sou · H7B324 · 2019-06-03 00:00:00 — Vi är också medvetna om att de faktiska förhållandena kan ändras och därmed även personuppgiftsansvaret. finns det dock inget som tyder på kommande förändringar som kan påverka ansvarsfördelningen. Vad sedan gäller RF:s egna dopningskontrollfunktionärer är de visserligen inte anställda av RF, men de är auktoriserade av och fungerar i praktiken som anställda. De utför de dopningskontroller som RF bestämmer och behandlar de personuppgifter som detta arbete kräver. Det är således RF som leder och ansvarar för dopningskontrollfunktionärernas arbete. En jämförelse kan göras med inhyrda konsulter som arbetar under en kunds ledning och ansvar. Dessa konsulter anses normalt inte vara personuppgiftsbiträden utan ses som en del av den inhyrande organisationen. Enligt vår mening bör således RF:s dopningskontrollfunktionärer ses som en del av och inte som externa personuppgiftsbiträden. Enligt dataskyddsförordningen förutsätts att det finns en personuppgiftsansvarig för all behandling av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av medlemsstaternas nationella rätt, kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i medlemsstaternas nationella rätt (artikel 4.7). Förordningen ger alltså möjlighet att fastställa personuppgiftsansvaret i författning. Som framgått ovan är en rad olika organisationer inblandade i idrottens antidopningsarbete. Arbetet utförs exempelvis av såväl RF som de föreningar och förbund som är anknutna till RF. Vidare kan arbetet utföras av bl.a. internationella specialidrottsförbund, tävlingsarrangörer och serviceföretag. Det skulle av tydlighetsskäl vara lämpligt att i lagen peka ut vem som har ansvaret för den behandling av personuppgifter som sker i antidopningsarbetet. Det är också i linje med principerna om laglighet, korrekthet och öppenhet (artikel 5.1 a) att peka ut en personuppgiftsansvarig direkt i registerlagen, vilket tydliggör vem som ska hållas ansvarig för den behandling av personuppgifter som görs enligt lagen. En sådan tydlighet anses vidare vara särskilt önskvärd i antidopningsarbetet (jfr and Data Protection, An evaluation of the antidoping laws and practices in the EU Member States in light of the Protection Regulation, 2017, s. 21 och 97). Det ovan anförda talar för att personuppgiftsansvaret bör regleras särskilt i den av oss föreslagna lagen. Även den omständigheten att det i viss mån råder delade meningar om vem som är personuppgiftsansvarig i antidopningsarbetet talar för att det direkt av lagen bör framgå vem som är ansvarig. Enligt vår mening bör därför personuppgiftsansvaret regleras särskilt i den av oss föreslagna lagen. Avsikten är dock inte att regleringen ska innebära någon förändring i förhållande till vad som redan gäller enligt dataskyddsförordningen. Som en följd av våra slutsatser ovan om vilka aktörer som är personuppgiftsansvariga i antidopningsarbetet föreslår vi därför att det i lagen förs in en bestämmelse som anger att varje organ som omfattas av lagen är personuppgiftsansvarig för den behandling av personuppgifter som organet utför i idrottens antidopningsarbete. Den föreslagna bestämmelsen har främst ett pedagogiskt syfte. Den innebär att berörda organ och enskilda direkt av lagen kan se vem som är personuppgiftsansvarig i antidopningsarbetet och inte behöver gå till dataskyddsförordningen för att tolka den. Vi har ovan föreslagit att en bestämmelse om personuppgiftsansvar som motsvarar dataskyddsförordningens reglering tas in i den nya lagen. Men vi har också övervägt andra alternativ. Ett sådant alternativ är att låta RF, som utför största delen av antidopningsarbetet i , ha ett helhetsansvar för personuppgiftsbehandlingen i detta arbete. De övriga aktörerna i antidopningsarbetet består dock av självständiga juridiska personer och omfattar såväl inhemska idrottsorganisationer som internationella specialidrottsförbund, tävlingsarrangörer och privata serviceföretag. Enligt vår mening skulle det inte vara rimligt att låta RF ansvara för personuppgiftsbehandlingen hos så vitt skilda organisationer. Vi har därför inte funnit skäl att utreda denna lösning närmare. Ett annat alternativ som vi övervägt är ett delat eller gemensamt personuppgiftsansvar mellan RF och en annan organisation som är inblandad i antidopningsarbetet. Ett gemensamt personuppgiftsansvar är möjligt enligt artikel 26 i dataskyddsförordningen. skulle dock ett sådant delat ansvar kunna medföra beaktansvärda svårigheter när det gäller olika gränsdragningar. Vi har därför inte sett skäl att föreslå en sådan lösning. Vi har alltså funnit att dessa två alternativ inte är lämpliga. Vi har därför inte tagit ställning om de är helt förenliga med dataskyddsförordningens reglering. Inget behov av bestämmelser om personuppgiftsbiträden Den som är personuppgiftsansvarig är enligt dataskyddsförordningen ansvarig för all behandling av personuppgifter som utförs under den personuppgiftsansvariges ledning eller på dennes vägnar. Detta helhetsansvar innebär att ansvaret för behandlingen sträcker sig till att även omfatta den personuppgiftsbehandling som utförs av ett personuppgiftsbiträde (se skäl 74). Det förekommer att personuppgiftsbiträden anlitas i idrottens antidopningsarbete. Så kan exempelvis vara fallet när ett bolag åtar sig att utföra den tekniska driften av personuppgiftsbehandlingen för en personuppgiftsansvarigs räkning. Av artikel 29 i dataskyddsförordningen framgår att personuppgiftsbiträden och personer som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till personuppgifter, endast får behandla dessa uppgifter på instruktion från den personuppgiftsansvarige, såvida han eller hon inte är skyldig att göra det enligt unionsrätten eller medlemsstaternas nationella rätt. Om en behandling ska genomföras på en personuppgiftsansvarigs vägnar, ska den personuppgiftsansvarige endast anlita personuppgiftsbiträden som ger tillräckliga garantier om att genomföra lämpliga tekniska och organisatoriska åtgärder på ett sådant sätt att behandlingen uppfyller kraven i förordningen och säkerställer att den registrerades rättigheter skyddas (se artikel 28.1). Personuppgiftsbiträdets hantering av personuppgifter ska regleras genom avtal eller annan rättsakt som är bindande för biträdet (se artikel 28.3, som också innehåller närmare föreskrifter om vad ett sådant avtal eller en sådan bindande rättsakt ska reglera). Bestämmelserna i dataskyddsförordningen som reglerar vad som gäller när en personuppgiftsansvarig anlitar ett personuppgiftsbiträde är, enligt vår mening, tillräckliga. Något behov av att i den föreslagna lagen om dataskydd i idrottens antidopningsarbete införa bestämmelser om personuppgiftsbiträden finns därför inte. 8.1Grundläggande principer för behandling av personuppgifter Som sagts krävs det att minst en rättslig grund i artikel 6 i dataskyddsförordningen är tillämplig för att en behandling av personuppgifter ska vara laglig enligt förordningen. Det finns därutöver ett antal principer i artikel 5 i dataskyddsförordningen som ska tillämpas för all behandling av personuppgifter. Det är den personuppgiftsansvarige som ansvarar för och ska kunna visa att principerna efterlevs. För det första ska uppgifterna behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den enskilde (artikel 5.1 a). Uppgifterna ska vidare samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål (5.1 b). Uppgifterna ska också vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (5.1 c). Uppgifterna ska dessutom vara riktiga och om nödvändigt uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål (5.1 d). Personuppgifter får inte förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka uppgifterna behandlas (5.1 e). Slutligen ska uppgifterna behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna (5.1 f). Dessa grundläggande principer är tillämpliga för personuppgiftsbehandlingen inom idrottens antidopningsarbete. Även i den till världsantidopningskoden hörande internationella standarden för skydd av privatlivet och personuppgifter finns angivet vissa grundläggande krav som ska gälla vid behandling av person- uppgifter i antidopningsarbetet. Standarden är tvingande för signatärerna av världsantidopningskoden och ska tillämpas utom i de fall den bryter mot gällande lagstiftning. I artikel 5.1 i standarden anges att signatärerna endast ska behandla personuppgifter när det är relevant för att utföra ett antidopningsarbete enligt världsantidopningskoden och de internationella standarderna som tillhör koden, eller det annars krävs i författning. Behandling får inte ske om den strider mot tillämplig dataskyddslagstiftning. I artikel 5.2 anges att personuppgifter som är irrelevanta eller onödiga i antidopningsarbetet inte ska behandlas. Vidare framgår av artikel 5.3 att signatärerna endast får behandla personuppgifter som är lämpliga och relevanta när de utför visst närmare angivet antidopningsarbete. Enligt artikel 5.4 ska behandlingen vara rättvis och de uppgifter som behandlas vara korrekta, kompletta och uppdaterade. I artikel 8.1 anges att personuppgifter inte ska lämnas ut till andra aktörer i antidopningsarbetet om det inte är nödvändigt för att mottagaren ska kunna uppfylla sina åtaganden enligt världsantidopningskoden. Det finns således ett antal generella principer och bestämmelser om hur personuppgifter får behandlas som aktörerna inom idrottens antidopningsarbete har att tillämpa, utöver de som kommer att framgå direkt av vår föreslagna lag om dataskydd i idrottens antidopningsarbete. Förslag: Personuppgifter får samlas in och i övrigt behandlas i idrottens antidopningsarbete om det är nödvändigt för att 1.handlägga ansökningar om medicinsk dispens, 2.planera, koordinera och administrera vistelserapporteringar, 3.planera, koordinera och handlägga dopningskontroller, 4.handlägga ärenden om dopningsförseelser, och 5.inhämta, bearbeta, analysera och delge information som gäller möjliga förseelser mot världsantidopningskoden. Endast RF får behandla personuppgifter enligt första stycket 5. Andra organ som lagen är tillämplig på får dock behandla personuppgifter om det är nödvändigt för att tillhandahålla information som RF behöver i sin verksamhet enligt första stycket 5. Det är en allmän dataskyddsrättslig princip att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Så anges också i artikel 5.1 b i dataskyddsförordningen. Där anges vidare att de insamlade uppgifterna inte senare får behandlas på ett sätt som är oförenligt med dessa ändamål. Det sistnämnda kallas för finalitetsprincipen. Finalitetsprincipen medför att det är väsentligt att alla de ändamål för vilka man kan tänkas behöva använda de insamlade uppgifterna finns angivna redan då uppgifterna samlas in. Något hinder mot att ange flera ändamål vid insamlingen finns inte. Enligt bestämmelsen i artikel 5.1 b ska dock behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 inte anses vara oförenlig med de ursprungliga ändamålen. Med behandling avses i detta sammanhang varje typ av åtgärd eller kombination av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatiserad väg eller inte, t.ex. insamling, registrering, organisering, bearbetning, utlämnande genom översändande, spridning eller tillhandahållande på annat sätt, utplåning eller förstöring (se artikel 4.2 i dataskyddsförordningen). Det är den personuppgiftsansvarige som bestämmer ändamålen för personuppgiftsbehandlingen. Ändamålen kan dock även bestämmas av medlemsstaternas nationella rätt (jfr artikel 4.7 i förordningen). Det är i registerförfattningar vanligt förekommande att lagstiftaren anger för vilka ändamål personuppgifter får behandlas. Regeringen har, bl.a. i motiven till studiestödsdatalagen (2009:287), angett att det i en speciallag som riktar sig mot en särskilt angiven verksamhet faller sig naturligt att direkt i lagen ange för vilka ändamål personuppgifter får behandlas på det mer avgränsade området lagen avser att täcka (se prop. 2008/09:96 s. 40). Ändamålsbestämmelser kan sägas anpassa tillämpningen av dataskyddsförordningen och säkerställa en laglig och rättvis behandling. Sådana bestämmelser är enligt artikel 6.2 och 6.3 i förordningen tillåtna i nationell rätt. Enligt artikel 23.2 a ska dessutom lagstiftning som begränsar tillämpningsområdet för förordningens rättigheter och skyldigheter innehålla specifika ändamålsbestämmelser, när så är relevant. Dataskyddsförordningen ger alltså utrymme för att ha bestämmelser om tillåtna ändamål i nationella registerförfattningar. Oavsett om ändamålen fastställts i författning eller inte är det dock alltid den personuppgiftsansvarige som ansvarar för och ska kunna visa att principerna i artikel 5.1 följs (se artikel 5.2). Bestämmelser i lagen som anger ändamålen för den tillåtna behandlingen innebär att ramen för behandlingen av personuppgifter fastställs av . Uttryckliga ändamålsbestämmelser ger vidare möjlighet att på ett övergripande plan balansera intresset av personuppgiftsbehandling i antidopningsarbetet mot det intrång i den personliga integriteten som denna behandling kan innebära. Ändamålsbestämmelser har också den fördelen att de utgör en precisering av den rättsliga grunden (jfr artikel 6.3). Bestämmelser i lagen som anger ändamålen med behandlingen innebär således i sig en skyddsåtgärd. Enligt vår mening bör den lag vi föreslår innehålla ändamålsbestämmelser. Avgränsningen av de ändamål för vilka personuppgifter får behandlas i idrottens antidopningsarbete är alltså av stor betydelse när det gäller skyddet för den personliga integriteten. De tillåtna ändamålen för behandling av personuppgifter bör därför i lagen preciseras så noga som möjligt. En alltför allmänt och vagt hållen ändamålsbeskrivning är inte tillräcklig. Ett oprecist ändamål ger nämligen inga ramar för personuppgiftsbehandlingen, vilket kan sätta integritetsskyddet ur spel. Det ligger dock i sakens natur att när ändamål regleras i författning måste dessa formuleras ganska generellt. Bestämmelserna bör inte heller utformas på ett sätt som utgör ett onödigt hinder vid förändring av antidopningsverksamheten. En balans behöver därför uppnås mellan dessa olika intressen. Vi har tidigare funnit att den rättsliga grunden för behandlingen av personuppgifter i idrottens antidopningsarbete är att den är nödvändig för att utföra en uppgift av allmänt intresse (se avsnitt 6.1). Enligt artikel 6.1 e i dataskyddsförordningen är sådan behandling laglig endast om behandlingen är nödvändig. Begreppet nödvändig används i 2 kap. 1 och 2 §§ dataskyddslagen. Begreppet används också i andra registerförfattningar som kompletterar dataskyddsförordningen, exempelvis kriminalvårdsdatalagen (2018:1235, se övervägandena i prop. 2017/18:248 s. 22). De tillåtna ändamålen för behandling av personuppgifter i våra förslag bör därför avgränsas till sådan behandling som är nödvändig för att utföra vissa uppgifter. Kravet på nödvändighet bör tolkas som att det är fråga om en behandling som behövs för att på ett effektivt sätt kunna utföra arbetsuppgiften. I kravet på nödvändighet ligger att personuppgifter inte får behandlas om syftet med behandlingen kan uppnås med andra medel, t.ex. genom att anonymisera uppgifterna (se prop. 2017/18:232 s. 117). Nedan följer en närmare beskrivning av de ändamål för vilka personuppgifter bör få behandlas enligt våra förslag. Förslagen täcker in de ändamål för vilka personuppgifter behöver samlas in och behandlas för att arbetet enligt världsantidopningskoden och de tillhörande standarderna ska kunna utföras. Det är naturligtvis viktigt att de behandlingar som ändamålsbestämmelserna öppnar för utförs i enlighet med bestämmelserna i dataskyddsförordningen. Lagrådet har uttalat att personuppgiftsbehandling för planering, uppföljning och utvärdering av verksamhet är en sådan integrerad del av själva verksamheten att den inte behöver regleras särskilt (se t.ex. prop. 2004/05:164 s. 179 och prop. 2009/10:85 s. 116). Behandling för dessa ändamål faller därmed in under de ändamålsbestämmelser som tar sikte på själva kärnverksamheten. Ändamålsbestämmelserna är fakultativa i den meningen att de reglerar vad aktörerna i antidopningsarbetet får göra. Syftet med ändamålsbestämmelserna är alltså att ange en yttersta ram för när personuppgifter får samlas in och fortsättningsvis behandlas med stöd av lagen om dataskydd i idrottens antidopningsarbete och dataskyddsförordningen. De angivna ändamålen är vidare uttömmande i den meningen att de olika aktörerna som omfattas av lagen inte själva får besluta om ytterligare ändamål för vilket eller vilka personuppgifter ska samlas in i verksamheten. Vår utgångspunkt har varit att utforma ändamålsbestämmelserna så att de ska vara tillräckligt preciserade för att uppfylla kraven i dataskyddsförordningen. Vi har vid utformningen av varje ändamålsbestämmelse beaktat kraven på proportionalitet i artikel 6.3 andra stycket sista meningen. Bestämmelserna är även i övrigt utformade på ett sådant sätt som stämmer överens med dataskyddsförordningens krav och utgör tillåten nationell lagstiftning i enlighet med artikel 6.2 och 6.3. Handlägga ansökningar om medicinsk dispens För att en idrottsutövare som av medicinska skäl måste ta dopningsklassade läkemedel ska kunna utöva sin idrott finns det möjlighet att ansöka om dispens från dopningsreglerna. Bestämmelser om ansökan om medicinsk dispens finns i artikel 4.4 i världsantidopningskoden och i artikel 4.4 i Idrottens antidopingreglemente. Bestämmelser om handläggning av en dispensansökan finns även i den internationella standarden för medicinsk dispens. För att få medicinsk dispens måste en idrottsutövare kunna styrka sitt behov av den förbjudna substansen eller preparatet. Förutom bl.a. namn och kontaktuppgifter behöver därför ett utförligt medicinskt underlag fogas till en ansökan om medicinsk dispens. Således kommer en rad personuppgifter att behandlas när en ansökan om medicinsk dispens från dopningsreglerna ska hanteras. En idrottsutövare på internationell nivå ska ansöka om dispens hos sitt internationella specialidrottsförbund. Det internationella specialidrottsförbundet kan ta hjälp av ett serviceföretag för att handlägga ansökningen. En idrottsutövare som inte tävlar på internationell nivå ska ansöka om dispens hos sin nationella antidopningsorganisation. I handlägger RF ansökningar om medicinsk dispens. Beslut om idrottsutövaren ska erhålla dispens eller inte fattas inom RF av den av tillsatta (se avsnitt 3.3.2). Beslut av att avslå en ansökan får överklagas till . beviljat en medicinsk dispens gäller den endast på nationell nivå. För att dispensen ska gälla även vid tävling på internationell nivå krävs antingen att ett internationellt specialidrottsförbund har tillkännagett att förbundet automatiskt erkänner sådan dispens, alternativt att idrottsutövaren ansöker om att det internationella specialidrottsförbundet erkänner dispensen. har rätt att överpröva beslut om medicinsk dispens. beslut kan överklagas till The Court of Arbitration for Sport (). Enligt världsantidopningskoden kan även en tävlingsarrangör som är signatär av koden kräva att en idrottsutövare ansöker om medicinsk dispens direkt av arrangören om idrottsutövaren vill ha dispens från dopningsreglerna vid en viss större tävling. Alla beslut om att bevilja eller avslå en begäran om medicinsk dispens ska göras tillgängliga för och andra signatärer via databas eller ett annat av godkänt system. Vid en beviljad dispens ska informationen omfatta bl.a. den tillåtna substansen eller metoden, dosering och dispensens giltighetstid. Artikel 9.3 i den internationella standarden för medicinsk dispens innehåller krav på att en ansökan om medicinsk dispens ska behandlas konfidentiellt. I artikel 9.5 anges att information som lämnas av en idrottsutövare vid en ansökan om medicinsk dispens endast får användas för att utvärdera ansökan och för att utreda en misstänkt förseelse mot dopningsreglerna. För att hantera en ansökan om medicinsk dispens i enlighet med bestämmelserna i världsantidopningskoden och den tillhörande standarden krävs att de personuppgifter som lämnas i ärendet får behandlas. Personuppgifter bör således få behandlas i antidopningsarbetet för ändamålet att handlägga idrottsutövares ansökningar om dispens från dopningsreglerna. Häri innefattas all behandling som sker under handläggningen, såsom diarieföring, kommunicering, protokollföring, sökning efter relevant praxis och upprättande av beslut och expediering. Även den behandling som sker när information om beslutet lämnas ut till andra signatärer enligt bestämmelserna i världsantidopningskoden och den tillhörande internationella standarden omfattas. Planera, koordinera och administrera vistelserapporteringar Vistelserapportering utförs av de idrottsutövare som uppnår en så pass hög idrottslig prestationsnivå att de regelbundet bör dopningstestas. Syftet är att dopningskontroller ska kunna planeras så att de utförs under rätt tidsperiod med hänsyn till de olika idrotternas individuella krav baserade på tränings- och tävlingscykler. Vistelserapporteringen anses också ha ett preventivt och avskräckande syfte genom att idrottsutövarna vet om att dopningskontrollfunktionärer kan söka upp dem när och var som helst. Bestämmelser om idrottsutövares vistelserapportering finns i artikel 5.6 i världsantidopningskoden, artikel 5.6 i Idrottens antidopingreglemente samt i den internationella standarden för dopningskontroll och utredning. Det är internationella specialidrottsförbund eller nationella antidopningsorganisationer som bestämmer vilka idrottsutövare som ska vistelserapportera. Dessa organ ska, via eller ett annat system som godkänts av , tillhandahålla en lista över vilka idrottsutövare som ska vistelserapportera antingen med angivande av namn eller med klart definierade, specifika krav. Idrottsutövare ska informeras om att de har valts ut för vistelserapportering. RF har nationellt fastställda kriterier för vilka idrottsutövare som ska vistelserapportera. Ca 230 idrottsutövare vistelserapporterar individuellt i . Namn på de idrottsutövare som vistelserapporterar publiceras på de internationella specialidrottsförbundens respektive RF:s hemsida. Nationella specialidrottsförbund är skyldiga att meddela vilka idrottsutövare som enligt ett internationellt specialidrottsförbund ska vistelserapportera. De nationella specialidrottsförbunden ska också på begäran av lämna person- och adressuppgifter till idrottsutövare som ska vistelserapportera (se artikel 2.3 i RF:s föreskrifter för nationell antidopingverksamhet). En vistelserapport ska lämnas in kvartalsvis och innehålla uppgifter om idrottsutövarens identitet, idrottsliga anknytning, vistelseuppgifter för en 60-minutersperiod , kontinuerligt återkommande aktiviteter såsom träning och arbete, var idrottsutövaren sover samt tävlingsaktivitet. Vistelserapporteringen sker direkt i datasystem och blir tillgänglig för de organ som har rätt att dopningstesta idrottsutövaren. Om ett serviceföretag ska utföra ett dopningstest får företaget tillfällig tillgång till uppgifterna. Insamlad vistelseinformation ska enligt artikel 5.6 i världsantidopningskoden behandlas strikt konfidentiellt och får endast användas för planering, koordinering och genomförande av dopningskontroller samt för att utreda en eventuell förseelse mot dopningsreglerna.