prop · H903139 · 2022-03-01 00:00:00 — I dessa fall kan således effektlandsprincipen sägas gälla. I dataskyddsförordningen regleras däremot inte det territoriella tillämpningsområdet för sådan nationell rätt som kompletterar regelverket. Europeiska kommissionen har, vid möten i en expertgrupp om bl.a. dataskyddsförordningen, framhållit behovet av att medlemsstaterna tar ställning till det territoriella tillämpningsområdet för nationell lagstiftning som kompletterar förordningen. Kommissionen har förordat att etableringslandsprincipen bör gälla som utgångspunkt, då en sådan ordning minimerar risken för normkonflikter och minskar risken för att det fria flödet av personuppgifter inom unionen hindras (se Kompletterande promemoria till betänkandet Ny dataskyddslag [SOU 2017:39], Ju2017/04264/L6, s. 7). I 1 kap. 5 § dataskyddslagen finns en bestämmelse om den lagens territoriella tillämpningsområde som följer dataskyddsförordningens Dataskyddslagen gäller vid behandling av personuppgifter som utförs inom ramen för verksamhet som bedrivs vid verksamhetsställen i Lagen tillämpas i vissa fall även vid etablering i tredjeland. gäller bl.a. om behandlingen avser registrerade som befinner sig i och har anknytning till övervakning av deras beteende i . I artikel 4 i det tidigare gällande dataskyddsdirektivet finns, till skillnad från i dataskyddsförordningen, en bestämmelse om vilket lands nationella rätt som ska tillämpas i olika fall. Denna artikel implementerades genom 4 § i den numera upphävda personuppgiftslagen (1998:204). gällde för sådana personuppgiftsansvariga som är etablerade i och, i vissa fall, vid etablering i tredjeland. Personuppgiftslagen var med andra ord inte tillämplig för personuppgiftsansvariga som är etablerade i andra I kameraövervakningslagen (2013:460) fanns en bestämmelse om den lagens territoriella tillämpningsområde som liknade den i person- Kameraövervakningslagen har numera ersatts av kamerabevakningslagen (2018:1200) utan att det territoriella tillämpningsområdet för lagen har ändrats (se prop. 2017/18:231 s. 43 f.). Vid införandet av kameraövervakningslagen angavs att det skulle vara oförenligt med artikel 4 i det dåvarande dataskyddsdirektivet att den svenska regleringen även skulle omfatta den som är etablerad i en annan EU-stat (se prop. 2012/13:115 s. 41). Det finns dock inte någon liknande begränsning i dataskyddsförordningen. Den nu föreslagna lagens territoriella tillämpningsområde bör av rättssäkerhetsskäl framgå av lagen. Enligt regeringens mening bör etableringsprincipen gälla som utgångspunkt för tillämpningsområdet. Det ligger i linje med regleringen i dataskyddsförordningen och dataskyddslagen samt den lösning som kommissionen har förordat. Flera av de aktörer som regeringen föreslår ska omfattas av lagen är etablerade i . Det gäller Antidoping , RF, SOK och SPK som är signatärer av koden. Det gäller också internationella specialidrottsförbund som är etablerade i och är signatärer av koden, t.ex. . Vidare gäller det föreningar och förbund som är anknutna till RF. Lagen omfattar också andra föreningar och förbund som är etablerade i och är anknutna till ett internationellt specialidrottsförbund som är signatär av världsantidopningskoden. Vidare omfattas serviceföretag som är etablerade här, dvs. När det gäller dessa aktörer bör den föreslagna lagen vara tillämplig oavsett var behandlingen faktiskt utförs och den registrerade befinner sig. Den föreslagna lagen omfattar även behandling av personuppgifter i idrottens antidopningsarbete som utförs av aktörer som inte är etablerade i . Det gäller signatärer av världsantidopningskoden som inte är etablerade här, t.ex. andra länders nationella antidopningsorganisationer och andra internationella specialidrottsförbund. Så är även fallet för serviceföretag som inte är etablerade i . Som framgått får dessa aktörer enligt koden utföra dopningskontroller i . Om den föreslagna lagen inte skulle gälla för dessa aktörer finns det en risk för att de inte har någon rättslig grund för behandling av personuppgifter i samband med att de utför dopningskontroller i . När det gäller signatärer av världsantidopningskoden och serviceföretag som inte är etablerade i kan det övervägas att använda sig av effektlandsprincipen. En sådan bestämmelse skulle dock innebära att lagen får ett förhållandevis vidsträckt tillämpningsområde. Lagen skulle nämligen vara tillämplig oavsett var i världen behandlingen utförs bara en idrottsutövare fysiskt befinner sig i . Regeringen ansluter sig därför till utredningens bedömning att lagen ska vara tillämplig då dessa organ behandlar personuppgifter i idrottens antidopningsarbete endast om behandlingen utförs i . ifrågasätter om dataskyddsförordningen medger att man utsträcker det territoriella tillämpningsområdet, med hänvisning till förarbetena till kamerabevakningslagen. Som redan har framgått gör regeringen bedömningen att den behandling av personuppgifter som sker i samband med dopningskontroller har anknytning till övervakning av idrottsutövarnas beteende i unionen och att dataskyddsförordningen även gäller för de organ som inte är etablerade inom unionen men som utför dopningskontroller här. Det föreslagna tillämpningsområdet för lagen går således inte utöver tillämpningsområdet för dataskyddsförordningen. Det föreslagna territoriella tillämpningsområdet för lagen följer förvisso inte helt principerna i dataskyddsförordningen och dataskyddslagen. Då dataskyddsförordningen inte reglerar det territoriella tillämpningsområdet 2021/22:139 för kompletterande nationell lagstiftning bör dock medlemsstaterna i princip vara fria att bestämma detta själva, vilket även kommissionen och andra medlemsstater gett uttryck för (se Kompletterande promemoria till betänkandet Ny dataskyddslag [SOU 2017:39], Ju2017/04264/L6, s. 6). Enligt regeringens mening utgör dataskyddsförordningen därför inget hinder mot den föreslagna regleringen av lagens territoriella tillämpningsområde. Förslaget innebär, till skillnad från vad som gäller enligt dataskyddslagen, att lagen kan vara tillämplig även för sådan behandling av personuppgifter som utförs av aktörer som är etablerade i ett annat land inom EU eller EES. Dessa aktörer kan visserligen komma att omfattas av såväl det svenska regelverket som ett regelverk som gäller i etableringslandet. Den föreslagna lagen syftar dock till bl.a. att skapa en rättslig grund för att behandla personuppgifter i antidopningsarbete som utförs på grund av världsantidopningskoden, som i stor utsträckning styr antidopningsarbetet inom unionen. Vi delar därför utredningens bedömning att risken för normkonflikter framstår som liten. När det gäller behandling av personuppgifter i idrottens antidopningsarbete som utförs av signatärer av koden som inte är etablerade i bör lagen alltså vara tillämplig endast om uppgifterna behandlas i . Detsamma bör gälla serviceföretag som inte är etablerade i . 7.3.2Typ av personuppgiftsbehandling som lagen ska tillämpas på Regeringens förslag: Lagen ska gälla för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller kommer att ingå i ett register. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Ingen instans, utom , invänder mot förslaget. Myndigheten menar att bestämmelsen är obehövlig och inte bör införas i lagen. Om bestämmelsens ändå införs bör terminologin motsvara den i dataskyddsförordningen. Skälen för regeringens förslag: I artikel 2.1 i dataskyddsförordningen anges att den ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår eller kommer att ingå i ett register. Enligt artikel 4.6 i förordningen definieras register som en strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella och geografiska förhållanden. Den föreslagna lagen bör, som utredningen funnit, i detta avseende ha samma tillämpningsområde som dataskyddsförordningen. Regeringen delar även utredningens bedömning att en bestämmelse med denna innebörd av tydlighetsskäl bör införas i lagen. Sådana bestämmelser är också vanligt förekommande i registerlagstiftning, se bl.a. 1 kap. 1 § lagen (2020:421) om behandling av person- uppgifter, 2 § kustbevakningsdatalagen (2019:429) och 1 kap. 2 § Prop. 2021/22:139 vägtrafikdatalagen (2019:369). När det gäller den språkliga utformningen av bestämmelsen kan konstateras att utformningen av motsvarande bestämmelser i olika registerlagar varierar. I vissa lagar används, som utredningen föreslår, uttrycket ”en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier” (se t.ex. 2 § kustbevakningsdatalagen). I vissa nyare registerlagar talas i stället endast om ”register” för att beteckna dessa uppgiftssamlingar (se t.ex. 1 kap. 1 § lagen om behandling av personuppgifter). Det sistnämnda alternativet motsvarar bättre terminologin som används i dataskyddsförordningen, något som efterfrågar i sitt remissvar. Enligt regeringens mening bör därför begreppet ”register” användas i den föreslagna lagen. Lagen bör således gälla för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller kommer att ingå i ett register. Detta innebär inte någon skillnad i sak i förhållande till utredningens förslag. 7.4Förhållandet till annan reglering Dataskyddsförordningen, dataskyddslagen och Regeringens förslag: Lagen ska innehålla en upplysning om att den Lagen ska vidare ange att dataskyddslagen och föreskrifter som har meddelats i anslutning till dataskyddslagen ska gälla, om inte annat följer av lagen. Regeringens bedömning: Lagen har företräde framför idrottens interna regler om behandling av personuppgifter. anges särskilt i lagen. Utredningens förslag och bedömning överensstämmer med Remissinstanserna: Ingen instans har yttrat sig särskilt i denna del. Skälen för regeringens förslag och bedömning: Dataskydds- förordningen är direkt tillämplig i och har företräde framför Den föreslagna lagen om behandling av personuppgifter i idrottens antidopningsarbete kommer därför att innehålla bestämmelser som kompletterar eller tar över bestämmelserna i dataskyddsförordningen, när det är tillåtet. utredningens bedömning att lagen av pedagogiska skäl bör innehålla en upplysning om att den kompletterar dataskyddsförordningen. Dataskyddslagen innehåller bestämmelser av generell karaktär som Av 1 kap. 6 § dataskyddslagen framgår att om en annan lag eller förordning innehåller någon bestämmelse som rör behandling av personuppgifter och som avviker från dataskyddslagen ska den bestämmelsen tillämpas. subsidiär i förhållande till annan lagstiftning om behandling av 2021/22:139 personuppgifter. Som utredningen funnit bör det av tydlighetsskäl även införas en bestämmelse i den föreslagna lagen om att dataskyddslagen, och föreskrifter som meddelats i anslutning till denna, gäller om inte annat följer av den föreslagna lagen. Bestämmelserna i dataskyddsförordningen, dataskyddslagen och den föreslagna lagen har företräde framför idrottens interna regelverk. Regeringen instämmer i utredningens slutsats att detta förhållande inte behöver uttryckas särskilt i den föreslagna lagen. Regeringens bedömning: Lagen ska inte vara tillämplig när personuppgifter behandlas i idrottens antidopningsarbete som utförs av Dopinglaboratoriet vid . Det behöver därmed inte anges särskilt i lagen att den inte ska gälla då personuppgifter behandlas hos Dopinglaboratoriet med stöd av patientdatalagen. Utredningens förslag överensstämmer inte med regeringens bedömning. Utredningen föreslår att lagen ska innehålla en bestämmelse om att lagen inte ska gälla då personuppgifter behandlas hos Dopinglaboratoriet vid med stöd av patientdatalagen. Remissinstanserna: De flesta remissinstanser tillstyrker eller har ingen invändning mot förslaget. anser att det inte framgår vad som är avsikten med den föreslagna bestämmelsen eller vilka konsekvenser som bestämmelsen får för den personliga integriteten. Enligt myndigheten bör det göras en närmare analys utifrån dataskyddsförordningen och patientdatalagen. Förvaltningsrätten i och menar att den föreslagna bestämmelsen bör ändras så att den omfattar alla ackrediterade dopningslaboratorier. Vidare anser att det bör förtydligas vad som ska gälla om patientdatalagen inte skulle vara tillämplig. Skälen för regeringens bedömning: Av artikel 6.1 i världsantidopningskoden följer att endast laboratorier som har ackrediterats eller annars godkänts av får analysera dopningsprov. finns det ett sådant laboratorium i , nämligen Dopinglaboratoriet vid som drivs av Region . Antidoping har ett avtal med laboratoriet om analyser av dopningsprov. Till laboratoriets kunder hör även andra nationella antidopningsorganisationer och internationella specialidrottsförbund. Laboratoriets verksamhet finansieras nästan uteslutande av de avgifter som kunderna betalar för varje prov. Vid analyser av dopningsprov får Dopinglaboratoriet ta del av provnummer som är kopplat till idrottsutövaren. Laboratoriet får också uppgifter om idrottsutövarens kön, idrottstillhörighet och disciplin samt eventuella uppgifter om medicinanvändning. Däremot får laboratoriet inte tillgång till uppgifter som direkt avslöjar idrottsutövarens identitet. Provnumret kan dock knytas till idrottsutövaren via de uppgifter som Antidoping eller någon annan kund har om dopningskontrollen. Laboratoriet behandlar därmed personuppgifter i idrottens antidopningsarbete (jfr artikel 4.1 i dataskyddsförordningen). Utredningen lyfter frågan om den behandling av personuppgifter som utförs av Dopinglaboratoriet faller under patientdatalagen och därmed inte bör omfattas av den föreslagna lagen. Av 1 kap. 1 § patientdatalagen framgår att lagen är tillämplig vid vårdgivares behandling av personuppgifter inom hälso- och sjukvården. Med ”vårdgivare” avses enligt 1 kap. 3 § patientdatalagen bl.a. region i fråga om sådan hälso- och sjukvård som regionen har ansvar för. ”Hälso- och sjukvård” definieras enligt samma bestämmelse som bl.a. verksamhet som avses i hälso- och sjukvårdslagen (2017:30). Enligt 2 kap. 1 § hälso- och sjukvårdslagen avses med hälso- och sjukvård bl.a. åtgärder för att medicinskt förebygga, utreda och behandla sjukdomar och skador. Begreppet hälso- och sjukvård har getts samma definition sedan tillkomsten av den äldre hälso- och sjukvårdslagen . Enligt förarbetena till den sistnämnda lagen kan åtgärder för att förebygga sjukdomar och skador vara både miljöinriktade och individinriktade. Miljöinriktade åtgärder kan innefatta insatser för att för att fastställa hur kemiska, biologiska, fysiska, sociala och psykologiska faktorer inverkar på befolkningens hälsotillstånd. Beträffande individinriktade förebyggande åtgärder innefattas åtgärder för att uppspåra hälsoproblem, t.ex. allmänna och riktade hälsokontroller (se prop. 1981/82:97 s. 110 f.). I doktrinen uttalas att privata laboratorier som tar emot uppdrag från vårdgivare avseende exempelvis provtagning och analys normalt inte betraktas som vårdgivare. Laboratorium som utgör en integrerad del av en offentlig vårdgivares verksamhet får däremot anses bedriva hälso- och sjukvård, t.ex. en regions egna mikrobiologiska laboratorier (se Manólis Nymark, Patientdatalagen [], , kommentaren till 1 §). Definitionen av hälso- och sjukvård får mot denna bakgrund anses vara Då dopning kan vara förknippat med hälsorisker kan verksamheten vid Dopinglaboratoriet enligt regeringens mening sägas syfta till bl.a. att spåra upp hälsoproblem. Dopinglaboratoriet utgör en del av region verksamhet vid farmakologi vid . Laboratoriet tar förvisso inte uppdrag från vården vid det egna sjukhuset, utan från olika organisationer inom idrotten. Verksamheten vid laboratoriet påminner dock om den som bedrivs vid en regions egna mikrobiologiska laboratorier, som alltså anses bedriva hälso- och sjukvård. Det framstår därmed som rimligt att verksamheten vid Dopinglaboratoriet faller in under samma lag som resten av verksamheten. Utredningen drar också slutsatsen att laboratoriet tillämpar patientdatalagen i sitt arbete. Mot denna bakgrund gör regeringen, i likhet med utredningen, bedömningen att Dopinglaboratoriet bedriver hälso- och sjukvård i hälso- och sjukvårdslagens mening och att den behandling av personuppgifter som sker inom ramen för detta arbete omfattas av patientdatalagen. Patientdatalagen syftar enligt 1 kap. 2 § andra stycket till bl.a. att personuppgifter ska behandlas så att den registrerades integritet respekteras. Lagen har också anpassats till dataskyddsförordningen (se prop. 2017/18:171, bet. 2017/18:SoU33, rskr. 2017/18:261). 2021/22:139 förutsättas att skyddet för den personliga integriteten är tillgodosett beträffande sådan behandling av personuppgifter som omfattas av tillämpningsområdet. Regeringen ser därför, till skillnad från , inte anledning att inom ramen för detta lagstiftningsarbete göra några närmare analyser utifrån dataskyddsförordningen och patientdatalagen. Regeringen föreslår i avsnitt 7.3.1 att bestämmelsen i 4 § i lagförslaget justeras på sådant sätt att lagen ska vara tillämplig då personuppgifter behandlas i antidopningsarbete som utförs av ett organ efter delegation från en signatär av världsantidopningskoden. Det blir därmed tydligt att behandlingen av personuppgifter vid Dopinglaboratoriet eller något annat laboratorium inte omfattas av lagens tillämpningsområde. Dopningsprov får enligt världsantidopningskoden endast analyseras av laboratorier som har godkänts av . Antidoping eller andra signatärer kan därmed inte anses delegera uppgiften att analysera dopningsprov till sådana laboratorier. Det finns således inte längre något behov av en särskild bestämmelse om att lagen inte ska gälla då personuppgifter behandlas hos Dopinglaboratoriet vid med stöd av patientdatalagen. Regeringen föreslår därför att den av utredningen föreslagna bestämmelsen utgår. Regeringens bedömning: Det bör inte införas särskilda bestämmelser om personuppgiftsansvar i lagen. Lagen bör inte heller innehålla särskilda bestämmelser om personuppgiftsbiträden. Utredningens förslag stämmer inte överens med regeringens Utredningen föreslår att det ska föras in en bestämmelse i lagen om att varje organ som omfattas av lagen ska vara personuppgiftsansvarig för den behandling av personuppgifter som organet utför i idrottens antidopningsarbete. fråga om bestämmelser om personuppgiftsbiträden stämmer överens med Remissinstanserna: De flesta instanser tillstyrker eller har ingen invändning mot förslaget. utredningens förslag riskerar att leda till en felaktig tillämpning av artikel 4 i dataskyddsförordningen och att bestämmelsen inte bör införas i lagen. Myndigheten efterfrågar en fördjupad analys av i vilken egenskap respektive organ behandlar personuppgifter. Vidare framhålls att förslaget kan leda till normkonflikter inom EU. Slutligen anser myndigheten att bestämmelsens ordalydelse tycks omöjliggöra att man kan behandla () anser att serviceföretagen agerar som personuppgiftsbiträden när de hanterar dopningstester och hämtar information från idrottsutövarnas Bolaget understryker vikten av att en internationell samsyn inväntas innan personuppgiftsansvaret regleras i lag. införas i lagen, alternativt inte omfatta Ingen instans yttrar sig särskilt över bedömningen som rör bestämmelser om personuppgiftsbiträden. Skälen för regeringens bedömning Den som behandlar personuppgifter är antingen personuppgiftsansvarig Begreppet personuppgiftsansvar är centralt inom all reglering om dataskydd. Den personuppgiftsansvarige är skyldig att se till att behandlingen av personuppgifter sker i enlighet med Enskilda ska alltid kunna vända sig till den personuppgiftsansvarige för att göra sina rättigheter gällande. Med personuppgiftsansvarig avses enligt definitionen i artikel 4.7 i dataskyddsförordningen en fysisk eller juridisk person, myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om två eller fler personuppgiftsansvariga gemensamt fastställer ändamålen och medlen för behandlingen ska de, enligt artikel 26 i samma förordning, vara gemensamt personuppgiftsansvariga. I ett sådant fall ska de under öppna former fastställa sitt respektive ansvar för att fullgöra skyldigheterna enligt dataskyddsförordningen. Personuppgiftsbiträde definieras i artikel 4.8 i dataskyddsförordningen som en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgifts- Bedömningen av vem som är personuppgiftsansvarig för en viss behandling ska som huvudregel göras utifrån dataskyddsförordningen och de faktiska omständigheterna i varje enskilt fall. dock enligt artikel 4.7 i dataskyddsförordningen ange vem som är person- uppgiftsansvarig i den nationella rätten om ändamålen och medlen för behandlingen bestäms av unionsrätten eller nationell rätt. Personuppgiftsansvaret i idrottens antidopningsarbete För att vara personuppgiftsansvarig enligt dataskyddsförordningen ska man alltså bestämma ändamålen och medlen för behandlingen. framgått föreslås lagen om behandling av personuppgifter i idrottens antidopningsarbete omfatta behandling av personuppgifter som utförs av en rad olika organ, se avsnitt 7.3.1. Enligt regeringens bedömning är de organ som omfattas av lagen i många fall personuppgiftsansvariga för den behandling som de utför. serviceföretaget påpekar är det dock tveksamt om så alltid är fallet. Föreningar och förbund som är anknutna till RF är skyldiga att följa idrottens interna antidopningsregler. dock av omständigheter som helt eller delvis ligger bortom den egna kontrollen, t.ex. författningsbestämmelser, myndighetsinstruktioner, samarbetsavtal och andra yttre faktorer. Det i sig utesluter alltså inte att föreningarna och förbunden kan vara personuppgiftsansvariga för sin behandling i antidopningsarbetet (jfr prop. 2014/15:148 s. 34). dock situationer där det kan ifrågasättas om föreningarna eller förbunden har något reellt inflytande över ändamålen och medlen för en behandling Ett exempel är om en förening är skyldig att på begäran av Antidoping lämna ut vissa specifika uppgifter till 2021/22:139 bolaget. Detta fall kan jämföras med fallet att en myndighet beordrar t.ex. ett företag att utföra en viss behandling. I det sistnämnda fallet anses myndigheten som regel vara personuppgiftsansvarig (se prop. s. 66 f. och prop. 2000/01:33 s. 137 f. samt Datainspektionens beslut den , dnr 1739-2013). När det gäller serviceföretagen finns olika uppfattningar om huruvida de är att anse som personuppgiftsansvariga för sin behandling av personuppgifter i antidopningsarbetet. Utredningen landar, efter ett utförligt resonemang, i att företagen bör ses som personuppgiftsansvariga. IDTM menar dock att man agerar som personuppgiftsbiträde såväl när man hanterar dopningstesterna som när man hämtar information från Enligt bolaget tycks det även vara den gängse uppfattningen inom antidopningsvärlden. Den som anlitar någon annan för att behandla personuppgifter, t.ex. för att samla in och bearbeta uppgifterna, är normalt att anse som personuppgiftsansvarig och den anlitade som personuppgiftsbiträde. Kammarrätten i har dock i en dom funnit att det sagda inte gäller i ett fall då ett företag hade anlitats för att göra bakgrundskontroller Domstolen konstaterade att företaget hade utarbetat särskilda metoder för insamlingen av uppgifter och att denna metod rimligen var skälet till att företaget anlitats för uppdraget. därför en självständig ställning och kunde bestämma ändamålen och medlen för behandlingen av personuppgifter på ett sådant sätt att bolaget