omfattas inte av förbudet. Det står således personen fritt att besöka pubar i närområdet och befinna sig direkt utanför inhägnaden. En förutsättning för att tillträdesförbud ska få meddelas är att det på grund av särskilda omständigheter finns risk för att personen kommer att begå brott under idrottsarrangemang och brottet är ägnat att störa ordningen eller säkerheten där. Vid bedömningen beaktas om personen har begått sådant brott under eller i samband med idrottsarrangemang. Endast i undantagsfall bör en brottsrisk kunna anses föreligga och förbud beslutas trots att personen inte tidigare begått brott, exempelvis om en person på- träffats med pyrotekniska varor vid inpassering till arenan och saknar tillstånd härtill.9 Vid bedömningen får inte brott som har begåtts beaktas. Åklagaren prövar frågor om tillträdesförbud. Initiativrätt vid frågor om tillträdesförbud tillkommer enligt ursprungsförfatt- ningen den idrottsorganisation som anordnar det eller de arrange- mang som förbudet avser att eller berört specialidrottsförbund inom . En ansökan från den senare torde endast bli aktuell om det finns skäl för förbud som avser flera idrottsorganisationers arrangemang, till exempel samtliga all- 2004/05:77 s. 28. Åklagaren saknar enligt ursprungs- lagen möjlighet att meddela interimistiskt beslut. Den som överträder ett tillträdesförbud döms till böter eller fängelse . Normalstraffet ska enligt förarbetena vara böter. Ett tillträdesförbud gäller , dock högst . Det börjar gälla om inte annat har bestämts. Beslutet ska delges den som förbudet avser. Det krävs att delgivningen är slut- förd för att straffansvar ska kunna utkrävas samt för att ingripan- den enligt exempelvis polislagen ska kunna följa vid överträdelse.10 Lagen om tillträdesförbud vid idrottsarrangemang har i vissa delar uppfattats som otydlig och otillfredsställande. Många av de brotts- förebyggande effekter som det var tänkt att förbuden skulle föra med sig uteblev av olika anledningar. Svårigheter för idrotts- organisationer att identifiera de personer som begår brott och ordningsstörningar i samband med idrottsevenemang var en del av problematiken som upplevdes från idrottsverksamheten. Anled- ningen till detta var att en stor del av brotten begicks utanför arenorna. fick inte del av information om vilka personer som begick brott utanför arenorna på grund av den lagstadgade förundersökningssekretessen. Endast idrottsorgani- sationen eller specialidrottsförbundet hade initiativrätt enligt lagen och det innebar att det inte var möjligt att ansöka om tillträdes- förbud för de personer som begick idrottsrelaterade brott utanför arenorna. Samma problem uppstod avseende personuppgifter på de personer som begått brott inne på arenan. Följden av detta var att idrottsorganisationerna endast kunde ansöka om tillträdesförbud i de fall då de på förhand kände till vem personen i fråga var. Vidare hindrade handläggningstiderna hos åklagaren lagen från att vara effektiv. I många fall hann ett flertal matcher spelas och i vissa fall gick säsongen till och med till ända innan förbudsfrågan var avgjord hos åklagaren.11 För att ytterligare öka skyddet mot ordningsstörningar vid idrottsarrangemang och komma till rätta med de uteblivna effekt- erna av lagen om tillträdesförbud infördes en lagändring . 2008/09:78 s. 23. samband med lagändringen gavs polismyndigheten initiativrätt i frågor om tillträdesförbud. Syftet med lagändringen i det avseendet var att komma till rätta med de problem som förundersöknings- sekretessen orsakade avseende de personer som begick brott utanför arenorna. Vidare gavs åklagaren möjlighet att meddela interimistiska tillträdesförbud i situationer då skyndsamhetskravet gör sig starkt gällande. Åklagaren har således möjlighet att besluta om tillträdesförbud trots att utredningen inte är så fullständig som det kan krävas vid ett slutligt avgörande av ärendet. Syftet med bestämmelsen i fråga var att begränsa de problem som de långa handläggningstiderna gav upphov till. För att ytterligare effektivisera infördes en bestämmelse om skyldighet för den enskilde att på uppmaning av polisman följa med till förhör i de fall förutsättningar för ett interimistiskt tillträdesförbud kan anses föreligga. Vidare infördes bestämmelser i ordningslagen om innehav och användning av pyrotekniska varor vid idrotts- arrangemang samt förbud mot obehörigt beträdande av spelplanen och inkastande av föremål på spelplanen. Lagen är fortfarande alltför uddlös, enligt bland annat idrotts- rörelsen. Det saknas möjlighet för idrottsrörelsen att föra register över personer som har meddelats tillträdesförbud och arrangörs- avstängningar. Det i sin tur försvårar kontrollen av att de med- delade förbuden efterföljs. Ett förslag till lagändring avseende längden på tillträdesförbuden, utvidgning av det geografiska om- rådet som förbudet avser samt straffskalan för överträdelse av till- trädesförbud kommer att presenteras av den nationella samordnaren. 1.3Datainspektionens möjlighet att meddela undantag i enskilda fall Datainspektionen har, som nämnts ovan, möjlighet att i enskilda fall meddela undantag från 21 § personuppgiftslagen. Det framgår inte närmare, av ordalydelsen i 21 § eller av 9 § personuppgifts- förordningen, under vilka förutsättningar undantag kan beviljas. Datainspektionen har dock tolkat det som att undantag från för- budet ska beviljas restriktivt, mot bakgrund av uttalanden i för- arbetena samt artikel 8.5 i dataskyddsdirektivet. 1.3.1Djurgårdens ansökan om undantag Elitfotboll () ansökte om undantag från förbudet att behandla personuppgifter om lagöver- trädelser. Av ansökan framgår huvudsakligen följande. ansöker om undantag från förbudet i 21 § personuppgiftslagen för handläggning och uppföljning av personer som har blivit föremål för arrangörsavstängning och/eller tillträdesförbud. menar i ansökan att det är svårt att bedriva trygga och säkra evene- mang om det inte finns möjlighet att beivra ordningsstörare med förbud att besöka idrottsarrangemang. Behovet av att löpande föra register över avstängda personer är enligt mycket stort. De uppgifter som avser att behandla förutom identifieringsuppgifter som namn, personnummer, folkbokförings- adress och liknande, är stillbilder från arenans övervakningssystem, beskrivning av påstådd förseelse alternativt misskötsamhet samt övrig dokumentation i ärendet såsom vittnesuppgifter, händelse- rapporter och videodokumentation. Uppgifter om målsmän, om personen i fråga är underårig, avser även behandla. Vidare önskar beskriva de överträdelser av arrangörs- avstängningar och tillträdesförbud som sker då det kan påverka framtida bedömningar avseende exempelvis risken att begå brott. ansökte även om att få bevara uppgifter om tillträdes- förbud samt därtill hörande dokumentation för att säkerställa att framtida beslut blir korrekta. Uppgifterna ska behandlas dels i en SQL-databas som är sökbar med hjälp av exempelvis namn och personnummer, dels i akter. Avsikten är att databasen och de akterna ska ha samma innehåll. avser att gallra uppgifter i databasen och den manu- ella akten efter det att sista beslutet om tillträdesförbud och/eller arrangörsavstängning har slutat att gälla. Om skriver av ett ärende om arrangörsavstängning, det vill säga beslutar att inte stänga av personen i fråga, gallras uppgifterna efter avskrivningsbeslutet. Vad gäller utlämnande av uppgifter anser att uppgifter ur registret kan komma att lämnas ut till Svenska Fot- bollförbundets disciplinnämnd och om av- stängningen överklagas. Då en person är föremål för tillträdes- förbud kan uppgifter komma att lämnas ut till specialidrotts- förbundet inom , det vill säga Svenska Fot- bollförbundet i det här fallet. Vidare ska det finnas möjlighet att lämna ut uppgifter till och , i de fall det begärs. Vid match kommer en förteckning med fotografier på de avstängda personerna, tillsammans med infor- mation om vilken typ av avstängning det är fråga om, att tas ut ur databasen. Förteckningen lämnas till säkerhetspersonal för att underlätta identifiering. Uppgifter ska därför lämnas ut till säker- hetspersonal hos Svensk Evenemangssäkerhet. har inte ansökt om att få lämna ut uppgifter till andra idrottsorganisationer. Vidare har i ansökan redogjort för IT-systemets uppbyggnad och för vilken information som lämnas till de registre- rade. Vad gäller IT-systemet är databasen lösenordskyddad och användarna loggar in med användarnamn och lösenord som är krypterade i databasen. Varje användare har personliga behörig- heter i systemet. Samtliga personuppgifter krypteras för att und- vika att känslig information kommer ut vid intrång i databas- servern. In- och utloggning i systemet registreras, så även när dokument och sidor öppnas, ändringar görs i dokument, ändringar på personer eller i ärenden utförs samt förfrågningar mot systemet. Loggen sparas så länge ett ärende är öppet och raderas sedan till- sammans med ärendet. Datainspektionens beslut i frågan meddelades i mitten av . Som skäl för beslutet anger Datainspektionen inledningsvis att den behandling av personuppgifter som önskar utföra är tillåten enligt 10 d § personuppgiftslagen. Inspektionen finner att det rör sig om en arbetsuppgift av allmänt intresse. planerade behandling av personuppgifter kommer att innefatta personuppgifter om lagöverträdelser i den mening som avses i 21 § personuppgiftslagen och är därför som utgångspunkt förbjuden. Datainspektionen finner att den mängd uppgifter som avser att behandla är fler än enstaka och att inget av undantagen i föreskrifterna 2010:1 därmed är tillämpliga. Beslutet avser därför frågan om det finns möjlighet att bevilja dispens från förbudet i det enskilda fallet, enligt 21 § fjärde stycket personuppgiftslagen. Datainspektionen finner att intresse av att behandla personuppgifter om tillträdesförbud och arrangörs- avstängningar är så tungt vägande att det klart överväger de regi- strerades intresse av skydd mot kränkning av deras personliga integritet. Vidare anser inspektionen att behandlingen är pro- portionerlig med hänsyn till syftet med behandlingen. Data- inspektionen anser därför att Elitfotboll bör beviljas undantag från förbudet att föra register över lagöverträdelser. Inspektionen beviljade således Elitfotboll undantag enligt ansökan, under förutsättning att vissa villkor uppfylls. Vill- koren avser gallring, information till den registrerade och säker- heten kring uppgifterna. Datainspektionen menar att avskrivnings- ärenden måste gallras ur databasen så snart ett ärende har avslutats. Som villkor för beslutet gäller även att fullständig information måste lämnas till den registrerade i enlighet med personuppgifts- lagens bestämmelser. Vidare krävs stark autentisering vid inlogg- ning i databasen och att inga uppgifter om lagöverträdelser kom- municeras över öppna nät, till exempel via e-post, utan förses med krypteringsskydd. Undantaget ger alltså idrottsorganisationen rätt att ha en data- bas över personer som har fått tillträdesförbud av åklagare eller som har avstängts från idrottsarrangemang genom så kallad arrangörsavstängning. får således föra register över och ha bilder på de personer som har tillträdesförbud och arrangörs- avstängning. Materialet får endast användas vid hemmamatcher och undantaget är tidsbegränsat. 1.4Lagändring eller ansökningsförfarande? En allmän fråga att ta ställning till är om det är rimligt att ge idrottsrörelsen möjlighet att föra register över personer med tillträdesförbud och personer som har avstängts från idrotts- arrangemang genom arrangörsavstängning. Som tidigare nämnts har Datainspektionen möjlighet att efter ansökan meddela undan- tag från 21 § personuppgiftslagen genom lydelsen i fjärde stycket nämnda lagrum. Inom idrottsverksamheten har Elit- fotboll ansökt och beviljats dispens från förbudet att behandla upp- gifter om lagöverträdelser. Denna ordning är möjlig även för övriga idrottsorganisationer. Frågan gäller om ansökningsförfarandet eller en lagändring är att föredra, sett ur olika perspektiv. Det som enligt idrottsrörelsen talar för att en lagreglering bör utformas är att behandlingen av personuppgifter i det här fallet avser att förhindra våld och ordningsstörningar vid idrotts- arrangemang. Det är ett samhällsproblem som innebär stora kost- nader för samhället och idrottsorganisationerna. Allmänheten påverkas av problemen genom att säkerheten och trivseln vid evenemangen försämras om inte de personer som har meddelats tillträdesförbud och arrangörsavstängning avvisas från arenorna. Det är nödvändigt med kontroll över de personer som har för- bjudits tillträde till idrottsarrangemang för att lagen om tillträdes- förbud ska bli effektiv och för att komma tillrätta med problemati- ken. Omständigheten att bestämmelsen i 21 § personuppgiftslagen är beslutad av samt att undantag från bestämmelsen därmed även bör beslutas på samma nivå talar ur ett juridiskt perspektiv för att en lagreglering är att föredra framför ett ansökningsförfarande. Ansökningsförfarandet kan vara rättsosäkert då det innebär att behovet av att behandla de känsliga personuppgifterna bedöms i varje enskilt fall och att rätten att behandla personuppgifterna begränsas därefter. Genom en lagreglering torde enhetlighet i bedömningen skapas. Syftet med behandlingen av uppgifterna är att tillgodose ett viktigt samhällsintresse och det kan ifrågasättas om en enskild myndighet, som Datainspektionen, ska ha befogen- het att medge så omfattande undantag från en huvudregel i person- uppgiftslagen. Vid utskottsbehandlingen av förslaget till personuppgiftslagen uttalade att det saknas anledning att avvika från den tidigare fastlagda målsättningen att myndighetsregister med ett stort antal registrerade personer och ett särskilt känsligt innehåll ska regleras särskilt i lag.12 Det står även att läsa i förarbetena att personuppgiftslagen endast bör innehålla generella regler och att undantag och särregler för mer speciella områden bör tillgodoses genom andra författningar. Det är visserligen inte fråga om ett myndighetsregister i detta fall men det torde kunna jäm- ställas med ett sådant då det enligt huvudregeln endast är myndig- heter som får föra register om lagöverträdelser m.m. Det anförda talar även för att ett eventuellt undantag bör lagregleras. 1997/98:KU 18 s. 43, rskr. 1997/98:180. Ur idrottsrörelsens perspektiv torde det inte finnas många nack- delar med en lagreglering av möjligheten att behandla personupp- gifter om tillträdesförbud och arrangörsavstängningar. Juridiskt får det inte förringas att typen av uppgifter, som kan bli föremål för behandling om en lagreglering kommer till stånd, är mycket integritetskänsliga. Personuppgifterna kommer vidare att finnas i registret under en inte obetydlig tid vilket i sig ytterligare ökar risken för kränkning av den personliga integriteten.