sou · H5B330 · 2017-03-31 00:00:00 — Vad som anges i artikel 6.3 dataskyddsförord- ningen är uppfyllt i och med ändamålsbestämmelserna tillsam- mans med de bestämmelser i spellagen där de rättsliga förplikt- elserna framgår. Behandling av personuppgifter i syfte att riskbedöma en spelares spelbeteende är en personuppgift som rör hälsa och därmed en känslig personuppgift. Detsamma gäller för sådana uppgifter som avser självavstängning. När det gäller riskbedömning av kunders spelbeteende bör grunden för en sådan behandling vara med hän- syn till ett allmänt viktigt intresse. Grunden för behandling av personuppgifter avseende självavstängning bör vara att det före- ligger ett uttryckligt samtycke. Om nu nämnda personuppgifter används för forskning bör detta också kunna ske med stöd av ett uttryckligt samtycke. I avsnittet ovan redogörs för de ändamål som enligt utredningen bör omfattas av dels , dels spelföretagens hantering av personuppgifter. Liksom tidigare innebär regleringen i dataskydds- förordningen att det krävs en rättslig grund för all behandling av personuppgifter. De rättsliga grunderna i artikel 6.1 är en uttöm- mande uppräkning av de situationer när en behandling av person- uppgifter kan anses vara tillåten. Får uppgifterna behandlas enligt någon av de rättsliga grunderna i artikel 6 ska emellertid också Behandling av personuppgifter och vissa frågor om sekretess kraven i artikel 5 följas. För bl.a. behandling av särskilda kategorier av personuppgifter (i personuppgiftslagen används benämningen känsliga personuppgifter) finns ytterligare begränsningar i artikel 9. Det är särskilt tre grunder som enligt utredningen bör lyftas fram när det gäller behandling av personuppgifter enligt spellagen. Det gäller dels den i artikel 6.1 a där det sägs att behandling av personuppgifter är laglig om och i den mån som den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål. Också artikel 6.1 c bör omnämnas där det sägs att behandlingen ska vara nödvändig för att fullgöra en rättslig förpliktelse. Slutligen ska även artikel 6.1 e nämnas där det anges att behandlingen ska vara nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. För både artikel 6.1 c och 6.1 e gäller att grunden för behandlingen ska fastställas i enlighet med antingen unions- rätten eller en medlemsstats nationella rätt. Det framgår av arti- kel 6.3. Syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkt 1 e, vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den per- sonuppgiftsansvariges myndighetsutövning. Med samtycke avses, enligt definitionen i artikel 4.11, varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personupp- gifter som rör honom eller henne. Att ett samtycke ska vara frivilligt innebär att den enskilde måste ha ett fritt val att avgöra om hans eller hennes uppgifter ska få be- handlas. I Datainspektionens informationsskrift om samtycke enligt personuppgiftslagen sägs följande angående kravet på frivillighet. I de flesta fall vållar inte kravet på frivillighet några bekymmer utan den enskilde får, efter att ha fått information om behandlingen, själv ta ställning till om han eller hon accepterar den för att t.ex. erhålla en vara eller tjänst. Konsekvensen av att man inte samtycker kan bli att man inte får varan eller tjänsten. Om däremot myndigheter skulle kräva samtycke till behandling av personuppgifter som en förutsättning för att tillhandahålla samhälle- liga tjänster kan det dock starkt ifrågasättas om kravet på frivillighet är uppfyllt. I de fall där den enskilde inte har någon verklig valmöjlighet måste den personuppgiftsansvarige finna annat stöd för behandlingen i personuppgiftslagen eller i någon annan lagstiftning. Behandling av personuppgifter och vissa frågor om sekretess I kommentaren till personuppgiftslagen sägs vidare att när frivillig- heten av ett samtycke ska bedömas vid ingående av ett avtal om en vara eller tjänst bör man förmodligen först avgöra om den aktuella varan eller tjänsten kan anses nödvändig i dagens samhälle eller för den enskilde. Om varan eller tjänsten inte är nödvändig får den en- skilde personen anses ha ett fritt val mellan att samtycka till behand- lingen eller att avstå från varan eller tjänsten. Som ett exempel nämns i kommentaren en tjänst som gör det ännu enklare än vanligt att surfa på internet. Om man vid bedömningen kommer fram till att varan eller tjänsten är mer eller mindre nödvändig i dagens sam- hälle för den enskilde blir det aktuellt att i ett nästa steg bedöma vilka faktiskta alternativ som står till buds. I ett beslut från Datainspektionen som gällde Svenska Spels behandling av personuppgifter med bl.a. syftet att göra riskbedöm- ningar av kunders spelbeteende uttalade inspektionen att i och med att har en särställning på den svenska spelmarknaden väcks frågan om de lämnade samtyckena uppfyller kravet på fri- villighet. Inspektionen ansåg att Svenska Spels tjänster och spel inte kunde anses vara en sådan samhällelig tjänst som innebar att sam- tycke inte kunde ställas som villkor för att få spela. Vidare konsta- terade Datainspektionen att i praktiken verkade på en konkurrerande marknad. Mot denna bakgrund kom inspektionen till slutsatsen att inte heller Svenska Spels särställning på den svenska marknaden innebar att det fanns skäl att ifrågasätta om samtycket kunde anses vara frivilligt.5 När det gäller samtycke och behandling av personuppgifter bör vidare uppmärksammas vad som sägs i beakt- andesats 43 i dataskyddsförordningen. Där anges att för att säker- ställa att ett samtycke lämnas frivilligt bör det inte utgöra giltig rätts- lig grund för behandling av personuppgifter i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den person- uppgiftsansvarige. Särskilt gäller detta om den personuppgiftsansva- rige är en offentlig myndighet och det därför är osannolikt att sam- tycket lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar. 4Sören och , Personuppgiftslagen En kommentar, (, Zeteo), kommentaren till 3 § under rubriken och Datainspektionens beslut , dnr 1382-2014. 5Datainspektionens beslut , dnr 1382-2014, s. 12. Behandling av personuppgifter och vissa frågor om sekretess Artikel 29-gruppen har om begreppet rättslig förpliktelse gjort vissa uttalanden avseende motsvarande artikel i dataskyddsdirektivet (artikel 7 c). Artikel 29-gruppen anför att den rättsliga grunden rättslig förpliktelse har flera likheter med grunden allmänt intresse, eftersom en uppgift av allmänt intresse ofta baseras på eller härrör från en lagbestämmelse. Tillämpningsområdet för artikeln som avser rättslig förpliktelse är emellertid strikt begränsat. För att artikeln ska gälla måste kravet införas med stöd i lag. Den registeransvarige får inte ha något annat val än att fullgöra förpliktelsen. Därtill kom- mer att den rättsliga förpliktelsen måste i sig vara tillräckligt tydlig när det gäller den behandling av personuppgifter som krävs.6 Artikel 29-gruppen har också uttalat sig om motsvarande artikel i dataskyddsdirektivet när det gäller begreppet arbetsuppgift av all- mänt intresse (artikel 7 e). Artikel 29-gruppen anför att artikeln har potentiellt ett mycket brett tillämpningsområde. Det talar för en strikt tolkning och en klar identifiering i varje enskilt fall av det allmänintresse som står på spel och den myndighetsutövning som motiverar behandlingen.7 Det ska nämnas att Datainspektionen inte ansett att Svenska Spels arbete med att kartlägga personers spelbe- teende som tydde på risk för spelberoende eller spelmissbruk för att kunna vidta åtgärder mot detta var nödvändigt för att utföra en arbetsuppgift av allmänt intresse.8 För både och spelföretagens behandling av personuppgifter bedömer utredningen att den rättsliga grunden får anses framgå av en rättslig förpliktelse, förutom vad avser forsk- ningsändmål. För vidkommande bör detta stå helt klart när det gäller att handlägga ärenden, hantera självavstängnings- systemet, föra register över representanter m.fl. samt registrera och hantera rapporter om avvikande spelmönster och misstänkta fall av matchfixning. Utredningen bedömer att det som anges i artikel 6.3 är uppfyllt i och med ändamålsbestämmelsen tillsammans med de bestämmelser i spellagen som anger de rättsliga förpliktelserna för och spelföretagen. 6Yttrande 6/2014 om begreppet den registeransvariges berättigade intressen i artikel 7 i direk- tiv 95/46/EG s. 20 f. 7Yttrande 6/2014 om begreppet registeransvariges berättigade intressen i artikel 7 i direk- tiv 95/46/EG s. 23. 8Datainspektionens beslut , dnr 1382-2014, s. 11. Behandling av personuppgifter och vissa frågor om sekretess Även hantering i övrigt (förutom vad avser forskning) borde kunna hänföras till en rättslig förpliktelse. Här bör ses till syftet med spellagen, som enligt utredningens förslag slås fast inledningsvis. I syftesbestämmelsen anges att spelandet ska hållas på en rimlig nivå. Därutöver anges att syftet med spellagen är att den ska tillämpas så att spelen får ett högt konsumentskydd, det råder hög säkerhet i spelen, de negativa konsekvenserna av spelande begränsas och spel inte används som stöd i kriminell verksamhet. Av spellagen framgår vidare att det är som ansvarar för huvudtillsynen av lagen. De angivna ändamålsbestämmelserna kan sägas ange den behandling av personuppgifter som är nödvändig för att ska kunna fullgöra den rättsliga förpliktel- sen som framgår av den inledande syftesbestämmelsen. I vart fall får grunden för dessa ändamål anses nödvändig för att utföra en upp- gift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. Av de syften som framgår inledningsvis av spellagen får anses följa att bedriver en uppgift av allmänt intresse i den mening som avses i artikeln. Detta allmänna intresse är lagfäst vilket innebär att vad som sägs i artikel 6.3 också enligt ett sådant resone- mang får anses uppfyllt. Ändamålet som rör forskning skiljer sig från övriga angivna ändamål. Den rättsliga grunden för sådan behandling bör vara att den registrerade har lämnat sitt samtycke till behandlingen. I vissa avseenden rör hanteringen av uppgifter känsliga person- uppgifter. Det krävs då också att någon av punkterna i artikel 9.2 är uppfyllda. Utredningen för ett resonemang om det nedan. För att motverka problemspelande ska spelföretagen enligt spel- lagen följa utvecklingen av kundernas spelbeteende och vidta åtgär- der för att motverka spelproblem. Spelföretagen kommer alltså att behandla kunders personuppgifter i syfte att motverka och förhindra överdrivet spelande. Hur denna kontroll närmare ska se ut är upp till spelföretagen. Obligatoriskt för alla spelföretag när det gäller onlinespel och spel på värdeautomater är dock att spel inte får erbjudas förrän spelaren har upprättat en profil där spelaren bl.a. ska uppge hur mycket tid och pengar denne vill lägga på spel. Behandling av personuppgifter och vissa frågor om sekretess hjälp av bl.a. denna spelarprofil ska spelföretagen analysera kundernas spelbeteende. I dataskyddsförordningens artikel 9 finns bestämmelser om be- handling känsliga personuppgifter. Där sägs att behandling av person- uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska som huvudregel vara förbjuden. I artikeln nämns vidare när undan- tag kan göras från förbudet. Datainspektionen har i ett beslut bedömt att en uppgift om att någon har ett spelberoende eller spelmissbruk är en uppgift som rör hälsa. I beslutet kontrollerade Datainspektionen om Svenska Spels behandling av personuppgifter hade lagligt stöd i personupp- giftslagen. Bl.a. gjordes en bedömning av Svenska Spels behandling som avsåg att förhindra problem med överdrivet spelande. I beslutet anförde Datainspektionen att begreppet ”rör hälsa” innefattar alla aspekter, såväl fysiska som psykiska, av en persons hälsa. Uppgifter om drog- eller alkoholmissbruk får anses röra hälsa.9 I det aktuella beslutet använde sig av en metod som är grundad på forskning om vilka faktorer som typiskt sett kan medföra ett proble- matiskt spelande. Datainspektionen anförde att ett problematiskt spelande kan vara en indikation på att någon har ett spelberoende eller ett spelmissbruk. Eftersom syftet med riskbedömningen var att fånga upp de kunder som hade ett problematiskt spelande kom kunder som hade ett spelberoende eller spelmissbruk att fångas upp i riskbedömningen. Inspektionen konstaterade därmed att behandlade personuppgifter som rörde hälsa. Mot bakgrund av vad Datainspektionen uttalar i beslutet får de riskbedömningar av kunders spelbeteenden som spelföretagen åläggs att göra enligt spellagen anses avse personuppgifter som rör hälsa. Det är vidare rimligt att utgå från att merparten av de personer som anmäler sig till registret för självavstängning gör detta eftersom de, eller andra personer i deras närhet, bedömer att de har ett spel- problem. Utredningen gör därför bedömningen att också dessa upp- gifter bör betraktas som känsliga personuppgifter. 9 Datainspektionens beslut , dnr 1382-2014. Behandling av personuppgifter och vissa frågor om sekretess Grunder för att få behandla känsliga personuppgifter Huvudregeln är således enligt artikel 9.1 att känsliga personupp- gifter inte får behandlas. Från denna huvudregel anges dock i arti- kel 9.2 ett antal undantag. Här kan särskilt nämnas två av dessa. Enligt artikel 9.2 a får behandling ske om den registrerade uttryckli- gen lämnat sitt samtycke till behandlingen för ett eller flera specifika ändamål. Detta gäller dock inte, enligt samma artikel, då unionsrätt- en eller medlemsstaternas nationella rätt föreskriver att förbudet enligt huvudregeln i artikel 9.1 inte kan upphävas av den registrerade. I artikel sägs att behandling av känsliga personuppgifter får ske om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas natio- nella rätt. En förutsättning är att behandlingen ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga inne- hållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grund- läggande rättigheter och intressen. När det gäller krav enligt artikel 9.2 a på att ett samtycke ska vara uttryckligt har Datainspektionen uttalat att samtycket måste komma till uttryck på ett särskilt tydligt sätt. Det ska med andra ord inte råda några tvivel om att den registrerade avsett att sam- tycka till den aktuella åtgärden. I andra fall kan ett samtycke genom så kallat konkludent handlande vara tillräckligt. Med konkludent avses här att den registrerade lämnar efterfrågade uppgifter efter att ha fått information om både den tilltänkta behandlingen och att det är frivilligt att lämna uppgifterna. I ett sådant fall ses själva upp- giftslämnandet som ett samtycke. När det gäller känsliga person- uppgifter är emellertid inte ett konkludent handlande i normalfallet godtagbart.10 För behandling av känsliga personuppgifter med stöd av arti- kel kan noteras att det inte bara krävs att det gäller ett allmänt intresse, som anges i artikel 6.1 e, utan att det också avser ett viktigt (vår kursivering) allmänt intresse. Ledning av vad som ska anses vara ett viktigt allmänt intresse kan hämtas från tidigare utrednings- arbeten. Att kommuner och trafikhuvudmän ska ges möjlighet att utföra sina arbetsuppgifter inom färdtjänsten och riksfärdtjänsten 10 Datainspektionen, Samtycke enligt personuppgiftslagen, reviderad , s. 7 ff. Behandling av personuppgifter och vissa frågor om sekretess på ett tillfredsställande sätt bedömdes av vara ett viktigt allmänt intresse (SOU 2003:87 s. 176). Behandlingen av känsliga personuppgifter för antidopningsverksamhet inom idrotts- rörelsen enligt ett internationellt grundat regelverk ansågs ske för ett viktigt allmänt intresse enligt mot dop- ning (SOU 2011:10 s. 242). De riskbedömningar som spelföretagen enligt spellagen ska göra av kunders spelbeteende får, som framgår ovan, anses avse känsliga personuppgifter. En viktig fråga är med vilket rättsligt stöd känsliga personuppgifter i nu nämnda avseende kan behandlas i ett spelföre- tags verksamhet. Utredningen överväger i det följande olika alter- grunder för behandling av sådana uppgifter. Ett alternativ är att den registrerade lämnar sitt uttryckliga sam- tycke till behandlingen enligt artikel 9.2 a i dataskyddsförordningen. Utredningens förslag innebär att alla som når upp till licens- kraven ska kunna verka på den svenska spelmarknaden. Målet med spelregleringen är att alla som agerar på den svenska marknaden ska göra det med en licens. Det innebär således vidare att det går att diskutera frivilligheten av ett samtycke till personuppgiftsbehand- ling, när det i praktiken inte går att avstå från ett samtycke om man vill ha tjänsten. kan knappast spel, enligt utredningen, ses som en nödvändig tjänst i dagens samhälle eller för den enskilde. Det borde därmed inte vara uteslutet att grunda behandlingen på ett samtycke, så länge som detta är uttryckligt och inte avser ett samtycke genom konkludent handlande. En annan möjlig väg som kan övervägas, när det gäller behand- ling av personuppgifter som avser övervakning av spelbeteende och samtycke, är att låta den enskilde själv välja om han eller hon vill samtycka till en sådan behandling. I ett sådant fall bör det stå helt klart att det är fråga om ett frivilligt samtycke, eftersom den enskilde ju då kan delta i spel utan att samtycka till den aktuella behand- lingen. Det innebär för detsamma att inte alla spelkunder kommer att omfattas av spelföretagens spelansvarsåtgärder som avser regi- streringar av spelbeteende. Därmed kommer dessa kunder inte heller att bli föremål för det eventuella stöd som kan behövas. Det kan tänkas att just de kunder som faktiskt är i behov av ett sådant stöd väljer att inte samtycka till behandling av personuppgifter i det avseendet. Att göra samtycket frivilligt skulle med andra ord inte fullt ut gå i linje med spellagens uttalade syfte att de negativa konse- Behandling av personuppgifter och vissa frågor om sekretess kvenserna av spelandet begränsas. är detta ett alternativ som är mindre integritetskänsligt. Det borde vidare enligt utredningen vara möjligt att behand- lingen av känsliga personuppgifter sker med stöd av artikel , dvs. att behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse på grundval i den nationella rätten. Ett sådant viktigt allmänt intresse ska enligt samma artikel stå i proportion till det eftersträ- vade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättig- heter och intressen. Som framgår ovan har Datainspektionen i ett beslut som rörde Svenska Spels behandling av personuppgifter i syfte att göra risk- bedömningar av kunders spelbeteende för att kunna vidta åtgärder bedömt att det inte var nödvändigt för att utföra en arbetsuppgift av allmänt intresse. Det kan dock konstateras att spelpolitiken lägger stor vikt vid att spelföretagen ska ha ett ansvarstagande. Det framgår inte minst av utredningens direktiv som uttryckligen anger att en utgångspunkt till förslaget till spelreglering ska vara att de negativa konsekvenserna av spelandet begränsas. Spelregleringen ska ha ett högt konsumentskydd vilket förutsätter en reglering som tar sociala hänsyn. Det bör vidare framhållas att överdrivet spelande är ett folk- hälsoproblem i . av den vuxna befolkningen i åldersgruppen 16–har spelproblem. Överdrivet spelande kan medföra negativa konsekvenser i form av exempelvis skuldsättning, ohälsa och problem med relationer. Dessa konsekvenser kan drabba även anhöriga, däribland barn. Uppskattningsvis 76 500 barn lever tillsammans med någon som har spelproblem. Grunden i den före- slagna spelregleringen är mot denna bakgrund ett långtgående spel- ansvar som ska bäras av spelföretagen. Behandlingen av personupp- gifter när det gäller registreringar av spelbeteenden bör med hänsyn härtill enligt utredningen kunna anses ske för ett viktigt allmänt intresse. Utredningens slutsats är alltså att det är möjligt att behandla känsliga personuppgifter med syfte att göra riskbedömningar av kunders spelbeteenden med stöd av både ett uttryckligt samtycke och mot bakgrund av ett viktigt allmänt intresse. Ett alternativ är, när det gäller samtycke, att låta kunden själv välja att samtycka till Behandling av personuppgifter och vissa frågor om sekretess en registrering av spelbeteende. Utredningen anser att det ligger närmast till hands att låta behandlingen ske med stöd av ett viktigt allmänt intresse. När det gäller behandling av personuppgifter i syfte att hantera självavstängningar kan det enligt utredningen ske med stöd av ett uttryckligt samtycke. Enligt utredningen bör det vara en möjlig grund inte enbart för spelföretagens vidkommande utan också när det gäller – trots att det då är fråga om en myndighet och med beaktande av vad som anges i beaktandesats 43. Utred- ningen bedömer inte att det i ett sådant fall kan sägas råda betyd- ande ojämlikhet mellan den registrerade och , även om är en myndighet. Det bör här också påpekas att en självavstängning naturligtvis förutsätter att personuppgifter behandlas. Det är knappast möjligt att stänga av en kund på egen begäran från spel utan att behandla dennes personuppgifter – oav- sett om det gäller ett enstaka spelföretag eller det nationella registret som hanterar. Att behandla kundens personupp- gifter blir aktuellt först när denne själv väljer att stänga av sig. Funk- tionen med att stänga av sig från spel har med andra ord egentligen inget med valfriheten att delta i spel att göra. Det rör sig således inte om ett fritt val mellan att samtycka till behandlingen eller att avstå från själva tjänsten. När det slutligen gäller ändamål som har med forskning att göra bör aktuella personuppgifter behandlas med stöd av ett uttryckligt samtycke. Det bör i det här avseendet, för att minska integritets- risken, stå spelkunden fritt att välja till att samtycka till att upp- gifterna kan komma att användas till forskning eller inte. Det bör således vara möjligt att delta i spel utan ett samtycke till att per- sonuppgifter används för forskningsändamål. 20.2.9Personuppgifter som får behandlas Utredningens förslag: Endast sådana personuppgifter som behövs för det ändamål för vilket personuppgiftsbehandlingen utförs får behandlas enligt spellagen. Personuppgifter om lagöverträdelser enligt den kompletterande lagen får behandlas av ett spelföretag om det är nödvändigt för ett sådant ändamål. Behandling av personuppgifter och vissa frågor om sekretess Från integritetssynpunkt är det väsentligt att inte andra person- uppgifter behandlas än vad som är befogat utifrån verksamhetens behov och krav. Att närmare specificera vilka personuppgifter som får behandlas i verksamheten skulle dock vara en svår uppgift med tanke på den uttömmande ändamålsbestämmelsen. Det skulle vidare enligt utredningen innebära tillämpningsproblem. Som utredningen anför i avsnitt 20.2.7 föreslås i stället att ändamålsbestämningen ska styra över vilka personuppgifter som får samlas in och fortsätt- ningsvis behandlas.