sou · H7B324 · 2019-06-03 00:00:00 — I bestämmelsen anges att tillämpningsområdet för lagen är begränsat till att avse helt eller delvis automatiserad behandling av personuppgifter, men även viss behandling omfattas. Så är fallet för annan behandling än automatiserad av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. För automatiserad behandling krävs det inte att de personuppgifter som hanteras är del av något som kan anses utgöra ett register eller att personuppgifterna är ordnade på visst sätt. Även behandling av enstaka personuppgifter i löptext omfattas alltså av lagen när det är fråga om automatiserad behandling. Detsamma gäller för e-postmeddelanden. Motsatsen gäller för helt manuellt behandling. Minnesanteckningar som enbart förs på papper omfattas således inte av lagens tillämpningsområde. Tillämpningsområdet för lagen motsvarar i detta avseende dataskyddsförordningens. Förhållandet till annan reglering 6 § Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), i lagen benämnd EU:s dataskyddsförordning. Paragrafen reglerar lagens förhållande till dataskyddsförordningen. Övervägandena finns i avsnitt 7.3.1. Av paragrafen framgår att lagen innehåller kompletterande bestämmelser till dataskyddsförordningen. Dataskyddsförordningen är direkt tillämplig i varje medlemsstat. Det innebär att den automatiskt är en del av den svenska rättsordningen. I vissa avseenden förutsätter eller tillåter dataskyddsförordningen emellertid att det införs bestämmelser som kompletterar förordningen, antingen i form av preciseringar eller i form av undantag. Denna lag innehåller sådana kompletterande bestämmelser som gäller inom den verksamhet som anges i 3 och Hänvisningen till dataskyddsförordningen är dynamisk och avser alltså förordningen i den gällande lydelsen. 7 § Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag. Paragrafen upplyser om hur lagen förhåller sig till dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen. Övervägandena finns i avsnitt 7.3.2. Dataskyddslagen kompletterar dataskyddsförordningen på nationell, generell nivå. Denna lag om dataskydd i idrottens antidopningsarbete har företräde framför dataskyddslagen. Om inte annat följer av denna lag gäller dataskyddslagen. Bestämmelser om hur personuppgifter får behandlas inom antidopningsarbetet förekommer även i idrottens interna regler, exempelvis i Idrottens antidopingreglemente, som har upprättats av RF, och i RF:s Uppförandekod för behandling av personuppgifter inom idrottsrörelsen. Bestämmelserna i dataskyddsförordningen, dataskyddslagen och denna lag om dataskydd i idrottens antidopningsarbete är alla överordnade idrottens interna regler. I händelse av kollision mellan idrottens regler och bestämmelserna i dataskyddsförordningen, dataskyddslagen eller denna lag om dataskydd i idrottens antidopningsarbete tar således bestämmelserna i de sistnämnda regelverken över. 8 § Denna lag gäller inte då personuppgifter behandlas hos Dopinglaboratoriet vid med stöd av patientdatalagen (2008:355). Paragrafen klargör lagens förhållande till patientdatalagen (2008:355). Övervägandena finns i avsnitt 7.2.1 och 7.3.3. I de fall då personuppgifter behandlas med stöd av patientdatalagen gäller inte förevarande lag. Personuppgiftsbehandlingen i antidopningsverksamhet vid Dopinglaboratoriet vid omfattas således inte av denna lag. 9 § Varje organ som anges i 3 och 4 §§ är personuppgiftsansvarig för den behandling av personuppgifter som organet utför i idrottens antidopningsarbete. Paragrafen reglerar personuppgiftsansvaret inom idrottens antidopningsarbete. Övervägandena finns i avsnitt 7.4. Enligt bestämmelsen är varje organ som omfattas av 3 och 4 §§ personuppgiftsansvarig för den behandling av personuppgifter som organet utför i idrottens antidopningsarbete. De organ som avses är i första hand RF samt de föreningar och förbund som är anknutna till RF. Även föreningar och förbund i som inte är anknutna till RF men som är anknutna till ett internationellt specialidrottsförbund som är signatär av världsantidopningskoden omfattas, samt andra signatärer av världsantidopningskoden än RF om personuppgifterna behandlas i . Vidare omfattas serviceföretag som är etablerade i och som utför antidopningsarbete på uppdrag av en signatär av världsantidopningskoden. Även organ som inte är etablerade i men som på uppdrag av en signatär av koden utför ett antidopningsarbete här och i detta arbete behandlar personuppgifter omfattas. Bestämmelsen har ett pedagogiskt syfte och ska inte ses som något avsteg från dataskyddsförordningens bestämmelser om personuppgiftsansvar. Med uppgiften som personuppgiftsansvarig följer vissa skyldigheter direkt enligt dataskyddsförordningen. Den personuppgiftsansvarige ska t.ex. se till att behandlingen av personuppgifter sker på ett korrekt och säkert sätt (artikel 5.2), att oriktiga uppgifter rättas (artikel 16) och att den registrerade ersätts för skada som en rättsstridig behandling av personuppgifter har medfört (artikel 82). Ytterligare bestämmelser om den personuppgiftsansvariges skyldigheter i samband med behandling av personuppgifter finns i kapitel IV i dataskyddsförordningen. Bland annat regleras hur säkerheten i samband med behandlingen av personuppgifter ska garanteras. Om en uppgift lämnas ut från en personuppgiftsansvarig till något annat organ som är personuppgiftsansvarigt i antidopningsarbetet blir mottagaren ansvarig för sin behandling av uppgiften. När uppgifter lämnas ut kan alltså personuppgiftsansvaret för en och samma uppgift komma att ligga hos flera organ. Vart och ett av dessa ansvarar för sin behandling av uppgiften. Det kan finnas personuppgiftsbiträden åt en personuppgiftsansvarig. Exempelvis kan ett bolag som åtagit sig att utföra den tekniska driften av personuppgiftsbehandlingen för en personuppgiftsansvarigs räkning vara att se som ett personuppgiftsbiträde. I dataskyddsförordningen finns bestämmelser som reglerar vad som gäller när en personuppgiftsansvarig anlitar ett personuppgiftsbiträde (se artikel 28 och 29). I denna lag finns dock inga särskilda föreskrifter om personuppgiftsbiträden. 10 § Personuppgifter får behandlas i idrottens antidopningsarbete om det är nödvändigt för att 1.handlägga ansökningar om medicinsk dispens, 2.planera, koordinera och administrera vistelserapporteringar, 3.planera, koordinera och handlägga dopningskontroller, 4.handlägga ärenden om dopningsförseelser, och 5.inhämta, bearbeta, analysera och delge information som gäller möjliga förseelser mot världsantidopningskoden. Endast får behandla personuppgifter enligt första stycket 5. Andra organ som denna lag är tillämplig på får dock behandla personuppgifter om det är nödvändigt för att tillhandahålla information som behöver i sin verksamhet enligt första stycket 5. Paragrafen reglerar de ändamål för vilka personuppgifter får behandlas enligt lagen. Övervägandena finns i avsnitt 8.2. I första stycket anges för vilka ändamål personuppgifter får behandlas enligt lagen. Bestämmelsen bildar den yttre ramen för när behandling av personuppgifter alls är tillåten enligt lagen. Personuppgifter får behandlas bara om det är nödvändigt för något av de angivna ändamålen (se dock 11 §). Nödvändighetsrekvisitet innebär att personuppgiftsbehandlingen ska behövas för att själva verksamheten ska gå att fullgöra på ett effektivt sätt. I kravet på nödvändighet ligger att personuppgifter inte får behandlas om syftet med behandlingen kan uppnås med andra medel, t.ex. genom att anonymisera uppgifterna (jfr prop. 2017/18:232 s. 117). Med behandling avses såväl insamling som vidarebehandling av de insamlade uppgifterna inklusive sådant utlämnande till andra organ inom idrottens antidopningsarbete som krävs för att uppfylla bestämmelserna i världsantidopningskoden och de till koden hörande internationella standarderna. En och samma behandling kan ske för mer än ett ändamål. Under bestämmelsen faller även behandling för planering, uppföljning och utvärdering av antidopningsverksamheten. Planering, uppföljning och utvärdering anses vara en integrerad del av själva verksamheten som inte behöver regleras särskilt (se prop. 2004/05:164 s. 179 och prop. 2009/10:85 s. 116). Enligt punkt 1 får personuppgifter behandlas för att handlägga ansökningar om medicinsk dispens från dopningsreglerna. Med handläggning avses alla åtgärder som behöver vidtas i enlighet med bestämmelserna i världsantidopningskoden och den internationella standarden för medicinsk dispens från det att ett ärende inleds till dess att det avslutas. Inom ändamålsbestämmelsens tillämpningsområde faller exempelvis mottagande av uppgifter, diarieföring, kommunicering, protokollföring, sökning efter relevant praxis, upprättande av beslut och expediering. Även den behandling som sker när information om beslutet lämnas ut till andra signatärer enligt bestämmelserna i världsantidopningskoden och den tillhörande internationella standarden omfattas således av bestämmelsen. Vistelserapportering utförs av de idrottsutövare som uppnår en så pass hög idrottslig prestationsnivå att de regelbundet bör dopningstestas. Enligt punkt 2 får personuppgifter behandlas om det är nödvändigt för att planera, koordinera och administrera vistelserapporteringar. Bestämmelsen omfattar sådan behandling som sker när RF eller de internationella och nationella specialidrottsförbunden väljer ut vilka idrottsutövare eller lag som ska åläggas att vistelserapportera samt när publicering sker av de uppgifterna. Vidare innefattas sådan rapportering som ska ske till om vilka idrottsutövare som vistelserapporterar. Enligt punkt 3 får personuppgifter behandlas om det är nödvändigt för att planera, koordinera och handlägga dopningskontroller. Härmed omfattas all behandling som sker i samband med en dopningskontroll. Även sådan behandling som sker vid planering och koordinering av dopningskontroller, inklusive utlämnande av uppgifter till andra organ i antidopningsarbetet, omfattas. Sådan behandling som sker av idrottsutövares vistelserapporter i samband med planering och koordinering av dopningskontroller faller också in under bestämmelsen. Vidare innefattas den behandling som sker vid utlämnande av uppgifter från en dopningskontroll till ett dopningslaboratorium och vid mottagande av resultatet från laboratoriet. I tillämpningsområdet för ändamålsbestämmelsen ingår även behandling av uppgifter i idrottsutövares biologiska pass. Med biologiskt pass avses en medicinsk profil som innehåller resultaten av en idrottsutövares urin- och blodvärden vid lämnade dopningsprov. Inom tillämpningsområdet faller införandet av uppgifter som kommer från en dopningskontroll i den medicinska profilen, som finns i databas , samt sådant utlämnande och mottagande av uppgifter gällande den medicinska profilen som sker enligt världsantidopningskoden och tillhörande standarder. I punkt 4 anges att personuppgifter får behandlas om det är nödvändigt för att handlägga ärenden om dopningsförseelser. Inom tillämpningsområdet för ändamålsbestämmelsen faller exempelvis mottagande av uppgifter, diarieföring, kommunicering, protokollföring, sökning efter relevant praxis, upprättande av beslut och expediering. Även den behandling som sker när information lämnas ut till andra signatärer enligt bestämmelserna i världsantidopningskoden och tillhörande internationella standarder omfattas av bestämmelsen. Enligt punkt 5 får personuppgifter vidare behandlas om det är nödvändigt för att inhämta, bearbeta, analysera och delge information som gäller möjliga förseelser mot världsantidopningskoden. Punkten reglerar RF:s underrättelseverksamhet. Med det avses arbete med insamling, bearbetning och analys av information i syfte att förhindra eller upptäcka förseelser mot världsantidopningskoden när det ännu inte finns misstankar om att en viss konkret förseelse har begåtts (jfr formuleringar på det brottsbekämpande området i t.ex. prop. 2017/18:232 s. 430). Med att delge information avses i sammanhanget informationslämning från underrättelseenheten till bl.a. de operativa enheterna i antidopningsarbetet. Bestämmelsen omfattar även utlämnande av uppgifter till andra aktörer inom idrottens antidopningsarbete enligt bestämmelserna i världsantidopningskoden och tillhörande internationella standarder. För det fall den information som inhämtas utmynnar i att någon blir konkret misstänkt för dopning kan en utredning inledas. Uppgifterna behandlas då enligt ändamålet i punkt 4. Det är endast RF som utför ett underrättelsearbete enligt världsantidopningskoden i . I andra stycket slås det fast att det bara är RF som får behandla personuppgifter i ett sådant underrättelsearbete. Andra organ som omfattas av lagen, t.ex. idrottsföreningar och specialidrottsförbund som är anknutna till RF, får dock behandla personuppgifter om det är nödvändigt för att tillhandahålla information som RF behöver i underrättelsearbetet. 11 § Personuppgifter som behandlas enligt 10 § får även behandlas om det är nödvändigt för att tillhandahålla information som behövs i brottsbekämpande verksamhet hos , eller . Paragrafen anger att de uppgifter som behandlas enligt 10 § även får behandlas för andra ändamål. Övervägandena finns i avsnitt 8.3. Enligt bestämmelsen får uppgifter som behandlas inom idrottens antidopningsarbete behandlas även för att lämna ut information som behövs i brottsbekämpande verksamhet hos , eller . Bestämmelsen öppnar en möjlighet för aktörerna i antidopningsarbetet att lämna ut uppgifter om misstänkta dopningsrelaterade brott till de myndigheter som bekämpar den aktuella brottsligheten. Någon skyldighet att lämna ut uppgifter finns dock inte. När det gäller frågan om sekretess hos RF för uppgifter som får lämnas ut till aktuella myndigheter, se 13 kap. 8 § i . Enligt den bestämmelsen kan utan hinder av sekretess lämna ut uppgifter till myndigheterna. 12 § Inga andra personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) än sådana som rör hälsa, genetiska uppgifter eller biometriska uppgifter för att entydigt identifiera en fysisk person får behandlas med stöd av artikel i samma förordning. Paragrafen reglerar vilka känsliga personuppgifter som får behandlas i idrottens antidopningsarbete med stöd av artikel i dataskyddsförordningen. Övervägandena finns i avsnitt 8.5. De personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning, och som i lagen benämns känsliga personuppgifter, är personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning. Av bestämmelsen framgår att endast sådana känsliga personuppgifter som rör hälsa, genetiska uppgifter samt biometriska uppgifter får behandlas. 13 § Personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning får behandlas endast för de ändamål som anges i 10 § första stycket 4 och 5. Paragrafen anger att uppgifter om lagöverträdelser får behandlas i idrottens antidopningsarbete i vissa fall. Övervägandena finns i avsnitt 8.6. Bestämmelsen reglerar när personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning får behandlas. För att bestämmelsen ska uppfylla kravet i artikel 10 på lämpliga skyddsåtgärder för registrerade vars uppgifter inte behandlas under kontroll av en myndighet, har bestämmelsen begränsats till att avse behandlingar som sker för de ändamål som anges i 10 § första stycket 4 och 5, dvs. för att handlägga ärenden om dopningsförseelser och för att inhämta, bearbeta, analysera och delge information som gäller möjliga förseelser mot världsantidopningskoden. 14 § Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Paragrafen reglerar tillgången till personuppgifter. Övervägandena finns i avsnitt 11.2. Av paragrafen följer att aktörerna inom idrottens antidopningsarbete är skyldiga att se till att behörigheten att behandla personuppgifter begränsas till vad var och en behöver för att kunna utföra sina arbetsuppgifter. Syftet med begränsningen är att förstärka skyddet för den personliga integriteten genom att uppgifterna sprids till en så liten krets som möjligt. Bestämmelsen förutsätter att loggningssystem finns och att uppföljande kontroller då och då görs av vilken tillgång till uppgifter som medarbetarna haft. 15 § samt andra organ som är etablerade i och utför antidopningsarbete på uppdrag av en signatär av världsantidopningskoden ska utse dataskyddsombud för sin behandling av personuppgifter i idrottens antidopningsarbete. I paragrafen finns en bestämmelse om dataskyddsombud. Övervägandena finns i avsnitt 11.5. Av paragrafen framgår att RF är skyldigt att utse dataskyddsombud för sin behandling av personuppgifter i antidopningsarbetet. Kravet omfattar inte de föreningar och förbund som är anknutna till RF. Dock ska enligt bestämmelsen även andra organ som är etablerade i och som utför antidopningsarbete på uppdrag av en signatär av världsantidopningskoden utse dataskyddsombud. Bestämmelsen träffar serviceföretaget , men kan omfatta fler aktörer. Bestämmelser om utnämning av dataskyddsombud samt om ombudets ställning och uppgifter finns i artiklarna 37–39 i dataskyddsförordningen. Längsta tid som personuppgifter får behandlas 16 § Personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Paragrafen reglerar hur länge personuppgifter får behandlas för ändamål inom lagens tillämpningsområde. Övervägandena finns i avsnitt 10.2. I bestämmelsen föreskrivs att personuppgifter inte får behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Det som avses är ändamålet i det enskilda fallet. Behovet av att fortsätta att behandla uppgifterna måste prövas kontinuerligt. Om det är tillräckligt att behandla avidentifierade uppgifter, dvs. uppgifter som inte går att koppla samman med en person, är det inte längre tillåtet att behandla personuppgifterna. Bestämmelsen har till syfte att motverka ett slentrianmässigt bevarande av uppgifter i antidopningsarbetet och ska läsas tillsammans med gallringsbestämmelserna i den till världsantidopningskoden tillhörande standarden för skydd av privatlivet och personuppgifter. Bestämmelsen är tillämplig för samtliga aktörer inom idrottens antidopningsarbete. 17 § Personuppgifter som behandlas för ändamål som anges i 10 § första stycket 5 får inte behandlas längre än efter utgången av det kalenderår då uppgifterna behandlades första gången. Om en ny uppgift beträffande samma persons anknytning till dopningsverksamhet behandlas före utgången av tidsfristen, får de personuppgifter som redan finns om personen fortsätta att behandlas så länge någon av uppgifterna får behandlas. Paragrafen reglerar hur länge personuppgifter får behandlas i underrättelseverksamhet inom den ram som sätts av huvudregeln i 16 §. Oavsett vilken bedömning som görs av nyttan med behandlingen får personuppgifter alltså inte behandlas längre än vad som anges i denna paragraf. Övervägandena finns i avsnitt 10.3. Bestämmelsen är tillämplig för RF som utför underrättelsearbetet enligt världsantidopningskoden i . Av bestämmelsen följer att personuppgifter inte får behandlas i underrättelseverksamheten . Fristen räknas från utgången av det kalenderår då uppgifterna behandlades . Med första behandling avses den första hanteringen av en personuppgift i underrättelsearbetet. Tidpunkten torde oftast sammanfalla med den tidpunkt då en personuppgift förs in i RF:s informationshanteringssystem för underrättelseinformation. Fristen för hur länge personuppgifter får behandlas ska endast påverkas av om ytterligare personuppgifter om samma persons anknytning till dopningsverksamhet behandlas i underrättelsearbetet. Andra uppgifter som tillförs, t.ex. uppgifter om ändrade bostadsförhållanden eller annat som inte har betydelse för antidopningsverksamheten, påverkar alltså inte hur länge personuppgifterna får behandlas. Med personuppgifter avses såväl direkta som indirekta personuppgifter, dvs. inte bara uppgifter som direkt tar sikte på en person, t.ex. namn och utseende, utan också uppgifter om fordon, adresser m.m. som kan knytas till en person. Om en ny uppgift beträffande samma person behandlas före utgången av tidsfristen, får de personuppgifter som redan finns om personen fortsätta att behandlas så länge någon av uppgifterna får behandlas. Dataskyddsförordningen – behandling av personuppgifter vid antidopningsarbete inom idrotten En särskild utredare ska utreda vissa frågor om antidopningsarbete inom idrotten. Syftet är att säkerställa att förordning (EU) 2016/679 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), nedan kallad EU:s dataskyddsförordning, följs. –undersöka vilka konsekvenser dataskyddsförordningen medför i fråga om personuppgiftsbehandling vid antidopningsarbete inom idrott, –analysera behovet av särskilda bestämmelser om personuppgiftsbehandling vid antidopningsarbete inom idrott, –överväga behovet av reglering om behandling av särskilda kategorier av personuppgifter och personuppgifter som rör lagöverträdelser, –bedöma om det finns behov av författningsreglerade bestämmelser om sekretess och tystnadsplikt, och –lämna sådana författningsförslag som är behövliga och lämpliga. Uppdraget ska redovisas . Arbetet mot dopning inom idrotten Den viktigaste plattformen för samordning och harmonisering av antidopningsarbetet inom idrotten är Världsantidopningsbyrån (), där representanter för internationell idrott och världens regeringar sedan bildandet arbetar tillsammans i kampen mot dopning. Inom ramen för sitt världsantidopningsprogram har antagit en världsantidopningskod som är det regelverk som stora delar av den organiserade idrotten ska rätta sig efter. Den nu gällande världsantidopningskoden kommer att revideras . I sköts antidopningsarbetet inom idrotten framför allt av (). Inom sin antidopningsverksamhet behandlar personuppgifter, vilket enligt reglerna genomförs med stöd av ett särskilt samtycke som genom medlemskapet i lämnas skriftligen av den vars personuppgifter behandlas. har genomfört världsantidopningskoden i sitt regelverk bl.a. genom att anta Idrottens Antidopingreglemente. Antidopningsarbetet bedrivs genom kontrollverksamhet, juridisk verksamhet, information och utbildning, forskning och utveckling, nationell och internationell samverkan samt kvalitetssäkring. Det är en förutsättning att idrottens antidopningsverksamhet även framöver är förenlig med världsantidopningskodens bestämmelser och arbetets organisering måste utgå ifrån detta. har anslutit sig till antidopningskonvention som ratificerats av 50 stater inklusive . Konventionen är öppen för alla stater och innehåller riktlinjer för t.ex. lagstiftning, finansiering och utbildning. har även undertecknat konventionens tilläggsprotokoll som bl.a. lägger fast riktlinjer för utvärdering av konventionens efterlevnad. Härutöver har även ratificerat internationella konvention mot dopning inom idrotten som syftar till att främja förebyggande insatser och bekämpning av dopning inom idrotten.