prop · H503220 · 2018-04-09 00:00:00 — konsekvensanalys, för att vara meningsfull, måste ske i ett senare skede. Regeringen har därför för avsikt att genomföra en fördjupad analys under det fortsatta arbetet med spelregleringen. Vad gäller den allmänna reglering som föreslås i detta lagstiftningsärende kan dock följande Den nya spelmyndigheten kommer att ansvara för behandlingen av personuppgifter genom registrering av spelombud, handläggning av licenser och tillstånd samt vid hanteringen av det nationella själv- personuppgifter i samband med sin tillsyn. För att myndigheten ska kunna utöva tillsyn och kontroll över utländska spelföretag måste det dessutom finnas möjlighet för myndigheten att utbyta personuppgifter med motsvarande myndigheter i andra länder. att behöva föra register över representanter för licenshavare som har hemvist eller säte utanför EES. Kommunerna kommer fortsatt att föra register över lokala lotterier och vilka som är ansvariga för dem. För licenshavarna innebär spellagen att spelare, som huvudregel, måste registreras innan de kan spela. Ett syfte med registreringen är att licenshavaren ska veta vem spelaren är. även enligt penningtvättsreglerna. För onlinespel ska det för varje spelare upprättas ett personligt spelkonto som gör att spelaren kan följa in- och utbetalningar och andra transaktioner samt kontots saldo. behandling av personuppgifter är vidare, som och påpekar, en förutsättning för det långtgående spelansvar som licens- havarna har för en sund spelmarknad. Spelarna ska exempelvis kunna följa sina ekonomiska förehavanden på sitt spelkonto. betydelsefull spelansvarsåtgärd som förutsätter behandling av person- uppgifter är kartläggningen av spelarnas spelbeteende för att riskbedöma Riskbedömningarna ska sedan ligga till grund för olika insatser som licenshavarna ska vidta om en spelare uppvisar ett spel- beteende som bedöms vara problematiskt. Ytterligare en viktig del av spelansvaret som förutsätter behandling av personuppgifter är att spelarna ska skyddas mot brott, t.ex. bedrägeri, och andra typer av spelfusk. En licenshavare ska ha rutiner för att motverka och upptäcka fusk, bedrägeri och annan brottslig verksamhet samt överträdelser av de regler som ställs upp för ett spel. Det finns således ett stort antal ändamål som personuppgifter behöver behandlas för när licenshavarna ska fullgöra sina skyldigheter enligt Även om dessa ändamål kommer framgå av olika bestämmelser i lagen och föreskrifter meddelade med stöd av lagen anser regeringen, till skillnad från , att det finns behov av att samla dessa i ett kapitel i lagen. Därmed synliggörs framför allt licenshavarnas ansvar för de personuppgifter som behöver behandlas med stöd av lagen. Bestämmelserna i spellagen bör inte, i motsats till vad utredningen föreslår, omfatta sådana generella bestämmelser om dataskydd som finns i dataskyddsförordningen eller i den föreslagna dataskyddslagen. Bestämmelserna ska i enlighet med dataskyddsförordningen gälla för 2017/18:220 matiserad samt annan behandling av personuppgifter om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av person- uppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, dvs. Regleringen i spellagen om behandling av personuppgifter måste vara proportionerlig och inte mer långtgående än vad som kan motiveras med hänvisning till dess syfte. Utredningen föreslår att regleringen i spellagen som avser person- uppgiftsbehandlingen ska gälla spelmyndigheten och licenshavarna. Utredningen lämnar inte några förslag för personuppgiftsbehandlingen hos kommunerna eller hos de allmännyttiga aktörer som tillhandahåller spel utan att vara licenshavare. Regeringen anser att de generella bestämmelserna i dataskyddsförordningen och i den föreslagna data- skyddslagen bör vara tillräckliga för dessa aktörers behandling av personuppgifter. Personuppgiftsansvar, behörighetstilldelning och Regeringens förslag: och varje licenshavare ska vara personuppgiftsansvariga för den behandling av personuppgifter som de utför för att fullgöra sina uppgifter enligt spellagen. Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Vid behandling av personuppgifter enligt spellagen ska det vara förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på sådana personuppgifter som avses i artiklarna 9.1 och 10 i EU:s dataskyddsförordning, dvs. känsliga personuppgifter och upp- gifter som rör lagöverträdelser. Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om krav på åtgärder till skydd för den regi- strerades rättigheter och intressen. Utredningens förslag: Överensstämmer delvis med regeringens. redningen lämnar inte något förslag om bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter Utredningen föreslår att regleringen om behörighetstill- delning endast ska omfatta anställda. Remissinstanserna: De flesta remissinstanser lämnar inga synpunkter Datainspektionen anser att de föreslagna bestämmelserna om sökförbud och behörighetstilldelning ensamma inte säkerställer den registrerades rättigheter och intressen. anför att de före- slagna begränsningarna kommer att bli svåra att tillämpa för spelföretag, då företagens skyldigheter att behandla personuppgifter i syfte att motverka spelproblem och att motverka brottslighet medför att det är svårt att undvika att det förekommer sökbegrepp som avser känsliga uppgifter eller uppgifter om fällande domar och överträdelser. ningsområdet bör därför enligt bolaget uttryckligen begränsas till spel- Skälen för regeringens förslag: Den föreslagna spellagen innebär, som tidigare anförts, att personuppgifter kommer att behöva behandlas både av spelmyndigheten och ett antal licenshavare. Dessa är person- Prop. 2017/18:220 uppgiftsansvariga för den behandling av personuppgifter som de utför för att fullgöra sina uppgifter enligt spellagen, vilket bör tydliggöras i lagen. De verksamheter som kommer att behandla personuppgifter kommer att vara av olika storlek och behörighetssystemen kommer därmed att vara utformade på olika sätt. I syfte att minska integritetsriskerna för den enskilde bör det i spellagen anges att tillgången till personuppgifter ska begränsas. Som Lagrådet konstaterat kan även andra än anställda behöva behandla personuppgifter enligt lagen. Behörighetsbegränsningen bör därför avse vad var och en behöver för att kunna fullgöra sina arbets- uppgifter. Innebörden av bestämmelsen är att spelmyndigheten och licenshavarna alltid ska vara skyldiga att pröva anställdas och uppdrags- tagares behov av tillgång till personuppgifter utifrån vad arbetsupp- gifterna kräver. Informationsteknikens utveckling har medfört i det närmaste obegränsade sökmöjligheter när det gäller elektroniskt lagrad informa- tion. Vissa sökbegrepp kan innebära särskilda integritetsrisker. Med sökbegrepp menas bokstäver, koder eller siffror med vars hjälp man kan ta fram ett önskat urval av lagrade personuppgifter om en eller flera personer ur en samlad informationsmängd som man har tillgång till. Av den anledningen förekommer i en del registerförfattningar särskilda begränsningar av vilka sökbegrepp som får användas. Genom sådana begränsningar kan ett ökat integritetsskydd uppnås. Enligt regeringens bedömning kan det som regel inte anses nödvändigt att behandla känsliga personuppgifter och uppgifter som rör lagöverträdelser för att utföra de uppgifter som följer av lagen. Det kan dock förekomma sådana uppgifter. Det är därför motiverat att, som utredningen föreslår och till skillnad från vad anför, införa en särskild sökbegränsning. Denna bör utformas i linje med den sökbegränsning som föreslås införas genom dataskyddslagen. Regeringen instämmer i Datainspektionens uppfattning att dessa åt- gärder inte i sig säkerställer den registrerades rättigheter och intressen. Det som främst säkerställer det är utformningen av de system inom vilka personuppgifterna ska behandlas. Regeringen eller den myndighet som regeringen bestämmer bör därför få rätt att meddela föreskrifter om krav på åtgärder till skydd för den registrerades rättigheter och intressen. Regeringen avser vidare att följa upp reformen utifrån ett integritets- skyddsperspektiv (se avsnitt 19.4). 12.2.3Rättslig grund och särskilda ändamål med personuppgiftsbehandlingen Regeringens förslag: I spellagen ska en bestämmelse tas in som tydliggör att spelmyndigheten i sin verksamhet ska få behandla personuppgifter om det är nödvändigt för att hantera självavstäng- ningsregistret och för att i övrigt fullgöra sina skyldigheter enligt denna lag och föreskrifter som meddelats i anslutning till lagen. I spellagen ska även bestämmelser tas in som tydliggör att en licens- havare i sin verksamhet får behandla personuppgifter om det är nöd- vändigt för att 1.kontrollera spelarens identitet och ålder, 2.upprätta spelkonton och fullgöra licenshavarens skyldigheter gentemot spelaren i fråga om spelkonton, 3.kontrollera att spelaren följer de villkor och regler som gäller för varje spel, 4.granska spelet för att upptäcka fusk, bedrägeri och annan brottslig verksamhet, 5.kontrollera och rapportera avvikande spelmönster och misstankar om manipulation av resultat inom sport med koppling till vadhållning, 6.granska och analysera uppgifter från upprättade spelarprofiler och varje spelares spelbeteende för att kunna vidta spelansvarsåtgärder, och 7.genomföra självavstängning av spelare samt hantera uppgifter från spelmyndigheten avseende det nationella självavstängnings- registret. Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om 1.behandlingen av personuppgifter i och utlämnande av uppgifter från självavstängningsregistret, 2.begränsningar av de tillåtna ändamålen för behandlingen av personuppgifter, och 3.begränsningar av vilka personuppgifter som får behandlas för de ändamålen. Utredningens förslag: Överensstämmer delvis med regeringens. Utredningen föreslår att spellagen ska innehålla bestämmelser om att spelmyndigheten ska få behandla personuppgifter för ett antal hand- läggningsändamål och för forskning samt att licenshavarna ska få behandla personuppgifter för forskning. Utredningen lämnar inte något förslag till bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter på området. Remissinstanserna: Flertalet av remissinstanserna har inte några invändningar mot förslagen. Kammarrätten i ifrågasätter om det är nödvändigt att i ändamålsbestämmelserna särskilt reglera ända- målet att planera, följa upp och utvärdera verksamheten eftersom detta torde inrymmas i ändamålet handlägga ärenden. Datainspektionen anser att ändamålen är för generella för att det ska gå att förutse vilka personuppgifter som kommer att behandlas och att det är otydligt vad spelmyndigheten respektive spelföretagen ska få göra med de insamlade uppgifterna. I fråga om ändamålet att granska spelet för att upptäcka fusk, bedrägeri och annan brottslig verksamhet, ställer sig myndigheten frågande till varför ändamålsbestämmelsen är vidare än bestämmelsen om kontrollrutiner samt anser att det behöver utredas hur kravet på att en avstängning tills vidare får hävas först förhåller sig till den registrerades rätt att när som helst återkalla sitt samtycke till en personuppgiftsbehandling (artikel 7.3 i EU:s dataskyddsförordning). bör enligt Datainspektionen vidare övervägas om spelmyndighetens behandling av personuppgifter borde vila på den rättsliga grunden att de är nödvändiga för att utföra uppgifter av allmänt intresse (art. 6.1 e i EU:s dataskyddsförordning). även ska kunna behandlas för ändamålet uppföljning av spelande, spel- problem och spelansvarsåtgärder. ändamålsbestämmelsen som möjliggör för spelmyndigheten att registrera och hantera rapporter från spelföretagen om avvikande spelmönster och misstankar om matchfixning exkluderar uppgifter som lämnats av andra än spelföretag och myndigheten lämnar därför förslag till en alternativ lydelse av bestämmelsen. (Medicinska fakulteten) anser det positivt om en förändrad lagstiftning kan möjliggöra att person- uppgifter kan hanteras avidentifierat för forskning. det är viktigt att kunna analysera och hantera kundernas spelbeteende ur Novamedia anser att bestämmelsen om ändamålen bör förtydligas, då formuleringen kan tolkas som att ändamålen är exklusiva, utan möjlighet till behandling av personuppgifter för andra ändamål, på annan laglig grund. Skälen för regeringens förslag Rättsliga grunder för behandlingen av personuppgifter Behandling av personuppgifter har betydelse för möjligheterna att ta spelansvar och motverka problemspelande. Enligt den föreslagna regle- ringen uppställs i de flesta fall ett krav på att spel inte får tillhandahållas innan spelaren har registrerat sig och sina kontaktuppgifter samt uppgifter om och för hur mycket pengar som spelaren avser att spela. Det är viktigt att licenshavarna, för att kunna motverka problemspelande, kan följa utvecklingen av spelarnas spelbeteende och vidta åtgärder för att motverka spelproblem. För att få behandla personuppgifter krävs att det finns en rättslig grund Dessa rättsliga grunder kan enligt artikel 6.1 i EU:s dataskyddsf- örordning bl.a. vara att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (c) eller att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller utgör ett led i den personuppgiftsansvariges myndighetsut- övning (e). Enligt artikel 6.3 måste en grund för behandling av person- uppgifter som bygger på någon av de rättsliga grunderna i artikel 6.1 c och e fastställas i unionsrätten eller den nationella rätten. regeringens bedömning grundas spelmyndighetens rätt att behandla personuppgifter huvudsakligen på den rättsliga grunden att den är nödvändig för att fullgöra en uppgift av allmänt intresse. skulle detsamma kunna även gälla för licenshavarna. I vart fall bedömer regeringen att licenshavarnas behandling är nödvändig för att fullgöra deras rättsliga förpliktelser enligt lagen. 2017/18:220 I artikel 9 i EU:s dataskyddsförordning finns vidare bestämmelser om behandling av s.k. känsliga personuppgifter. Uppgift om att någon har ett spelberoende eller spelmissbruk kan anses vara en uppgift som rör hälsa och en sådan uppgift skulle således kunna vara en känslig personuppgift. Behandling av känsliga personuppgifter är som huvudregel förbjuden. Behandling av sådana uppgifter är dock tillåten efter samtycke av den registrerade. Enligt regeringens bedömning bör varken spelmyndigheter eller licenshavarna ha behov av att notera eller behandla uppgifter om att någon har ett spelberoende för att kunna fullgöra sina uppgifter enligt lagen. Skulle ett sådant behov uppstå får sådan behandling av person- uppgifter endast ske om den registrerade uttryckligen lämnat sitt sam- tycke till behandlingen för ett eller flera specifika ändamål. Detta gäller dock inte om unionsrätten eller nationell rätt föreskriver att förbudet inte kan upphävas av den registrerade. Behandling av känsliga person- uppgifter får vidare ske bl.a. om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller med- lemsstatens nationella rätt. En förutsättning är att den nationella rätten står i proportion till det eftersträvade syftet, är förenlig med det väsent- liga innehållet i rätten till dataskydd och att den innehåller bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Författningsstöd för myndigheter att i vissa fall behandla känsliga personuppgifter för viktiga allmänna intressen finns i förslaget till dataskyddslag. De begränsade möjligheterna till behandling av känsliga personupp- gifter bör bl.a. beaktas vid den närmare utformningen av hur omsorgs- plikten ska fullgöras. När det gäller behandling av personuppgifter i syfte att hantera själv- avstängningar bedöms spelmyndighetens behandling, enligt regeringens bedömning, komma att ske för att utföra en uppgift av allmänt intresse. För licenshavarna gäller att de ska uppfylla en rättslig förpliktelse. Till skillnad från utredningen bedömer regeringen därför att något samtycke från spelaren inte krävs för den behandlingen. Med anledning av Datainspektionens invändning avseende rätten att återkalla sitt samtycke, bör framhållas att det för behandlingen av personuppgifter saknar betydelse om spelaren begär att avstängningen ska upphöra, eftersom behandlingen inte grundar sig på spelarens samtycke. Avstängningen kommer fortsatt att gälla som spelaren först angav. Regeringen har förståelse för Datainspektionens uppfattning om att ändamålsbestämmelserna är allmänt hållna. Att i spellagen, som är avsedd att vara en ramlag, i detalj reglera vilka uppgifter som får behandlas bedöms dock varken vara möjligt eller lämpligt. Den närmare regleringen av behandlingen av personuppgifter i och utlämnande av uppgifter från självavstängningsregistret samt om begränsningen av ändamålen för behandlingen av personuppgifterna och om vilka uppgifter som får behandlas för ändamålen får ske i föreskrifter på en lägre nivå. Särskilt om spelmyndighetens behandling av personuppgifter handläggning av ärenden kommer främst att omfatta ärenden om licens- och tillståndsansökningar, men även tillsynsärenden. För att handläggningen ska kunna ske effektivt och enligt myndigheters normala rutiner krävs behandling av personuppgifter. Uppgifterna ska kunna sammanställas, registreras och databehandlas. Det torde inte vara integritetskränkande för en företrädare för någon som söker licens eller en licenshavare att uppgifter om namn, person- och organisationsnummer behandlas på det sättet. Även andra uppgifter om personliga och eko- nomiska förhållanden behöver behandlas för licensen. Något alternativ till att handlägga dessa licens-, tillstånds- och tillsynsärenden på annat sätt än det som är normalt hos myndigheter bedömer regeringen inte att det finns. Behandlingen i dessa fall är enligt regeringens mening nödvändig för att fullgöra en uppgift av allmänt intresse eller för att fullgöra den myndighetsutövning som myndigheten ansvarar för. Detsamma gäller personuppgiftsbehandling som avser registerföring av licens- och tillståndshavare samt av kontaktpersoner, representanter och spelombud. Skyldigheten att föra dessa register följer av spellagen. Regeringen bedömer i likhet med utredningen att någon särskild reglering i spellagen för själva behandlingen av personuppgifter inte är nödvändig. Behandlingen kan ske med stöd av de allmänna bestämmel- serna i EU:s dataskyddsförordning och med stöd av den kompletterande dataskyddslagen. För framställning av statistik kan enligt 3 kap. 7 § data- skyddslagen känsliga personuppgifter behandlas om det är nödvändigt för statistiska ändamål och samhällsintresset klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Det bör ge tillräckligt utrymme för att möjliggöra framställning av statistik om spel och spelande. Regeringen bedömer att spelmyndigheten kommer att kunna sköta de ovan nämnda arbetsuppgifterna med stöd av spellagen, förvaltningslagen (2017:900) och den föreslagna dataskyddslagen, utan särskilda bestäm- melser om behandling av personuppgifter. Myndigheten ska självklart vidta åtgärder som minimerar intrånget vid personuppgiftsbehandlingen. Det kan handla om att avstå från att föra in sådana uppgifter i ett register eller att begränsa åtkomsten till uppgifterna på olika sätt. Den ovan redovisade bedömningen bör i princip även gälla för själv- avstängningsregistret. Flera remissinstanser, bl.a. Datainspektionen, har dock ifrågasatt denna bedömning. Kritiken får anses hänförlig till uppfattningen att enbart den omständighet att en person är upptagen i registret skulle kunna anses som integritetskränkande. Förslaget om en avstängningsfunktion som gäller för spel hos samtliga licenshavare är en viktig del av det spelansvar som ska prägla spellagen. Det bör framhållas att såväl att spela som att anmäla sig till det nationella självavstäng- ningsregistret är frivilliga åtgärder från den enskilde. Avsikten är att uppgifterna i registret endast ska omfatta namn och sådana uppgifter som gör att personen kan identifieras för att en avstängning ska kunna bli 2017/18:220 allmänt giltig för allt spel som bedrivs med licens. En avstämning med avstängningsregistret förutsätts ske helt automatiserat, utan att någon anställd hos licenshavarna, spelombuden eller spelmyndigheten rent faktiskt tar del av den specifika uppgiften att en viss person stängt av sig. Registret kommer därutöver att omfattas av en särskild sekretessreglering (se avsnitt 12.3). Rapporter om avvikande spelmönster och misstankar om manipulation av vadhållning Enligt utredningen bör ett särskilt ändamål för behandling av person- uppgifter hos spelmyndigheten vara att registrera och hantera rapporter från licenshavarna som rör avvikande spelmönster och misstankar om matchfixning. ska ansvara för tillsynen av spelrelaterad matchfixning. Licenshavarna ska å sin sida åläggas att rapportera om avvikande spelmönster och misstankar om manipulation av resultat inom sport med avseende på vadhållning till spelmyndigheten. Om spel- myndigheten får uppgifter om avvikande spelmönster och misstankar om matchfixning får myndigheten genom villkorsgivning förbjuda vad- hållning på berörda spelobjekt. arbete mot matchfixning är inte ett led i brottsbekämpningen för att utreda enskilda misstänkta brott. Syftet är inte heller att stoppa enskilda spelare som misstänks vara delaktig i matchfixning från att spela. Myndighetens arbete är i detta sammanhang begränsat till att, baserat på uppgifter från en eller flera licenshavare, stoppa spel på enskilda objekt hos de licenshavare som tillhandahåller aktuella spel. För det bedöms inte någon behandling av personuppgifter behövas. I vart fall bör uppgifterna kunna anonymiseras på ett sådant sätt att de inte kan hänföras till någon enskild individ. Några särskilda regler om behandling av personuppgifter behövs därför inte. Ytterligare forskning inom spelområdet är av stor betydelse när det gäller att förstå vad det är som utlöser spelproblem, hur man kan förebygga problemen och lämpliga behandlingsmetoder. Utredningen menar att uppgifter om personer som önskar att stänga av sig från spel som lämnats till spelmyndigheten skulle kunna användas för forskningsändamål. Regeringen instämmer i att behovet av forskning om spelproblem är ett angeläget ändamål. Som både Datainspektionen och Lotteriinspektionen konstaterar ska dock spelmyndigheten inte bedriva någon egen forskning. Som självavstängningsregistret är avsett att fungera kommer det vidare endast att innehålla uppgifter om att en viss person stängt av sig från spel, vilket inte nödvändigtvis behöver bero på att denne anser sig ha ett spelberoende. Uppgifter ur det registret framstår därför enligt regeringens bedömning som ett alltför begränsat underlag för forskning. Det finns enligt regeringen andra sätt för att få kunskap om problemspelande. Forskning bör därför inte vara något särskilt ändamål för behandling av personuppgifter hos spelmyndigheten. Om det finns ett behov av att ta del av kunskap som spelmyndigheten bygger upp som har betydelse för forskningen, bör denna kunna lämnas ut inom ramen för den allmänna dataskyddsregleringen eller offentlighets- och sekretesslagen (2009:400). Särskilt om licenshavarnas behandling av personuppgifter Licenshavarna kommer till följd av regleringen i spellagen att behöva behandla personuppgifter. Ett tydliggörande av för vilka ändamål som uppgifterna får behandlas skulle underlätta för licenshavarna. I stor utsträckning kan dock licenshavarna med stöd av samtycke behandla personuppgifter i den kundrelation de har med spelarna.