sou · H5B330 · 2017-03-31 00:00:00 — Av bestämmelsen ska det framgå att personuppgifter ska behandlas så att spelkunders och övriga registrerades integritet respekteras. Denna portalbestämmelse kompletteras sedan med regler i kapit- let som skapar ett starkt integritetsskydd för den enskilde. Bl.a. begränsas de personuppgifter som får behandlas genom att detaljerade ändamålsbestämmelser anges. I dessa bestämmelser sägs för vilka ändamål behandling av personuppgifter får ske och att endast sådana uppgifter som behövs för dessa ändamål får behandlas. Utredning- en föreslår vidare bestämmelser om t.ex. sökförbud och behörig- hetstilldelning till skydd för den enskildes integritet. 20.2.5Hänvisning till dataskyddsförordningen och den kompletterande nationella lagen Utredningens förslag: I kapitlet ska en upplysningsbestämmelse om att dataskyddsförordningen gäller finnas. Kapitlet ska gälla utöver kompletteringslagen. När spellagen träder i kraft kommer den allmänna regleringen om behandling av personuppgifter att framgå av dataskyddsförordningen. Vid sidan om dataskyddsförordningen kommer det också att finnas en nationell kompletterande lag. De bestämmelser om behandling av personuppgifter som framgår av kapitlet i spellagen kommer att avse sådana där medlemsstaterna har möjlighet till egna nationella undantag och särregleringar. Det är därför lämpligt att upplysa i kapitlet att dataskyddsförordningens bestämmelser gäller. Förord- ningen är direkt tillämplig i varje medlemsstat och har företräde framför nationell lagstiftning. Behandling av personuppgifter och vissa frågor om sekretess Det bör vidare anges att kompletteringslagen gäller om inte annat följer av kapitlet eller föreskrifter som har meddelats antingen med stöd av kapitlet eller kompletteringslagen. Utredningens förslag: respektive ett spelföre- tag ska vara personuppgiftsansvarig för den behandling av per- sonuppgifter som utförs enligt spellagen. I artikel 4.7 i dataskyddsförordningen anges att med personupp- giftsansvarig avses en fysisk eller juridisk person, offentlig myndig- het, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av person- uppgifter. Det kan i lag eller förordning bestämmas vem som är personuppgiftsansvarig. I många registerförfattningar har det från integritetssynpunkt ansetts lämpligt att på ett tydligt sätt reglera vem som är personuppgiftsansvarig. Utredningen anser att så är lämpligt också när det gäller behandling av personuppgifter enligt spellagen. Det bör därför anges att respektive ett spelföretag ska vara personuppgiftsansvarig. Utredningens förslag: I kapitlet anges ändamål för vilka person- uppgifter får behandlas. ska i sin verksamhet få behandla personuppgifter om det är nödvändigt för att 3.registrera uppgifter som rör representanter, licensansvariga, kontaktpersoner och ombud, 4.registrera och hantera rapporter från spelföretagen om avvik- ande spelmönster och misstankar om manipulation av resultat inom sport med avseende på vadhållning, Behandling av personuppgifter och vissa frågor om sekretess 5.hantera frågor från allmänheten och lämna information i frågor som rör myndighetens verksamhetsområde, 6.planera, följa upp och utvärdera verksamheten, 7.framställa statistik i fråga om 1 och 6, 8.skapa underlag för olika forskningsprojekt om spelproblem, och 9.lämna ut uppgifter till forskningsprojekt om spelproblem under förutsättning att såväl forskningen som behandlingen av upp- gifterna har godkänts enligt lagen (2003:460) om etikpröv- ning av forskning som avser människor och att forskningen bedrivs vid en myndighet. Personuppgifter som behandlas enligt första stycket och som inte direkt pekar ut den registrerade får också behandlas för att ge tillgång till vägledande avgöranden. Ett spelföretag ska i sin verksamhet få behandla personupp- gifter om det är nödvändigt för att 1.kontrollera kundens identitet och ålder, 2.upprätta spelkonton och fullgöra spelföretagets skyldigheter gentemot kunden i fråga om spelkonton, 3.kontrollera att spelkunden följer de villkor och regler som gäller för de varje spel, 4.granska spelet för att upptäcka fusk, bedrägeri och annan brottslig verksamhet, 5.kontrollera och rapportera avvikande spelmönster och miss- tankar om manipulation av resultat inom sport med avseende på vadhållning till , 6.granska och analysera uppgifter från upprättade spelarprofiler och varje spelkunds spelbeteende för att kunna vidta de skyl- digheter som föreligger avseende spelansvarsåtgärder, 7.stänga av en kund från spel samt hantera uppgifter från Spel- myndigheten avseende det , 8.skapa underlag för olika forskningsprojekt om spelproblem, och Behandling av personuppgifter och vissa frågor om sekretess 9.lämna ut uppgifter till forskningsprojekt om spelproblem under förutsättning att såväl forskningen som behandlingen av upp- gifterna har godkänts enligt lagen (2003:460) om etikpröv- ning av forskning som avser människor och att forskningen bedrivs vid en myndighet. Artikel 5 och 6 i dataskyddsförordningen bildar den yttre ramen för hur och när behandling av personuppgifter alls får ske. I arti- kel 5.1 b sägs att personuppgifter ska samlas in för särskilda, uttryck- ligt angivna och berättigade ändamål. Alla de ändamål för vilka man kan tänkas behöva använda de uppgifter man samlat in ska finnas angivna redan vid insamlandet. Det finns inget hinder mot att ange flera ändamål vid insamlingen. I dataskyddsförordningens artikel 4 öppnas upp för att medlemsstaterna i sin lagstiftning kan bestämma ändamålen för behandlingen. De rättsliga grunderna för när behandling får ske anges i arti- kel 6 i förordningen. Behandlingen är laglig endast om och i den mån som åtminstone ett av där sex angivna villkor är uppfyllt. sker behandling av personuppgifter i många fall med stöd av den generella regleringen i personuppgiftslagen. Enligt artikel 6.3 i dataskyddsförordningen måste grunden för behandlingen av person- uppgifter som bygger på någon av de rättsliga grunderna i arti- kel 6.1 c och e fastställas i unionsrätten eller den nationella rätten. De rättsliga grunder som kommer till uttryck i dessa bestämmelser är att behandlingen är nödvändig för att fullgöra en rättslig för- pliktelse som åvilar den personuppgiftsansvarige (c) och att behand- lingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutöv- ning (e). Detta innebär att det inte kommer att vara möjligt att endast stödja sig på den generella regleringen i förordningen vid sådan behandling. Utredningen om dataskyddsförordningen kom- mer att analysera vad förordningens krav i denna del innebär i fråga om nationell författningsreglering och om det bör införas generella bestämmelser till stöd för åtminstone den offentliga sektorns be- handling av personuppgifter. Att bestämma för vilka ändamål behandling av personuppgifter får ske är av central betydelse för skydd av den personliga integri- teten. Enligt utredningen bör de ändamål för vilka personuppgifter får behandlas hos och vid spelföretag uttryck- Behandling av personuppgifter och vissa frågor om sekretess ligen anges i kapitlet. Det gör att regleringen blir tydlig för dem som har att tillämpa den. De förslag som utredningen lägger fram om vilka ändamål som personuppgifter får behandlas innebär en precisering av i förhållande till artikel 5.1 b i förordningen. Sam- tidigt ligger det i sakens natur att ändamålsbestämmelserna måste formuleras ganska generellt. Registerlagstiftningar innehåller ofta bestämmelser som anger vilka personuppgifter som får behandlas. I exempelvis lagen (2010:751) om betaltjänster anges att ett register enligt lagen endast får inne- hålla namn och person-, samordnings- eller organisationsnummer, betalkontonummer eller motsvarande, unika beteckningar som identi- fierar en viss person som betaltjänsteanvändare och de övriga upp- gifter som framkommit vid granskning av betalningstransaktioner (6 kap. 4 §). Andra registerlagar, t.ex. patientdatalagen (2008:355) och apoteksdatalagen (2009:367), innehåller inte några bestämmelser som specificerar vilka personuppgifter som får behandlas. I förarbe- tena till patientdatalagen uttalade regeringen att det i stället är ända- målsbestämningen som ska styra över vilka personuppgifter som får behandlas (prop. 2007/08:126 s. 63). Utredningen har övervägt om det av kapitlet ska framgå vilka personuppgifter som får behandlas, men anser att det är mindre lämpligt. I likhet med vad som sägs i förarbetena till patientdatalagen bör i stället ändamålsbestämningen styra över vilka personuppgifter som får behandlas. Det ska här noteras att dataskyddsförordningens grundläggande krav på att per- sonuppgifterna ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen, att inte fler personuppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålen med behand- lingen samt att personuppgifter som behandlas ska vara korrekta och om nödvändigt uppdaterade gäller också för behandling enligt spellagen. Ovidkommande eller onödigt många personuppgifter i förhållande till ändamålen får alltså inte behandlas. Dessa krav inne- bär en såväl kvalitativ som kvantitativ begränsning i fråga om vilka personuppgifter som får behandlas (jfr prop. 2008/09:145 s. 343 f.). Behandling av personuppgifter och vissa frågor om sekretess En central del av verksamhet kommer att avse handläggning av ärenden. Ändamålet handläggning av ärenden kom- mer främst att omfatta ärenden som gäller licensansökan. Även andra typer av ärendehandläggning kommer att omfattas av ända- målet, exempelvis tillsynsärenden. Med handläggning av ärenden avses inte bara åtgärder som direkt syftar till att kunna fatta beslut i ett ärende utan också samtliga åt- gärder före och efter beslutet. Som en del av det spelansvar som ska prägla spellagen föreslår ut- redningen regler om en nationell avstängningsfunktion. Systemet för självavstängning innebär att en registrerad spelare som önskar att stänga av sig själv från spel ska genom att anmäla detta till Spel- myndigheten kunna bli avstängd från samtliga spelföretag, dvs. från alla licenserade aktörer på den svenska marknaden. ska ha till uppgift att hantera registret över de som önskar stänga av sig från spel. Spelföretagen ska hämta uppgifter från registret två gånger . Det är inte tillåtet för ett spelföretag att till- handahålla spel till en kund som finns upptaget i registret. Det kan naturligtvis finnas olika skäl till varför en person vill anmäla sig till det . I de allra flesta fallen torde det vara så att personen, eller någon i personens närhet, upplever att han eller hon har ett spelproblem. De uppgifter som hanteras inom ramen för det får därför anses avse känsliga personuppgifter (se vidare i avsnitt 20.2.8). Registrera uppgifter som rör representanter, licensansvariga, kontaktpersoner och ombud kommer enligt utredningens förslag att hantera en rad register. Ett spelföretag som inte har hemvist eller är etable- rat i ett EES-land ska, för att få en licens, anmäla en representant som ska godkännas av . Om representanten är en Behandling av personuppgifter och vissa frågor om sekretess fysisk person kommer denne att på samma gång att bli licens- ansvarig för verksamheten. I annat fall, om spelföretaget är en juri- disk person, ska en eller flera licensansvariga personer utses som ska anmälas till . En licensansvarig har ett särskilt ansvar för att spelföretaget utövar sin verksamhet i enlighet med gällande regler och ska också bl.a. företräda spelföretaget gentemot och andra svenska myndigheter. kommer med andra ord att hantera ett register som rör represen- tanter och ett som avser licensansvariga. Varje spelföretag, oavsett hemvist eller etableringsland, ska också utse och anmäla en kontaktperson till . Ett spelföre- tag som vill använda sig av ett spelombud måste anmäla ombudet till . Det blir således aktuellt för att ha olika register med personuppgifter som gäller representanter, licensansvariga, kontaktpersoner och spelombud. Detta ändamål ska framgå av lagen. Registrera och hantera rapporter från spelföretagen om avvikande spelmönster och misstankar om manipulation av resultat inom sport med avseende på vadhållning Utredningens förslag till spellag innehåller bl.a. bestämmelser som syftar till att motverka spelrelaterad matchfixning. En sådan bestäm- melse är att ska ansvara för tillsynen av spelrela- terad matchfixning. Spelföretagen ska å sin sida åläggas att rappor- tera om avvikande spelmönster och misstankar om manipulation av resultat inom sport med avseende på vadhållning till Spelmyndig- heten. Om får uppgifter om avvikande spelmönster och misstankar om matchfixning får myndigheten genom villkors- givning förbjuda vadhållning på berörda spelobjekt. Ett särskilt ändamål för behandling av personuppgifter bör därför för vidkommande vara att registrera och hantera sådana rapporter från spelföretagen som rör avvikande spelmönster och misstankar om matchfixning. Behandling av personuppgifter och vissa frågor om sekretess Hantera frågor från allmänheten och lämna information i frågor som rör myndighetens verksamhetsområde kommer att behöva hantera frågor från allmän- heten och lämna information om sådant som rör myndighetens verksamhetsområde. Det kan inte uteslutas att det inom ramen för denna uppgift kan bli aktuellt med behandling av personuppgifter, varför detta ändamål bör framgå av lag. Planera, följa upp och utvärdera verksamheten För att utveckla sin verksamhet måste ha möjlig- het att behandla uppgifter om det behövs för den administrativa interna kontrollen och uppföljningen. Exempelvis kan det finnas ett behov av att följa upp mängden ärenden och status på ärendena för att kunna fördela och följa upp arbetet. I en sådan planering eller utvärdering räcker det ofta med att använda uppgifter som bara indirekt är hänförliga till en person. Det är likväl fråga om person- uppgiftsbehandling. har ett behov av att framställa statistik om en mängd faktorer. Inte minst när det gäller ärendehanteringen av licens- ansökningar och tillsyn. Delvis kommer det vara fråga om verksam- hetsstatistik som ryms inom ändamålen att följa upp och utvärdera verksamheten. Härutöver tillkommer ett behov av att kunna fram- ställa statistik för analysändamål som inte utan vidare kan hänföras till nu nämnda ändamål. Framställning av statistik bör därför anges som ett särskilt ändamål. Skapa underlag för olika forskningsprojekt om spelproblem och lämna ut uppgifter till forskningsprojekt som är godkända enligt etikprövningslagen Behovet av forskning om spelproblem påtalas ofta. Ytterligare forsk- ning inom spelområdet är av stor betydelse när det gäller att förstå vad det är som utlöser spelproblem, hur man kan förebygga proble- Behandling av personuppgifter och vissa frågor om sekretess men och lämpliga behandlingsmetoder. Enligt de föreslagna bestäm- melserna kommer spelföretagen att vidarebefordra uppgifter om per- soner som önskar att stänga av sig från spel till . Dessa uppgifter skulle kunna användas för forskningsändamål. När spellagen har varit i kraft och utvärderats kan det dessutom tänkas att en framtida reglering innebär att spelföretagen kan komma att vidarebefordra också andra uppgifter till som rör spelbeteenden, däribland riskbedömningar av kunders spel. En sådan samling av uppgifter som rör spelare spelmönster skulle med fördel kunna användas för forskningsändamål. Mot denna bakgrund ser utredningen det som angeläget att ända- målsbestämmelsen för också omfattar att skapa underlag för olika forskningsprojekt. En förutsättning ska vara att forskningsprojektet och behandlingen av uppgifterna i projektet har godkänts enligt lagen om etikprövning av forskning som avser människor. Som framgår av dataskyddsförordningen är det ett grundlägg- ande krav vid behandlingen av personuppgifter att de samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål (arti- kel 5.1 b). Datainspektionen har i tillsynsärenden bedömt att forsk- ning är ett alltför opreciserat ändamål, bl.a. på grund av att den personuppgiftsansvarige inte informerat om vilket forskningsprojekt det rör sig om.2 Forskning har dock i tidigare lagstiftning ansetts utgöra ett tillräckligt specificerat ändamål.3 Enligt utredningens för- slag blir ändamålet något mer preciserat genom att det anges att forskningen ska avse spelproblem. Med begreppet spelproblem ska här förstås problem för en individ eller dennes omgivning som skapas av spel om pengar (se vidare om begreppet i avsnitt 18.1). De personuppgifter som är aktuella för forskning avser enligt utredningens bedömning känsliga personuppgifter (se vidare i av- snitt 20.2.8). Det är givetvis av största vikt att uppgifterna används endast för sådan forskning som är seriös. Ett grundläggande krav bör därför vara att forskningsprojektet och personuppgiftsbehand- lingen godkänts av en etikprövningsnämnd enligt lagen om (2003:460) 2Se Datainspektionens beslut dnr 766-2011 LifeGene, dnr 1133-2012 Statens institutions- styrelse och dnr 1382-2104 . 3Se t.ex. lagen (1998:543) om hälsodataregister och patientdatalagen (2008:355) 2012/13:163 s. 26. Behandling av personuppgifter och vissa frågor om sekretess om etikprövning av forskning som avser människor (etikprövnings- lagen). Behandling för att ge tillgång till vägledande avgöranden För att kunna handlägga ärenden, utbilda personal och skriva väg- ledningar om de prövningar som har att göra inom ramen för spellagen behöver ha möjlighet att kunna samla vägledande avgöranden. Detta gäller dels från den egna verk- samheten, dels från överprövningsinstanser. Det är dock inte av in- tresse vilka individer som avgörandena avser, utan det centrala är vilka juridiska bedömningar som har gjorts i ärendena. Det finns alltså ett behov av en praxisdatabas där vägledande avgöranden samlas in. De samlingar av domar och beslut som upp- rättats för ledning angående praxis bör emellertid inte få innehålla uppgifter som direkt pekar ut den registrerade, dvs. uppgifter om namn eller personnummer (jfr prop. 2002/03:135 s. 61 och prop. 2008/09:96 s. 46). Ändamålen med ett spelföretags behandling Kontrollera kundens identitet och ålder Utredningens förslag innebär att ett spelföretag inte får låta någon delta i spel som är . För landbaserat kasinospel gäller att personer inte får tillträda lokalerna. Ett spelföretag måste också, som huvudregel, kontrollera kundens identitet i sam- band med att kunden registreras. Ett av ändamålen för ett spelföretags behandling av person- uppgifter ska därför vara att kontrollera kundens identitet och ålder. Upprätta spelkonton och fullgöra spelföretagets skyldigheter gentemot kunden i fråga om spelkonton Enligt utredningens förslag ska ett spelföretag för onlinespel till varje registrerad spelare upprätta ett spelkonto. På spelkontot ska kunden kunna följa alla ekonomiska transaktioner till och från spel- kontot. Kunden ska därmed få tillgång till information om spel- Behandling av personuppgifter och vissa frågor om sekretess kontots saldo, spelhistorik (vilket innebär insatser, vinster och för- luster), in- och utbetalningar samt övriga transaktioner. I syfte att fullgöra denna skyldighet ska ett av ändamålen för ett spelföretags behandling av personuppgifter vara att upprätta och fullgöra de skyldigheter som avser spelkonton. Kontrollera att villkor och regler följs samt upptäcka och motverka fusk och brottslig verksamhet I och med den nya spellagen åläggs spelföretagen att vidta viss över- vakning av spelet. Bl.a. ska ett spelföretag ha rutiner för att upp- täcka och motverka spelfusk, annan brottslighet och andra över- trädelser av användarvillkoren och spelreglerna. Det innebär att ett spelföretag i detta syfte måste kontrollera att varje spelkund följer de villkor som gäller för spelet och övervaka spelet för att upptäcka om brott begås inom ramen för det. Behandling som avser kontroller av att spelkunderna följer de vill- kor och regler som gäller för varje spel ska därför vara ett ändamål som ska framgå av lagen. Detsamma ska gälla behandling för att mot- verka och förhindra fusk, bedrägeri och annan brottslig verksamhet. Kontrollera och rapportera om avvikande spelmönster och misstankar om manipulation av resultat inom sport med avseende på vadhållning Enligt bestämmelser i spellagen åligger det spelföretag att kontrollera spelmönstret i syfte att upptäcka misstänkt matchfixning. Om ett avvikande spelmönster iakttas eller det i övrigt finns misstankar om matchfixning ska spelföretaget rapportera detta till . I syfte att fullgöra denna uppgift måste spelföretagen behandla per- sonuppgifter. Granska och analysera uppgifter från spelarprofiler och varje spelkunds spelbeteende Spellagen ålägger spelföretagen att säkerställa att sociala och hälso- mässiga skyddshänsyn tas. Detta omfattar bl.a. att ett spelföretag ska ha ett åtgärdsprogram med information om problem med över- Behandling av personuppgifter och vissa frågor om sekretess Ett spelföretag ska också enligt utredningens för- slag övervaka spelkundernas spelbeteenden och göra en individuell riskbedömning. Syftet är att fånga upp de kunder som kan antas ha ett spelproblem. För att underlätta riskbedömningen får ett spel- företag inte erbjuda spel till en spelare förrän denne upprättat en spelarprofil. I spelarprofilen ska kunden sätta gränser för sitt eget spelande vad gäller tid och pengar. Ett ändamål som avser att granska och analysera uppgifter från spelarprofiler och varje spelkunds spelbeteende ska mot denna bak- grund framgå av spellagen. Stänga av spelkunder samt hantera uppgifter som gäller det Ett spelföretag har möjlighet att stänga av en kund från spel. Framför allt kan detta bli aktuellt när kunden själv önskar att stänga av sig från vidare spel hos spelföretaget. Som beskrivs ovan föreslår utredningen dessutom att det ska finnas ett nationellt avstängnings- register som ska hanteras av . Den kund som vill ska därmed kunna stänga av sig från samtliga licenserade aktörer på marknaden i en och samma registrering. Ett spelföretag kommer inom ramen för dessa bestämmelser hantera uppgifter från Spel- myndigheten avseende spelkunder som önskar att stänga av sig själva från fortsatt spelande. Detta ändamål ska därför framgå av lag. Som redovisas ovan under rubriken självavstängnings- registret bedömer utredningen att det här är fråga om känsliga person- uppgifter (se vidare i avsnitt 20.2.8). Skapa underlag för olika forskningsprojekt om spelproblem och lämna ut uppgifter till forskningsprojekt som är godkända enligt etikprövningslagen Spellagens krav på spelföretagen att hålla uppsikt över kundernas spelbeteenden i syfte att vidta åtgärder vid misstanke om spel- problem innebär att en mängd data som rör spelmönster kommer att samlas in, granskas och analyseras. Dessa personuppgifter kan med fördel användas för forskning om spelproblem. Som utred- ningen kommenterar ovan om de ändamål som ska styra Spelmyn- Behandling av personuppgifter och vissa frågor om sekretess dighetens hantering av personuppgifter är ytterligare forskning inom spelområdet av stor betydelse när det gäller att förstå vad det är som utlöser spelproblem, hur man kan förebygga problemen och lämpliga behandlingsmetoder. Liksom vad gäller de ändamål som ska styra hantering av personuppgifter bör därför också ett ändamål för spelföretagen vara att skapa underlag för olika forsk- ningsprojekt om spelproblem och att lämna ut sådana uppgifter till forskningsprojekt. Utredningen hänvisar i övrigt till vad som anförs i avsnittet om ändamålsbestämmelser. 20.2.8Rättsliga grunder för behandlingen Utredningens bedömning: Grunden för behandling av person- uppgifter enligt spellagen är en rättslig förpliktelse, förutom vad avser forskning.