prop · H903139 · 2022-03-01 00:00:00 — I den av Europeiska kommissionen utgivna utvärderingen av antidopningsarbetet i medlemsstaterna påtalas att den offentliga publiceringen kan stå i strid med principerna om nödvändighet och proportionalitet, principen om uppgiftsminimering samt den enskildes rättigheter, t.ex. rätten till radering. Det gäller särskilt vid publicering i öppna kanaler som internet. I utvärderingen lyfts därför alternativet att dela uppgifterna i slutna databaser (se Protection, An evaluation of the anti-doping laws and practices in the EU Member States in light of the Protection Regulation, 2017, s. 119 f.). Som utredningen konstaterar är publiceringen på internet av uppgifter problematisk ur ett integritetsperspektiv. En sådan publicering skulle kunna leda till konsekvenser för den enskilde även utanför idrotten, t.ex. i det civila arbetslivet. Sedan utredningen lämnade sitt betänkande har dock världsantidopningskoden och även svensk idrotts interna regelverk ändrats på sådant sätt att publicering inte längre sker beträffande motionsidrottsutövare, vilket är positivt ur ett integritetsperspektiv. RF:s hemsida för kungörelser har ett utgivningsbevis från Myndigheten för press, radio och tv. Av 1 kap. 4 § yttrandefrihetsgrundlagen (YGL) framgår att denna grundlags föreskrifter om sändningar av program är tillämpliga när information ur en databas tillhandahålls allmänheten på visst sätt, t.ex. om det finns utgivningsbevis för verksamheten. Ett utgivningsbevis ger ett frivilligt grundlagsskydd för yttrandefriheten som motsvarar det som massmedieföretag har för sina publiceringar på internet. Av 1 kap. 5 § YGL framgår att utgivningsbevis ska utfärdas bl.a. om verksamheten är ordnad enligt 1 kap. 4 § i samma grundlag och överföringarna utgår från samt om en utgivare har utsetts. Det ställs däremot inte något krav på att verksamheten ska ha ett visst innehåll eller syfte. Grundlagsskyddet förutsätter alltså endast att de formella kriterierna är uppfyllda. Enligt 1 kap. 6 § YGL gäller utgivningsbeviset med möjlighet till förlängning. RF:s utgivningsbevis beviljades och gäller alltså till . RF:s hemsida för kungörelser är alltså grundlagsskyddad enligt yttrandefrihetsgrundlagen. I 1 kap. 7 § dataskyddslagen tydliggörs att yttrandefrihetsgrundlagen har företräde framför dataskyddsförordningen. Det innebär att möjligheterna att med stöd av personuppgiftsregleringen ingripa mot publicering som sker med stöd av ett utgivningsbevis är Prop. 2021/22:139 begränsade. Enligt 1 kap. 20 § YGL hindrar dock inte denna grundlag att det i lag meddelas föreskrifter om förbud mot offentliggörande av vissa personuppgifter som är särskilt integritetskänsliga, bl.a. om hälsa. Det förutsätter dock att personuppgifterna ingår i en uppgiftssamling som har ordnats så att det är möjligt att söka efter eller sammanställa dessa. Det måste också med hänsyn till verksamheten och de former under vilka uppgiftssamlingen hålls tillgänglig finnas särskilda risker för otillbörliga intrång i enskildas personliga integritet. När det gäller den sistnämnda förutsättningen har dock regeringen föreslagit att grundlagen ska ändras på sådant sätt att det i stället ska krävas att det med hänsyn till uppgiftssamlingens karaktär står klart att det finns särskilda risker för otillbörliga intrång i enskildas personliga integritet (se prop. 2021/22:59). Bestämmelsen i 1 kap. 20 § YGL förutsätter inte att föreskrifter i vanlig lag ska införas senare genom särskild lagstiftning utan medger tvärtom tillämpning av redan befintlig nationell eller EU-rättslig lagstiftning. I den mån befintliga regler om behandling av personuppgifter är tillämpliga på en viss behandling gäller alltså dessa. innebär det att dataskyddsförordningen och kompletterande nationell lagstiftning blir tillämplig. Listan över bestraffningar enligt Idrottens antidopingreglemente på hemsidan har inte försetts med särskilda sökfält. Det är dock möjligt att göra en fritextsökning på hemsidan efter uppgifter som omfattas av listan. Det är exempelvis möjligt att söka på ett visst dopningspreparat för att hitta idrottsutövare som har fällts för att ha använt preparatet. Vidare är det möjligt att genom att söka på en idrottsutövares namn få veta att han eller hon har fällts för att brukat ett visst dopningspreparat. Listan över bestraffningar omfattar ett trettiotal personer och det är endast för ett tiotal av dessa som uppgiftssamlingen innehåller sökbara uppgifter om brukade dopningspreparat. Enligt regeringens mening talar det mesta för att publiceringen av bestraffningar enligt Idrottens antidopingreglemente inte omfattas av delegationsbestämmelsen i 1 kap. 20 YGL, särskilt med hänsyn till att en betydande marginal ska tillämpas i fråga om vad som faller inom det grundlagsskyddande området. Det saknas därför stöd för bestämmelser i lag om förbud mot publicering av uppgifter om dopningsförseelser. Det kan konstateras att Antidoping och RF, trots utredningens bedömning och vad som anges i RF:s remissvar, inte har infört någon ny ordning på området. Regeringens bedömning: Särskilda bestämmelser om behandling av personnummer och samordningsnummer bör inte föras in i lagen. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans har yttrat sig särskilt i denna 2021/22:139 Skälen för regeringens bedömning: Personnummer och samordningsnummer anses inte som känsliga personuppgifter i dataskyddsförordningens mening. Medlemsstaterna får dock enligt artikel 87 i dataskyddsförordningen införa särskilda villkor för behandlingen av sådana uppgifter. Villkoren ska i sådana fall säkerställa att identifikationsuppgifterna bara får användas med iakttagande av lämpliga skyddsåtgärder för de registrerades fri- och rättigheter. Av 3 kap. 10 § dataskyddslagen följer att personnummer och samordningsnummer får behandlas dels om den registrerade har lämnat sitt samtycke, dels om det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Det ska alltså i det senare fallet göras en intresseavvägning mellan behovet av behandlingen och de integritetsrisker som den innebär. Regeringen delar utredningens bedömning att den generella regleringen i dataskyddslagen är tillräcklig och att det därmed saknas behov av särskilda bestämmelser om behandling av personnummer och samordningsnummer i den föreslagna lagen. Regeringens bedömning: Lagen bör inte innehålla några undantag från den registrerades rättigheter enligt artiklarna 13–18 och 21 i dataskyddsförordningen. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Endast Världsantidopningsbyrån () har yttrat sig särskilt i denna del. Enligt kan det enligt den internationella standarden för skydd av privatlivet och personuppgifter krävas ytterligare undantag från den registrerades rättigheter. I detta sammanhang har särskilt lyft att den registrerade inte ska få tillgång till information om när testning ska genomföras eller om underrättelsearbetet. Vidare anser att det bör framgå av lagen att behandling får fortsätta trots invändning enligt artikel 21.1 i dataskyddsförordningen. I kapitel III i dataskyddsförordningen finns bestämmelser om den registrerades rättigheter. –den personuppgiftsansvariges skyldighet att självmant tillhandahålla den registrerade information om behandlingen av personuppgifter (artiklarna 13 och 14), –den registrerades rätt att på begäran få tillgång till de personuppgifter som behandlas och viss särskilt angiven information (artikel 15), –den registrerades rätt att på begäran få felaktiga personuppgifter rättade (artikel 16), –den registrerades rätt att under vissa omständigheter få sina personuppgifter raderade (artikel 17), –den registrerades rätt att under vissa förutsättningar kräva att Prop. 2021/22:139 behandlingen begränsas (artikel 18), –den registrerades rätt att få åtkomst till sina personuppgifter i syfte att föra över dem till en annan leverantör av elektroniska tjänster, s.k. dataportabilitet, om behandlingen grundar sig på den registrerades samtycke eller avtal med denne (artikel 20), –den registrerades rätt att göra invändningar mot behandling av personuppgifter som grundar sig på artikel 6.1 e eller f (artikel 21), och –den registrerades rätt att motsätta sig automatiskt individuellt beslutsfattande (artikel 22). I anslutning till dessa rättigheter finns även bestämmelser om hur och när information ska lämnas (artikel 12) och bestämmelser om anmälningsskyldighet om rättelse, radering eller begränsning av behandling sker (artikel 19). Bestämmelserna i dataskyddsförordningen om den registrerades rättigheter är direkt tillämpliga. Enligt artikel 23 i förordningen får dock medlemsstaterna i nationell rätt begränsa tillämpningsområdet för den enskildes rättigheter om det sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna samt utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa vissa särskilt angivna mål. En begränsande lagstiftningsåtgärd ska dock innehålla specifika bestämmelser i vissa avseenden, bl.a. om skydds- I 5 kap. dataskyddslagen finns nationella generella begränsningar av artiklarna 13–15 i dataskyddsförordningen om information och rätt att få tillgång till personuppgifter. I artikel 7 och 11 i den till världsantidopningskoden tillhörande standarden för skydd av privatlivet och personuppgifter finns vissa bestämmelser om enskildas rätt att få del av information samt om rättelse Dessa bestämmelser är också tillämpliga i idrottens Nedan behandlas frågan om det behövs särskilda bestämmelser i den föreslagna lagen som begränsar enskildas rättigheter enligt dataskydds- Rätten till dataportabilitet behandlas dock inte, då den inte är tillämplig vid den personuppgiftsbehandling som sker enligt vår föreslagna lag eftersom den behandlingen inte grundar sig på samtycke Inte heller automatiskt beslutsfattande behandlas, då det inte bedöms förekomma i idrottens antidopningsarbete. Skälen för regeringens bedömning Rätt till information och tillgång till personuppgifter Den personuppgiftsansvarige är enligt artiklarna 13 och 14 i dataskydds- förordningen skyldig att självmant tillhandahålla den registrerade information om behandlingen av personuppgifter. dessutom enligt artikel 15 i samma förordning rätt till registerutdrag, dvs. rätt att på begäran få tillgång till de personuppgifter som behandlas och viss särskilt angiven information. Rätten till information och registerutdrag gäller dock enligt 5 kap. 1 § dataskyddslagen inte sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt författning eller enligt beslut 2021/22:139 som har meddelats med stöd av författning. Om den personuppgiftsansvarige inte är en myndighet gäller undantaget även för uppgifter som hos en myndighet skulle ha varit sekretessbelagda enligt offentlighets- och sekretesslagen (2009:400) (OSL). En privaträttslig aktör får med andra ord i motsvarande fall som avses i offentlighets- och sekretesslagen vägra att lämna ut uppgifter till den registrerade. Bestämmelsen i 5 kap. 1 § dataskyddslagen bör enligt förarbetena tolkas och tillämpas på ett likartat sätt som sin motsvarighet i 27 § i den tidigare gällande personuppgiftslagen (1998:204) (se prop. 2017/18:105 s. 202). I förarbetena till 27 § personuppgiftslagen konstateras att det även på den privata sidan kan finnas behov av bestämmelser som gör det möjligt att i vissa fall vägra att lämna information till den registrerade. Som exempel anges att enskilda kan ha ett befogat intresse av att kunna hemlighålla personanknuten information som har samlats in inför en domstolsprocess, om det kan antas att ett utlämnande av informationen skulle försämra den enskildes ställning som part i rättegången. Vidare nämns att det i försäkringsverksamhet kan registreras uppgifter om att en person misstänks för försäkringsbedrägeri eller annan brottslig verksamhet. Det anges också att internationella organisationer kan ha sammanställningar av uppgifter om personer som misstänks ha gjort sig skyldiga till brott mot de mänskliga rättigheterna. Regeringens uppfattning var att dessa uppgifter inte bör behöva lämnas ut medan utredning pågår (se prop. 1997/98:44 s. 84). , som dock föreslog att särskilda föreskrifter om undantag från informationsskyldigheten skulle meddelas, ansåg att undantag bör medges i situationer liknande dem som avses i t.ex. nuvarande 18 kap. 1–4 §§, 19 kap. 9 § och 35 kap. 21 § OSL (se SOU 1997:39 s. 399). Som framhåller kan aktörer inom idrottens antidopningsarbete i vissa fall ha berättigade intressen av att vägra ett utlämnande av information till den enskilde. Det kan t.ex. gälla uppgifter hänförliga till planerade dopningskontroller eller underrättelsearbetet. Aktörerna inom idrottens antidopningsarbete är inte myndigheter utan privaträttsliga subjekt. För att de ska kunna vägra ett utlämnande med stöd av 5 kap. 1 § dataskyddslagen krävs att det finns bestämmelser i offentlighets- och sekretesslagen som hade hindrat utlämnandet om organet varit en myndighet. Enligt regeringens mening kan en jämförelse göras med bestämmelserna om sekretess till skydd främst för intresset av att förebygga eller beivra brott i 18 kap. 1–3 §§ OSL. Dessa bestämmelser bör kunna användas i antidopningsarbetet för att i motsvarande fall vägra ett utlämnande av information till enskilda. Då bestämmelserna i dataskyddslagen om begränsningar avseende artiklarna 13–15 i dataskyddsförordningen kan tillämpas även i idrottens antidopningsarbete saknas behov av särskilda bestämmelser om begränsning av rättigheterna i den föreslagna lagen. Rätten till rättelse och radering av personuppgifter Enligt artikel 16 i dataskyddsförordningen har den registrerade rätt att få felaktiga personuppgifter rättade. Det har inte framkommit skäl att inskränka denna rätt. Av artikel 17 i dataskyddsförordningen framgår att den registrerade under vissa förhållanden har rätt att få sina personuppgifter raderade. Detta gäller dock inte bl.a. om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Som har framgått kan behandling av personuppgifter i idrottens antidopningsarbete stödjas på den rättsliga grunden att den är nödvändig för att utföra en uppgift av allmänt intresse. Det saknas därmed behov av att införa en särskild bestämmelse om begränsning av rätten till radering i den föreslagna lagen. Rätten att göra invändningar mot och begära begränsningar av behandling av personuppgifter Enligt artikel 21.1 i dataskyddsförordningen har den registrerade rätt att göra invändningar mot behandling av personuppgifter avseende honom eller henne. Denna rätt gäller bl.a. vid behandling som grundar sig på den rättsliga grunden uppgift av allmänt intresse (artikel 6.1 e). Rätten att göra invändningar innebär att den registrerade har en möjlighet att få till stånd en överprövning av behandlingens tillåtlighet. Överprövningen innebär att den personuppgiftsansvarige måste kunna visa avgörande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter (se artikel 21.1). Om det saknas berättigade skäl har den registrerade rätt att få personuppgifterna raderade (se artikel 17.1 c). Rätten att göra invändningar mot behandling av personuppgifter gäller alltså när personuppgifter behandlas i idrottens antidopningsarbete med stöd av den rättsliga grunden uppgift av allmänt intresse. Det huvudsakliga skälet för att begränsa denna rätt är att ett effektivt antidopningsarbete inom idrotten förutsätter att personuppgifter kan behandlas, oberoende av idrottsutövarens inställning. En invändning mot behandling behöver dock inte alltid gälla hela behandlingen utan kan avse en begränsad del av denna, t.ex. långvarig lagring eller publicering av en viss uppgift. I sådana fall finns det inte lika starka skäl för att inskränka rätten att invända mot behandlingen. Rätten att göra invändningar mot personuppgiftsbehandling fyller en viktig funktion ur rättssäkerhetssynpunkt. Det gäller inte minst när behandlingen, som i detta fall, utförs av privaträttsliga aktörer som inte har författningsstöd för sin verksamhet. I den av Europeiska kommissionen utgivna utvärderingen av antidopningsarbetet i medlemsstaterna rekommenderas också att en nationell lagstiftning tillåter idrottsutövare att invända mot behandlingen av deras personuppgifter, särskilt om den rättsliga grunden för behandlingen är uppgift av allmänt intresse (se Protection, An evaluation of the anti-doping laws and practices in the EU Member States in light of the Protection Regulation, 2017, s. 21). Även om det är av stor vikt att idrottens antidopningsarbete kan utföras på ett effektivt sätt anser regeringen, i likhet med utredningen, att det inte är en nödvändig och proportionell åtgärd att begränsa enskildas rätt att invända mot behandlingen av personuppgifter. Det föreslås därför inte någon sådan begränsning i den föreslagna lagen. Som utredningen framhåller kan aktörerna i idrottens antidopningsarbete normalt sett påvisa sådana avgörande berättigade skäl för sin behandling som kan anses väga tyngre än den registrerades intressen. 2021/22:139 Den registrerade har enligt artikel 18.1 i dataskyddsförordningen rätt att under vissa förutsättningar kräva att behandlingen begränsas. Med begränsning av behandling avses enligt artikel 4.3 i samma förordning en markering av lagrade personuppgifter med syftet att begränsa behandlingen av dessa . Det har inte framkommit något skäl att inskränka den registrerades rättigheter att begära begränsning av behandlingen av personuppgifter. Ett fall då den registrerade har rätt att kräva att behandlingen begränsas är om den registrerade har invänt mot behandling i enlighet med artikel 21.1i väntan på kontroll av huruvida den personuppgiftsansvariges berättigade skäl väger tyngre än den registrerades berättigade skäl (se artikel 18.1 d). Av artikel 18.2 i dataskyddsförordningen följer att om behandlingen har begränsats får personuppgifterna, med undantag för lagring, endast behandlas under vissa förhållanden, bl.a. för skäl som rör ett viktigt allmänintresse för unionen eller för en medlemsstat. Som framgått är intresset av en dopningsfri idrott ett viktigt allmänt intresse (se avsnitt 6.2). Behandlingen av personuppgifter i idrottens antidopningsarbete bör därför åtminstone i vissa fall kunna fortsätta, trots en invändning mot behandling enligt artikel 21.1. Det har inte framkommit skäl att, som önskar, i lagen reglera att behandling alltid får fortsätta trots en invändning. 10Längsta tid som personuppgifter får behandlas 10.1Allmänt om lagring av personuppgifter Lagring är en form av behandling av personuppgifter enligt artikel 4.2 i dataskyddsförordningen. Enligt huvudregeln i artikel 5.1 e i samma förordning får personuppgifter inte förvaras i en form som möjliggör identifiering än vad som är nödvändigt för de ändamål för vilka uppgifterna behandlas. När en personuppgift inte längre behöver behandlas för de ursprungliga ändamålen ska den alltså raderas eller avidentifieras. Personuppgifter får dock i enlighet med artikel 89.1 i dataskyddsförordningen lagras i den mån uppgifterna enbart behandlas för arkivändamål av allmänt intresse eller för vetenskapliga och historiska forskningsändamål eller statistiska ändamål. Artikel 10 i den till världsantidopningskoden tillhörande internationella standarden för skydd av privatlivet och personuppgifter (ISPPPI) innehåller bestämmelser om bevarande av personuppgifter som ska tillämpas i idrottens antidopningsarbete. Signatärerna ska ansluta sig till de bevarandefrister som framgår av annex A till ISPPPI och, om någon sådan frist inte anges i annex A, om möjligt fastställa tydliga frister i enlighet med principerna i artikeln (artikel 10.1). Det krävs i regel starkare skäl för att bevara känsliga personuppgifter än andra uppgifter (artikel 10.2). Signatärerna ska säkerställa att personuppgifter bara bevaras när det är relevant för att uppfylla skyldigheterna enligt koden och de internationella standarderna eller tillämplig lag, och därefter ska Prop. 2021/22:139 uppgifterna raderas, förstöras eller anonymiseras (artikel 10.3). Signatärerna ska införa särskilda rutiner för bevarande och gallring av personuppgifter (artikel 10.4). Olika bevarandefrister får tillämpas för olika typer av personuppgifter (artikel 10.5). I annex A till ISPPPI anges bevarandefrister för olika kategorier av personuppgifter, bl.a. –intyg om medicinsk dispens och beslut om avslag av ansökan om dispens: , –ansökningar om medicinsk dispens och bifogad medicinsk information: 12 månader efter att den medicinska dispensen upphör att gälla, –vistelserapporter: 12 månader efter utgången av det kvartal som rapporten avser, –dopningskontrollformulär: , –provresultat: , –beslut och dokumentation om dopningsförseelser: den av eller sanktionens varaktighet, och –resultat och vistelseinformation i det biologiska passet: . Bevarandefristerna kan under vissa förhållanden förlängas, t.ex. vid en pågående eller rimligen förväntad dopningsförseelse. (Antidoping ) har antagit en lagringspolicy som i stora delar motsvarar annex A till ISPPPI. 10.2En generell begränsning av tiden som personuppgifter får behandlas Regeringens förslag: Personuppgifter ska inte få behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Endast har yttrat sig särskilt över förslaget. Myndigheten påpekar att bestämmelsen inte tillför något skydd för enskildas integritet jämfört med vad som redan gäller enligt dataskyddsförordningen. Enligt myndigheten behöver lagstiftaren fastställa mer preciserade gallringsregler som tillförsäkrar att behandlingen blir proportionerlig i förhållande till det integritetsintrång som behandlingen kan innebära och att behandlingen inte kommer i konflikt med dataskyddsförordningens grundläggande principer. Skälen för regeringens förslag: Bevarandetiden för vissa kategorier av personuppgifter enligt annex A till ISPPPI kan bli relativt lång, vilket motiveras av bl.a. att preskriptionstiden för en dopningsförseelse enligt artikel 17 i världsantidopningskoden är . Artikel 29-gruppen var, i förhållande till det tidigare gällande dataskyddsdirektivet, kritiska mot de långa bevarandetiderna för vissa kategorier av personuppgifter i idrottens antidopningsarbete (se Second opinion 4/2009 on the [] International 2021/22:139 Standard for the Protection of Privacy and Personal Information, on related provisions of the Code and on other privacy issues in the context of the fight against doping in sport by and [national] anti-doping organizations, WP162, s. 15 f.). I den av Europeiska kommissionen utgivna utvärderingen av antidopningsarbetet i medlemsstaterna ifrågasätts om de bevarandetider som framgår av annex A till ISPPPI är förenliga med dataskyddsförordningens krav på uppgiftsminimering. Medlemsstaterna rekommenderas även att, per ändamål och typ av uppgifter, specificera hur länge personuppgifter får bevaras och under vilka förhållanden (se Protection, An evaluation of the anti-doping laws and practices in the EU Member States in light of the Protection Regulation, 2017, s. 98 och 119). Europeiska dataskyddsstyrelsen har i ett brev påmint om Artikel 29-gruppens tidigare synpunkter. Europeiska dataskyddsstyrelsen har då särskilt anmärkt på att det i den tidigare gällande versionen av annex A till ISPPPI angavs att vissa personuppgifter fick bevaras (ref: OUT2019-0035). Det kan dock noteras att bevarandefristerna i den nu gällande versionen av annex A har preciserats. I kommissionens utvärdering anges att samtliga nationella antidopningsorganisationer inom EU verkar följa de gallringsbestämmelser som framgår av annex A i ISPPPI (se a.a. s. 98).