sou · H5B330 · 2017-03-31 00:00:00 — I sådana fall ska utredningen särskilt beakta det pågående reformarbetet med dataskyddsregler- ingen inom EU samt analysera integritetsaspekterna av en reglering av detta slag, som måste vara proportionerlig och inte mer långtgå- ende än vad som kan motiveras med hänvisning till dess syfte. Utredningen har i kapitel 18 redovisat sina förslag om hur spel- företagen ska ta ansvar för spelarna. Förslagen innebär bl.a. att spel- företagen ska följa utvecklingen av kundernas spelande. Behandling av personuppgifter och vissa frågor om sekretess analysera kundernas spel ska spelföretagen ha möjlighet att fånga upp de kunder som kan antas ha ett spelproblem. Utredningens förslag innebär också att det ska vara möjligt för en spelkund att stänga av sig från vidare spel hos ett spelföretag. Därutöver har utredningen föreslagit att det ska finnas ett nationellt avstängningsregister (för båda dessa möjligheter se kapitel 19). Den kund som önskar att stänga av sig från fortsatt spelande hos samt- liga spelföretag ska alltså genom att endast anmäla detta en gång kunna göra det. Dessa förslag aktualiserar således behandling av personuppgifter. Som framgår nedan innebär utredningens förslag också i flera andra avseenden att personuppgifter behandlas. Utredningens övervägan- den vad gäller regler om behandling av personuppgifter bör alltså omfatta också dessa förslag. Sedan utredningsdirektiven beslutades har och rådets förordning (EU) 2016/679 om skydd för enskilda perso- ner med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) beslutats. Dataskyddsförordningen antogs , dvs. ungefär ett och halvt år efter att ut- redningens direktiv beslutades (vilket skedde ). Förordningen utgör en ny generell reglering för personuppgifts- behandling inom EU och ersätter det nuvarande dataskyddsdirek- tivet när den börjar tillämpas . Tillämpningen av förordningen innebär bl.a. att personuppgifts- lagen kommer att upphävas. Den innebär vidare att det i måste utredas vilka kompletterande nationella föreskrifter som förordning- en kräver, bl.a. när det gäller kompletterande bestämmelser om undan- tag från förbudet att behandla känsliga personuppgifter. Det måste också analyseras bl.a. hur bestämmelserna i det kompletterande generella regelverket bör förhålla sig till bestämmelser om behandling av personuppgifter som finns i särskilda registerförfattningar. Data- skyddsutredningen har fått i uppdrag att säkerställa att det finns en ändamålsenlig och välbalanserad kompletterande nationell reglering på plats om personuppgiftsbehandling när förordningen börjar tilläm- pas (se direktiv 2016:15). ska redovisa sitt uppdrag , alltså knappt efter det att presenterar sitt betänkande. Behandling av personuppgifter och vissa frågor om sekretess har också andra utredningar tillsatts med anledning av att dataskyddsförordningen börjar tillämpas i maj 2018.1 Det blir med andra ord inte aktuellt för utredningen att hänvisa till och bedöma om undantag från personuppgiftslagen behöver och kan göras. Snarare bör utredningens förslag ta sikte på innehållet i dataskyddförordningen och den kommande kompletterande natio- nella regleringen. Det svenska kompletterande regelverket är dock som framgår ovan fortfarande under arbete när utredningen ska presentera sitt betänkande. Tidsramarna för de olika utredningarna sätter alltså utredningen i en svår sits när det gäller att lägga fram fullständiga förslag till bestämmelser om personuppgiftsbehandling på spelområdet. Utredningens ambition är ändå att ge förslag till en så komplett reglering som möjligt. Mot bakgrund av det pågående reformarbetet kommer dock de föreslagna bestämmelserna säker- ligen att behöva anpassas till framför allt den kommande nationella regleringen. I det följande redogör utredningen för både den nuvarande och kommande regleringen om dataskydd. Därefter presenterar utred- ningen i vilka avseenden som särskilda regler, när det gäller behand- ling av personuppgifter, behövs inom spelområdet. Utredningen föreslår sedan hur dessa bör regleras och formuleras med hänsyn till de kommande reformerna. Kapitlet innehåller också ett förslag när det gäller Spelmyndig- hetens tillgång till uppgifter från misstanke- och belastningsregistret. Avslutningsvis ges också i kapitlet förslag till en ny bestämmelse i offentlighets- och sekretesslagen (2009:400), om sekretess i själv- avstängningsregistret. 1 Se bl.a. dir. 2016:65 Personuppgiftsbehandling för forskningsändamål, dir. 2016:52 Data- skyddsförordningen – behandling av personuppgifter och anpassningar av författningar inom verksamhetsområde och dir. 2016:63 Personuppgiftsbehandling inom utbildningsområdet. En del av EU:s dataskyddsreform avser och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, för- hindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF (dataskyddsdirektiv). Också med anledning av detta EU-direktiv har utredningar tillsatts, se bl.a. dir. 2016:21 Genomförande av EU:s direktiv om skydd av personuppgifter vid brotts- bekämpning, brottmålshantering och straffverkställighet. Behandling av personuppgifter och vissa frågor om sekretess 20.2.1Nuvarande och kommande reglering antogs och rådets direk- tiv 95/46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter (dataskyddsdirektivet). Direktivet syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter. Syftet är också att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Dataskyddsdirektivet gäller inte för behandling av personupp- gifter på områden som faller utanför unionsrätten, t.ex. allmän säker- het och försvar samt statens verksamhet på straffrättens område. Dataskyddsdirektivet har genomförts i svensk rätt huvudsakligen genom personuppgiftslagen (1998:204), PUL, som trädde 1998. PUL kompletteras av bestämmelser i personuppgiftsförord- ningen (1998:1191), förkortad PUF. Syftet med lagen är att skydda människor mot att deras person- liga integritet kränks genom behandling av personuppgifter (1 §). PUL följer i princip dataskyddsdirektivets struktur och innehåller liksom direktivet bestämmelser om bl.a. personuppgiftsansvar, grund- läggande krav för behandling av personuppgifter och information till den registrerade. PUL är tillämplig även utanför område och gäller både för myndigheter och enskilda som behandlar personuppgifter. Av lagen framgår att den är subsidiär i förhållande till annan lag eller förordning (2 §). Det finns en stor mängd sådana bestämmel- ser i s.k. särskilda registerförordningar som främst reglerar hur olika myndigheter får behandla personuppgifter. Syftet med registerför- fattningarna är att anpassa regleringen till de särskilda behov som myndigheterna har i sina respektive verksamheter samt att göra av- Behandling av personuppgifter och vissa frågor om sekretess vägningar mellan behovet av effektivitet i berörd verksamhet och behovet av skydd för den enskildes personliga integritet. Lagen tar sikte på sådana behandlingar av personuppgifter som helt eller delvis är automatiserade och även för annan behandling av personuppgifter, om uppgifterna ingår eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (5 §). Personuppgifter i PUL:s mening är all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Uppgifter om juridiska personer och avlidna omfattas således inte. Begreppet behandling av personuppgifter omfattar varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, orga- nisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstörning (3 §). Det finns några viktiga undantag från PUL:s tillämpningsom- råde. Lagen gäller t.ex. inte vid behandling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur (6 §). Bestämmelserna i lagen tillämpas inte heller i den utsträckning det skulle strida mot grundlagsbestämmelserna om tryck- och ytt- randefrihet (7 § första stycket). I princip ska inte heller PUL:s be- stämmelser tillämpas vid journalistisk, konstnärlig eller litterär verk- samhet (7 § andra stycket). Vidare anges i PUL att lagen inte gäller i den mån det skulle inskränka offentlighetsprincipen (8 § första stycket). Ett centralt begrepp när det gäller PUL och personuppgifter är personuppgiftsansvarig. Det är den som behandlar personuppgifter i sin verksamhet som är personuppgiftsansvarig, normalt sett oftast ett företag eller en myndighet. Undantagsvis kan en fysisk person vara personuppgiftsansvarig, t.ex. en enskild näringsidkare. Person- uppgiftsansvaret ger inte i sig någon en rätt att besluta om en behand- ling. Den som är personuppgiftsansvarig kan förordna en fysisk per- son att vara personuppgiftsombud. Personuppgiftsombudet ska självständigt se till att personuppgifter behandlas på ett korrekt och lagligt sätt. Det är dock alltid den personuppgiftsansvarige som ytterst svarar för att PUL följs och att de registrerade behandlas korrekt och i enlighet med god sed. Behandling av personuppgifter och vissa frågor om sekretess Av lagen framgår att den personuppgiftsansvarige ska se till att personuppgifter bl.a. samlas in bara för särskilda, uttryckligt angiv- na och berättigade ändamål. Personuppgifterna får inte behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in och de personuppgifter som behandlas ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Fler personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Vidare ska de personupp- gifter som behandlas vara riktiga och, om det är nödvändigt, aktuella. Alla rimliga åtgärder ska vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hän- syn till ändamålen med behandlingen. Personuppgifter får som regel inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen (9 §). I lagen finns en uppräkning av under vilka förutsättningar be- handling av personuppgifter är tillåten. Personuppgifter får alltid behandlas om den registrerade har gett sitt samtycke. I vissa fall får personuppgifter behandlas även utan samtycke. En förutsättning i dessa fall är att behandlingen är nödvändig för ändamålen (10 §). Det är enligt huvudregeln förbjudet att behandla känsliga person- uppgifter. Med känsliga personuppgifter avses ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, med- lemskap i fackförening eller uppgifter som rör hälsa eller sexualliv (13 §). Känsliga personuppgifter får dock behandlas, om den regi- strerade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort uppgifterna (14 §). Ytterligare undan- tag som avser behandling av känsliga personuppgifter finns (14– 20 §§). PUL ställer också upp begränsningar i möjligheterna att be- handla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden samt personnummer eller samordningsnummer (21 och 22 §§). PUL innehåller flera bestämmelser som syftar till att genom infor- mation trygga den enskildes rätt att kontrollera om behandling av personuppgifter om honom eller henne pågår (23–27 §§). Den personuppgiftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personupp- gifter som inte har behandlats i enlighet med PUL eller föreskrifter som har utfärdats med stöd av lagen (28 §). Behandling av personuppgifter och vissa frågor om sekretess bestämmelser om säkerheten vid behandling av personuppgifter (30–32 §§). Enligt PUL är det förbjudet att till tredje land föra över personuppgifter om landet inte har en adekvat nivå för skyddet av personuppgifterna. I vissa fall får dock överföring av personupp- gifter till tredje land ske även om det aktuella landet inte har en sådan adekvat skyddsnivå som avses i PUL, t.ex. om den registrerade har lämnat sitt samtycke till överföringen eller för att rättsliga an- språk ska kunna fastställas (33–35 §§). PUL innehåller också bestäm- melser om bl.a. tillsyn, skadestånd och straff (43–49 §§). Datainspek- tionen är tillsynsmyndighet. Regeringsformen och kravet på lagreglering för viss personuppgiftsbehandling I 2 kap. 6 § andra stycket RF anges att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga inte- griteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Begränsningar av denna fri- och rättighet får enligt 2 kap. 20 § RF under vissa förutsättningar göras genom lag. Regleringen i RF innebär att viss personuppgiftsbehandling måste regleras i lag. antogs och rådets förord- ning (EU) 2016/679 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- skyddsförordning). Förordningen utgör en ny generell reglering för personuppgiftsbehandling inom EU och ersätter det nuvarande dataskyddsdirektivet när den börjar tillämpas . Det huvudsakliga syftet med förordningen är att ytterligare harmoni- sera och effektivisera skyddet för personuppgifter för att förbättra den inre marknadens funktion och öka enskildas kontroll över sina personuppgifter. Dataskyddsförordningen baseras till stor del på dataskyddsdirek- tivets struktur och innehåll men innebär även en rad nyheter såsom en utökad informationsskyldighet, administrativa sanktionsavgifter Behandling av personuppgifter och vissa frågor om sekretess och inrättande av Europeiska dataskyddsstyrelsen. Dataskydds- förordningen är direkt tillämplig i medlemsstaterna men både förut- sätter och möjliggör kompletterande nationella bestämmelser av olika slag. Av artikel 6.2 framgår exempelvis att medlemsstaterna får be- hålla eller införa mer specifika bestämmelser för att anpassa tillämp- ningen av bestämmelserna i förordningen för sådan personuppgifts- behandling som är nödvändig för att fullgöra en rättslig förpliktelse eller utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Medlemsstaterna får i fråga om sådan behandling närmare fastställa specifika krav och andra åtgärder för att säkerställa en laglig och rättvis behandling av uppgifterna. Enligt artikel 6.3 i förordningen ska i dessa fall grunden för behandlingen fastställas i enlighet med unionsrätten eller natio- nell rätt. Dataskyddsförordningen kommer att utgöra grunden för gene- rell personuppgiftsbehandling inom EU. I egenskap av förordning har den allmän giltighet och är bindande och direkt tillämplig i med- lemsstaterna. Utgångspunkten är att en EU-förordning inte ska genomföras nationellt, men förordningen kan innebära behov av att anpassa nationella författningar och t.ex. upphäva nationella bestäm- melser som står i strid med förordningen. Den nya dataskydds- förordningen medför bl.a. att PUL och personuppgiftsförordningen samt Datainspektionens föreskrifter i anslutning till denna reglering måste upphävas. Med anledning av dataskyddsförordningen har regeringen till- satt en utredning för att ta fram en nationell reglering som på ett generellt plan kompletterar förordningen (Ju 2016:04). Utredningen ska bl.a. undersöka vilka kompletterande nationella föreskrifter, exempelvis processuella bestämmelser, som förordningen kräver och överväga vilka kompletterande bestämmelser om t.ex. behandling av känsliga personuppgifter och personnummer som bör införas i den svenska regleringen. Det nämnda uppdraget omfattar däremot inte att se över eller lämna förslag till förändringar av sådan sektors- specifik reglering om behandling av personuppgifter som bl.a. finns i de särskilda registerförfattningarna (dir. 2016:15). Utredningen har tagit sig namnet och ska enligt sina direktiv redovisa sitt uppdrag . Vid sidan av denna utredning har regeringen vidare tillsatt ett antal utredningar med Behandling av personuppgifter och vissa frågor om sekretess uppdrag att analysera vilka konsekvenser förordningen medför i fråga om personuppgiftsbehandling inom olika verksamhetsområden. 20.2.2Bestämmelser om hantering av personuppgifter på spelområdet ska regleras i spellagen Utredningens förslag: respektive spelföretags behandling av personuppgifter enligt spellagen ska regleras i ett särskilt kapitel i spellagen. De förslag som utredningen lagt fram berör i flera avseenden han- tering av personuppgifter. Regleringen omfattar både Spelmyndig- hetens och spelföretags hantering av personuppgifter. För Spel- myndighetens vidkommande innebär förslaget hantering av person- uppgifter bl.a. i samband med handläggningen av licenser. Myndig- heten ska också föra register över anmälda ombud för spelföretag. En viktig uppgift för som kommer att innefatta behandling av personuppgifter är hantering av det nationella själv- avstängningsregistret. Det föreslagna licenssystemet bygger på att alla aktörer som an- söker och når upp till vissa krav ska få en licens att anordna och till- handahålla spel i . Detta gäller även utländska företag. För att ska kunna utöva tillsyn och kontroll över ut- ländska spelföretag måste det finnas möjlighet för myndigheten att utbyta personuppgifter med motsvarande myndigheter i tredje land. kommer vidare att behöva föra en rad register över olika personkategorier. Ett exempel på en sådan kategori är personer som är anmälda att vara representanter och/eller licens- ansvariga för spelföretag som har hemvist eller säte utanför EES. För spelföretagens del innebär spellagen att spelkunder, som huvudregel, måste registreras innan de kan delta i spel. Ett bakom- liggande syfte med registreringen är att spelföretaget ska veta vem kunden är som deltar i spel. Registreringen ligger sedan till grund för en rad andra skyldigheter som åläggs spelföretagen. En sådan är, när det gäller onlinespel, att spelföretaget ska upprätta ett person- ligt spelkonto. Därigenom ska kunden kunna följa sitt saldo, in- och utbetalningar och andra transaktioner. En grundläggande tanke med spellagen är att spelföretagen ska åläggas ett långtgående ansvar Behandling av personuppgifter och vissa frågor om sekretess Att kunderna ska kunna följa sina ekonomiska före- havanden på sitt spelkonto kan sägas vara en del i detta spelansvar. En annan betydelsefull spelansvarsåtgärd som förutsätter behandling av personuppgifter är att spelföretagen ska kartlägga kundernas spelbeteende för att riskbedöma deras spelande. Riskbedömningarna ska sedan ligga till grund för olika insatser som spelföretagen ska vidta om en spelkund uppvisar ett spelbeteende som bedöms proble- matiskt. En annan del av spelansvaret avser att spelkunderna ska skyddas mot brott, t.ex. bedrägeri, och andra typer av spelfusk. Ett spelföre- tag ska ha rutiner för att motverka och upptäcka brottslig verk- samhet och överträdelser av de regler som ställs upp för ett spel. Detta förutsätter behandling av personuppgifter i syfte att kontrollera att spelkunderna följer spelvillkor och andra regler för de olika spelen och för att upptäcka och motverka fusk, bedrägeri och annan brottslig verksamhet. Spelproblem är ett folkhälsoproblem i . För att kunna utveckla det förebyggande arbetet mot spelproblem samt stöd vid och behandling av spelmissbruk finns det ett stort behov av forsk- ning på området. De uppgifter om kunders spelbeteende som samlas in bör med fördel kunna användas för detta ändamål. Enligt utred- ningen är det därför angeläget med en reglering som säkerställer att så kan ske som den för individens rätt till personlig integritet. Utredningens förslag innebär således att personuppgifter han- teras i flera avseenden. Som framgår av avsnitten ovan kommer dataskyddsförordningen utgöra grunden för generell personupp- giftsbehandling i . Det kommer också att finnas en nationell reglering som på ett allmänt plan kompletterar förordningen. Som nämns inledningsvis arbetar med att ta fram förslag till sådana nationella bestämmelser. Data- skyddsutredningen ska redovisa sitt uppdrag (se dir. 2016:15). Utredningens förslag innebär att vissa avsteg från de huvud- regler som dataskyddsförordningen ställer upp måste göras. Det finns därför enligt utredningens bedömning behov av en särskild reglering avseende behandling av personuppgifter på spelområdet. En fråga är på vilken nivå dessa bestämmelser bör komma till uttryck. Det finns många författningar vid sidan av personuppgifts- Behandling av personuppgifter och vissa frågor om sekretess lagen som reglerar behandlingen av personuppgifter. Dessa särförfatt- ningar finns i lag, förordning och föreskrifter. har uttalat att ett myndighetsregister med ett stort antal regi- strerade personer och med särskilt känsligt innehåll ska bli föremål för specialreglering (bet. 1997/98:KU18 s. 43). Särskilt i och med det innebär regleringen att vissa uppgifter kommer att spridas till ett större antal aktörer. Det skapar integritetsrisker som givetvis måste beaktas. Utredningen anser därför att det är angeläget med en tydlig regler- ing när det gäller hanteringen av personuppgifter. De regler som är aktuella berör både en myndighet och företag. Enligt utredningen finns det ett värde i att dessa bestämmelser regleras i ett samman- hang. Mot denna bakgrund och då de uppgifter som ska behandlas delvis är av känslig natur är det enligt utredningen lämpligt att samla bestämmelserna i ett kapitel i spellagen. Utredningens förslag: Bestämmelserna i kapitlet gäller om be- handlingen är helt eller delvis automatiserad eller om personupp- gifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller samman- ställning enligt särskilda kriterier. Kapitlet ska således som nämns ovan avse dels , dels spelföretagens behandling av personuppgifter enligt spellagen. För både och spelföretagen innebär detta behand- ling som rör spelkunder. Därutöver kommer att behandla personuppgifter som rör personer inom spelföretag i sam- band med licensansökan, godkända representanter, licensansvariga, kontaktpersoner och ombud för spelföretag. Bestämmelserna i kapitlet ska gälla för behandling av person- uppgifter som är helt eller delvis automatiserad. Kapitlet ska också avse också annan behandling av personuppgifter om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av person- uppgifter som är tillgängliga för sökning eller sammanställning en- ligt särskilda kriterier. Det sistnämnda avser ett register enligt data- skyddsförordningen. Behandling av personuppgifter och vissa frågor om sekretess – respekt för den enskildes integritet Utredningens förslag: Personuppgifter ska behandlas så att spel- kunders och övriga registrerades integritet respekteras. Regleringen i spellagen om behandling av personuppgifter måste vara proportionerlig och inte mer långtgående än vad som kan motiveras med hänvisning till dess syfte. Utredningen föreslår en övergripan- de regel som inledningsvis slår fast kapitlets syfte.