sou · H7B324 · 2019-06-03 00:00:00 — Ett laboratorium som utgör en integrerad del av en offentlig vårdgivares verksamhet anses däremot bedriva hälso- och sjukvård, t.ex. ett landstings egna mikrobiologiska laboratorier (se Manólis Nymark, Patientdatalagen, kommentaren till 1 kap. 1 §, Zeteo ). Verksamheten vid Dopinglaboratoriet drivs av och är en del av verksamheten vid farmakologi. Det förhållandet att laboratorieverksamheten utförs inom den offentliga hälso- och sjukvården talar för att patientdatalagen är tillämplig för personuppgiftsbehandlingen vid laboratoriet. Som ovan konstaterats får definitionen av hälso- och sjukvård anses vara bred och omfattar även åtgärder som utförs för att spåra upp hälsoproblem. Vidare ska inte begreppet sjukdomar i definitionen av hälso- och sjukvård tolkas alltför snävt. Ett fysiskt onormalt tillstånd (som en dopad befinner sig i) kan nog i sammanhanget ses som en sjukdom, inte minst med tanke på de stora hälsorisker som är förknippade med dopning. Med hänsyn till den breda definitionen av vad som utgör hälso- och sjukvård i hälso- och sjukvårdslagen ser vialltså att det är möjligt att även tolka in arbetet vid Dopinglaboratoriet i detta begrepp. Dopinglaboratoriet tar visserligen inte uppdrag från vården vid det egna sjukhuset utan endast privata uppdrag från olika organisationer inom idrotten. Arbetet vid laboratoriet innehåller dock i lika liten grad som ett landstings egna mikrobiologiska laboratorier inslag av individnära vård och behandling. Dessa laboratorier anses likväl bedriva hälso- och sjukvård. Eftersom verksamheten vid Dopinglaboratoriet bedrivs som en del av den allmänna verksamheten vid är det rimligt att den faller under samma lag som resten av verksamheten. Laboratoriet hanterar också enligt uppgift de aktuella personuppgifterna som om de vore patientuppgifter, vilket får förstås som att laboratoriet tillämpar patientdatalagen i sin personuppgiftsbehandling. Vi ser inte skäl att göra någon annan bedömning i denna utredning. Den personuppgiftsbehandling som utförs vid Dopinglaboratoriet bör därför inte omfattas av lagen om dataskydd i idrottens antidopningsarbete. Antidopningsarbete vid gym- och träningsanläggningar Friskvårdsföretag som bedriver gym- och träningsverksamhet är inte signatärer av världsantidopningskoden. Inte heller de kommuner eller föreningar som driver gym- och träningsanläggningar är signatärer av koden. Våra undersökningar har visat att de här angivna aktörerna inte heller bedriver något antidopningsarbete motsvarande det som RF gör. Dopningskontroller förekommer alltså inte inom verksamheterna. Vad som kan förekomma är att kontaktas på grund av misstankar om brott mot lagen (1991:1969) om förbud mot vissa dopningsmedel. Sådana kontakter skulle kunna innebära behandling av personuppgifter, för det fall enskilda personer nämns ien e-postkontakt med myndigheten. Enligt vår mening bör dock sådan personuppgiftsbehandling kunna undvikas utan att kontakterna med försvåras. Det kan även i övrigt förekomma antidopningsarbete hos de angivna aktörerna. Det arbetet förutsätter dock normalt inte någon personuppgiftsbehandling eftersom det är av förebyggande karaktär och utförs på ett generellt plan. Mot bakgrund av att antidopningsarbetet hos här aktuella organ inte styrs av världsantidopningskoden, bör de inte omfattas av vår lag. Något behov av särskild personuppgiftsreglering synes inte heller föreligga, eftersom det inte har framkommit att organen har behov av att behandla personuppgifter i sitt antidopningsarbete. Behandling av personuppgifter är i många fall en gränsöverskridande aktivitet. Så är fallet även i antidopningsarbetet, som utförs över hela världen. Det förekommer t.ex. att RF utför eller låter ett annat lands nationella antidopningsorganisation eller ett serviceföretag utföra dopningstester på svenska idrottsutövare när de befinner sig utanför , exempelvis på träningsläger. Vidare kommer med stor sannolikhet resultatet av en dopningskontroll som utförts på uppdrag av ett internationellt specialidrottsförbund i att behandlas utanför gränser. De internationella specialidrottsförbunden har sina säten i ett otal olika länder inom och utom EU och är således föremål för olika lagstiftning. I sådana situationer uppkommer fråga om vilket lands lag som ska tillämpas. Det finns två grundläggande principer för detta val – den lag som gäller i den registrerades land (effektlandsprincipen) eller den lag som gäller i det land där den personuppgiftsansvarige är etablerad (etableringslandsprincipen). Etableringslandsprincipen kan sägas vara utgångspunkten i dataskyddsförordningens reglering av det territoriella tillämpningsområdet (se artikel 3.1 och 3.3). Förordningen gäller således för samtliga personuppgiftsansvariga och personuppgiftsbiträden som är etablerade i unionen, oavsett om behandlingen utförs i unionen eller inte. Därutöver är dataskyddsförordningen, som tidigare angetts, i vissa fall tillämplig även för personuppgiftsansvariga och personuppgiftsbiträden som inte alls är etablerade inom EU (se artikel 3.2). I dessa fall gäller effektlandsprincipen. Dataskyddsförordningen innehåller dock inte någon reglering om vilken nationell rätt som ska gälla vid gränsöverskridande personuppgiftsbehandling. Eftersom förordningen inte reglerar tillämpningsområdet för kompletterande nationell lagstiftning bör medlemsstaterna i princip vara fria att bestämma detta själva (se prop. 2017/18:105 s. 317). har framhållit behovet av att medlemsstaterna tar ställning till det territoriella tillämpningsområdet för nationell lagstiftning som kompletterar dataskyddsförordningen. Kommissionen har förordat att etableringslandsprincipen bör gälla som utgångspunkt. Ett val av etableringslandsprincipen innebär nämligen att risken för normkonflikter vid gränsöverskridande behandling av personuppgifter kan minimeras. Därmed minskar även risken för att det fria flödet av personuppgifter inom unionen hindras. (Se Ju2017/04264/L6 s. 3 ff.) Dataskyddslagen innehåller i 1 kap. 5 § en bestämmelse om den lagens territoriella tillämpningsområde som i stora drag motsvarar principerna i dataskyddsförordningen. Enligt bestämmelsen gäller som huvudregel etableringslandsprincipen för dataskyddslagen tillämpningsområde. Lagen är därmed som huvudregel tillämplig vid behandling av personuppgifter som utförs inom ramen för verksamhet som bedrivs vid personuppgiftsansvarigas eller personuppgiftsbiträdens verksamhetsställen i . Även effektlandsprincipen kan dock bli tillämplig i vissa fall då personuppgiftsansvariga och personuppgiftsbiträden inte är etablerade inom EU. I artikel 4 i det tidigare gällande dataskyddsdirektivet anges, till skillnad från i dataskyddsförordningen, vilken medlemsstats nationella rätt som ska tillämpas i olika fall. Artikeln genomfördes genom 4 § personuppgiftslagen (1998:204). Enligt bestämmelsen gäller lagen för sådana personuppgiftsansvariga som är etablerade i . Vidare ska lagen också tillämpas när den personuppgiftsansvarige är etablerad i tredjeland men för behandlingen av personuppgifter använder sig av utrustning som finns i , om inte utrustningen bara används för att överföra uppgifter mellan ett tredjeland och ett annat sådant land. Personuppgiftslagen var således inte tillämplig för personuppgiftsansvariga etablerade i andra EU-länder. En liknande avgränsning av lagens territoriella tillämpningsområde infördes i kameraövervakningslagen (2013:460). Den lagen har numera ersatts av kamerabevakningslagen (2018:1200) utan att det territoriella tillämpningsområdet för lagen har ändrats. Vid införandet av kameraövervakningslagen angavs att det skulle vara oförenligt med artikel 4 i det dåvarande dataskyddsdirektivet att den svenska regleringen även skulle omfatta den som är etablerad i en annan EU-stat (se prop. 2012/13:115 s. 41). Någon liknande begränsning finns dock alltså inte i dataskyddsförordningen. Det är ur ett tillämpningsperspektiv viktigt att det står klart i vilka situationer vår lag om dataskydd i idrottens antidopningsarbete är tillämplig. Utan reglering av det territoriella användningsområdet kommer det att råda osäkerhet i denna fråga. Som angetts ovan bör enligt vår mening lagen omfatta all sådan personuppgiftsbehandling som i antidopningsarbetet utförs av RF samt föreningar och förbund som är anknutna till RF. Lagen bör även omfatta den personuppgiftsbehandling som i antidopningsarbetet utförs av föreningar och förbund i som inte är anknutna till RF men som är anknutna till ett internationellt specialidrottsförbund som är signatär av världsantidopningskoden. Dessa organ är alla etablerade i . I enlighet med etableringslandsprincipen saknar det därmed betydelse var behandlingen faktiskt utförs och var den registrerade befinner sig; lagen kommer ändå att vara tillämplig. Det är vår uppfattning att den s.k. etableringsprincipen bör gälla även för serviceföretag som har sitt säte i , dvs. Därutöver bör lagen, som tidigare konstaterats, omfatta även andra som utför ett antidopningsarbete i med stöd av världsantidopningskoden, dvs. signatärer av världsantidopningskoden samt serviceföretag som utför antidopningsarbete enligt koden på uppdrag av en signatär. Dessa organisationer är troligen inte etablerade i och är möjligen inte alls etablerade inom EU. För det fall lagen inte är tillämplig för dessa aktörer är det inte säkert att de har en rättslig grund för sin behandling av personuppgifter i . Genom att lagen blir tillämplig även för dessa aktörer möjliggörs att behandling kan ske av personuppgifter i det antidopningsarbete som utförs i på grund av världsantidopningskoden, oavsett vem som utför behandlingen. Det hade varit möjligt att för dessa övriga aktörer använda sig av den s.k. effektlandsprincipen. Det skulle dock innebära att lagen skulle vara tillämplig oavsett var i världen behandlingen utfördes bara en idrottsutövare fysiskt befinner sig i . Enligt vår mening skulle det vara oproportionerligt att låta lagen få ett så pass vidsträckt tillämpningsområde. Även om det således inte är helt förenligt med den s.k. effektlandsprincipen är det därför vår bedömning att lagen endast bör omfatta sådan personuppgiftsbehandling som i antidopningsarbetet utförs i av andra signatärer till världsantidopningskoden än RF, eller som utförs av serviceföretag som inte är etablerade i på uppdrag av RF eller en annan signatär. Förslaget innebär att lagen ska vara tillämplig även för behandling av personuppgifter som utförs i av den som är etablerad i en annan EU-stat. Det finns visserligen risk för att sådana aktörer kan komma att omfattas såväl att det svenska regelverket som av ett regelverk som gäller i etableringslandet. Som vi ser det innebär dock vår lag om dataskydd i idrottens antidopningsarbete ett möjliggörande av behandling av personuppgifter i antidopningsarbetet, eftersom lagen i sig skapar en rättslig grund denna behandling. Därmed minskar risken för att det fria flödet av personuppgifter inom unionen hindras. Lagen har således till syfte att skapa förutsättningar för det arbete som utförs enligt världsantidopningskoden och avser inte att begränsa detta arbete. Risken för normkonflikter torde därmed vara minimal. Som tidigare angetts är det vår uppfattning att behandling av personuppgifter i antidopningsarbetet har anknytning till övervakning av idrottsutövarnas beteende. Tillämpningsområdet för lagen går därmed inte utöver tillämpningsområdet för dataskyddsförordningen. 7.2.3Automatiserad behandling och register Den nya lagen bör gälla för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (register). Tillämpningsområdet för lagen ansluter därmed till tillämpningsområdet för dataskyddsförordningen och dataskyddslagen. behandling av personuppgifter som inte ingår i en uppgiftssamling som är strukturerad för sökning eller sammanställning, såsom minnesanteckningar som enbart förs på papper, kommer därmed inte att omfattas av lagen. 7.3Förhållandet till annan reglering Förslag: Lagen ska innehålla en upplysning om att den kompletterar dataskyddsförordningen. Dataskyddslagen ska gälla, om inte annat följer av lagen. Lagen ska inte gälla då personuppgifter behandlas hos Doping- laboratoriet vid med stöd av patientdatalagen. Bedömning: Lagen har, tillsammans med dataskyddsförordningen och dataskyddslagen, företräde framför idrottsrörelsens interna bestämmelser om personuppgiftsbehandling. Detta behöver inte särskilt anges i lagen. Dataskyddsförordningen är direkt tillämplig och har företräde framför nationell lagstiftning. Den nya lagen om dataskydd i idrottens antidopningsarbete kommer därför endast att innehålla bestämmelser som kompletterar eller tar över bestämmelserna i dataskyddsförordningen, när det är tillåtet. För att tillämparen ska få en fullständig bild av vilken reglering som gäller bör den föreslagna lagen innehålla en bestämmelse som upplyser om att dataskyddsförordningen gäller. Bestämmelsen bör formuleras på samma sätt som i andra registerlagar som kompletterar dataskyddsförordningen (se t.ex. lagen [2001:183] om behandling av personuppgifter i verksamhet med val och folkomröstningar). Dataskyddslagen innehåller nationella kompletterande bestämmelser till dataskyddsförordningen. Av 1 kap. 6 § dataskyddslagen framgår att om en annan lag eller förordning innehåller någon bestämmelse som rör behandling av personuppgifter och som avviker från dataskyddslagen ska den bestämmelsen tillämpas. Dataskyddslagen är alltså subsidiär i förhållande till annan lagstiftning om behandling av personuppgifter. Eftersom dataskyddslagen är subsidiär behövs ingen materiell bestämmelse för att den nya lagen ska gälla utöver dataskyddslagen. Av tydlighetsskäl innehåller dock flertalet registerförfattningar en bestämmelse om förhållandet till den generella regleringen i dataskyddslagen. Av samma tydlighetsskäl föreslår vi en bestämmelse som innebär att dataskyddslagen gäller vid behandling av personuppgifter enligt lagen om dataskydd i idrottens antidopningsarbete, om inte annat följer av den föreslagna lagen. Bestämmelsen om förhållandet till dataskyddslagen bör formuleras som i andra registerlagar som har anpassats till dataskyddsförordningen (se t.ex. den ovan nämnda lagen om behandling av personuppgifter i verksamhet med val och folkomröstningar). När dataskyddslagen är tillämplig är också bestämmelser som regeringen meddelat i anslutning till dataskyddslagen tillämpliga. Det innebär att eventuella förordningsbestämmelser om undantag från dataskyddslagens tillämplighet gäller. I avsnitt 7.2.1 har diskuterats huruvida den personuppgiftsbehandling som sker vid det av ackrediterade Dopinglaboratoriet vid omfattas av tillämpningsområdet för patientdatalagen (2008:355). Det är vår uppfattning att patientdatalagen är tillämplig vid den personuppgiftsbehandling som utförs vid Dopinglaboratoriet och att den behandlingen därmed inte bör omfattas av tillämpningsområdet för den föreslagna lagen om dataskydd i idrottens antidopningsarbete. Det bör i lagen införas en bestämmelse som tydliggör att den inte är tillämplig när personuppgifter behandlas hos Dopinglaboratoriet med stöd av patientdatalagen. 7.3.4Idrottens regler om personuppgiftsbehandling Bestämmelser om hur personuppgifter får behandlas i antidopningsarbetet finns inom idrotten (se vidare i avsnitt 4.5). Exempelvis innehåller Idrottens antidopingreglemente bestämmelser om dataintegritet. Även den av RF upprättade Uppförandekoden för behandling av personuppgifter inom idrottsrörelsen är här av intresse. Uppförandekoden gäller för RF samt för de föreningar och förbund som är anknutna till RF. Det kan vidare förekomma att enskilda förbund och idrottsföreningar har egna bestämmelser om hur personuppgifter får behandlas. Bestämmelserna i dataskyddsförordningen, dataskyddslagen och den föreslagna lagen om dataskydd i idrottens antidopningsarbete är alla överordnade idrottens interna regler. I händelse av kollision mellan idrottens regler och bestämmelserna i dataskyddsförordningen, dataskyddslagen eller lagen om dataskydd i idrottens antidopningsarbete tar således bestämmelserna i de sistnämnda regelverken över. Enligt vår mening behöver detta inte uttryckas särskilt i den av oss föreslagna lagen. För att undvika missförstånd bör sådana regler för behandling av personuppgifter inom idrotten som är oförenliga med dataskyddsförordningen, dataskyddslagen eller lagen om dataskydd i idrottens antidopningsarbete utmönstras. I klarhetens intresse skulle lämpligen även bestämmelser inom som är förenliga med den allmänna dataskyddsregleringen kunna mönstras ut. Sådana bestämmelser som följer av tvingande regler i världsantidopningskoden kan dock inte utmönstras. Förslag: Varje organ som omfattas av lagen ska vara personuppgiftsansvarig för den behandling av personuppgifter som organet utför i idrottens antidopningsarbete. Detta ska anges i lagen. Bedömning: Det finns inget behov av att i lagen införa bestämmelser om personuppgiftsbiträden. Vilka är personuppgiftsansvariga i antidopningsarbetet? Begreppet personuppgiftsansvar är centralt i lagstiftning om dataskydd. Den personuppgiftsansvarige är skyldig att se till att behandling av personuppgifter sker i enlighet med tillämpliga bestämmelser. Enskilda ska alltid kunna vända sig till den personuppgiftsansvarige för att göra sina rättigheter gällande. Med personuppgiftsansvarig avses enligt definitionen i artikel 4.7 i dataskyddsförordningen en fysisk eller juridisk person, myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Den personuppgiftsansvarige har en rad skyldigheter enligt förordningen. Till exempel krävs att den personuppgiftsansvarige ser till att behandlingen av personuppgifter sker på ett korrekt och säkert sätt (artikel 5.2), att oriktiga uppgifter rättas (artikel 16) och att den registrerade ersätts för skada som en rättsstridig behandling av personuppgifter har medfört (artikel 82). Det åligger vidare den personuppgiftsansvarige att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen av personuppgifter utförs i enlighet med förordningen (artikel 24). Den som behandlar personuppgifter är antingen personuppgiftsansvarig eller personuppgiftsbiträde. Enligt artikel 4.8 i dataskyddsförordningen är ett personuppgiftsbiträde en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning. Personuppgiftsbiträdet har inte inflytande över bestämmandet av personuppgiftsbehandlingens syfte och medel. Biträdet får bara behandla personuppgifter enligt instruktionerna och syftet som givits av den personuppgiftsansvarige. Ett personuppgiftsbiträde finns alltid utanför den personuppgiftsansvariges organisation. Avgörande för frågan om vem som är personuppgiftsansvarig i antidopningsarbetet handlar i hög grad om att avgöra vem som har sådan kontroll över en viss behandling att denna bör åläggas ansvaret för att ge de registrerade fullgott skydd. Bedömningen av vem som är personuppgiftsansvarig för en viss behandling ska göras med utgångspunkt i de faktiska omständigheterna i varje enskilt fall. Vi har i avsnitt 7.2.1 framfört att lagen om dataskydd i idrottens antidopningsarbete bör omfatta behandling av personuppgifter som utförs av RF samt föreningar och förbund som är anknutna till RF. Vi har också angett att lagen bör omfatta behandling som utförs av föreningar och förbund i som inte är anknutna till RF men som är anknutna till ett internationellt specialidrottsförbund som är signatär av världsantidopningskoden samt av andra signatärer av världsantidopningskoden än RF om personuppgifterna behandlas i . Vi har vidare framfört att lagen bör omfatta personuppgiftsbehandling som sker av serviceföretag som i vissa närmare angivna fall utför antidopningsarbete på uppdrag av en signatär till koden. Det står klart att RF och andra signatärer av världsantidopningskoden är att se som personuppgiftsansvariga för sin personuppgiftsbehandling i antidopningsarbetet. Enligt vår mening får även de förbund och föreningar som tillhör RF anses ha sådan kontroll över sin personuppgiftsbehandling i antidopningsarbetet att de är att se som personuppgiftsansvariga för denna behandling. Detsamma bör gälla för sådana förbund och föreningar i som inte tillhör RF men som tillhör ett internationellt specialidrottsförbund som är signatär av världsantidopningskoden. En annan fråga är vad som gäller för de serviceföretag som utför dopningskontroller på uppdrag av en signatär till världsantidopningskoden. Bedömningen av huruvida de är att se som personuppgiftsansvariga eller personuppgiftsbiträden är inte alldeles självklar. Serviceföretagen är anlitade för att utföra en dopningskontroll och inte för att utföra personuppgiftsbehandling för någon annans räkning. Däremot förutsätter naturligen uppdraget att personuppgifter behandlas. Personuppgifter lämnas också över till serviceföretaget genom att det får en tillfällig tillgång till idrottsutövarens vistelserapportering m.m. i databas . också möjlighet att föra in eller ändra information i de har tillgång till personuppgifterna. Dopningskontrollerna utförs av serviceföretagen i enlighet med reglerna i världsantidopningskoden och de tillhörande standarderna. Vidare är det uppdragsgivaren som bestämmer vilka idrottsutövare som ska dopningskontrolleras och i vilken utsträckning samt vilken form av test (blod och/eller urin) som ska lämnas. Själva personuppgiftsbehandlingen synes dock inte utföras efter anvisningar från uppdragsgivaren. Det står också serviceföretagen fritt att på egen hand samla in information om var den enskilde idrottsutövaren befinner sig, för att ta ställning till när det är lämpligt att utföra en dopningskontroll. Det anförda talar enligt vår bedömning för att det är serviceföretaget som ensamt har kontroll över hur själva dopningskontrollen ska utföras och därmed hur personuppgifterna ska behandlas i det sammanhanget. En jämförelse kan göras med inkassoföretag som hanterar inkassoärenden för indrivning för någon annans räkning. Dessa inkassoföretag är normalt personuppgiftsansvariga för det de gör i sin verksamhet. Även i sådana fall lämnar uppdragsgivare över ärenden som innehåller personuppgifter för behandling hos inkassoföretaget. Uppdraget avser dock inkassoverksamhet och inte behandling av personuppgifter. Liknande situationer kan uppstå när uppdrag lämnas till banker, advokatbyråer, rekryteringsföretag m.fl. som sköter uppdrag för annans räkning. Även dessa företag anses normalt vara personuppgiftsansvariga för behandlingen av personuppgifter i sin verksamhet. Det kan i sammanhanget påpekas att många personuppgiftsansvariga är styrda av omständigheter som helt eller delvis ligger bortom den egna kontrollen, t.ex. författningsbestämmelser, myndighetsinstruktioner, samarbetsavtal samt andra praktiska realiteter och yttre faktorer. I personuppgiftsansvaret ligger då en skyldighet att sammanjämka dessa olika krav och vidta nödvändiga åtgärder, inom de ramar som föreligger, för att på bästa sätt säkerställa att gällande personuppgiftsbestämmelser följs och leva upp till gällande åtaganden och förpliktelser (se prop. 2014/15:148 s. 34). Det ovanstående innebär enligt vår mening att serviceföretagen bör ses som personuppgiftsansvariga för sin egen behandling av personuppgifter. Enligt vår uppfattning skapar den ansvarsfördelningen totalt sett också ett bättre skydd för de registrerade än om en upp- dragsgivare som kanske inte finns i är personuppgiftsansvarig. Vi är dock medvetna om att det finns andra uppfattningar i frågan.