sou · H7B324 · 2019-06-03 00:00:00 — Olika skyddsåtgärder är således inte bara något som kan framgå av nationell rätt, utan även något som i vissa fall måste fastställas i nationell rätt. Vad för sorts specifika skyddsåtgärder som bör användas anges sällan i dataskyddsförordningen. I skäl 78 anges ett antal skyddsåtgärder som främst är organisatoriska till sin natur. Sådana åtgärder kan bland annat bestå av att uppgiftsbehandlingen minimeras, att öppenhet om personuppgifternas syfte och behandling iakttas, att den registrerade får möjlighet att övervaka uppgiftsbehandlingen och att den personuppgiftsansvarige får möjlighet att skapa och förbättra säkerhetsanordningar. Utöver sådana skyddsåtgärder som nämns direkt i förordningen finns i svensk rätt andra former av skyddsåtgärder, exempelvis ändamålsbestämmelser, tillgångsbegränsningar, sökbegränsningar och sekretessbestämmelser. Registerförfattningar innehåller regelmässigt olika uttryckliga bestämmelser om det som bedömts vara lämpliga skyddsåtgärder. Vi har i tidigare avsnitt föreslagit att olika former av skyddsåtgärder förs in i lagen om dataskydd i idrottens antidopningsarbete. I avsnitt 8 föreslås skyddsåtgärder i form av ändamålsbestämmelser samt begränsningar av möjligheten att behandla känsliga personupp- gifter och uppgifter om lagöverträdelser m.m. Även den förtydligande bestämmelsen om personuppgiftsansvar som behandlas i avsnitt 7.4 kan ses som en skyddsåtgärd. I avsnitt 10 behandlas skyddsåtgärden gallring och i avsnitt 12 frågor om sekretess. I detta avsnitt kommer vi att diskutera några ytterligare möjliga åtgärder för att säkerställa enskildas grundläggande rättigheter och intressen. Förslag: Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Stora informationsmängder som är samlade så att uppgifter är enkelt sökbara på elektronisk väg medför allmänt sett en risk för intrång i den personliga integriteten. Risken för sådant intrång är särskilt stor om det – som ofta är fallet i idrottens antidopningsarbete – rör sig om integritetskänsliga uppgifter. Vem som har rätt att använda uppgifterna och hur de sprids är omständigheter som påverkar risken för intrång i den personliga integriteten. Det är vanligt förekommande att registerförfattningar innehåller en bestämmelse om att tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Regleringen har till syfte att säkerställa att personuppgifter hanteras på ett sätt som ger ett tillbörligt skydd för enskildas personliga integritet. Genom att en användare endast får tillgång till sådana personuppgifter som han eller hon har behov av i sitt arbete, kan risken för otillåten behandling av personuppgifter förebyggas eller åtminstone minskas. Som tidigare framgått innebär principen om integritet och konfidentialitet i artikel 5.1 f i dataskyddsförordningen bl.a. att den personuppgiftsansvarige med användning av lämpliga tekniska eller organisatoriska åtgärder ska vidta åtgärder som säkerställer lämplig säkerhet för personuppgifterna. Vidare är den personuppgiftsansvarige skyldig att tillse att en lämplig säkerhetsnivå för behandlingen av personuppgifter upprätthålls (artikel 24.1 och 32). Av artikel 25.2 framgår bl.a. att personuppgifter som huvudregel inte utan den registrerades medverkan ska göras tillgängliga för ett obegränsat antal fysiska personer. Även om skyldigheten för personuppgiftsansvariga att på olika sätt begränsa tillgången till personuppgifter kan sägas följa av dataskyddsförordningen, talar det förhållandet att vår lag riktar sig till privaträttsliga subjekt för att en särskild tydlighet bör eftersträvas i regleringen (se avsnitt 6.3). En viss form av dubbelreglering får därmed godtas. Bestämmelser om vilka säkerhetsåtgärder som ska vidtas i en viss verksamhet utgör vidare ett sådant specifikt krav på personuppgiftsbehandling som enligt artikel 6.2 får fastställas i nationell rätt. För skyddet av den enskildes personliga integritet är det enligt vår mening viktigt att det uttryckligen säkerställs att personuppgifter görs tillgängliga i idrottens antidopningsarbete bara för de medarbetare och andra aktörer som behöver uppgifterna för sitt arbete. Vi föreslår därför att en bestämmelse härom förs in i lagen om dataskydd i idrottens antidopningsarbete. Den personuppgiftsansvarige är således alltid skyldig att pröva varje medarbetares och mottagares behov av tillgång till personuppgifter utifrån vad arbetsuppgifterna och världsantidopningskoden kräver och begränsa tillgången i enlighet med det. Det är en förutsättning för efterlevnaden av den föreslagna bestämmelsen att det finns bra loggningssystem och att uppföljande kontroller görs. Det är upp till varje aktör som omfattas av lagen att utforma riktlinjer och rutiner i syfte att säkerställa att den föreslagna bestämmelsen följs. Bedömning: Lagen bör inte innehålla några begränsningar av tillåtna sökbegrepp. Dataskyddsförordningen saknar bestämmelser om sökning eller användning av s.k. sökbegrepp. Sökning och sammanställning av uppgifter som sker elektroniskt är dock behandling av personuppgifter och omfattas därför av dataskyddsförordningens bestämmelser. På grund av detta måste en sökning uppfylla kraven i bland annat artikel 5 i dataskyddsförordningen för att vara tillåten. I en databas eller annan textmassa som har lagrats på ett medium för automatiserad behandling är det med dagens teknik möjligt att med ett sökbegrepp, t.ex. ett visst ord eller ett namn, hitta de poster där begreppet förekommer. På detta sätt är det möjligt att snabbt göra en sammanställning av personuppgifter i en databas och exempelvis framställa statistik. Möjligheten att söka kan därför ofta vara ett värdefullt redskap, utan att det för den sakens skull måste innebära risker för den enskildes personliga integritet. Något generellt förbud mot sökning i en databas anses därför normalt inte vara motiverat. Sökbegrepp som avslöjar känsliga personuppgifter är dock typiskt sett förknippade med särskilda risker i integritetshänseende. Enligt 3 kap. 3 § andra stycket dataskyddslagen är det därför förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Bestämmelsen är dock endast tillämplig för myndigheter. Ett liknande förbud finns i brottsdatalagen (2018:1177). Enligt de till den lagen tillhörande registerförfattningarna är det dock möjligt att utföra sökningar på känsliga personuppgifter som inte har gjorts gemensamt tillgängliga, dvs. för en större grupp människor. Vid bedömningen av om sökbegrepp som avslöjar känsliga personuppgifter bör vara tillåtna i idrottens antidopningsarbete måste en avvägning göras mellan intresset av effektivitet i verksamheten och risken för integritetsintrång. En eventuell regel som begränsar tillåtna sökbegrepp bör således ta sikte direkt på sådana typer av sökningar som typiskt sett medför särskilda integritetsrisker. Inom idrottens antidopningsarbete sker det sökningar som kan avslöja känsliga personuppgifter om hälsa. Exempelvis är det möjligt för RF att inom dispenshanteringen göra sökningar på en viss substans i den s.k. dopinglistan och på så sätt få fram samtliga dispenser för denna substans. Funktionen används vid sammanställande av statistik och kan även användas som underlag för beslut. Enligt våra förslag kommer det inom idrottens antidopningsarbete endast vara tillåtet att behandla personuppgifter när det är nödvändigt för de ändamål som anges i lagen. Vidare får endast sådana känsliga personuppgifter som rör hälsa samt genetiska och biometriska uppgifter behandlas. Enligt vår mening är det rimligt att aktörerna inom idrottens antidopningsarbete även framöver bör ha möjlighet att utföra sökningar i syfte att få fram ett urval av personer grundat på dessa former av känsliga personuppgifter. Det bör i detta sammanhang beaktas att antidopningsarbetet utförs av ett fåtal personer och att vi ovan föreslår en bestämmelse där tillgången till per- sonuppgifter begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Eftersom aktörerna inom idrottens antidopningsarbete inte är myndigheter finns det inte heller särskilda risker med att tillåta personalen att använda känsliga sökbegrepp, eftersom allmänheten inte med stöd av offentlighetsprincipen därigenom får möjlighet att begära att personalen ska använda dessa sökbegrepp för att sammanställa och lämna ut personuppgifter (s.k. potentiella handlingar). Utifrån dessa avvägningar gör vi bedömningen att det inte bör införas någon begränsning vad gäller sökbegrepp i den föreslagna lagen. Bedömning: Lagen bör inte innehålla någon bestämmelse om att vissa uppgifter som behandlas i underrättelsearbetet ska förses med en särskild upplysning. Som en ytterligare skyddsåtgärd har vi övervägt en ordning med särskilda upplysningar. Regler om sådana finns i olika registerförfattningar på brottsdatalagens område (se t.ex. 3 kap. 4 § lagen [2018:1693] om polisens behandling av personuppgifter inom brottsdatalagens område, nedan kallad polisens brottsdatalag). Bestämmelserna innebär i korthet att det vid behandling av personuppgifter i underrättelseverksamhet ska framgå om en person inte är misstänkt för att utöva brottslig verksamhet. För det fall det inte framgår av sammanhanget ska det anges som en särskild upplysning att personen inte är misstänkt. Det ska alltså i underrättelsearbetet på brottsbekämpningens område gå att skilja mellan personer som är av intresse på grund av inblandning i brottslig verksamhet och personer som inte är misstänkta för det. De aktuella bestämmelserna är dock endast tillämpliga för personuppgifter som har gjorts gemensamt tillgängliga, dvs. för en större grupp människor. Bakgrunden är att risken för intrång i den personliga integriteten då anses vara större. Uppgifter som endast ett fåtal personer har rätt att ta del av anses inte lika känsliga från integritetssynpunkt. Som en tumregel brukar anges att uppgifter är att anse som gemensamt tillgängliga om de är tillgängliga för fler än ett tiotal personer (se t.ex. prop. 2009/10:85 s. 335). Vid införandet av regleringen i den äldre polisdatalagen (2010:361) föreslogs inte några motsvarande bestämmelser för uppgifter som ännu inte har gjorts gemensamt tillgängliga. Det angavs att om t.ex. uppgifter förekommer i en enskild tjänstemans dator eller behandlas i en liten, klart avgränsad projektgrupp vet handläggande tjänsteman varifrån uppgiften har kommit, varför den behandlas och om en omnämnd person är misstänkt för brott eller för att utöva brottslig verksamhet eller inte, varför det inte behövs någon särskild upplysning (se a. prop. s. 147). Även i brottsdatalagen finns bestämmelser om särskilda upplysningar (se 2 kap. 3 § andra stycket samt 9 och 10 §§). Enligt de brottsbekämpande myndigheternas registerförfattningar är dock även dessa bestämmelser endast tillämpliga för uppgifter som har gjorts gemensamt tillgängliga (se t.ex. 2 kap. 3 § i polisens brottsdatalag). Det underrättelsearbete som omfattas av vår lag utförs av RF. Tillgången hos RF till uppgifter som behandlas i underrättelsearbetet är begränsad till en ganska snäv krets. Uppgifterna behandlas inte av så många personer att de kan anses bli gemensamt tillgängliga. Generellt sett lär vidare uppgifterna i RF:s underrättelseverksamhet inte vara lika känsliga som de som förekommer i den brottsbekämpande verksamheten. Vi har bl.a. därför kommit till slutsatsen att en motsvarande ordning när det gäller personuppgiftsbehandling i antidopningsarbetet inte bör införas. Förslag: RF och andra organ som är etablerade i och som utför antidopningsarbete på uppdrag av en signatär av världsantidopningskoden ska utse dataskyddsombud för sin behandling av personuppgifter i antidopningsarbetet. Enligt artikel 37.1 i dataskyddsförordningen ska myndigheter och offentliga organ som behandlar personuppgifter under alla omständigheter utnämna dataskyddsombud. Detsamma gäller för andra aktörer vars kärnverksamhet består av behandling av personuppgifter som på grund av sin karaktär, sin omfattning och/eller sina ändamål kräver regelbunden och systematisk övervakning av de registrerade i stor omfattning. För det fall kärnverksamheten består av behandling i stor omfattning av känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. ska också ett dataskyddsombud utses. I andra fall får eller, om så krävs enligt unionsrätten eller medlemsstaternas nationella rätt, ska ett dataskyddsombud utnämnas (artikel 37.4). Termen dataskyddsombud definieras inte i dataskyddsförordningen, men i artikel 38 och 39 regleras ombudets ställning och uppgifter. Enligt artikel 39 ska ett dataskyddsombud ha till uppgift att informera personuppgiftsansvariga, personuppgiftsbiträden och anställda om skyldigheterna enligt förordningen och andra unions- eller medlemsstatsreglerade dataskyddsbestämmelser. Ombudet ska också bl.a. övervaka efterlevnaden av förordningen och samarbeta med tillsynsmyndigheten. I artikel 37.6 stadgas att dataskyddsombudet får ingå i den personuppgiftsansvariges eller personuppgiftsbiträdets personal eller utföra uppgifterna på grundval av ett tjänsteavtal. I 1 kap. 8 § dataskyddslagen anges att den som fullgör uppgift som dataskyddsombud enligt artikel 37 i dataskyddsförordningen inte obehörigen får röja det som han eller hon vid fullgörandet av sina uppgifter har fått kännedom om. Det föreligger således tystnadsplikt för ett dataskyddsombud. Bestämmelsen gäller för privata aktörer. I det allmännas verksamhet gäller i stället bestämmelserna i offentlighets- och sekretesslagen (2009:400). Artikel 29-gruppen har antagit riktlinjer om dataskyddsombud. Riktlinjerna har godkänts av Europeiska dataskyddsstyrelsen. I riktlinjerna anges att en bedömning av huruvida en behandling sker i stor omfattning ska göras utifrån antalet registrerade, mängden uppgifter eller omfånget av de uppgifter som behandlas, behandlingens varaktighet eller beständighet och den geografiska omfattningen av behandlingen. Som exempel på storskalig behandling nämns behandling av patientuppgifter på sjukhus, reseuppgifter rörande individer som reser kollektivt, kunduppgifter hos bank eller försäkringsbolag, beteendebaserad reklam med hjälp av en sökmotor samt trafik- och lokaliseringsuppgifter hos telefonoperatörer eller internetleverantörer. Som exempel på uppgifter som inte behandlas i stor omfattning anges patientuppgifter hos en läkare och uppgifter om lagöverträdelser hos en advokat. Huruvida en behandling sker regelbundet ska enligt riktlinjerna bedömas utifrån om behandlingen sker pågående eller förekommer vid vissa tidsintervaller eller . En regelbunden behandling ska vara återkommande eller upprepande , eller periodvist förekommande. Systematisk behandling tar sikte på pågående behandling enligt ett system. Systematisk behandling kan även innebära att behandlingen är ordnad på förhand, organiserat eller metodiskt, som en del av en generell plan för insamling av uppgifter eller utförs som en del av en strategi. (Se WP 243 rev.01 s. 7 ff.) RF är den svenska nationella antidopningsorganisationen enligt världsantidopningskoden och utför därför huvuddelen av idrottens antidopningsarbete i . Antidopningsarbetet får anses vara en del av RF:s kärnverksamhet. Arbetet kräver på grund av sin karaktär och omfattning en övervakning av enskilda som är både regelbunden och systematisk samt sker i stor omfattning. Vidare innebär RF:s antidopningsarbete att känsliga personuppgifter behandlas i stor omfattning. Enligt vår mening faller därför RF in under de organ som enligt artikel 37.1 i dataskyddsförordningen ska utse dataskyddsombud. RF har också utsett ett sådant ombud. IDTM är, som beskrivits i avsnitt 3.3.4 och 7.2.1, ett i etablerat företag som bl.a. utför dopningstester i enlighet med världsantidopningskodens regler på uppdrag av signatärer av koden. Huruvida IDTM behandlar personuppgifter i antidopningsarbetet på ett sådant sätt att företaget på grund härav är skyldigt att utse dataskyddsombud blir främst beroende av en bedömning av om företagets kärnverksamhet kräver regelbunden och systematisk övervakning av enskilda i stor omfattning. Enligt vår bedömning är det osäkert om IDTM, som utför antidopningsarbetet i enlighet med kundernas önskemål, uppfyller kraven i artikel 37.1 på systematik och behandling i stor omfattning. Det är alltså inte givet att IDTM faller in under skyldigheten att utse dataskyddsombud enligt dataskyddsförordningen. Dock kan det konstateras att företaget i antidopningsarbetet behandlar personuppgifter, däribland känsliga sådana, i en inte ringa omfattning, vilket talar för att företaget ändå bör utse dataskyddsombud. IDTM har också utsett ett sådant ombud. De föreningar och förbund som är anknutna till RF kan enligt vår mening inte anses behandla personuppgifter i antidopningsarbetet på ett sådant sätt och i en sådan omfattning att de på grund härav omfattas av skyldigheten enligt dataskyddsförordningen att utse dataskyddsombud. Inte heller andra aktörer som utför antidopningsarbete i i enlighet med världsantidopningskoden och därmed omfattas av vår lag kan i detta arbete anses behandla personuppgifter i sådan skala att de på grund härav omfattas av en skyldighet enligt dataskyddsförordningen att utse dataskyddsombud. Visserligen följer det av dataskyddsförordningen, som sagts ovan, att RF ska utse dataskyddsombud. Av pedagogiska skäl kan det dock vara lämpligt att låta detta framgå direkt av den föreslagna lagen. vikonstaterat inledningsvis (avsnitt 6.3) kan den omständigheten att lagen riktar sig till privaträttsliga aktörer tala för att en särskild tydlighet bör eftersträvas i regleringen. En bestämmelse om att dataskyddsombud ska utses får vidare anses vara ett sådant specifikt krav på åtgärder för att säkerställa en laglig och rättvis behandling som enligt artikel 6.2 får fastställas i nationell rätt. För skyddet av den enskildes personliga integritet är det enligt vår mening lämpligt att det uttryckligen framgår att det ska finnas ett dataskyddsombud för den behandling av personuppgifter som utförs av den nationella antidopningsorganisationen. En sådan nationell reglering förordas också iEU-kommissionens rapport om antidopningsarbetet (se Protection, An evaluation of the anti-doping laws and practices in the EU Member States in light of the Protection Regulation, s. 21 och 121). Vi föreslår därför att en bestämmelse härom förs in i lagen om dataskydd i idrottens antidopningsarbete. Vidare är det vår uppfattning att lagen bör innehålla ett krav på att även serviceföretaget , eller liknande organ som kan komma att etableras i , ska utse dataskyddsombud. Den behandling av personuppgifter som sker av sådana privata aktörer i idrottens antidopningsarbete är enligt vår mening av sådan ingripande karaktär att det finns anledning att i lagen införa ytterligare skyddsåtgärder för att säkerställa en laglig och rättvis behandling av personuppgifterna. Därför föreslår vi att lagen ska innehålla ett krav på att även dessa aktörer ska utse dataskyddsombud. När det gäller övriga aktörer i idrottens antidopningsarbete, som enligt vår bedömning inte omfattas av skyldigheten enligt dataskyddsförordningen att utse dataskyddsombud, finner vi inte att det finns tillräckliga skäl att införa krav på dataskyddsombud som går längre än förordningen. Vi vill dock påpeka att det alltid kan vara bra för ett organ att utse ett dataskyddsombud. Ett sådant ombud torde ofta få särskilda kunskaper om personuppgiftsfrågor och kan ge god service åt enskilda för att de ska kunna ta tillvara sin rätt. Dataskyddsombudet kan också bidra till kunskapsspridningen och kan skapa förtroende hos berörda idrottsutövare. Bedömning: Ytterligare skyddsåtgärder är inte nödvändiga i lagen. Det finns andra åtgärder som är av vikt för skyddet av enskildas personliga integritet och som vi därför vill uppmärksamma även om de inte föranleder några lagförslag från vår sida. En sådan fråga är de registrerades rätt till tydlig och lättförståelig information om behandlingen av deras personuppgifter. Som sagts regleras den personuppgiftsansvariges skyldighet att självmant tillhandahålla den registrerade information om behandlingen av personuppgifter av artiklarna 13 och 14 i dataskyddsförordningen. Artikel 15 reglerar den registrerades rätt att på begäran få tillgång till de personuppgifter som behandlas och viss särskilt angiven information. I artikel 12 anges att informationen ska lämnas i en koncis, klar och tydlig, begriplig och lätt tillgänglig form. Språket som används ska vara klart och tydligt. Informationen ska lämnas skriftligt eller i någon annan form. När så är lämpligt kan den lämnas elektroniskt. Om den registrerade begär det kan informationen tillhandahållas muntligt, förutsatt att den registrerades identitet bevisats på annat sätt. I 5 kap. 1 och 2 §§ dataskyddslagen finns intaget undantag från artiklarna 13–15 i dataskyddsförordningen. Enskildas rätt att få del av tydlig och lättförståelig information följer således direkt av dataskyddsförordningen. Vilken information som ska lämnas inskränks dock i dataskyddslagen. Det hade visserligen varit möjligt att reglera enskildas rätt till tydlig och lättförståelig information också i den av oss föreslagna lagen. En sådan bestämmelse skulle dock för fullständighetens skull kräva en hänvisning till den närmare regleringen i dataskyddsförordningen och dataskyddslagen. Vi har inte sett att det finns tillräckliga skäl att föra in en sådan bestämmelse i den föreslagna lagen och lämnar därför inte något sådant förslag. Andra åtgärder som är lämpliga att vidta för att skydda enskildas personuppgifter i antidopningsarbetet avser kryptering av överförd information och funktioner för autentisering. När känsliga personuppgifter kommuniceras via internet, såsom sker i antidopningsarbetet, är det lämpligt att uppgifterna är krypterade vid överföringen på ett sådant sätt att endast den avsedda mottagaren kan ta del av uppgifterna. Behandling av personuppgifter i e-postsystem utgör en särskild risk i sig eftersom det kan vara svårt att se till att endast behöriga får del av uppgifterna. Detta gäller särskilt vid kommunicering via mobila enheter. Sådan behandling bör därför undvikas alternativt bör den överförda informationen krypteras. Vidare bör stark autentisering av personer, t.ex. via e-legitimation, krävas i situationer där någon loggar in i ett system över öppet nät och tar del av personuppgifter som behandlas i antidopningsarbetet. Det följer redan av dataskyddsförordningen att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken i samband med personuppgiftsbehandlingen (se avsnitt 11.1 ovan). Även om de här angivna frågorna är viktiga ur integritetssynpunkt lämpar sig en detaljreglering avseende tekniska åtgärder enligt vår mening mindre väl för en författningsreglering, i vart fall i lag. Vi har därför inte lämnat något förslag heller i denna del. 12.1Sekretess i idrottens antidopningsarbete Idrottens antidopningsarbete utförs av enskilda rättssubjekt, såsom ideella föreningar och aktiebolag. Exempelvis är RF, som utför huvuddelen av idrottens antidopningsarbete i , en ideell förening. Aktörerna omfattas inte av offentlighetsprincipen som ger allmänheten och medierna rätt till insyn i verksamheten. De handlingar som förekommer i idrottens antidopningsarbete hos dessa aktörer är därmed inte allmänna och bestämmelserna om handlingssekretess och tystnadsplikt i offentlighets- och sekretesslagen (2009:400, OSL) är inte heller tillämpliga. Dataskyddslagen innehåller i 1 kap. 8 § en bestämmelse om tystnadsplikt för dataskyddsombud, som är tillämplig även i idrottens antidopningsarbete.