sou · H7B324 · 2019-06-03 00:00:00 — Aktörer som inte omfattas av offentlighets- och sekretesslagens tillämpningsområde får vägra att lämna ut information till den registrerade, om en bestämmelse i den lagen hade hindrat utlämnande till den registrerade om den personuppgiftsansvarige hade varit en myndighet. Vid införandet av motsvarande reglering i den tidigare gällande 27 § personuppgiftslagen (1998:204) konstaterades att reglerna om information innebär att ett slags ”offentlighetsprincip” gentemot den registrerade kommer att gälla i vissa avseenden även på den privata sidan. Regeringen anförde att det dock också på den privata sida kan finnas behov av bestämmelser som gör det möjligt att i vissa fall vägra att lämna information till den registrerade. Som exempel angavs att enskilda i lika hög grad som myndigheter kan ha ett befogat intresse av att kunna hemlighålla personanknuten information som samlats in inför en domstolsprocess, om det kan antas att ett utlämnande av informationen skulle försämra den enskildes ställning som part i rättegången. Vidare angavs att det i försäkringsverksamhet inte sällan registreras uppgifter om att en person misstänks för försäkringsbedrägeri eller annan brottslig verksamhet. Slutligen angavs att internationella organisationer kan ha sammanställningar av uppgifter om personer som misstänks ha gjort sig skyldiga till brott mot de mänskliga rättigheterna. Regeringens uppfattning var att dessa uppgifter inte bör behöva lämnas ut medan utredning pågår (se prop. 1997/98:44 s. 84). Lagrådet kritiserade den valda lagregleringen och anförde att den innebär att enskilda blir skyldiga att sätta sig in i en omfattande och komplicerad lagstiftning som är utformad med tanke på myndigheters verksamhet och vid prövning av informationsskyldigheten försöka dra paralleller till den egna verksamheten (se a. prop. s. 240 f.). Enligt , som hade i uppdrag att utreda hur det tidigare dataskyddsdirektivet skulle införas i svensk rätt, borde undantag från informationsskyldigheten kunna ske om det behövs för att skydda grundläggande intressen för enskilda eller för att förebygga, undersöka eller avslöja brott. Kommittén anförde att undantag bör medges i situationer liknande dem som avses t.ex. i nuvarande 18 kap. 1–4 §§, 19 kap. 9 § och 35 kap. 21 § OSL (se SOU 1997:39 s. 399). Aktörerna inom idrottens antidopningsarbete är inte myndigheter utan privaträttsliga subjekt. För att dessa aktörer ska kunna vägra att lämna ut information till en registrerad krävs alltså att en bestämmelse i offentlighets- och sekretesslagen hade hindrat utlämnandet om det aktuella organet hade varit en myndighet. Det står enligt vår mening klart att aktörerna inom idrottens antidopningsarbete kan ha berättigade behov av att hemlighålla uppgifter för den enskilde i antidopningsarbetet, t.ex. om att denne förekommer i underrättelsearbetet. Även uppgifter om att den enskilde ska dopningstestas bör kunna hållas hemliga. Enligt vår mening kan en jämförelse göras med bestämmelserna om sekretess till skydd främst för intresset av att förebygga eller beivra brott i 18 kap. 1–3 §§ OSL. Man skulle även kunna tänka sig att bestämmelserna i 17 kap. 1 och 2 §§ om sekretess till skydd främst för myndigheters verksamhet för inspektion, kontroll eller annan tillsyn hade kunnat användas. Det är således vår uppfattning att bestämmelser i offentlighets- och sekretesslagen kan användas för att i motsvarande fall förvägra ett utlämnande av information till enskilda. De begränsningar avseende artiklarna 13–15 i dataskyddsförordningen som följer av dataskyddslagen bör därför tillämpas även i idrottens antidopningsarbete, varför någon särskild reglering härom i den av oss föreslagna lagen inte är nödvändig. Det har inte heller framkommit skäl att i den föreslagna lagen begränsa enskildas rättigheter enligt artiklarna 16–18 i dataskyddsförordningen. Inte heller enskildas rätt att göra invändningar bör begränsas Enligt artikel 21.1 i dataskyddsförordningen har den registrerade rätt att göra invändningar mot behandling av personuppgifter avseende honom eller henne. Denna rätt gäller bl.a. vid behandling som grundar sig på den rättsliga grunden allmänt intresse (artikel 6.1 e). Rätten att göra invändningar ska meddelas den registrerade uttryckligen senast vid den första kommunikationen med den registrerade och redovisas tydligt, klart och åtskilt från eventuell annan information (artikel 21.4). Med rätten att göra invändningar avses att den registrerade har en möjlighet att få till stånd en överprövning av behandlingens tillåtlighet hos den personuppgiftsansvarige. Överprövningen innebär att den personuppgiftsansvarige måste kunna visa att dennes avgörande berättigade intressen väger tyngre än den registrerades intressen (artikel 21.1). det sker en överprövning har den registrerade rätt att kräva att behandlingen av personuppgifterna begränsas (artikel 18.1 d). Om det saknas berättigade skäl har den registrerade rätt att få personuppgifterna raderade (artikel 17.1 c). Som tidigare framkommit får rätten att göra invändningar begränsas under de förutsättningar som anges i artikel 23. Nationella begränsningar måste vara nödvändiga och proportionella och grunda sig på ett legitimt ändamål. En begränsning kan göras bl.a. med hänsyn till viktiga mål av allmänt intresse (artikel 23.1 e). Rätten att göra invändningar har begränsats i ett flertal registerförfattningar som gäller för myndigheter. Ett huvudsakligt skäl till detta är att det ansetts vara av stor betydelse att personuppgifter får behandlas i myndigheternas verksamheter oberoende av den registrerades inställning. Vidare har bedömningen gjorts att den personuppgiftsansvarige närmast undantagslöst skulle kunna påvisa skäl för fortsatt behandling som väger tyngre än den registrerades intressen i det enskilda fallet. På grund härav samt för att fullt ut säkerställa förutsättningarna för de aktuella myndigheterna att behandla relevanta personuppgifter har det inte ansetts finnas anledning att låta den registrerade ha någon rätt att motsätta sig sådan personuppgiftsbehandling som är tillåten enligt registerlagarna (se t.ex. prop. 2017/18:254 s. 45). Det får anses vara av stor betydelse att personuppgifter får behandlas i idrottens antidopningsarbete oberoende av den enskilde idrottsutövarens inställning. Det huvudsakliga skälet för att införa en begränsning av den enskildes rätt att göra invändningar mot personuppgiftsbehandlingen skulle därför vara att personuppgiftsbehandlingen är en förutsättning för ett effektivt antidopningsarbete. En invändning mot behandling av personuppgifter behöver dock inte alltid gälla hela behandlingen, utan kan avse en begränsad del av denna, t.ex. långvarig lagring eller publicering av en viss uppgift. I sådana fall finns det enligt vår mening inte lika starka skäl till att inte tillåta en enskild att invända mot behandlingen. Personuppgiftsbehandlingen i idrottens antidopningsarbete utförs inte av myndigheter som har författningsstöd för sin verksamhet utan av privaträttsliga aktörer som följer privaträttsliga regler. I förarbetena till dataskyddslagen uttalade regeringen att rätten att göra invändningar är en viktig funktion från rättssäkerhetssynpunkt, i synnerhet i de fall då de närmare villkoren för behandlingen inte har reglerats i en sektorsspecifik författning (se prop. 2017/18:105 s. 105). Vidare rekommenderas i om personuppgiftsbehandlingen i idrottens antidopningsarbete att en nationell lagstiftning tillåter att idrottsutövare kan invända mot behandlingen av deras personuppgifter, särskilt om den rättsliga grunden för behandlingen är det allmänna intresset, dvs. den rättsliga grund som vårt lagförslag vilar på (se Protection, An evaluation of the anti-doping laws and practices in the EU Member States in light of the Protection Regulation, s. 21). Även om det är av stor vikt att idrottens antidopningsarbete kan utföras på ett effektivt sätt kan det enligt vår mening inte anses vara en nödvändig och proportionell åtgärd att i den förslagna lagen begränsa enskildas rätt att invända mot behandlingen av personuppgifter. Vi föreslår därför inte någon begränsning i den möjlighet enskilda har enligt dataskyddsförordningen att göra invändningar. Eftersom behandlingen av personuppgifter i idrottens antidopningsarbete är nödvändig för att utföra en uppgift av allmänt intresse, torde dock aktörerna inom idrottens antidopningsarbete normalt sett kunna påvisa sådana avgörande berättigade skäl för sin behandling som kan anses väga tyngre än den registrerades intressen. 10 Längsta tid för behandling 10.1Allmänt om lagring av personuppgifter Lagring av personuppgifter är en form av behandling av personuppgifter enligt dataskyddsförordningen (se artikel 4.2). Huvudregeln i artikel 5.1 e är att personuppgifter inte får förvaras i en form som möjliggör identifiering än vad som är nödvändigt för de ändamål för vilka uppgifterna behandlas. När en personuppgift inte längre behöver behandlas för de ursprungliga ändamålen ska den alltså raderas eller avidentifieras. Med avidentifiering menas att alla möjligheter att identifiera en person tas bort. Särskilda regler gäller enligt dataskyddsförordningen om personuppgifter behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Om personuppgifter behandlas enbart för dessa ändamål, får de bl.a. lagras . I dataskyddslagen finns bestämmelser om behandling av personuppgifter för arkivändamål som gäller för myndigheter och andra organ som enligt arkivlagen (1990:782) eller annan arkivlagstiftning är skyldiga att bevara sina handlingar. Dessa bestämmelser är dock inte tillämpliga för aktörerna inom idrottens antidopningsarbete. I den till världsantidopningskoden tillhörande internationella standarden för skydd av privatlivet och personuppgifter finns bestämmelser om bevarande av personuppgifter som ska tillämpas i idrottens antidopningsarbete. Av artikel 10 framgår att signatärerna av världsantidopningskoden ska tillse att personuppgifter bara bevaras när det är relevant för att uppfylla skyldigheterna enligt koden, den aktuella standarden eller tillämplig lag. Personuppgifter som inte längre uppfyller dessa syften ska raderas, förstöras eller anonymiseras. Där anges också att bevarandet av känsliga personuppgifter kräver starkare och mer övertygande skäl än bevarandet av andra personuppgifter. Längsta tid för behandling Signatärerna av koden ska enligt artikel 10.3 införa klara regler om bevarandetider som uppfyller de här angivna kraven. Särskilda gallringsrutiner ska också införas. Olika bevarandefrister får tillämpas för olika typer av personuppgifter. I annex A till den internationella standarden är de längsta möjliga bevarandetiderna för olika kategorier av personuppgifter i antidopningsarbetet specificerade. Här anges att ansökningar om medicinsk dispens ska gallras senast , men att den medicinska information som ges in tillsammans med en ansökan om dispens ska gallras månader efter dispensen har gått ut. Personuppgifter som lämnas i en vistelserapportering ska gallras senast . Vad gäller dopningskontrollerna ska samtliga analysresultat och uppgifter i det biologiska passet gallras senast . Dopningskontrollplaner och tillhörande blanketter ska gallras senast vid negativa resultat, men ska vid positiva resultat gallras senast . De angivna tidsfristerna kan utökas under en pågående dopningsutredning. Signatärerna av koden ska enligt artikel 10.4 utforma gallringsregler som överensstämmer med de bevarandetider som anges i annex A. RF har inte antagit någon generell gallringsregel. Däremot har RF utarbetat en gallringspolicy som i stora delar motsvarar annex A till den internationella standarden för skydd av privatlivet och personuppgifter. 10.2En generell bestämmelse om längsta tid för behandling av personuppgifter Förslag: Personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. I utvärdering av idrottens antidopningsarbete anges att samtliga nationella antidopningsorganisationer inom EU följer de gallringsbestämmelser som framgår av annex A i den till världsantidopningskoden tillhörande internationella standarden. Någon författningsreglering som inskränker de bevarandetider som anges i annex A synes således inte förekomma i EU-länderna. I har tider som är identiska med de som framgår av annex A tagits in i författning (se Anti-doping and Data Protection, An evaluation of Längsta tid för behandling the anti-doping laws and practices in the EU Member States in light of the Protection Regulation, 2017, s. 73). Det kan konstateras att bevarandetiden för vissa kategorier av personuppgifter enligt annex A i den internationella standarden kan bli relativt lång. Den motiveras bl.a. av att preskriptionstiden för en dopningsförseelse är . De angivna gallringsreglerna är dock konstruerade så att uppgifter ska gallras senast . Reglerna innebär alltså inte att uppgifterna måste bevaras . Det ska alltid göras en bedömning av huruvida det är nödvändigt att behandla aktuella personuppgifter för att uppfylla kraven enligt världsantidopningskoden. Om så inte är fallet får uppgifterna inte längre behandlas. Hur länge det är nödvändigt att behandla en uppgift ska alltså avgöras i varje enskilt fall. I kommissionens utvärdering ifrågasätts om de bevarandetider som framgår av annex A i den internationella standarden är förenliga med dataskyddsförordningens krav på uppgiftsminimering (se a.a. s. 98). Mot denna bakgrund vore det förstås önskvärt att i den av oss föreslagna lagen införa bestämmelser som innebär att uppgifter får bevaras i antidopningsarbetet än vad som är tillåtet enligt den internationella standarden. Det får dock anses tveksamt om det är lämpligt att ett enskilt land inskränker de tider för längsta bevarande som har beslutat om och som följs av andra länder. Som angetts i avsnitt 6.3 är det inte heller vår avsikt att försvåra det mycket angelägna antidopningsarbete som utförs inom idrotten och som har stöd i konventioner antagna av och FN. Även om de bevarandetider som följer av den internationella standarden kan leda till lång lagring, är det därför vår uppfattning att den av oss föreslagna lagen inte bör innehålla en detaljreglering som innebär kortare bevarandetider. Vi menar dock att det är en angelägen uppgift för att ta fram mer nyanserade regler angående längsta tid för bevarande som står i bättre överensstämmelse med dataskyddsförordningen. Enligt är bevarandetiderna för tillfället under utvärdering, som en del av den revidering av världsantidopningskoden som är planerad att antas , för att börja gälla . Vi anser dock att det i den av oss föreslagna lagen bör föras in en generell bestämmelse som anger att personuppgifter inte får behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Genom en sådan generell reglering, som är Längsta tid för behandling tillämplig för samtliga aktörer inom idrottens antidopningsarbete, tydliggörs att personuppgifter inte får bevaras om det är nödvändigt. Bestämmelsen kan därmed motverka ett slentrianmässigt bevarande. Införandet av en generell bestämmelse om längsta tid för behandling av personuppgifter innebär också att det uppkommer en ordning med dels en generell reglering om att personuppgifter inte får bevaras om de inte är nödvändiga, dels idrottens interna regler om när gallring absolut senast måste ske oavsett om uppgifterna fortfarande kan anses vara nödvändiga. En bestämmelse om längsta tid för behandling utgör ett sådant specifikt krav på personuppgiftsbehandlingen som är tillåtet enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Vi föreslår därför att en sådan generell reglering införs. Vi har valt att i den föreslagna bestämmelsen använda oss av begreppet längsta tid för behandling. Begreppet används i ett flertal nyare registerförfattningar i stället för begreppen gallring och bevarande (se t.ex. 2 kap. 17 § brottsdatalagen [2018:1177]). Enligt vår bedömning markerar begreppet på ett tydligare sätt att regleringen har till syfte att skydda enskildas personliga integritet och innebär därmed ett bättre skydd för den enskilde. Den föreslagna regleringen innebär visserligen en form av dubbelreglering i förhållande till bestämmelsen om lagringsminimering i artikel 5.1 e i dataskyddsförordningen. Som konstaterats inledningsvis (avsnitt 6.3) kan dock den omständigheten att lagen riktar sig till privaträttsliga aktörer tala för att en sådan särskild tydlighet bör eftersträvas i regleringen. Enligt vår uppfattning kan RF:s gallringspolicy kvarstå och komplettera den föreslagna bestämmelsen. 10.3Längsta tid för behandling i underrättelsearbetet Förslag: Personuppgifter får inte behandlas i underrättelsearbetet längre än efter utgången av det kalenderår då uppgifterna behandlades första gången. Om en ny uppgift beträffande samma persons anknytning till dopningsverksamhet behandlas före utgången av tidsfristen, får de personuppgifter som redan finns om personen fortsätta att behandlas så länge någon av uppgifterna får behandlas. Längsta tid för behandling Den till världsantidopningskoden tillhörande standarden för skydd av privatlivet och personuppgifter innehåller inga särskilda bestämmelser om hur länge personuppgifter får behandlas i ett underrättelsearbete. Som tidigare konstaterats (se avsnitt 8.2) är dock behandlingen av personuppgifter i detta arbete särskilt känslig ur integritetshänseende. Enligt vår mening bör därför den av oss föreslagna lagen innehålla en uttrycklig bestämmelse om hur länge personuppgifter får behandlas i detta arbete. Som sagts är det RF som i sin egenskap av nationell antidopningsorganisation utför ett underrättelsearbete i i enlighet med världsantidopningskodens regler. Information som via olika källor inkommer till RF, främst via tipsfunktionen på hemsidan , bearbetas innan informationen överförs till ett informationshanteringssystem som är utformat för att hantera underrättelseinformation på ett säkert sätt. Endast information som misstänks kunna innebära en förseelse mot världsantidopningskoden överförs till databasen. Övrig information raderas . Informationshanteringssystemet har tagits i bruk. Avsikten är att uppgifter som förs in i detta system ska raderas alternativt anonymiseras senast . Vid utformningen av vårt förslag i denna del har vi beaktat de gallringsbestämmelser som gäller i det underrättelsearbete som utförs av de brottsbekämpande myndigheterna. För och Säkerhetspolisen gäller regleringen i 4 kap. 7 § andra stycket lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område. Enligt bestämmelsen får personuppgifter som behandlas i underrättelsearbetet inte behandlas längre än efter utgången av det kalenderår då registreringen avseende personen gjordes. För särskilt allvarlig brottslighet gäller en längre gallringsfrist . Om en ny registrering beträffande personens anknytning till brottslig verksamhet görs före utgången av de tidsfristerna, får de personuppgifter som redan finns om personen fortsätta att behandlas så länge någon av uppgifterna får behandlas. Liknande bestämmelser gäller för underrättelseverksamheten vid , och (se 4 kap. 8 § andra stycket lagen [2018:1694] om behandling av personuppgifter inom brottsdatalagens område, 4 kap. 7 § lagen [2018:1695] om behandling av personuppgifter inom brottsdatalagens område samt 4 kap. 7 § lagen [2018:1696] om behandling Längsta tid för behandling av personuppgifter inom brottsdatalagens område). De angivna bestämmelserna gäller enbart personuppgifter som behandlas automatiserat. Om informationen överförs från elektronisk form till pappersform och därefter inte finns kvar elektroniskt är således bestämmelserna inte tillämpliga. Enligt vår mening bör en bestämmelse som liknar de ovan angivna gälla också för det underrättelsearbete som utförs inom idrottens antidopningsarbete. Vid valet av längsta bevarandefrist bör dock den kortare tidsfristen väljas för idrottens antidopningsarbete, av hänsyn till skyddet av enskildas personliga integritet. Vidare talar integritetsskäl för att den av oss föreslagna regleringen inte bör vara begränsad till endast automatiserad behandling. Enligt vår mening bör bestämmelsen vara tillämplig för all den form av behandling av personuppgifter i underrättelsearbetet som omfattas av lagen (se 5 § i lagförslaget). Gallringsfristen börjar enligt vårt förslag att löpa vid utgången av det kalenderår då en personuppgift behandlas i underrättelsearbetet . Tidpunkten för den första behandlingen bör i de flesta fall sammanfalla med den tidpunkt då en personuppgift förs in i informationshanteringssystemet för underrättelseinformation. Det är viktigt att RF skaffar sig rättssäkra rutiner för hur inhämtad underrättelseinformation behandlas så att gallringsregeln kan tillämpas på ett korrekt sätt. Eftersom dataskyddsförordningen har till syfte att skydda fysiska personer vid behandling av personuppgifter, innehåller den ett stort antal bestämmelser som ska värna enskildas grundläggande rättigheter och intressen vid sådan behandling. Som exempel kan nämnas den grundläggande principen om uppgiftsminimering i artikel 5.1 c som anger att de personuppgifter som behandlas ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. En annan grundläggande princip är den om integritet och konfidentialitet i artikel 5.1 f. Den innebär att den personuppgiftsansvarige med användning av lämpliga tekniska eller organisatoriska åtgärder ska vidta åtgärder som säkerställer lämplig säkerhet för personuppgifterna. Till den allmänna regleringen hör även skyldigheter för den personuppgiftsansvarige att genomföra lämpliga tekniska och organisatoriska åtgärder för att kunna säkerställa och visa att behandlingen utförs i enlighet med dataskyddsförordningen (artikel 24). Artikel 25 ålägger den personuppgiftsansvarige bl.a. att integrera nödvändiga skyddsåtgärder i behandlingen. Av artikel 32 framgår att lämpliga tekniska och organisatoriska åtgärder ska vidtas för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken i samband med personuppgiftsbehandlingen. I artikel 33 anges vidare att en personuppgiftsansvarig utan onödigt dröjsmål ska anmäla till tillsynsmyndigheten om det inträffar en s.k. personuppgiftsincident. Med personuppgiftsincident avses en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats (artikel 4.12). I vissa fall ska enligt artikel 34 även enskilda informeras om sådana incidenter. Samtliga här angivna bestämmelser är tillämpliga för all personuppgiftsbehandling enligt dataskyddsförordningen. Krav på att behandlingen av personuppgifter ska omgärdas av skyddsåtgärder finns även intagna i den till världsantidopningskoden tillhörande internationella standarden för skydd av privatlivet och personuppgifter (se artikel 9). Som sagts framgår på flera ställen i dataskyddsförordningen att också en nationell reglering som tillåter viss behandling av personuppgifter ska innehålla lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Exempelvis finns ett sådant krav för att känsliga personuppgifter ska få behandlas med stöd av artikel i dataskyddsförordningen. Motsvarande krav gäller enligt artikel 10 för nationell lagstiftning som tillåter behandling av uppgifter om lagöverträdelser utan kontroll av en myndighet. Nationell lagstiftning om skyddsåtgärder kan vidare vara nödvändig för att en begränsning av den registrerades rätt att göra invändningar ska få göras. Även i artikel 87 som behandlar personnummer och samordningsnummer finns ett krav på lämpliga skyddsåtgärder.