prop · H103254 · 2014-09-10 00:00:00 — Dessutom avses specialidrottsförbunden, som anord- nar landskamper, och specialidrottsdistriktsförbunden. Förbud får därut- över även avse idrottsarrangemang som anordnas av andra idrottsorgani- sationer (se prop. 2004/05:77 s. 58 f.). Detta innebär att även andra id- rottsorganisationer än sådana som är medlemmar i ett specialidrottsför- bund kan ha behov av att få tillgång till uppgifter från tillträdesförbuds- registret. Regeringen anser därför att det inte är lämpligt att i lagen defi- niera idrottsorganisation och specialidrottsförbund på sätt som föreslagits i promemorian. Begreppet idrottsorganisation bör i stället ha samma innebörd som i 1 § lagen om tillträdesförbud vid idrottsarrangemang. Med det synsättet finns det inte något behov av att särskilt omnämna att lagens bestämmelser ska tillämpas på specialidrottsförbund. Lagrådet har förordat att det tydligt uttrycks i lagen vilka organisationer som ska kunna få tillgång till uppgifter ur registret och har föreslagit att idrottsor- ganisation i lagen definieras som en organisation som anordnar ett id- rottsarrangemang som berörs av ett gällande tillträdesförbud enligt lagen (2005:321) om tillträdesförbud vid idrottsarrangemang. Att det endast är sådana idrottsorganisationer som anordnar idrottsarrangemang som kan beröras av ett gällande tillträdesförbud enligt lagen om tillträdesförbud vid idrottsarrangemang som ska kunna få tillgång till uppgifter ur regist- ret är rimligt. Enligt regeringen framgår dock detta tydligt av lagens syfte. Det är därför enligt regeringen inte nödvändigt att uttryckligen definiera vilka idrottsorganisationer som omfattas av lagen. Regeringen instämmer i promemorians bedömning att lagen bör om- Prop. 2013/14:254 fatta behandling av personuppgifter som sker helt eller delvis automatise- Lagen bör även gälla annan behandling, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som gjorts tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Datainspektionen anser att det finns anledning att överväga om lagen inte ska omfatta all behandling av uppgifterna i fråga. Det föreslagna tillämpningsområdet överensstämmer i denna del med personuppgiftsla- gens (5 §). Det finns enligt regeringens mening inte skäl att utsträcka tillämpningsområdet för den föreslagna lagen längre vad som gäller för personuppgiftslagen. Som framgår av avsnitt 5.12 föreslås emellertid lagen innehålla en re- gel om tystnadsplikt för dem som inom ramen för sitt arbete i en idrotts- organisation har fått del av uppgifter som inhämtats med stöd av lagen. Tystnadsplikten föreslås inte gälla enbart för personer som utför person- uppgiftsbehandling som omfattas av lagens tillämpningsområde. Avgö- rande är i stället att uppgiften åtkommits med stöd av lagen. Av tydlig- hetsskäl bör därför anges att lagen även gäller för annan behandling i fall som avses i bestämmelsen om tystnadsplikt. 5.4Lagens förhållande till personuppgiftslagen Regeringens förslag: Vid behandling av personuppgifter som omfat- tas av denna lag ska personuppgiftslagen gälla, om inte annat följer av denna lag eller föreskrifter som har meddelats med stöd av den. Promemorians förslag överensstämmer i sak med regeringens. Remissinstanserna yttrar sig inte särskilt i frågan. påpekar att straffrättsligt ansvar för överträdelser av lagens bestämmelser torde följa av såväl personuppgiftslagen som och efterlyser därför åtminstone en hänvisning till dessa bestämmelser i lagen. Skälen för regeringens förslag: Personuppgiftslagen är generellt till- lämplig på behandling av personuppgifter. Lagen är dock subsidiär i förhållande till andra författningar. Regeringen delar promemorians be- dömning att den nu föreslagna lagen ska gälla utöver personuppgiftsla- gen. Det innebär att lagen endast ska innehålla de särbestämmelser och de förtydliganden som behövs. I den mån den föreslagna lagen eller föreskrifter som meddelats med stöd av den inte innehåller några avvi- kande bestämmelser är personuppgiftslagen tillämplig. Det innebär bl.a. att 9 § personuppgiftslagen, som innehåller grundläggande krav på den personuppgiftsansvariges behandling av personuppgifter, liksom be- stämmelserna i 30–32 §§ om säkerheten vid behandling av personuppgif- ter blir tillämpliga. Att 9 § personuppgiftslagen blir tillämplig innebär bl.a. att en idrottsorganisation som har fått tillgång till uppgifter i tillträ- desförbudsregistret ska se till att personuppgifterna som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen, se 9 § första stycket e). Det innebär t.ex. att en idrottsorganisation som endast arrangerar fotbollsevenemang således inte får behandla uppgifter 2013/14:254 rörande personer som har tillträdesförbud till ishockeyarrangemang. Detta följer även av 7 § i den föreslagna lagen där det anges att en id- rottsorganisation får behandla personuppgifter om det behövs för att förebygga, förhindra eller upptäcka överträdelse av ett tillträdesförbud. I något avseende kan dock den föreslagna lagen innebära att den generella regleringen i 9 § personuppgiftslagen inte blir tillämplig, t.ex. kommer bestämmelserna om gallring i 12 och 13 §§ i den föreslagna lagen att gälla före bestämmelsen 9 § första stycket i) personuppgiftslagen. Att personuppgiftslagen blir tillämplig i den mån den nu föreslagna la- gen inte innehåller några avvikande bestämmelser innebär även att reg- lerna om tillsynsmyndigheten och dess befogenheter blir tillämpliga. Datainspektionen är tillsynsmyndighet enligt personuppgiftsförordning- en. I 49 § personuppgiftslagen föreskrivs straffansvar för överträdelser av olika bestämmelser i personuppgiftslagen. Det finns skäl att anse, som Lagrådet har påpekat i ett tidigare lagstiftningsärende (prop. 2000/01:33, Behandling av personuppgifter inom skatt, tull och exekution, s. 346), att legalitetsprincipen medför att paragrafen inte kan ges motsvarande till- lämpning på bestämmelser som avviker från personuppgiftslagen och som har tagits in i särlagstiftning. Paragrafen kan alltså inte ges en gene- rell tillämpning på de regler som förs in i den nu föreslagna lagen. Detta innebär att ansvar endast inträder i händelse av överträdelser av de para- grafer i personuppgiftslagen som i övrigt ska gälla och som är straff- sanktionerade. Mot den bakgrunden anser regeringen inte att det behövs någon särskild hänvisning till 49 §. Inte heller anser regeringen att det finns anledning att hänvisa till bestämmelser i som kan aktualiseras. Frågan är då om det finns behov av en särskild straffbestämmelse i den nu föreslagna lagen. I flera lagstiftningsärenden har ansetts att det inte finns något behov av särskilda straffbestämmelser i registerförfattningar när myndigheter är personuppgiftsansvariga (se t.ex. prop. 2000/2001:126, Behandling av personuppgifter inom kriminalvården, s. 42). Som skäl har angetts att det i dessa fall ligger närmare till hands att i stället tillämpa bestämmelserna om tjänstefel. I den nu föreslagna lagen kommer emellertid även andra än myndigheter att vara personupp- giftsansvariga. I den mån en idrottsorganisation bryter mot lagens be- stämmelser kommer till följd av förslaget i avsnitt 5.13 personuppgiftsla- gens bestämmelse om skadestånd vara tillämplig. Vidare föreslås en straffsanktionerad tystnadsplikt för den som arbetar eller utför uppdrag åt en idrottsorganisation och som tagit befattning med uppgifter från regist- ret. Regeringen bedömer att det härigenom finns tillräckliga möjligheter att sanktionera en överträdelse av lagens bestämmelser. Någon särskild straffbestämmelse bedöms därför inte vara nödvändig. Regeringens förslag: ska vara personuppgiftsan- svarig för den personuppgiftsbehandling som myndigheten utför enligt Varje idrottsorganisation ska vara personuppgiftsansvarig för den behandling som organisationen utför. Promemorians förslag överensstämmer i huvudsak med regeringens. I promemorians förslag anges uttryckligen att den behandling som id- rottsorganisationerna får utföra inte omfattar behandling som påverkar uppgifterna i registret. Remissinstanserna: Enligt Datainspektionen är det önskvärt att lag- texten anger vilken aktör som är personuppgiftsansvarig för vilken be- Skälen för regeringens förslag: Enligt personuppgiftslagen är person- uppgiftsansvarig den som ensam eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. giftsansvaret kan alltså delas mellan flera. handlingsregler som innebär skyldigheter för den personuppgiftsansva- Bland annat föreskrivs ett långtgående ansvar för att all behandling sker i överenstämmelse med tillämpliga bestämmelser, t.ex. i fråga om vilka säkerhetsåtgärder som behöver vidtas. Det är bara den personupp- giftsansvarige som kan göras skadeståndsskyldig för behandlingar som sker i strid med bestämmelserna i personuppgiftslagen, även om andra har deltagit i en behandling. I registerförfattningar är det vanligt att man tydligt pekar ut vem som är ansvarig för den behandling av uppgifter som regleras i respektive Enligt regeringens mening är lämpligt att så sker även i I promemorian har gjorts bedömningen att den som råder över den faktiska behandlingen av personuppgifter också ska ha ansvaret för behandlingen och att varje myndighet eller organisation som får rätt att behandla personuppgifter enligt lagen också ska vara ansvarig för den behandling som var och en utför. Regeringen delar den bedömningen. Det är endast i sin egenskap av registerförare som kommer kunna utföra registreringar, ändringar och rättelse i registret och således kommer myndigheten att vara personuppgiftsansvarig för den behandlingen samt för myndighetens egen behandling i registret för de i lagen angivna ändamålen. Att en idrottsorganisation inte kan utföra så- dan behandling som påverkar uppgifterna i registret torde stå klart även utan särskild reglering i lagen. Idrottsorganisationerna är däremot personuppgiftsansvariga för be- handlingen i och med att de får tillgång till personuppgifterna från regist- ret, t.ex. vid sammanställning av personuppgifterna. giftslagen ska den personuppgiftsansvarige bl.a. se till att personuppgif- ter alltid behandlas på ett korrekt sätt och i enlighet med god sed samt att personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in (se 9 §). För att uppfylla det ansva- ret krävs att en idrottsorganisation som fått tillgång till personuppgifter från registret har goda rutiner för hanteringen av uppgifterna. 2013/14:254 5.6 Tillåtna ändamål med personuppgiftsbehand- Regeringens förslag: ska få behandla personupp- gifter i tillträdesförbudsregistret om det behövs för att förebygga, för- hindra eller upptäcka överträdelse av ett tillträdesförbud. Sådana personuppgifter får också behandlas av för att tillhandahålla idrottsorganisationer den information som behövs för att dessa ska kunna upprätthålla gällande beslut om tillträdesförbud och för att myndigheten ska kunna fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. I övrigt ska den s.k. finalitetsprincipen gälla, vilket innebär att per- sonuppgifterna får behandlas för andra ändamål än de ursprungliga förutsatt att dessa ändamål inte är oförenliga med de ursprungliga. En idrottsorganisation ska få behandla personuppgifter från tillträ- desförbudsregistret om det behövs för att förebygga, förhindra eller upptäcka överträdelse av ett tillträdesförbud vid ett idrottsarrange- mang som organisationen anordnar. Promemorians förslag överensstämmer delvis med regeringens. promemorian föreslås en uttömmande reglering av för vilka ändamål personuppgifter får behandlas utan hänvisning till den s.k. finalitets- principen i 9 § personuppgiftslagen. I promemorian föreslås vidare att samma ändamålsbestämmelse ska reglera både och promemorians förslag inte ändamålen tillhandahållande av information till idrottsorganisationerna och uppgiftslämnande som sker med stöd av lag eller förordning utan i stället endast en hänvisning till internationella Remissinstanserna: Endast Datainspektionen yttrar sig särskilt över förslaget och anser, bl.a. med beaktande av att bestämmelserna även ska tillämpas av privaträttsliga aktörer, att ändamålsbestämmelsen bör preci- seras och snävas in. När det gäller idrottsorganisationernas kontaktverk- samhet ifrågasätter inspektionen om det är lämpligt att personuppgifterna ska få behandlas för sådan verksamhet, eftersom det inte kan anses falla in under det primära syftet med lagen. Inspektionen påpekar även att det i lagtexten bör framgå att det endast rör sig om polisens internationella Skälen för regeringens förslag: Syftet med ändamålsbestämmelsen är att ange en tydlig ram för när personuppgifter får behandlas med stöd av Utgångspunkten i lagen ska vara att personuppgifter får behandlas endast för vissa berättigade ändamål. Därmed kan användningen och spridningen av uppgifterna begränsas. En utgångspunkt bör vara att de tillåtna ändamålen anges så tydligt och fullständigt som möjligt. digt måste bestämmelserna ge utrymme för att på ett ändamålsenligt sätt kunna upprätthålla beslut om tillträdesförbud. Som konstaterats i avsnitt 5.1 har både polisen och idrottsorganisation- erna behov av uppgifter om de personer som har tillträdesförbud för att fullgöra sina respektive uppdrag. De primära ändamålen för såväl Polis- myndighetens behandling av personuppgifter i tillträdesförbudsregistret som för en idrottsorganisations behandling av sådana uppgifter som häm- tats från registret bör vara att personuppgifter får behandlas om det be- hövs för att förebygga, förhindra eller upptäcka överträdelse av ett tillträ- desförbud. Även om ändamålsbeskrivningen i denna del är utformad på samma sätt för både och idrottsorganisationerna kommer den personuppgiftsbehandling som äger rum att skilja sig åt. Som framgår av förslaget till lagens tillämpningsområde i avsnitt 5.3 handlar det för Po- lismyndighetens del om behandling i registret. Förutom registerföringen omfattas myndighetens egen tillgång till uppgifter i registret för de i lagen angivna ändamålen. Om däremot hämtar per- sonuppgifter från registret och behandlar dessa i en annan digital miljö är lagen inte tillämplig. För idrottsorganisationernas del handlar det emel- lertid om behandling av personuppgifter från registret. Denna skillnad har dock inte någon avgörande betydelse för hur ändamålen ska förstås, utan dessa bör förstås på samma sätt oavsett om det är eller en idrottsorganisation som utför behandlingen. I att förebygga, förhindra och upptäcka överträdelse av ett tillträdes- förbud innefattas bl.a. det säkerhetsarbete som sker på planeringsstadiet inför ett arrangemang. För att kunna bedriva ett godtagbart säkerhetsar- bete krävs att och arrangören är väl förberedda. Till- gång till uppgifter om vilka personer som har tillträdesförbud till ett visst arrangemang underlättar det förebyggande arbetet. Genom att identifiera personer med tillträdesförbud och därigenom hindra att de kommer in på en arena förhindras en överträdelse av förbudet. För regeringen framstår det vidare som rimligt att även den kontaktverksamhet som bedrivs i syfte att ändra beteendet hos personer anses utgöra en del i arbetet med att förebygga och förhindra överträdelser. Det handlar om sådana kontak- ter som kan tas såväl av en idrottsorganisation som av för att förmå någon med tillträdesförbud att ändra sitt uppträ- dande i samband med idrottsarrangemang. Lagrådet har ställt sig tvek- samt till om uppgiften att förebygga överträdelser har en tillräckligt tyd- lig innebörd vid sidan av att förhindra överträdelser för att utgöra ett självständigt ändamål för idrottsorganisationernas personuppgiftsbehand- ling. Om ordet förebygga är avsett att ha en självständig betydelse har Lagrådet ansett att gränsdragningen för användningen av registret blir alltför vid och otydlig och att bestämmelsen står i mindre god överens- stämmelse med lagens övergripande syfte att upprätthålla gällande beslut om tillträdesförbud. Lagrådet har därför ansett att förebygga inte bör ingå som ett särskilt ändamål för vilket uppgifter ur registret får behandlas. Regeringen anser för sin del att det finns ett behov av att uppgifter från registret kan behandlas även för att förebygga överträdelser av tillträdes- förbud genom att t.ex. en idrottsorganisation i förväg tar kontakt med en person med tillträdesförbud inför ett visst arrangemang, även om det inte finns några konkreta misstankar om att denne har för avsikt att bryta mot tillträdesförbudet. Det framstår inte som naturligt att betrakta en sådan åtgärd som ett förhindrande av en överträdelse. Mot den bakgrunden finns det alltså ett självständigt värde i att även för idrottsorganisationer- nas del inkludera förebyggande som ett särskilt ändamål för vilket be- handling av personuppgifter ska få ske. Det finns dock som Lagrådet anmärker skäl att snäva in tillämpningsområdet för att tydliggöra att 2013/14:254 uppgifterna inte får behandlas i syfte att förebygga överträdelser av till- trädesförbud i allmänhet. Det bör därför anges i lagtexten att behandling av personuppgifter från tillträdesförbudsregistret endast får ske om det behövs för att förebygga, förhindra eller upptäcka överträdelser vid ett arrangemang som organisationen anordnar. Det är alltså inte tillräckligt att föreningen kan komma att anordna idrottsarrangemang som kan berö- ras av ett tillträdesförbud utan det bör krävas att personuppgiftsbehandlingen kan kopplas till ett visst eller vissa plane- rade arrangemang. När det gäller att upptäcka överträdelser av tillträdesförbud avses främst den behandling av personuppgifter som underlättar identifieringen inne på arenan och som kan möjliggöra att en överträdelse av ett tillträ- desförbud upptäcks. För behandling av personuppgifter i tillträdesför- budsregistret bör som sekundära ändamål anges att personuppgifter också får behandlas för att tillhandahålla idrottsorganisationer den in- formation som behövs för att dessa ska kunna upprätthålla gällande be- slut om tillträdesförbud och för att fullgöra uppgifts- lämnande som sker i överensstämmelse med lag eller förordning. Som ett exempel på en bestämmelse som innebär en skyldighet att lämna uppgif- ter kan nämnas 6 kap. 5 § offentlighets- och sekretesslagen (2009:400). Av bestämmelsen följer att en myndighet på begäran av en annan myn- dighet ska lämna ut uppgifter den förfogar över i den mån uppgiften inte är sekretessbelagd eller om det skulle hindra arbetets behöriga gång. Ett annat exempel är skyldighet att lämna ut personupp- gifter till andra stater under vissa förutsättningar, se bl.a. 3 kap. 1 § för- ordningen (2010:705) om internationellt polisiärt samarbete. I och med det tillägg som har gjorts om uppgiftslämnande som sker i överenstäm- melse med lag eller förordning anser regeringen att internationella åta- ganden inte behöver anges särskilt. Det bör även för del införas en uttrycklig hänvis- ning till den s.k. finalitetsprincipen som regleras i 9 § första stycket d och andra stycket personuppgiftslagen. Detta innebär att personuppgifterna får behandlas för andra ändamål än de ursprungliga förutsatt att dessa ändamål inte är oförenliga med de ursprungliga. Någon motsvarande hänvisning bör inte införas för idrottsorganisationerna. Regeringen har även övervägt behovet av att som ett ytterligare särskilt sekundärt ändamål föreskriva att får behandla person- uppgifterna för att tillhandahålla information även i annan brottsbekäm- pande verksamhet, men har valt att stanna vid att inte införa en sådan bestämmelse. Om det finns ett behov av att behandla uppgifterna för ett sådant ändamål får en prövning i stället ske i förhållande till den s.k. finalitetsprincipen. För tydlighets skull bör ändamålen för respektive idrottsorganisationer regleras i skilda paragrafer. Regeringens förslag: ska endast få inne- hålla de personuppgifter om en person som har meddelats tillträdes- förbud som behövs för att förebygga, förhindra eller upptäcka överträ- delse av ett tillträdesförbud. Uppgifterna får avse namn, personnum- mer eller samordningsnummer, folkbokföringsadress eller annan sta- digvarande adress, alias, fotografi, anknytning till idrott och idrottsor- ganisation, omfattningen och giltighetstiden av beslut om tillträdes- förbud samt överträdelse av gällande tillträdesförbud. Promemorians förslag överensstämmer i huvudsak med regeringens. Remissinstanserna: Datainspektionen ifrågasätter om hela beslutet om tillträdesförbud behöver ingå i registret. Inspektionen anser att det saknas motivering till varför överträdelser ska få registreras men framför under alla förhållanden att endast överträdelser av gällande tillträdesför- bud ska få registreras. framför att det finns behov av att också anmälda och misstänkta fall av överträdelser register- förs. anser att även utländska beslut om tillträdesför- bud ska kunna registreras. Skälen för regeringens förslag. För att uppgifter om en person ska få föras till registret krävs att han eller hon har meddelats ett tillträdesför- bud, interimistiskt eller slutligt. De personuppgifter som ska få registre- ras med stöd av lagen ska dels vara ägnade att uppnå de ändamål som anges med behandlingen, dels vara relevanta. I likhet med vad promemo- rian har föreslagit bör lagen innehålla en uttömmande uppräkning av vilka dessa personuppgifter är. Regeringen delar promemorians bedömning att det bör handla om upp- gifter som behövs dels för en säker identifiering av personer med tillträ- desförbud, dels för att kunna avgränsa sökning och uttag av uppgifter från registret. Regeringen instämmer därför i promemorians förslag att de personuppgifter som ska få registreras och behandlas är namn, person- nummer eller samordningsnummer, adress, eventuellt alias, fotografi, idrotts- och idrottsorganisationsanknytning, beslut om tillträdesförbud och eventuella överträdelser av tillträdesförbud. När det gäller beslut om tillträdesförbud, såväl intermistiska som slut- liga, är det uppgifter om förbudets omfattning samt giltighetstid som det finns behov av att registrera. Något behov av att tillföra registret beslutet i dess helhet torde som Datainspektionen framfört inte finnas. En sådan ordning skulle dessutom riskera att medföra att uppgifter som inte be- hövs för att förebygga, upptäcka eller förhindra tillträdesförbud tillförs registret. Beträffande överträdelser av tillträdesförbud anser regeringen att det finns ett behov av att registrera sådana uppgifter eftersom det kan under- lätta i t.ex. det förebyggande arbetet att förhindra nya överträdelser. Det bör dock förtydligas att det endast är uppgifter om överträdelser av det gällande tillträdesförbudet som får registreras. Enligt regeringen är det för långtgående att, som föreslagit, registrera anmälda och misstänkta fall av överträdelser. Det som avses är alltså lagförda överträdelser av gällande förbud. När det gäller frågan om ut- 2013/14:254 ländska beslut finns det inom ramen för detta lagstiftningsärende inte underlag för att behandla den frågan. Regeringens förslag: En ny sekretessbestämmelse ska införas i of- fentlighets- och sekretesslagen. Bestämmelsen innebär att sekretess ska gälla i verksamhet som avser förande av tillträdesförbudsregistret för uppgift om en enskilds personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstå- ende till denne lider men. För uppgift i en allmän handling ska sekre- tessen gälla i högst . Idrottsorganisationer ska, trots den föreslagna sekretessbestämmel- sen, ha rätt att ta del av personuppgifter i registret om det behövs för att förebygga, förhindra eller upptäcka överträdelse av ett tillträdes- förbud. En hänvisning till den rätten införs i offentlighets- och sekre- tesslagen. Promemorians förslag överensstämmer delvis med regeringens.