sou · H7B324 · 2019-06-03 00:00:00 — Bland de omständigheter som ska beaktas är kopplingar mellan de ändamål för vilka personuppgifterna har samlats in och de nya ändamålen, det sammanhang som personuppgifterna har samlats in i, särskilt förhållandet mellan den registrerade och den personuppgiftsansvarige, och personuppgifternas art, särskilt om det är fråga om känsliga personuppgifter. Vidare ska konsekvenserna för den enskilde av den planerade fortsatta behandlingen beaktas. Som tidigare angetts ska dock enligt artikel 5.1 b inte ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 anses vara oförenlig med de ursprungliga ändamålen. Det krävs enligt dataskyddsförordningen inte någon ny rättslig grund än den med stöd av vilken insamling av personuppgifter medgavs för att ytterligare behandling av personuppgifter av samma personuppgiftsansvarig ska vara tillåten (se skäl 50). Ett utlämnande av personuppgifter till brottsbekämpande myndigheter kan således, precis som insamlandet, ske med stöd av den rättsliga grunden allmänt intresse (artikel 6.1 e i förordningen). Det är dock enligt vår bedömning tveksamt om uppgifter rörande misstänkt dopningsrelaterad brottslighet som har samlats in i RF:s underrättelseverksamhet kan lämnas ut till eller för vidare behandling där med stöd av finalitetsprincipen. Visserligen får det anses finnas kopplingar mellan ändamålet att inhämta, bearbeta, analysera och delge information som gäller möjliga förseelser mot världsantidopningskoden och ändamålet att förebygga, förhindra eller upptäcka brottslig verksamhet enligt polisens brottsdatalag eller lagen (2018:1694) om behandling av personuppgifter inom brottsdatalagens område. Dock kan det vara fråga om utlämnande av känsliga personuppgifter om exempelvis hälsa och konsekvenserna för den enskilde vid en fortsatt behandling hos eller kan vara stora. På samma sätt förhåller det sig enligt vår mening vid ett utlämnande av personuppgifter som hos RF behandlas för att handlägga ärenden om dopningsförseelser till för att där behandlas för att utreda eller lagföra brott. Sammanfattningsvis menar vi att det är tveksamt om personuppgifter som behandlas i antidopningsarbetet kan lämna ut till de brottsbekämpande myndigheterna med stöd av finalitetsprincipen. Om sådant uppgiftslämnande bör vara möjligt, måste man alltså överväga en annan lösning. Det finns ett stort samhälleligt intresse av att bekämpa dopningen, inte bara inom idrotten. Förutom de argument mot dopning av etiskt slag som förekommer inom idrotten finns även hälsorisker med att använda dopningsmedel. Det har vidare i forskningen pekats på samband mellan användning av anabola androgena steroider och aggressivitet, våld och kriminalitet. I flera studier har man också sett ett samband mellan dopningsbruk och andra så kallade riskbeteenden som till exempel alkohol- och narkotikamissbruk (se t.ex. Dopning utanför idrotten – individualisering och muskulösa skönhetsideal, , volym 4, 2013, s. 2). Det är angeläget med ett aktivt engagemang för att motverka spridningen av dopning i olika former och i olika sammanhang. Ett av statens folkhälsopolitiska mål är ett samhälle fritt från narkotika och dopning. har också genom att underteckna konvention mot dopning åtagit sig ett ansvar för att genom exempelvis lagstiftning bekämpa bruket av dopningsmedel (se artikel 5). Enligt lagen (1991:1969) om förbud mot vissa dopningsmedel (dopningslagen) kan den som innehar eller på andra angivna sätt hanterar dopningsmedel dömas för dopningsbrott till fängelse i högst . Vid ringa brott döms till böter eller fängelse . Om brottet är att anse som grovt döms för grovt dopningsbrott till fängelse i lägst och högst . Att smuggla in något preparat som omfattas av dopningslagen är ett brott enligt lagen (2000:1225) om straff för smuggling och kan leda till böter eller fängelse i högst . Om ett smugglingsbrott är anse som grovt, döms för grov smuggling till fängelse i lägst och högst . I förarbetena till dopningslagen konstateras att användandet av dopning, som tidigare främst förekommit bland elitidrottare, spritt sig till idrottsutövare och kroppsbyggare på motionsnivå (se prop. 1990/91:199 s. 5). Att dopningen numera är mer av ett samhällsproblem än ett problem endast för den egentliga idrottsrörelsen har därefter konstaterats vid ett flertal tillfällen (se t.ex. SOU 2008:120 s. 138 f., SOU 2011:10 s. 95 ff. och , Dopning i samhället, 2011, s. 3 ff.). Enligt världsantidopningskodens standarder förutsätts att information om dopningsrelaterad brottslighet lämnas ut från idrotten till rättsvårdande myndigheter. I artikel 11.4.2 i den internationella standarden för dopningskontroll och utredning anges att signatärerna ska utveckla och införa procedurer för att kunna utbyta underrättelseinformation med bl.a. rättsvårdande myndigheter om informationen tyder på att ett brott har begåtts. Vidare anges i artikel 8.3 c i den internationella standarden för skydd av privatlivet och personuppgifter att personuppgifter får lämnas ut till rättsvårdande myndigheter om det är nödvändigt för att upptäcka, utreda och lagföra brott och de lämnade uppgifterna är relevanta och inte på något annat rimligt sätt kan hämtas in av myndigheterna. Det är i andra länder vanligt förekommande med ett tätt samarbete mellan den nationella antidopningsorganisationen och rättsvårdande myndigheter. De nationella antidopningsorganisationerna inom EU är i de flesta fall skyldiga att informera rättsvårdande myndigheter om misstänkt brottslighet (se utvärdering, Anti-doping and Data Protection, An evaluation of the anti-doping laws and practices in the EU Member States in light of the Protection Regulation, 2017, s. 65 och 76). har också på internationell nivå tecknat samarbetsavtal med polisorganisationen . Syftet med avtalet är bl.a. att underlätta utbyte av information på antidopningsområdet. Det finns ingen allmän skyldighet att underrätta brottsbekämpande myndigheter om misstankar om brott. I skäl 50 till dataskyddsförordningen anges dock att om den personuppgiftsansvarige anmäler möjliga brott och därmed överför personuppgifter till en behörig myndighet, ska detta betraktas som att den personuppgiftsansvarige agerar i ett berättigat intresse. Det anförda talar för att personuppgifter som behövs för att utreda dopningsrelaterad brottslighet bör kunna få lämnas ut från aktörerna inom antidopningsarbetet till de myndigheter som har att bekämpa den aktuella brottsligheten, dvs. Vi föreslår att det i lagen om dataskydd i idrottens antidopningsarbete införs en sådan möjlighet. En sekundär ändamålsbestämmelse som gör det möjligt att lämna ut personuppgifter som behandlas i antidopningsarbetet till dessa myndigheter bör enligt vår mening inte begränsas till personuppgifter som i antidopningsarbetet behandlas för något särskilt ändamål. I praktiken torde dock de utlämnande uppgifterna ha samlats in och behandlats för ändamålet att inhämta, bearbeta, analysera och delge information som gäller möjliga förseelser mot världsantidopningskoden (10 § punkten 5) eller för att handlägga ärenden om dopningsförseelser (punkten 4). Den föreslagna bestämmelsen öppnar en möjlighet för RF och andra aktörer inom idrottens antidopningsarbete att lämna ut uppgifter om misstänkt dopningsrelaterad brottslighet. Det är dock inte fråga om någon uppgiftsskyldighet. Det förhållandet att uppgifter får behandlas påverkar inte heller de bestämmelser som gäller om sekretess. Se vidare om sekretessfrågorna i avsnitt 12. Det förekommer att registerförfattningar innehåller en uttrycklig hänvisning till finalitetsprincipen, även om principen gäller direkt enligt dataskyddsförordningen. Det är svårt att förutse i vilka situationer finalitetsprincipen alls skulle kunna komma att aktualiseras inom idrottens antidopningsarbete. Vi har därför kommit till slutsatsen att det saknas behov av att särskilt reglera principen i vår lag. Bestämmelserna i dataskyddsförordningen gäller hur som helst genom lagens hänvisning till förordningen. Om den situationen skulle uppstå där ett utlämnande av personuppgifter till någon aktör som inte omfattas av den föreslagna lagen skulle behöva övervägas, kan således ett sådant utlämnande vara möjligt förutsatt att det inte är oförenligt med de ändamål för vilka uppgifterna samlades in. Vi har vidare övervägt om det skulle finnas anledning att i lagförslaget införa begränsningar av tillämpningen av finalitetsprincipen, t.ex. att den bara skulle få tillämpas för uppgifter som hämtats in för vissa ändamål. Vi har dock inte sett att det finns skäl att införa några sådana begränsningar. 8.4Överföring av personuppgifter till tredjeland Bedömning: Överföring av personuppgifter till tredjeland kan ske med stöd av bestämmelserna i dataskyddsförordningen. Några särskilda bestämmelser härom behöver därmed inte tas in i den förslagna lagen. I idrottens antidopningsarbete förs personuppgifter regelbundet in i databas (). De uppgifter som har registrerats i kan nås av andra aktörer i antidopningsarbetet som getts behörighet till det. Exempelvis kan en vistelserapport avseende en viss idrottsutövare nås av såväl dennes internationella specialidrottsförbund som dennes nationella antidopningsorganisation. Databasen är belägen i där har sitt högkvarter. Genom att föra in personuppgifter i databas sker en överföring av personuppgifter till ett land utanför EU/EES, ett s.k. tredjeland. Inom antidopningsarbetet kan det även förekomma att personuppgifter lämnas ut till andra aktörer på andra sätt än via . Mottagarna kan vara exempelvis internationella specialidrottsförbund eller tävlingsarrangörer som är etablerade i länder utanför EU/EES, dvs. Bestämmelser om under vilka förutsättningar personuppgifter får föras över till tredjeland och internationella organisationer finns i kapitel V i dataskyddsförordningen. Här anges att personuppgifter får föras över till ett tredjeland om har beslutat att landet säkerställer en adekvat skyddsnivå för uppgifterna (artikel 45). Om ett sådant beslut saknas, får personuppgifter endast föras över till tredjeland efter att lämpliga skyddsåtgärder har vidtagits (artikel 46). Om det inte finns något beslut om adekvat skyddsnivå eller vidtagna lämpliga skyddsåtgärder, kan en överföring till ett tredjeland vara möjlig om den är nödvändig av viktiga skäl som rör allmänintresset (artikel 49.1 d). Detta gäller dock endast under förutsättning att allmänintresset är erkänt i unionsrätten eller i den nationella rätt som den som är personuppgiftsansvarig omfattas av (artikel 49.4). finns beslut från kommissionen om att 12 länder utanför EU säkerställer en adekvat skyddsnivå för överförda uppgifter, däribland . När det gäller har kommissionen beslutat att landet säkerställer en adekvat skyddsnivå endast om landets lagstiftning för skydd av personuppgifter i privat sektor är tillämplig på mottagarens personuppgiftsbehandling. Den aktuella lagstiftningen är gällande för (se kommissionens utvärdering, s. 93). Överföring av personuppgifter till via uppfyller därmed förordningens krav på en tredjelandsöverföring enligt artikel 45. Som tidigare framkommit anges i skäl 112 till dataskyddsförordningen att internationella utbyten av uppgifter för att minska och/eller undanröja dopning inom idrott som exempel på ett viktigt allmänintresse. När det gäller överföring av personuppgifter till ett tredjeland som inte av kommissionen har bedömts säkerställa en adekvat skyddsnivå kan därmed undantaget i artikel 49.1 d i dataskyddsförordningen tillämpas. Detta undantag är, liksom övriga undantag i samma artikel, direkt tillämpligt. Överföring till tredjeland av personuppgifter kan därmed ske i antidopningsarbetet även om det inte finns något beslut om adekvat skyddsnivå enligt artikel 45 eller lämpliga skyddsåtgärder enligt artikel 46 i dataskyddsförordningen. Personuppgifter kan alltså överföras till tredjeland inom ramen för idrottens antidopningsarbete med direkt stöd av bestämmelserna i dataskyddsförordningen. Någon särskild reglering härom behöver därför inte föras in i den föreslagna lagen. Förslag: Endast sådana känsliga personuppgifter som rör hälsa, genetiska uppgifter eller biometriska uppgifter för att entydigt identifiera en fysisk person får behandlas med stöd av artikel i dataskyddsförordningen. Dataskyddsförordningen innehåller ett principiellt förbud mot att behandla vissa särskilda kategorier av personuppgifter. Enligt artikel 9.1 är behandling av uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning förbjuden. De här angivna uppgifterna benämns i det följande känsliga personuppgifter. Artikel 9.1 i förordningen omfattar nya kategorier av uppgifter jämfört med motsvarande bestämmelse dataskyddsdirektiv. Tillägget av genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person utgör en utvidgning jämfört med den tidigare ordningen. Dataskyddsförordningens förbud mot behandling av känsliga personuppgifter kompletteras i artikel 9.2 av ett antal undantag som tillåter sådan behandling i vissa fall. Om den registrerade uttryckligen har lämnat sitt samtycke till behandling av sådana personuppgifter för ett eller flera specifika ändamål så får uppgifterna behandlas (9.2 a). Vidare får känsliga personuppgifter behandlas bl.a. om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse som har sin grund i unionslagstiftningen eller i en medlemsstats nationella lagstiftning (). Det sistnämnda undantaget gäller under förutsättning att den lagstiftning som ger stöd för behandlingen står i proportion till det eftersträvade syftet, är förenlig med det väsentliga innehållet i rätten till dataskydd och innehåller bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Dessa krav måste således vara uppfyllda för att undantaget ska vara tillämpligt. Vi har i avsnitt 6.2 funnit att det undantag som främst aktualiseras i idrottens antidopningsarbete är det som anges i artikel . Dataskyddslagen innehåller en generellt tillämplig bestämmelse om myndigheters behandling av känsliga personuppgifter i vissa fall (3 kap. 3 § första stycket). Bestämmelsen har sin grund i dataskyddsförordningens bestämmelse om behandling som är nödvändig med hänsyn till ett viktigt allmänt intresse. Enligt bestämmelsen får känsliga personuppgifter behandlas av en myndighet med stöd av artikel i dataskyddsförordningen (1) om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, (2) om behandlingen är nödvändig för handläggningen av ett ärende eller (3) i annat fall, om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Den angivna bestämmelsen i dataskyddslagen är alltså endast tillämplig för myndigheter och kan inte tillämpas inom idrottens antidopningsarbete. Behandling av känsliga personuppgifter i antidopningsarbetet I antidopningsverksamheten behandlas en del känsliga personuppgifter. Dessa avser i första hand uppgifter om idrottsutövares hälsa. Med uppgifter om hälsa avses i dataskyddsförordningen personuppgifter som rör en fysisk persons fysiska eller psykiska hälsa, inbegripet tillhandahållande av hälso- och sjukvårdstjänster, vilka ger information om dennes hälsostatus (artikel 4.15). Hälsouppgifter omfattar i dataskyddssammanhang alla aspekter av en persons hälsa, till exempel uppgifter som kommer från tester eller undersökningar samt uppgifter om sjukdomshistoria och funktionshinder. Känsliga personuppgifter som rör hälsa behandlas exempelvis vid handläggning av ansökningar om medicinsk dispens från dopningsreglerna, vid handläggning av dopningskontroller och vid handläggning av ärenden om dopningsförseelser. Även känsliga personuppgifter i form av genetiska och biometriska uppgifter kan behandlas i antidopningsarbetet. Med genetiska uppgifter avses i dataskyddsförordningen alla personuppgifter som rör nedärvda eller förvärvade genetiska kännetecken för en fysisk person, vilka ger unik information om denna fysiska persons fysiologi eller hälsa och vilka framför allt härrör från en analys av ett biologiskt prov från den fysiska personen i fråga (artikel 4.13). Det handlar framför allt om information som kan tas fram vid dna-analyser, men även motsvarande information som tas fram genom andra analyser omfattas (se prop. 2017/18:232 s. 150). Med biometriska uppgifter avses personuppgifter som erhållits genom en särskild teknisk behandling som rör en fysisk persons fysiska, fysiologiska eller beteendemässiga kännetecken och som möjliggör eller bekräftar identifieringen av denna fysiska person, såsom ansiktsbilder eller fingeravtrycksuppgifter (artikel 4.14). alltså vid mätning av fysiska karaktärsdrag hos den som ska identifieras. Vid identifieringen kan t.ex. blodkärl och dna användas (se prop. 2017/18:269 s. 153). I utvärdering av antidopningsarbetet anges att biometriska uppgifter behandlas i idrottsutövares biologiska pass (se s. 103). För att behandling av känsliga personuppgifter ska få ske med stöd av artikel i dataskyddsförordningen ställs särskilda krav på det rättsliga stödet. Detta måste, som angetts ovan, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande intressen. För att känsliga personuppgifter ska få behandlas i idrottens antidopningsarbete krävs alltså att den nationella rätten innehåller olika former av bestämmelser som skyddar den enskildes integritet. Den lag om dataskydd i idrottens antidopningsarbete som vi föreslår kommer att innehålla skyddsåtgärder i form av ändamålsbestämmelser, åtkomstbegränsningar (se avsnitt 11.2) m.m. Enligt vår bedömning är dessa skyddsåtgärder i sig tillräckliga för att tillåta en behandling av känsliga personuppgifter. En ytterligare skyddsåtgärd skulle dock kunna bestå i en bestämmelse i lagen som begränsar möjligheten att behandla känsliga personuppgifter i antidopningsarbetet. En sådan begränsning skulle understryka förordningens krav på proportionalitet och uppgiftsminimering och motverka en alltför vidlyftig behandling av känsliga personuppgifter. Bestämmelser om begränsning av behandling av känsliga personuppgifter utgör sådana specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen som är tillåtna enligt artikel 6.2 och 6.3 i förordningen. I skäl 10 i dataskyddsförordningen anges också att medlemsstaternas handlingsutrymme att specificera sina bestämmelser även gäller för behandling av känsliga personuppgifter. Det finns i registerförfattningarna exempel på ett antal olika sätt att inskränka rätten att behandla känsliga personuppgifter. Som vi ser det skulle inskränkningar i möjligheten att behandla känsliga personuppgifter i idrottens antidopningsarbete kunna göras på ett eller flera av följande sätt: –Ett generellt skärpt krav för behandlingen införs. –Endast vissa slags känsliga personuppgifter får behandlas. –Behandling får bara ske för vissa specifika ändamål. Ett tänkbart sätt att begränsa möjligheterna att i antidopningsarbetet använda sig av känsliga personuppgifter skulle kunna vara att införa ett generellt skärpt krav för behandlingen. Det förekommer i registerförfattningar att behandling av känsliga personuppgifter får ske om den inte innebär ett otillbörligt intrång i den registrerades personliga integritet, se t.ex. 13 § lagen (1993:792) om tillstånd att utfärda vissa examina. Ett sådant rekvisit har också förts in i 3 kap. 3 § första stycket 3 dataskyddslagen. Kravet har här till syfte att motverka att känsliga personuppgifter behandlas slentrianmässigt i den löpande verksamheten. För att avgöra om intrånget är otillbörligt måste en proportionalitetsbedömning göras där behovet av att utföra behandlingen viktas mot de registrerades intresse av att behandlingen inte sker. Ju mindre tydligt behovet av att behandla uppgifterna är, desto större är sannolikheten för att de registrerades intresse typiskt sett väger tyngre och att intrånget därför bör betraktas som otillbörligt (se prop. 2017/18:105 s. 89). Ett annat, möjligen enklare uttryckt generellt krav, skulle kunna vara att behandling av känsliga personuppgifter endast får ske om det är absolut nödvändigt. Begreppet används i 2 kap. 11 § andra stycket brottsdatalagen och i till brottsdatalagen kompletterande lagar. Begreppet används även i 5 § kriminalvårdsdatalagen och i 14 § utlänningsdatalagen (2016:27). Rekvisitet har till syfte att visa att känsliga personuppgifter ska behandlas restriktivt och att behovet av att behandla sådana uppgifter måste prövas särskilt noga (se t.ex. prop. 2017/18:269 s. 296). Rekvisitet absolut nödvändigt har dock kritiserats för att vara svårt att skilja från begreppet nödvändigt och har därför ansetts kunna leda till begreppsförvirring. I förarbetena till dataskyddslagen instämde regeringen i denna kritik och anförde att användningen av olika rekvisit, vars närmare innebörd i förhållande till varandra inte är uppenbar, skulle kunna leda till vissa tillämp- Att en bestämmelse är avsedd att användas restriktivt kan i stället markeras genom ett snävt tillämpningsområde (se prop. 2017/18:105 s. 88 f.). Det finns ett antal typer av känsliga personuppgifter som det inte alls finns anledning att behandla i idrottens antidopningsarbete. Dessa är uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening och uppgifter om en fysisk persons sexualliv eller sexuella läggning. Behandling av dessa kategorier av uppgifter kan inte sägas vara nödvändig med hänsyn till det viktiga allmänna intresset av en dopningsfri idrott. Inte heller kan det anses vara proportionerligt i förhållande till syftet med den föreslagna lagen att med stöd av artikel i dataskyddsförordningen tillåta behandling av dessa typer av personuppgifter. Ett lämpligare sätt att begränsa tillämpningsområdet för känsliga personuppgifter i antidopningsarbetet än genom ett generellt skärpt krav skulle därför kunna vara att över huvud taget förbjuda behandling av dessa typer av uppgifter. Liknande begränsningar har förts in i ett antal registerförfattningar, se t.ex. 9 § lagen (2006:469) om behandling av personuppgifter vid Inspektionen för arbetslöshetsförsäkringen och 1 kap. 7 § lagen (2018:1180) om flygpassageraruppgifter i brottsbekämpningen. Det är vår uppfattning att en bestämmelse som över huvud taget inskränker rätten att behandla vissa typer av känsliga personuppgifter på ett enkelt sätt tydliggör vilka uppgifter som det alls finns anledning att behandla i antidopningsarbete och därmed förenklar för tillämparen. Vi föreslår därför att en sådan bestämmelse förs in i lagen. RF och de andra organen i antidopningsarbetet kan visserligen inte påverka vilka uppgifter som lämnas till dem, exempelvis i form av tips i underrättelsearbetet. Aktörerna inom antidopningsarbetet är dock inga myndigheter och faller därmed inte under bestämmelserna i offentlighets- och sekretesslagen (2009:400) eller förvaltningslagen (2017:900) om hur allmänna handlingar ska hanteras, exempelvis genom krav på diarieföring. För det fall sådana känsliga personuppgifter som enligt vårt förslag inte ska få behandlas, skulle lämnas in till RF får uppgifterna därför raderas. För det fall uppgifterna har lämnats in av den enskilde själv, t.ex. inom ramen för en ansökan om medicinsk dispens, kan det dock vara möjligt att behandla uppgifterna med stöd av den enskildes samtycke.