sou · H7B324 · 2019-06-03 00:00:00 — Stärkt integritet i idrottens antidopningsarbete Utredningen om antidopning och dataskydd SOU och Ds kan köpas från Juridiks kundservice. Beställningsadress: Juridik, Kundservice, 106 47 Ordertelefon: Webbadress: /offentligapublikationer För remissutsändningar av SOU och Ds svarar på uppdrag av . Svara på remiss – hur och varför Statsrådsberedningen, SB PM 2003:2 (reviderad ). En kort handledning för dem som ska svara på remiss. Häftet är gratis och kan laddas ner som pdf från eller beställas på /remisser Layout: Kommittéservice, Tryck: , 2019 Till statsrådet och chefen för Regeringen beslutade att tillkalla en särskild utredare med uppdrag att utreda frågor om personuppgiftsbehandling i antidopningsarbetet inom idrotten (dir. 2018:31). Syftet med uppdraget är att säkerställa att för behandling av personuppgifter följs. Till särskild utredare förordnades från f.d. lagmannen . Till sakkunnig att biträda utredningen förordnades ämnesrådet , . Till experter utsågs rättssakkunniga , , rättssakkunniga , , enhetschefen , , juristen , Datainspektionen, förbundsjuristen , och enhetschefen , . Som sekreterare i utredningen förordnades från och med den Utredningen har antagit namnet Utredningen om antidopning och dataskydd (S 2018:07). Genom tilläggsdirektiv har tiden för redovisning av uppdraget förlängts från till (dir. 2019:2). Härmed överlämnar utredningen sitt betänkande Stärkt integritet i idrottens antidopningsarbete (SOU 2019:24). Utredningens uppdrag är härmed slutfört. 1.1Förslag till lag om dataskydd i idrottens Vårt uppdrag och arbete ............................................. Antidopningsarbete inom idrotten................................ Vad är dopning? Internationellt arbete mot dopning inom idrotten............... Den olympiska rörelsen .......................................... Laboratorier för dopningskontroll......................... 3.3 Antidopningsarbete i ................................................. Regelverk för antidopningsarbetet......................... Antidopningsarbete utanför RF............................. Bestämmelser om behandling av personuppgifter .......... Vissa internationella överenskommelser............................... 4.2.4EU-stadgan om de grundläggande Riktlinjer för tolkning av ...................... Reglering gällande personuppgiftsbehandling ...... Personuppgiftsbehandling enligt idrottens regelverk .......... Kort om regleringen i andra länder ....................................... 5.1Personuppgiftsbehandling inom ramen för RF:s En lag om behandlingen av personuppgifter ................. Rättslig grund för behandling av personuppgifter ................ Behandling av känsliga personuppgifter ................................ 6.3En lag om behandling av personuppgifter i idrottens Syftet med lagen...................................................................... Verksamhet som bör omfattas av lagen ................. Lagens territoriella tillämpningsområde .............. Förhållandet till annan reglering .......................................... Idrottens regler om personuppgiftsbehandling... 8.1Grundläggande principer för behandling Ändamål för personuppgiftsbehandlingen .......................... Uppgiftsutlämnande och finalitetsprincipen ...................... Överföring av personuppgifter till tredjeland ..................... Uppgifter om lagöverträdelser............................................. Publicering av uppgifter om dopningsförseelser ................ Personnummer och samordningsnummer.......................... Allmänt om enskildas rättigheter ........................................ Undantag från enskildas rättigheter .................................... Längsta tid för behandling ........................................ Allmänt om lagring av personuppgifter .............................. En generell bestämmelse om längsta tid för behandling Längsta tid för behandling i underrättelsearbetet............... Allmänt om skyddsåtgärder................................................. Sekretess i idrottens antidopningsarbete ............................ Behovet av författningsreglering ......................................... Konsekvenser för aktörerna inom idrottens Konsekvenser för skyddet av enskildas personliga och det brottsförebyggande arbetet..................................... Konsekvenser i övrigt ........................................................... Förslaget till lag om dataskydd i idrottens databas som används för att sam- skydd av personuppgifter, en som behandlade frågor om per- direktiv (EU) 2016/680 av den om skydd för fys- iska personer med avseende på ling av personuppgifter för att förebygga, förhindra, utreda, av- slöja eller lagföra brott eller verk- ställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF förordning (EU) 2016/679 av fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande direktiv /46/EG (allmän Lagen (2018:218) med komplet- terande bestämmelser till EU:s skydd för de mänskliga rättig- heterna och de grundläggande lagen (2009:400) utbildning, vetenskap och Vi har haft i uppdrag att utreda frågor om personuppgiftsbehandling i antidopningsarbetet inom idrotten. Syftet med uppdraget har varit att säkerställa att EU:s s.k. dataskyddsförordning följs. I uppdraget har ingått att undersöka vilka konsekvenser dataskyddsförordningen medför i fråga om personuppgiftsbehandlingen vid antidopningsarbetet inom idrotten och att analysera behovet av särskilda bestämmelser för denna behandling. Vi har vidare haft i uppdrag att bedöma om det finns behov av författningsreglerade bestämmelser om sekretess och tystnadsplikt. En ny lag om dataskydd i idrottens antidopningsarbete Dataskyddsförordningen är tillämplig . Förordningen utgör numera den generella regleringen för behandling av personuppgifter inom EU och är direkt tillämplig i . Dataskyddsförordningen både förutsätter och tillåter nationella bestämmelser som kompletterar delar av förordningen genom specificeringar eller undantag. Behandling av personuppgifter är en förutsättning för att idrottens antidopningsarbete ska kunna utföras. En stor del av de personuppgifter som behandlas i antidopningsarbetet avser känsliga uppgifter om främst idrottsutövares hälsa. För att personuppgifter över huvud taget ska få behandlas i antidopningsarbetet krävs dock att det finns en rättslig grund för behandlingen i dataskyddsförordningen. Vi har funnit att personuppgiftsbehandlingen kan stödjas på den rättsliga grunden att den är nödvändig för att utföra en uppgift av allmänt intresse (artikel 6.1 e i dataskyddsförordningen). För att den rättsliga grunden ska kunna användas behöver det dock införas en Vi har också funnit att behandling av känsliga personuppgifter i antidopningsarbetet kan stödjas på undantaget för ett viktigt allmänt intresse i artikel i dataskyddsförordningen. Även för att det undantaget ska kunna användas är det nödvändigt att det införs en nationell reglering som säkerställer den registrerades grundläggande intressen i antidopningsarbetet. Av bl.a. dessa skäl föreslår vi att en författning med bestämmelser om behandling av personuppgifter i idrottens antidopningsarbete ska införas. Vi föreslår att författningen ska ha lagform och heta lagen om dataskydd i idrottens antidopningsarbete. Lagens syfte ska vara dels att möjliggöra att personuppgifter kan behandlas inom idrottens antidopningsarbete på ett ändamålsenligt sätt, dels att skydda fysiska personer mot att deras personliga integritet kränks vid sådan behandling. Antidopningsarbetet inom idrotten styrs av den världsantidopningskod (World Anti-Doping Code) som har antagits av Världsantidopningsbyrån (). Världsantidopningskoden syftar till att tillförsäkra alla idrottsutövare deras grundläggande rätt att delta i en idrott fri från dopning och på så sätt främja god hälsa och rättvisa för idrottsutövare. Ett ytterligare syfte med världsantidopningskoden är att harmonisera antidopningsarbetet inom idrotten på internationell och nationell nivå. Det är i första hand de organ som har undertecknat världsantidopningskoden, alltså signatärer av koden, som är bundna av koden. Som exempel kan en nationell antidopningsorganisation (NADO), ett internationellt specialidrottsförbund eller en tävlingsarrangör vara signatär av koden. Men även andra än signatärer kan utföra antidopningsarbete på grund av koden. Världsantidopningskoden innehåller regler som signatärerna av koden är skyldiga att följa. Den reglerar t.ex. vad som utgör en dopningsförseelse. Koden innehåller vidare bestämmelser om bl.a. dopningskontroller, vistelserapporteringar, resultathantering och utredning av dopningsförseelser. Till världsantidopningskoden hör ett antal internationella standarder, sex stycken, som är obligatoriska att tillämpa för signatärerna av koden. En internationell standard avser medicinsk dispens från dopningsreglerna, en annan standard avser dopningskontroller och utredning. Ytterligare en standard avser skyddet av privatlivet och personuppgifter. I den senare standarden anges att den inte är tillämplig för det fall den bryter mot inhemsk lagstiftning. har genom att ratificera konvention mot dopning med dess tilläggsprotokoll samt konvention mot dopning inom idrotten påtagit sig ett ansvar för att bekämpa dopning inom idrotten. har också lämnat sitt godkännande till det antidopningsarbete som utförs enligt världsantidopningskoden. Vidare har förbundit sig till principerna i koden. I den föreslagna lagen definieras idrottens antidopningsarbete som sådant antidopningsarbete som utförs på grund av världsantidopningskoden eller de internationella standarder som kompletterar koden. Vi föreslår att lagen om dataskydd i idrottens antidopningsarbete ska vara tillämplig för all den personuppgiftsbehandling som sker i i sådant antidopningsarbete som utförs på grund av världsantidopningskoden och de internationella standarder som tillhör koden. För sådana aktörer i antidopningsarbetet som är etablerade i ska lagen vara tillämplig oavsett var personuppgiftsbehandlingen utförs. Antidopningsarbetet inom idrotten utförs i främst av () som är en ideell förening och samlande organisation för merparten av föreningsidrotten i . RF har 71 nationella specialidrottsförbund som medlemmar. Basen utgörs av ca 3,1 miljoner medlemmar och ca 20 000 lokala idrottsföreningar, anslutna till respektive specialidrottsförbund. Dessa lokalföreningar är på regional nivå anslutna till specialdistriktsidrottsförbund och distriktsidrottsförbund. RF är signatär av världsantidopningskoden och svensk idrotts nationella antidopningsorganisation (NADO) i enlighet med koden. Således är RF enligt världsantidopningskoden skyldigt att utföra antidopningsarbete inom idrotten i . RF erhåller också hela det statliga anslaget för insatser mot dopning. Antidopningsarbetet inom RF leds och koordineras av den oberoende , som väljs av RF-stämman. Det operativa arbetet utförs dock av Antidopingavdelningen inom RF, under benämningen Svensk Antidoping. Arbetet vid avdelningen kan delas in i fem olika områden; dispenshandläggning, vistelserapportering, dopningskontroller, resultathantering samt underrättelsearbete. RF:s antidopningsarbete bedrivs dock enligt i alla organisationsled inom organisationen. Vi har därför funnit att lagen ska vara tillämplig för all den personuppgiftsbehandling som i antidopningsarbetet utförs på grund av världsantidopningskoden av RF samt de föreningar och förbund som är anknutna till RF. Det finns därutöver ett mindre antal föreningar och specialidrottsförbund i som inte är anknutna till RF, men som är anknutna till ett internationellt specialidrottsförbund som är signatär av världsantidopningskoden. Som exempel kan nämnas och anknutna föreningar. Även dessa föreslås omfattas av lagen i den mån de behandlar personuppgifter i ett antidopningsarbete som utförs i enlighet med världsantidopningskoden. Antidopningsarbete kan utföras i även av utländska aktörer. Våra förslag omfattar även den personuppgiftsbehandling som sker när andra signatärer av världsantidopningskoden än RF, såsom internationella specialidrottsförbund och andra länders nationella antidopningsorganisationer, behandlar personuppgifter i i samband med att de utför dopningskontroller här i enlighet med världsantidopningskoden. Lagen föreslås vidare vara tillämplig för organ som utför antidopningsarbete på uppdrag av en signatär av världsantidopningskoden. finns det ett privat serviceföretag, , som är etablerat i och som utför bl.a. dopningstester i enlighet med världsantidopningskodens regler på uppdrag av signatärer av koden. Det finns därutöver ett fåtal företag som internationellt utför antidopningsarbete på uppdrag av en signatär av världsantidopningskoden och som därmed kan omfattas av våra förslag i den mån de behandlar personuppgifter i . Lagen ska endast gälla om behandlingen av personuppgifter är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgänglig för sökning eller sammanställning enligt särskilda kriterier. Förhållandet till annan reglering Den föreslagna lagen kompletterar de direkt tillämpliga bestämmelserna i dataskyddsförordningen. Dessutom gäller den s.k. dataskyddslagen (2018:218), som innehåller generella kompletterande bestämmelser till dataskyddsförordningen, om inte annat följer av den föreslagna lagen. Lagen har, tillsammans med dataskyddsförordningen och dataskyddslagen, företräde framför idrottsrörelsens interna bestämmelser om personuppgiftsbehandling. Den föreslagna lagen ska inte gälla då personuppgifter behandlas hos Dopinglaboratoriet vid med stöd av patientdatalagen (2008:355). Enligt vår bedömning är varje organ som omfattas av lagen personuppgiftsansvarig för den behandling av personuppgifter som organet utför i idrottens antidopningsarbete. Vi föreslår att detta av tydlighetsskäl anges i lagen. Personuppgifter får enligt den förslagna lagen endast samlas in och i övrigt behandlas i idrottens antidopningsarbete om det är nödvändigt för vissa i lagen närmare angivna ändamål. Förslagen täcker in de ändamål för vilka personuppgifter behöver samlas in och behandlas för att arbetet enligt världsantidopningskoden och de tillhörande standarderna ska kunna utföras. Ändamålsbestämmelserna är fakultativa i den meningen att de reglerar vad aktörerna i antidopningsarbetet får göra. Syftet med ändamålsbestämmelserna är alltså att ange en yttersta ram för när personuppgifter får samlas in och fortsättningsvis behandlas med stöd av lagen om dataskydd i idrottens antidopningsarbete och dataskyddsförordningen. De angivna ändamålen är vidare uttömmande i den meningen att de olika aktörerna som omfattas av lagen inte själva får besluta om ytterligare ändamål för vilket eller vilka personuppgifter ska samlas in i verksamheten. I idrottens antidopningsarbete lämnas uppgifter ut till andra aktörer via databas eller något annat av godkänt system. Utlämnandet sker inom ramen för antidopningsarbetet och följer av världsantidopningskoden. Mottagarna är andra signatärer av världsantidopningskoden eller serviceföretag som utför sitt arbete på uppdrag av en signatär och i enlighet med koden. Utlämnandet sker därmed som en del av samma globala antidopningsarbete och äger normalt rum i varje signatärs verksamhet. Det utlämnande av information som sker inom ramen för idrottens antidopningsarbete omfattas av lagens primära ändamålsbestämmelser. Det förekommer i mindre omfattning att personuppgifter lämnas ut från aktörerna inom antidopningsarbetet till brottsbekämpande myndigheter. Enligt lagförslaget får personuppgifter även behandlas om det är nödvändigt för att tillhandahålla information som behövs ibrottsbekämpande verksamhet hos , eller . Den föreslagna bestämmelsen öppnar en möjlighet för aktörerna i antidopningsarbetet att lämna ut uppgifter om misstänkta dopningsrelaterade brott till de myndigheter som bekämpar den aktuella brottsligheten. Överföring av personuppgifter till tredjeland kan inom idrottens antidopningsarbete ske med stöd av bestämmelserna i dataskyddsförordningen. Några särskilda bestämmelser härom behöver därför inte tas in i den förslagna lagen. Känsliga personuppgifter och uppgifter om lagöverträdelser Dataskyddsförordningen innehåller i artikel 9.1 ett principiellt förbud mot att behandla vissa särskilda kategorier av personuppgifter, s.k. känsliga personuppgifter. Från förbudet finns dock ett antal undantag. Om den registrerade uttryckligen har lämnat sitt samtycke till behandling av sådana personuppgifter för ett eller flera specifika ändamål så får uppgifterna behandlas (9.2 a). Vidare får känsliga personuppgifter behandlas bl.a. om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse som har sin grund i unionslagstiftningen eller i en medlemsstats nationella lagstiftning (). Enligt våra förslag får i idrottens antidopningsarbete endast sådana känsliga personuppgifter som rör hälsa, genetiska uppgifter eller biometriska uppgifter för att entydigt identifiera en fysisk person behandlas med stöd av artikel i dataskyddsförordningen. I artikel 10 i dataskyddsförordningen finns särskilda bestämmelser om behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott. Uppgifter om att en idrottsutövare har gjort sig skyldig till en dopningsförseelse enligt idrottens interna regler rör inte en fällande dom i brottmål. Enligt vår bedömning rör de inte heller en lagöverträdelse som innefattar brott i den mening som avses i artikel 10 i dataskyddsförordningen. Sådana personuppgifter kan dock ändå komma att behandlas inom antidopningsarbetet. Enligt våra förslag får personuppgifter som rör lagöverträdelser behandlas för att handlägga dopningsärenden. De får också behandlas i det underrättelsearbete som bedrivs av RF enligt världsantidopningskoden. Publicering av uppgifter om dopningsförseelser Världsantidopningskoden föreskriver att uppgifter om dopningsavstängda idrottsutövare ska offentliggöras. För RF:s del sker offentliggörandet genom publicering på internet. Vi har funnit att denna publicering är problematisk ur ett integritetsperspektiv. Eftersom publiceringen sker med stöd av ett utgivningsbevis och därmed under skydd av yttrandefrihetsgrundlagen är dock möjligheterna att ingripa mot den med stöd av dataskyddsförordningen mycket begränsade. Enligt vår mening bör RF överväga en ny ordning genom vilken aktuella uppgifter kan göras tillgängliga för dem som har ett berättigat intresse av dem. Vi har inte funnit att det är en nödvändig eller proportionell åtgärd att i den föreslagna lagen begränsa enskildas rätt att invända mot behandlingen av personuppgifter. Inte heller i övrigt har vi funnit skäl att göra några undantag från den registrerades rättigheter enligt dataskyddsförordningen. Längsta tid för behandling Hur länge personuppgifter som längst får behandlas i idrottens antidopningsarbete för olika ändamål framgår av en till världsantidopningskoden tillhörande internationell standard. Enligt vår bedömning bör lagen inte innehålla någon detaljreglering som inskränker de tider för längsta bevarande som har beslutat om och som följs av andra länder. Vi föreslår dock att det i lagen förs in en generell bestämmelse som anger att personuppgifter inte får behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Den föreslagna bestämmelsen har till syfte att motverka ett slentrianmässigt bevarande. Den internationells standarden innehåller inga bestämmelser om hur länge personuppgifter får behandlas i ett underrättelsearbete. Behandlingen av personuppgifter i detta arbete är dock särskilt känslig ur integritetshänseende. Vi föreslår därför en bestämmelse som anger att personuppgifter inte får behandlas i ett underrättelsearbete längre än efter utgången av det kalenderår då uppgifterna behandlades första gången. Om en ny uppgift beträffande samma persons anknytning till dopningsverksamhet behandlas före utgången av tidsfristen, får de personuppgifter som redan finns om personen fortsätta att behandlas så länge någon av uppgifterna får behandlas. Vi har analyserat huruvida lagen bör innehålla ytterligare bestämmelser som syftar till att säkerställa enskildas grundläggande rättigheter och intressen i idrottens antidopningsarbete. I avsnitt 11 diskuteras sådana möjliga skyddsåtgärder. Vi föreslår här en bestämmelse som anger att tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Vidare föreslår vi att RF och andra organ som är etablerade i och som utför antidopningsarbete på uppdrag av en signatär av världsantidopningskoden ska utse dataskyddsombud för sin behandling av personuppgifter i antidopningsarbetet. Enligt vår mening föreligger det inte något behov av en förändrad sekretessreglering. Vi har dock funnit att det finns anledning för RF att se över 13 kap. 8 § i . Våra förslag innebär ett stärkt skydd för enskildas personliga integritet i idrottens antidopningsarbete. Förslagen kan vidare få positiva konsekvenser för bekämpningen av dopningsrelaterad brottslighet. Enligt vår bedömning kommer förslagen att innebära visst behov av utbildning och information. De bedöms dock inte leda till några kostnadsökningar för det allmänna. Den nya lagen föreslås träda i kraft . Our remit has been to investigate questions concerning the processing of personal data in anti-doping work in sport. The purpose of our remit has been to ensure that the rules in the EU’s ‘Data Protection Regulation’ are followed. Our remit has included examining the consequences of the Data Protection Regulation for questions concerning the processing of personal data in anti-doping work in sport and analysing the need for special regulations for this processing. We have also had the remit of assessing the need for statutory provisions on secrecy and the obligation to observe confidentiality. A new act on data protection in anti-doping work in sport Protection Regulation has been applicable since 25 2018. The Regulation is now the general legislation for the processing of personal data in the EU and is directly applicable in . Protection Regulation both presumes and permits national provisions that supplement parts of the Regulation through specifications or exemptions and derogations. The processing of personal data is a necessary part of anti-doping work in sport. A large part of the personal data processed in antidoping work relates to sensitive data mainly about the health of athletes. However, for it to be at all possible to process personal data in anti-doping work, there must be a legal basis for this processing in the Data Protection Regulation. We have concluded that this processing of personal data can rely on the legal basis that it is necessary for the performance of a task carried out in the public interest (Article 6(1)(e) of the Data Protection Regulation). However, for it to be possible to use that legal basis, national legislation needs to be We have also concluded that the processing of sensitive personal data in anti-doping work can rely on the exemption for a substantial public interest in Article 9(2)(g) of the Data Protection Regulation. This exemption can only be used if national legislation safeguarding the fundamental rights and the interests of the data subject in anti-doping work is introduced. For these and other reasons we propose the introduction of a statute containing provisions on the processing of personal data in anti-doping work in sport. We propose that the statute should be an act and be called the act on data protection in anti-doping work in sport.