prop · H903139 · 2022-03-01 00:00:00 — Det får, som utredningen konstaterar, anses tveksamt om det är lämpligt att ett enskilt land inskränker de tider för längsta bevarande som har beslutat om och som följs av andra länder inom EU. Regeringen delar därför utredningens bedömning att den föreslagna lagen inte bör innehålla en detaljreglering som innebär kortare bevarandetider. Personuppgifter får dock naturligtvis, i linje med artikel 5.1 e i dataskyddsförordningen, inte behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Regeringen anser därför i likhet med utredningen att det bör införas en generell bestämmelse med denna innebörd i den föreslagna lagen. En bestämmelse om längsta tid för behandling utgör ett sådant specifikt krav på personuppgiftsbehandlingen som är tillåtet enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Genom bestämmelsen tydliggörs att personuppgifter aldrig får bevaras längre än nödvändigt med hänsyn till ändamålet med behandlingen. Till detta kommer att signatärerna av världsantidopningskoden aldrig får behandla personuppgifter längre än tiden som anges i annex A till ISPPPI. Som påpekar utgör en sådan bestämmelse förvisso en dubbelreglering i förhållande till dataskyddsförordningen. Enligt regeringens mening fyller dock regleringen en pedagogisk funktion då den påminner aktörerna i idrottens antidopningsarbete om att det i varje enskilt fall måste göras en bedömning av om ett bevarande är nödvändigt. Bestämmelsen motverkar således att uppgifter slentrianmässigt bevaras under hela den tid som anges i annex A i ISPPPI. Vi anser därför att en sådan bestämmelse i tillräcklig utsträckning bidrar till att skydda den enskildes personliga integritet. En särskild begränsning av tiden som personuppgifter får behandlas i Regeringens förslag: Personuppgifter ska inte få behandlas i underrättelsearbetet längre än efter utgången av det kalenderår då uppgifterna behandlades första gången. Om en ny uppgift om samma persons anknytning till dopningsverksamhet behandlas före utgången av tidsfristen, får de personuppgifter som redan finns om personen fortsätta att behandlas så länge någon av uppgifterna får behandlas. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: De flesta instanser tillstyrker eller har inte några synpunkter på förslaget. , som förvisso är positiv till att gallringsregler fastställs, anser att det krävs närmare analyser utifrån proportionalitet och dataskyddsförordningens grundläggande dopningsbyrån () motsätter sig förslaget med hänvisning till att det skulle begränsa det underrättelsearbete som ska utföras enligt världsanti- De anser även att det är oklart vad som avses med ”första gången” uppgifter behandlas. Skälen för regeringens förslag: ISPPPI innehåller inte någon särskild bestämmelse om hur länge personuppgifter får behandlas i det under- rättelsearbete som utförs inom ramen för idrottens antidopningsarbete. Som framgår av avsnitt 8.6.2 är det främst Antidoping som, i egenskap av nationell antidopningsorganisation för svensk idrott, utför ett underrättelsearbete i i enlighet med världsantidopningskoden och den internationella standarden för dopningskontroll och utredning. bolagets lagringspolicy framgår att inkommen underrättelseinformation får lagras från det att informationen registrerats. inkommer med koppling eller anknytning till redan registrerad person får samtlig information fortsätta att behandlas . Som regeringen framhåller i avsnitt 8.6.2 är behandlingen av person- uppgifter i underrättelsearbetet särskilt känslig ur integritetshänseende. anser därför i likhet med utredningen att den föreslagna lagen bör innehålla en uttrycklig bestämmelse om den längsta tid som personuppgifter får behandlas i detta arbete. Beträffande sådant underrättelsearbete som har samband med brott som utförs av och Säkerhetspolisen följer av 4 kap. 7 § andra stycket lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område att personuppgifter inte får behandlas längre än efter utgången av det kalenderår då registreringen avseende För särskilt allvarlig brottslighet gäller dock en längre Om en ny registrering beträffande personens anknytning till brottslig verksamhet görs före utgången av de tidsfristerna, får de personuppgifter som redan finns om personen fortsätta att behandlas så länge någon av uppgifterna får behandlas. gäller för underrättelseverksamheten vid , och (se 4 kap. 8 § andra stycket lagen [2018:1694] om 2021/22:139 behandling av personuppgifter inom brottsdatalagens område, 4 kap. 7 § lagen [2018:1695] om behandling av personuppgifter inom brottsdatalagens område och 4 kap. 7 § lagen [2018:1696] om behandling av personuppgifter inom brottsdatalagens område). De angivna bestämmelserna gäller dock enbart personuppgifter som behandlas automatiserat. Om informationen överförs från elektronisk form till pappersform och därefter inte finns kvar elektroniskt är således bestämmelserna inte tillämpliga. Regeringen vill så långt som möjligt inte försvåra det antidopningsarbete som utförs inom idrotten. Behovet av att behandla personuppgifter i underrättelseverksamheten inom ramen för idrottens antidopningsarbete kan dock inte anses väga tyngre än behovet att behandla personuppgifter i sådant underrättelsearbete som har samband med brott och som utförs av de brottsbekämpande myndigheterna. En längsta gallringsfrist som motsvarar den kortare av dem som gäller för m.fl. underrättelseverksamhet framstår som en rimlig avvägning mellan behovet av att kunna bedriva ett effektivt underrättelsearbete och skyddet av den enskildes integritet. Vidare bör det vägas in att den generella bestämmelsen om längsta tid för bevarande som föreslås i föregående avsnitt naturligtvis är tillämplig även för nu aktuella uppgifter. Vi delar även utredningens bedömning att gallringsfristen, med hänsyn till skyddet av den enskildes personliga integritet, bör gälla för all typ av behandling av personuppgifter i underrättelsearbetet som omfattas av lagen och alltså inte endast för automatiserad behandling. Förslaget innebär att personuppgifter som huvudregel inte får behandlas i underrättelsearbetet längre än efter utgången av det kalenderår då uppgifterna behandlades första gången. Vad som avses med behandling definieras i 4.2 i dataskyddsförordningen. Med första behandling avses den första hanteringen av en personuppgift i underrättelsearbetet. I regel bör den första behandlingen ske genom insamling eller registrering av personuppgifterna. Den tid som personuppgifter får behandlas i underrättelseverksamheten kan förlängas om en ny registrering avseende personen i fråga görs, dock endast om uppgiften avser samma persons anknytning till dopningsverksamhet. En uppgift som rör adressändring eller liknande som inte har betydelse för anknytningen till dopningsverksamhet ska således inte påverka hur fristen beräknas. 11 Ytterligare åtgärder för att skydda personer vid behandling av personuppgifter 11.1 Allmänt om skyddsåtgärder Dataskyddsförordningen innehåller ett stort antal bestämmelser som ska värna enskildas rättigheter vid behandling av personuppgifter. exempel kan nämnas den grundläggande principen om uppgifts- minimering i artikel 5.1 c som innebär att de personuppgifter som behandlas ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Ytterligare ett exempel är den grundläggande principen om integritet och konfidentialitet i artikel 5.1f som går ut på att den personuppgiftsansvarige med användning av lämpliga tekniska eller organisatoriska åtgärder ska vidta åtgärder som säkerställer lämplig säkerhet för personuppgifterna. Den personuppgiftsansvarige ska vidare enligt artikel 24 i dataskyddsförordningen genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och visa att behandlingen utförs i enlighet med förordningen. Denne ska även enligt artikel 25 i förordningen vidta lämpliga åtgärder för bl.a. integrering av nödvändiga skyddsåtgärder i behandlingen. Dessutom följer av artikel 32 att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken i samband med personuppgiftsbehandlingen. Bestämmelserna i dataskyddsförordningen är direkt tillämpliga. I artikel 9 i den till världsantidopningskoden tillhörande internationella standarden för skydd av privatlivet och personuppgifter finns dessutom bestämmelser om att behandling av personuppgifter ska omgärdas av skyddsåtgärder. I dataskyddsförordningen det finns krav på att en nationell reglering som tillåter viss behandling av personuppgifter ska innehålla lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Ett sådant krav finns t.ex. för att känsliga personuppgifter ska få behandlas med stöd av artikel i förordningen. Motsvarande krav gäller enligt artikel 10 för nationell lagstiftning som tillåter behandling av uppgifter om lagöverträdelser utan kontroll av en myndighet. Även i artikel 87 som behandlar personnummer och samordningsnummer finns ett krav på lämpliga skyddsåtgärder. Olika skyddsåtgärder är alltså inte bara något som kan framgå av nationell rätt, utan även något som i vissa fall måste fastställas i nationell rätt. Vilka specifika skyddsåtgärder som bör användas anges sällan i dataskyddsförordningen. I skäl 78 till förordningen anges ett antal skyddsåtgärder som främst är organisatoriska till sin natur. Sådana åtgärder kan bl.a. bestå av att uppgiftsbehandlingen minimeras, att öppenhet om personuppgifternas syfte och behandling iakttas, att den registrerade får möjlighet att övervaka uppgiftsbehandlingen och att den personuppgiftsansvarige får möjlighet att skapa och förbättra säkerhetsanordningar. Utöver sådana skyddsåtgärder som nämns direkt i förordningen finns det i svensk rätt andra former av skyddsåtgärder, exempelvis ändamålsbestämmelser, tillgångsbegränsningar, sökbegränsningar och sekretessbestämmelser. Registerförfattningar innehåller regelmässigt uttryckliga bestämmelser om det som bedömts vara lämpliga skyddsåtgärder. Regeringen har i tidigare avsnitt föreslagit att olika former av skyddsåtgärder förs in i lagen om behandling av personuppgifter i idrottens antidopningsarbete. I avsnitt 8 föreslås skyddsåtgärder i form av ändamålsbestämmelser samt begränsningar av möjligheten att behandla känsliga personuppgifter och uppgifter om lagöverträdelser m.m. I avsnitt 10 behandlas skyddsåtgärden gallring och i avsnitt 12 frågor om sekretess. 2021/22:139 I detta avsnitt kommer vi att diskutera några ytterligare möjliga åtgärder för att säkerställa enskildas grundläggande rättigheter och intressen. Regeringens förslag: Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Endast har yttrat sig särskilt i denna del. Myndigheten menar att förslaget inte tillför något skydd jämfört med vad som redan gäller enligt dataskyddsförordningen. Enligt myndigheten bör en eventuell bestämmelse om tillgång till personuppgifter ges ett mer konkret innehåll som har avvägts mot det intrång som behandlingen kan innebära för den enskilde. Skälen för regeringens förslag: Dataskyddsförordningen innehåller inte någon uttrycklig bestämmelse som begränsar tillgången till personuppgifter. Som har framgått gäller dock de grundläggande principerna om uppgiftsminimering i artikel 5.1 c samt om integritet och konfidentialitet i artikel 5.1 f. Den personuppgiftsansvarige ska också enligt artikel 24 och 32 vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa att behandlingen utförs enligt dataskyddsförordningen och med en lämplig säkerhetsnivå. Vidare är den personuppgiftsansvarige enligt artikel 25.2 skyldig att vidta åtgärder för att säkerställa att endast personuppgifter som är nödvändiga för varje specifikt ändamål med behandlingen behandlas. Denna skyldighet gäller bl.a. personuppgifternas tillgänglighet. Åtgärderna ska framför allt säkerställa att personuppgifter som huvudregel inte görs tillgängliga för ett obegränsat antal fysiska personer utan den enskildes medverkan. I idrottens antidopningsarbete behandlas stora mängder personuppgifter, även känsliga sådana. För att minska risken för obefogade intrång i den personliga integriteten vid behandlingen av uppgifterna anser regeringen, i likhet med utredningen, att det bör införas en bestämmelse som uttryckligen begränsar kretsen av personer som har tillgång till personuppgifter. Som påpekar kan skyldigheten att begränsa tillgången till personuppgifter sägas följa redan av dataskyddsförordningen. Regeringen ansluter sig dock till utredningens resonemang att det av tydlighetsskäl är viktigt att det införs en bestämmelse om att tillgången till personuppgifter ska begränsas till det som var och en behöver för att kunna fullgöra sina arbetsuppgifter. Vi anser således att bestämmelsen bidrar till skyddet av den enskildes integritet. Motsvarande bestämmelser finns också i flera andra registerförfattningar, se t.ex. 15 § första stycket kustbevakningsdatalagen (2019:429), 2 kap. 20 § första stycket vägtrafikdatalagen (2019:369) och 6 § första stycket lagen (2015:51) om idrottsorganisationers behandling av uppgifter om tillträdesförbud. Bestämmelsen utgör en sådan specificering som enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåten i nationell rätt. Genom bestämmelsen tydliggörs att den personuppgiftsansvarige är Prop. 2021/22:139 skyldig att ta ställning till varje medarbetares och mottagares tillgång till personuppgifter utifrån vad arbetsuppgifterna kräver och begränsa tillgången i enlighet med det. Som utredningen påpekar är det en förutsättning för efterlevnaden av den föreslagna bestämmelsen att det finns bra loggningssystem och att uppföljande kontroller görs. Det är upp till varje aktör som omfattas av lagen att utforma riktlinjer och rutiner i syfte att säkerställa att den föreslagna bestämmelsen följs. Regeringens bedömning: Lagen bör inte innehålla några begränsningar av tillåtna sökbegrepp. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans har yttrat sig särskilt i denna Skälen för regeringens bedömning: Dataskyddsförordningen innehåller inga bestämmelser om sökning eller användning av s.k. För att en sökning ska vara tillåten gäller dock, på samma sätt som vid annan behandling av personuppgifter, bl.a. de grundläggande principerna i artikel 5 i dataskyddsförordningen. Att söka i en databas eller textmassa och på så sätt få fram en sammanställning av personuppgifter är ofta ett värdefullt redskap i en Sökningar som avslöjar och sammanställer känsliga personuppgifter är dock typiskt sett förknippade med särskilda risker i Företeelsen ligger nära det som ursprungligen har motiverat förbudet mot behandling av känsliga personuppgifter, nämligen möjligheten att kartlägga personer på grundval av exempelvis etnicitet eller politiska åsikter. Det är därför enligt 3 kap. 3 § andra stycket dataskyddslagen vid behandling av känsliga personuppgifter med stöd av artikel i dataskyddsförordningen förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Bestämmelsen är dock endast tillämplig för myndigheter. liknande förbud i 2 kap. 14 § brottsdatalagen (2018:1177). den lagen tillhörande registerförfattningarna är det dock möjligt att utföra sökningar på känsliga personuppgifter som inte har gjorts gemensamt tillgängliga, dvs. tillgängliga för en större grupp människor. Inom idrottens antidopningsarbete förekommer det sökningar som kan avslöja känsliga personuppgifter om hälsa. I utredningen anges som exempel att sökningar kan ske inom ramen för dispenshanteringen för att bl.a. ta fram underlag för beslut. Regeringen ansluter sig till utredningens bedömning att det är rimligt att aktörerna i idrottens antidopningsarbete även framöver bör kunna utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter, då det bidrar till ett effektivt Enligt den föreslagna lagen är det endast tillåtet att behandla personuppgifter för vissa preciserade ändamål. Vidare får endast ett fåtal typer av känsliga personuppgifter behandlas, bl.a. om hälsa. Antidopningsarbetet i utförs av en förhållandevis begränsad krets 2021/22:139 personer, främst inom (Antidoping ). Som har framgått föreslår vi dessutom en bestämmelse om att tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Eftersom aktörerna inom idrottens antidopningsarbete inte är myndigheter finns det inte heller särskilda risker med att tillåta personalen att använda känsliga sökbegrepp, eftersom allmänheten inte med stöd av offentlighetsprincipen får möjlighet att begära att personalen ska använda dessa sökbegrepp för att sammanställa och lämna ut personuppgifter (s.k. potentiella handlingar). Utifrån dessa avvägningar gör regeringen bedömningen att det inte bör införas någon begränsning vad gäller sökbegrepp i den föreslagna lagen. Regeringens bedömning: Lagen bör inte innehålla någon bestämmelse om att vissa uppgifter som behandlas i underrättelsearbetet ska förses med en särskild upplysning. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans har yttrat sig särskilt i denna Skälen för regeringens bedömning: I vissa registerförfattningar på brottsdatalagens område finns det bestämmelser om att vissa person- uppgifter som behandlas i underrättelsearbete ska förses med en särskild upplysning om att personen inte är misstänkt (se t.ex. 3 kap. 4 § lagen [2018:1693] om polisens behandling av personuppgifter inom brottsdatalagens område). Dessa bestämmelser är dock endast tillämpliga för personuppgifter som har gjorts gemensamt tillgängliga, dvs. tillgängliga för en större grupp människor. Som en tumregel brukar anges att uppgifter är att anse som gemensamt tillgängliga om de är tillgängliga för fler än ett tiotal personer (se t.ex. prop. 2009/10:85 s. 335). ett fåtal personer har rätt att ta del av uppgifter får risken för intrång i den personliga integriteten anses vara mindre. I brottsdatalagen finns bestämmelser om andra typer av särskilda upplysningar (se 2 kap. 3 § andra stycket samt 9 och 10 §§). registerförfattningarna på lagens område är dock även dessa bestämmelser endast tillämpliga för uppgifter som har gjorts gemensamt tillgängliga (se t.ex. 2 kap. 3 § i lagen om polisens behandling av personuppgifter inom brottsdatalagens område). Den lag som regeringen föreslår tillåter att personuppgifter behandlas i sådant underrättelsearbete som bedrivs av Antidoping och internationella specialidrottsförbund som är etablerade i och är signatärer av världsantidopningskoden, t.ex. Internationella Orienterings- De uppgifter som behandlas inom ramen för detta arbete är tillgängliga för en ganska snäv krets personer. Till detta kommer att uppgifterna som behandlas i denna underrättelseverksamhet i regel inte bedöms vara lika integritetskänsliga som de som förekommer i den Det finns därför inte skäl att införa bestämmelser om att vissa uppgifter som behandlas i underrättelsearbetet ska förses med en särskild upplysning. Regeringens förslag: , samt organ som är etablerade i och utför antidopningsarbete efter delegation från en signatär av världsantidopningskoden ska utse dataskyddsombud för sin behandling av personuppgifter i antidopningsarbetet. Utredningens förslag överensstämmer i huvudsak med regeringens. Förslaget omfattar dock inte Antidoping , som bildades efter det att betänkandet lämnades. Remissinstanserna: Endast har yttrat sig särskilt i denna del. Myndigheten anser att bestämmelsen behöver förtydligas då den kan tolkas som att t.ex. förbund och föreningar som är anknutna till kommer att bli skyldiga att utse ett dataskyddsombud, vilket inte är utredningens avsikt. Skälen för regeringens förslag: Enligt artikel 39 i dataskyddsförordningen ingår det i dataskyddsombudets uppgifter att informera och ge råd till den personuppgiftsansvarige eller personuppgiftsbiträdet och de anställda om deras skyldigheter enligt dataskyddsförordningen och andra dataskyddsbestämmelser. Ombudet ska även bl.a. övervaka att förordningen följs och samarbeta med tillsynsmyndigheten. 37.5och 38 i dataskyddsförordningen finns bestämmelser om dataskyddsombudets kvalifikationer och ställning. Enligt artikel 37.1 i dataskyddsförordningen ska den personuppgiftsansvarige och personuppgiftsbiträdet under alla omständigheter utnämna ett dataskyddsombud om – behandlingen genomförs av en myndighet eller ett offentligt organ (37.1 a), – kärnverksamheten består av behandling som, på grund av sin karaktär, sin omfattning eller sina ändamål, kräver regelbunden och systematisk övervakning av de registrerade i stor omfattning (37.1 b), eller – kärnverksamheten består behandling i stor omfattning av känsliga personuppgifter eller uppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott (37.1 c). Av artikel 37.4 i dataskyddsförordningen framgår att i andra fall än de som avses i artikel 37.1 får eller, om så krävs enligt unionsrätten eller medlemsstaternas nationella rätt, ska den personuppgiftsansvarige eller personuppgiftsbiträdet utnämna ett dataskyddsombud. Artikel 29-gruppen har antagit riktlinjer om dataskyddsombud. Riktlinjerna har godkänts av Europeiska dataskyddsstyrelsen. rekommenderas att en bedömning av huruvida en behandling sker i stor omfattning ska göras utifrån antalet registrerade, mängden uppgifter, de typer av uppgifter som behandlas, behandlingens varaktighet och den geografiska omfattningen av behandlingen. Som exempel på behandling i stor omfattning nämns behandling av bl.a. patientuppgifter på sjukhus och kunduppgifter hos bank eller försäkringsbolag. behandling av uppgifter av telefon- och internettjänstleverantörer. exempel på uppgifter som inte behandlas i stor omfattning anges patient- uppgifter hos en läkare och uppgifter om lagöverträdelser hos en advokat. Enligt riktlinjerna innebär regelbunden övervakning bl.a. pågående övervakning eller övervakning i vissa intervall eller . Systematisk övervakning innebär övervakning som sker enligt ett system, som är på förhand arrangerad, organiserad eller metodisk, som sker enligt en allmän plan för uppgiftsinsamling eller som utförs som ett led i en strategi (se Riktlinjer om dataskyddsombud, 243 rev.01 s. 9 f.). Antidoping är svensk nationell antidopningsorganisation enligt världsantidopningskoden och utför därmed huvuddelen av idrottens Antidopningsarbetet utgör bolagets kärn- Enligt regeringens bedömning består arbetet av behandling av personuppgifter som, på grund av sin karaktär och omfattning, innebär en övervakning av enskilda som är både regelbunden och systematisk samt sker i stor omfattning. Vidare innebär Antidoping antidopnings- arbete att känsliga personuppgifter behandlas i stor omfattning. mening är Antidoping därmed skyldigt att utse dataskyddsombud enligt artikel 37.1 i dataskyddsförordningen. utsett ett sådant ombud. () utför fortfarande visst antidopnings- arbete, främst genom och . handlägger ärenden om dopningsförseelser och överklagade ärenden om medicinsk dispens, medan hanterar överklagade ärenden om dopningsförseelser. arbetet får anses vara en del av RF:s kärnverksamhet. Det är dock tveksamt om det antidopningsarbete som utförs av RF består av behandling av personuppgifter som är av sådan karaktär att RF av detta skäl är skyldigt att utse dataskyddsombud enligt artikel 37.1 i dataskyddsförordningen. Det arbete som utförs av RF är dock ett viktigt led i dopningskontroll- arbetet, som består av behandling som kräver regelbunden och systematisk övervakning av enskilda i stor omfattning. Det talar för att RF ändå bör