sou · H7B324 · 2019-06-03 00:00:00 — Det är nödvändigt att känsliga personuppgifter om idrottsutövares hälsa får behandlas inom idrottens antidopningsarbete. Uppgifter om hälsa omfattar t.ex. resultatet av en dopningskontroll. Enligt vår uppfattning behöver sådana uppgifter kunna behandlas såväl för att planera ytterligare kontroller (ändamål 3) som för att handlägga ärenden om dopningsförseelser (ändamål 4). Sådana uppgifter kan även behöva behandlas i underrättelsearbetet (ändamål 5). Vidare behandlas uppgifter om hälsa i samband med handläggningen av en dispensansökan (ändamål 1). Till detta kommer att känsliga personuppgifter i form av genetiska uppgifter och biometriska uppgifter kan behöva behandlas i antidopningsarbetet. Med hänsyn härtill har vi inte funnit att det är lämpligt att begränsa behandlingen av de angivna känsliga personuppgifterna till endast vissa ändamål. Det bör dock påpekas att behandlingen i det enskilda fallet alltid måste leva upp till dataskyddsförordningens krav i övrigt för att vara tillåten, t.ex. principerna för behandling i artikel 5. Vidare måste en behandling av personuppgifter vara nödvändig för något av de ändamål som anges i lagen för att få utföras. Förslag: Personuppgifter som rör lagöverträdelser får behandlas för att handlägga dopningsärenden. De får också behandlas i det underrättelsearbete som bedrivs av RF enligt världsantidopningskoden. Enligt artikel 10 i dataskyddsförordningen får behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder endast utföras under kontroll av en myndighet. Behandling av sådana uppgifter får också ske om behandlingen tillåts enligt unionsrätten eller nationell rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet. Av 3 kap. 8 § dataskyddslagen framgår att uppgifter som avses i artikel 10 i dataskyddsförordningen får behandlas av myndigheter. Även andra än myndigheter får med stöd av bestämmelsen behandla sådana uppgifter om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv. Andra än myndigheter får enligt 5 § förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning, alltså den till dataskyddslagen tillhörande förordningen, behandla uppgifter som avses i artikel 10 i förordningen om behandlingen är nödvändig för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras, eller en rättslig förpliktelse enligt lag eller förordning ska kunna fullgöras. Datainspektionen har meddelat föreskrifter om i vilka fall andra än myndigheter får behandla personuppgifter om lagöverträdelser (2018:2). Datainspektionen får även i enskilda fall besluta att andra än myndigheter får behandla sådana personuppgifter. Datainspektionens föreskrifter och beslut omfattar inte aktörerna inom idrottens antidopningsarbete. Regeringens bedömning i motiven till dataskyddslagen är att artikel 10 i dataskyddsförordningen tar sikte på personuppgifter som rör fällande domar i brottmål, lagöverträdelser som innefattar brott samt straffprocessuella tvångsmedel (se prop. 2017/18:105 s. 98 f.). Uppgifter om att en idrottsutövare har gjort sig skyldig till en dopningsförseelse enligt idrottens interna regler rör inte en fällande dom i brottmål. Enligt vår bedömning rör de inte heller en lagöverträdelse som innefattar brott i den mening som avses i artikel 10 i förordningen. Sådana personuppgifter kan dock komma att behandlas inom den underrättelseverksamhet som bedrivs av RF i antidopningsarbetet. Det kan då röra sig om registrering av uppgifter från fällande brottmålsdomar avseende aktiva idrottsutövare. Vidare kan uppgifter om lagöverträdelser m.m. komma in till RF t.ex. genom tipsfunktionen på hemsidan. Man kan även tänka sig att en fällande dom i ett brottmål kan komma att bli åberopad som bevisning inom ramen för en prövning av en dopningsförseelse vid exempelvis . För att uppgifter om lagöverträdelser m.m. ska få behandlas av andra än myndigheter krävs alltså enligt artikel 10 i dataskyddsförordningen att behandlingen har stöd i författning eller beslut av Datainspektionen. Sådant stöd saknas för behandling inom idrottens antidopningsarbete. Det bör därför tas in en bestämmelse i vår lag om dataskydd i idrottens antidopningsarbete som innebär att sådana uppgifter får behandlas. Vidare krävs enligt artikel 10 i förordningen att den nationella rätten innehåller lämpliga skyddsåtgärder för de registrerades rättigheter och friheter. Som tidigare konstaterats kommer den av oss föreslagna lagen att innehålla bestämmelser som utgör skyddsåtgärder i form av bl.a. ändamålsbestämmelser, åtkomstbegränsningar m.m. En ytterligare skyddsåtgärd skulle kunna vara att begränsa möjligheten att behandla uppgifter om lagöverträdelser m.m.i idrottens antidopningsarbete till vissa ändamål. En sådan begränsning skulle understryka förordningens krav på proportionalitet och uppgiftsminimering. Vidare skulle en sådan begränsning göra det tydligt för vilka ändamål personuppgifter om lagöverträdelser m.m. över huvud taget kan komma att behandlas i antidopningsverksamhet. Som konstaterats ovan kan uppgifter om lagöverträdelser m.m. behandlas i det underrättelsearbete som utförs i enlighet med världsantidopningskoden. Vidare kan det förekomma att en brottmålsdom blir aktuell inom ramen för handläggningen av ett dopningsärende. Det finns således behov av att kunna behandla de aktuella uppgifterna för dessa ändamål. I övrigt synes det inte finnas behov av att i antidopningsarbetet behandla uppgifter om lagöverträdelser m.m. Enligt vår mening bör det i lagen därför vara särskilt uttryckt att sådana personuppgifter som avses i artikel 10 i dataskyddsförordningen endast får behandlas för de ovan angivna ändamålen. Det är vår bedömning att en sådan inskränkning, tillsammans med de skyddsåtgärder som i övrigt föreslås i lagen, uppfyller kravet i artikel 10 på lämpliga skyddsåtgärder. 8.7Publicering av uppgifter om dopningsförseelser Bedömning: Publiceringen på internet av uppgifter om dopningsavstängda idrottsutövare är problematisk ur ett integritetsperspektiv. Eftersom publiceringen i sker med stöd av ett utgivningsbevis och därmed under skydd av yttrandefrihetsgrundlagen är dock möjligheterna att ingripa mot den med stöd av dataskyddsförordningen mycket begränsade. RF bör överväga en ny ordning genom vilken aktuella uppgifter kan göras tillgängliga för dem som har ett berättigat intresse av dem. Enligt världsantidopningskoden ska den antidopningsorganisation som är ansvarig för hanteringen av ett ärende gällande en dopningsförseelse offentligt rapportera om ett fällande beslut i ärendet (se artikel 14.3). De uppgifter som ska rapporteras offentligt avser berörd idrott, vilken regel som har överträtts, namnet på den som har begått dopningsförseelsen, förbjuden substans eller metod som har använts samt vilka konsekvenser som dopningsärendet har föranlett. Skälen för beslutet ska också publiceras offentligt. Ett friande beslut i ett dopningsärende får dock endas publiceras med den enskildes samtycke. Offentliggörandet kan som ett minimum ske genom publicering av de aktuella uppgifterna på antidopningsorganisationens hemsida. Informationen ska ligga uppe av en månad eller den tid som avstängningen löper. För det fall den beslutet avser är underårig behöver dock inte något offentliggörande ske. Ett skäl till att världsantidopningskoden föreskriver offentlig rapportering är att ett avstängningsbeslut som är taget av en signatär av koden ska gälla för all idrott som omfattas av koden. Den offentliga rapporteringen medför därmed att en signatär kan kontrollera om en tävlande eller idrottsfunktionär är avstängd av något annat organ. Ett annat motiv till den offentliga rapporteringen är att den anses ha en preventiv verkan. Aktuella bestämmelser i världsantidopningskoden har förts in i artikel 14.3 i Idrottens antidopingreglemente. Där anges också att besluten ska publiceras offentligt på RF:s officiella plats för kungörelser. Av artikel 3 i Föreskrifter för nationell antidopingverksamhet framgår att bestämmelserna om offentlig publicering gäller för idrottsutövare som tävlar på internationell och nationell nivå. För motionärer och underåriga ska endast namn på den bestraffade, förenings- och förbundstillhörighet, beslutande organ samt påföljd publiceras. publicerar dock inte RF uppgifter om dopningsavstängda underåriga. Publicering av uppgifter om dopningsavstängda idrottsutövare sker på hemsidan som tillhör RF. Där publicerar RF uppgifter gällande bestraffningar enligt Idrottens antidopingreglemente och samt gällande matchfixning. Där finns också kallelser till idrottens årsmöten och länkar till Idrottens antidopingreglemente, samt till den internationella standarden för förbjudna dopningsmedel, den s.k. dopinglistan. Listan över bestraffningar enligt Idrottens antidopingreglemente består av namn, förenings- och förbundstillhörighet, beslutande organ samt påföljd för personer som är avstängda från all idrott på grund av dopning. () omfattar listan 53 personer. För tio av dessa innehåller listan en länk till en sammanfattning av avstängningsbeslutet. Samtliga uppgifter avseende en viss avstängd idrottsutövare tas bort från listan när avstängningstiden har gått ut. RF:s webbplats för kungörelser har ett utgivningsbevis från Myndigheten för press, radio och tv. Ett utgivningsbevis ger ett s.k. frivilligt grundlagsskydd och innebär att innehavaren har samma grundlagsskydd för yttrandefriheten som massmedieföretag har för sina publiceringar på internet. Utgångspunkten vid införandet av det frivilliga grundlagsskyddet var att detta skydd inte skulle vara förbehållet traditionella massmedieföretag utan också kunna ges till enskilda och andra medieföretag som tillhandahåller information till allmänheten (se prop. 2001/02:74 s. 47 ff.). Möjligheten att ansöka om utgivningsbevis innebär att exempelvis tidningar som publiceras endast på internet kan få grundlagsskydd mot ingripanden från det allmänna. För att ett utgivningsbevis ska utfärdas krävs enligt 1 kap. 5 § yttrandefrihetsgrundlagen (YGL) bland annat att en utgivare har utsetts och att överföringarna utgår från . Det ställs däremot inte upp några krav på att verksamheten ska ha ett visst innehåll eller syfte. Grundlagsskyddet är alltså innehållsneutralt i detta avseende och förutsätter endast att vissa formella kriterier är uppfyllda. Ett utgivningsbevis är giltigt och kan sedan förnyas. RF:s utgivningsbevis beviljades och är alltså gällande till . Yttrandefrihetsgrundlagen har företräde framför dataskyddsförordningen (se 1 kap. 7 § dataskyddslagen). Möjligheterna att på grund av dataskyddsförordningen ingripa mot en publicering som sker med stöd av utgivningsbevis och därmed under skydd av yttrandefrihetsgrundlagen är därför mycket små. Dataskyddsförordningen påverkar således inte verksamheter med utgivningsbevis. Vid införandet av möjligheten till frivilligt grundlagsskydd för databaser väcktes frågan om reformens inverkan på integritetsskyddet. uttalade att konflikter skulle kunna uppstå med bestämmelser som finns i syfte att skydda den personliga integriteten (se bet. 2001/02:KU21 s. 32). infördes en möjlighet att genom lag göra undantag från yttrandefrihetsgrundlagen och förbjuda offentliggörande av vissa personuppgifter som är av särskilt integritetskänslig karaktär. Ett sådant offentliggörande kan dock endast förbjudas om de aktuella personuppgifterna ingår i en uppgiftssamling som har ordnats så att det är möjligt att söka efter eller sammanställa dessa och det med hänsyn till verksamheten och de former under vilka uppgiftssamlingen hålls tillgänglig finns särskilda risker för otillbörliga intrång i enskildas personliga integritet (1 kap. 20 § YGL). Bestämmelsen tar sikte på rena söktjänster som innebär att registerliknande uppgiftssamlingar av vissa särskilt integritetskänsliga personuppgifter hålls tillgängliga för allmänheten. Som regel utgörs dessa söktjänster av olika on line-tjänster som bedrivs på kommersiella grunder och som innebär att allmänheten ges tillgång till information om enskilda som hämtats ur offentliga handlingar och register (se prop. 2017/18:49 s. 145 och 153). Bestämmelsen är således tänkt att vara tillämplig endast för vissa kvalificerade situationer. Tillämpningsområdet har gjorts beroende av vilka risker för intrång i den personliga integriteten som en viss typ av uppgiftssamling för med sig. Vid bedömningen av om det finns särskilda risker för otillbörliga intrång i enskildas personliga integritet ska en helhetsbedömning göras av karaktären på den aktuella uppgiftssamlingen (se a. prop. s. 152). Det är visserligen möjligt att göra en fritextsökning på hemsidan för idrottens kungörelser och på så sätt söka efter de uppgifter som omfattas av listan över bestraffningar enligt Idrottens antidopingreglemente. Det är exempelvis möjligt att söka på ett visst dopningspreparat och få upp en träff avseende en idrottsutövare som har fällts för att ha använt preparatet. Vidare kan man genom att söka på en idrottsutövares namn få veta att denna dömts för att ha använt ett visst dopningspreparat. Således får den aktuella uppgiftssamlingen anses ha ordnats så att det är möjligt att söka efter integritetskänsliga uppgifter om hälsa. Listan över dopningsavstängda idrottsutövare omfattar dock endast ett 50-tal personer och det är endast för ett tiotal av dessa som uppgiftssamlingen innehåller sökbara uppgifter om brukade dopningspreparat. Uppgiftssamlingen hålls tillgänglig inom ramen för RF:s verksamhet och således inte inom någon form av kommersiell söktjänst. Uppgiftssamlingen kan inte heller anses vara särskilt utvecklad för att underlätta sökningar på personuppgifter. Med hänsyn till den försiktighetsprincip som bör tillämpas vid inskränkningar av grundlagsskyddet på det tryck- och yttrandefrihetsrättsliga området finner vi därför att den aktuella uppgiftssamlingen inte uppfyller kraven för att en begränsning av grundlagsskyddet ska kunna göras med stöd av 1 kap. 20 § YGL. Enligt vår bedömning är det således inte möjligt att i lag göra undantag från det grundlagsskydd för listan över bestraffningar enligt Idrottens antidopingreglemente som följer av RF:s utgivningsbevis. Artikel 29-gruppen har tidigare kritiserat världsantidopningskodens krav på offentliggörande för att vara alltför ingripande. Enligt gruppen kan syftena bakom publiceringen nås på ett mindre ingripande sätt (se yttrande 4/2009 s. 16 f.). Hur offentliggörandet av fällande beslut i dopningsärenden går till varierar mellan EU-länderna. I vissa länder sker publiceringen, liksom i , på internet. I något land inhämtas den enskildes samtycke till publiceringen och i vissa länder överlämnas publiceringen till de nationella specialidrottsförbunden. I andra länder sker publiceringen endast i slutna system. I och har de nationella antidopningsorganisationerna förbjudits av sina tillsynsmyndigheter att offentliggöra de aktuella uppgifterna. Skälet för detta har i angetts vara att det skulle vara oproportionerligt att genom en publicering riskera att förstöra en idrottsutövares civila karriär. (Se utvärdering, s. 19 och 77.) I det senaste utkastet till ny världsantidopningskod har det införts en definition av rekreationsidrottare, dvs. För dessa behöver enligt förslaget inte något offentliggörande av bestraffningar ske. Enligt förslaget betraktas dock inte en 16- eller 17-åring som tävlar på hög nivå som underårig, varför ett offentliggörande blir obligatoriskt för dessa. Den nya versionen av koden är planerad att antas , för att börja gälla . Enligt vår mening är publiceringen på internet av uppgifter om avstängda idrottsutövare klart problematisk ur ett integritetsperspektiv. En sådan publicering kan få långtgående konsekvenser för den enskilde även utanför idrotten och kan påverka den enskildes civila karriär och sociala liv. Detta är särskilt bekymmersamt när publiceringen avser motionsidrottare. Vi välkomnar därför det förslag till ändring i världsantidopningskoden som innebär att uppgifter om avstängda motionsidrottare inte behöver publiceras. allvarligt nog att andra idrottsutövare ”hängs ut” av RF genom offentlig publicering. Enligt vår uppfattning borde det vällovliga syftet med att hindra en dopningsavstängd idrottsutövare från att delta i organiserad idrott kunna nås på ett mindre ingripande sätt, exempelvis genom användning av ett slutet system. Detta är också en lösning som framhålls i utvärdering (se s. 119). Det ligger dock inte inom ramen för vårt uppdrag att lämna något förslag på en ny ordning för hur aktuella uppgifter ska kunna göras tillgängliga för dem som behöver tillgång till dem. Vårt utredningsuppdrag handlar om att se till att personuppgiftsbehandlingen inom idrottens antidopningsarbete är förenlig med aktuell dataskyddsreglering. Nuvarande offentliggörande är inte i strid med dataskyddsförordningen. Även om det alltså inte ingår i vårt uppdrag att lämna några förslag på något alternativt offentliggörande, menar vi också att frågan om en ny ordning för att göra uppgifter om dopningsförseelser tillgängliga för dem som har ett berättigat intresse av dem och som också kan ha en preventiv effekt i första hand bör övervägas av RF självt. RF bör därför ta initiativet till att överväga en ny sådan ordning. Bedömning: Särskilda bestämmelser om behandling av personnummer och samordningsnummer behöver inte föras in i lagen. Personnummer och samordningsnummer anses inte som känsliga personuppgifter i dataskyddsförordningens mening, men har ändå en särställning genom att medlemsstaterna ges möjlighet att införa särskilda villkor för behandlingen av sådana uppgifter (se artikel 87). Förordningen uppställer alltså inget krav på reglering i detta avseende, men av artikeln följer att om medlemsstaterna bestämmer särskilda villkor för sådan behandling måste lämpliga skyddsåtgärder för de registrerades fri- och rättigheter enligt förordningen säkerställas. I 3 kap. 10 § dataskyddslagen har det tagits in en generell bestämmelse om behandling av personnummer och samordningsnummer. Av bestämmelsen framgår att sådana personuppgifter får behandlas om de registrerade har gett sitt samtycke. Finns det inget samtycke får personnummer och samordningsnummer behandlas bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Bestämmelsen innebär att en intresseavvägning mellan behovet av behandlingen och de integritetsrisker som den innebär ska göras (se prop. 2017/18:105 s. 199). Bestämmelsen om personnummer och samordningsnummer i dataskyddslagen är generell och gäller därmed även inom idrottens antidopningsarbete. Det är vår bedömning att den generella regleringen i dataskyddslagen är tillräcklig. Det finns därför inte behov av några särskilda villkor och skyddsåtgärder för behandling av personnummer och samordningsnummer i den föreslagna lagen om dataskydd i idrottens antidopningsarbete. 9.1Allmänt om enskildas rättigheter I kapitel III i dataskyddsförordningen behandlas den registrerades rättigheter. I artiklarna 13 och 14 regleras den personuppgiftsansvariges skyldighet att självmant tillhandahålla den registrerade information om behandlingen av personuppgifter. Artikel 15 reglerar den registrerades rätt att på begäran få tillgång till de personuppgifter som behandlas och viss särskilt angiven information (rätten till registerutdrag). Enligt artikel 16 har den registrerade rätt att på begäran få felaktiga personuppgifter rättade. Förutsättningarna för att den registrerade ska få sina personuppgifter raderade anges i artikel 17 (rätten att bli bortglömd). Vidare anges i artikel 18 att den registrerade under vissa omständigheter har rätt att kräva att behandlingen begränsas. I artikel 20 finns en bestämmelse som ger den registrerade rätt att få åtkomst till sina personuppgifter i syfte att föra över dem till en annan leverantör av elektroniska tjänster, s.k. dataportabilitet, om behandlingen grundar sig på den registrerades samtycke eller avtal med denne. I artikel 21 behandlas den registrerades rätt att göra invändningar mot behandling av personuppgifter och i artikel 22 rätten att motsätta sig automatiskt individuellt beslutsfattande. I anslutning till dessa rättigheter finns även bestämmelser om hur och när information ska lämnas (artikel 12) och bestämmelser om anmälningsskyldighet för det fall rättelse, radering eller begränsning av behandling sker (artikel 19). Den registrerades rättigheter, med motsvarande skyldigheter för den personuppgiftsansvarige, är direkt tillämpliga. Rättigheterna är emellertid inte absoluta utan kan enligt artikel 23 i dataskyddsförordningen begränsas, under vissa förutsättningar. Enligt artikeln får begränsningar införas i nationell rätt om begränsningen sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle. En begränsande lagstiftningsåtgärd ska innehålla specifika bestämmelser i vissa avseenden, bl.a. om skyddsåtgärder. I dataskyddslagen finns undantag från vissa av dataskyddsförordningens rättigheter och skyldigheter. Av 5 kap. 1 § framgår att artiklarna 13–15 i dataskyddsförordningen om information och rätt att få tillgång till personuppgifter inte gäller för sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning. Om den personuppgiftsansvarige inte är en myndighet, gäller undantaget även för uppgifter som hos en myndighet skulle ha varit sekretessbelagda enligt offentlighets- och sekretesslagen (2009:400, OSL). I 5 kap. 2 § anges att rätten till registerutdrag som huvudregel inte gäller personuppgifter som finns i löpande text som inte har fått sin slutliga utformning eller som utgör minnesanteckning eller liknande. Vissa bestämmelser om enskildas rätt att få del av information har tagits in i artikel 7 och 11 i den till världsantidopningskoden tillhörande standarden för skydd av privatlivet och personuppgifter. Dessa bestämmelser är således också tillämpliga i idrottens antidopningsarbete. Nedan behandlas frågan om det behövs särskilda regler i den föreslagna lagen om dataskydd i idrottens antidopningsarbete som begränsar enskildas rättigheter enligt dataskyddsförordningen när det gäller rätten till information och tillgång till personuppgifter, rätten till rättelse, radering och begränsning av behandling av personuppgifter och rätten att göra invändningar mot behandling. Rätten till dataportabilitet är inte tillämplig vid den personuppgiftsbehandling som sker enligt vår föreslagna lag eftersom den behandlingen inte grundar sig på samtycke eller avtal. Dataportabilitet behandlas därför inte nedan. Inte heller behandlas automatiskt beslutsfattande, som inte bedöms förekomma i idrottens antidopningsarbete. 9.2Undantag från enskildas rättigheter Bedömning: Den föreslagna lagen bör inte innehålla några undantag från den registrerades rättigheter enligt artiklarna 13–18 och 21 i dataskyddsförordningen. Inga begränsningar bör införas avseende artiklarna 13–18 Regleringen i 5 kap. 1 § dataskyddslagen innebär att sådan sekretess eller tystnadsplikt gentemot den enskilde som har stöd i författning har företräde framför rätten att få information och tillgång till personuppgifter m.m. enligt artiklarna 13–15 i dataskyddsförordningen. Sådan sekretess kan i vissa fall gälla enligt offentlighets- och sekretesslagen till skydd för andra enskilda eller till skydd för allmänna intressen.