prop · H903139 · 2022-03-01 00:00:00 — var att betrakta som personuppgiftsansvarigt enligt personuppgiftslagen (se Kammarrätten i dom, HFD 2015 ref. 3). lyfter anses även inkassobolag som har anlitats att driva in fordringar som personuppgiftsansvariga för behandlingen av personuppgifter i indrivningsverksamheten (se Datainspektionens allmänna råd om tillämpningen av inkassolagen, 2011, s. 9). framhåller dock i sitt remissvar att inkassoverksamhet är reglerad och att inkassobolagen ansvarar för att dessa regler efterföljs, varför en annan ansvarsfördelning i detta fall skulle vara orimlig. Serviceföretag anlitas av signatärer av världsantidopningskoden för att utföra antidopningsarbete, t.ex. dopningskontroller. dock att personuppgifter behandlas. dopningskontrollerna i enlighet med reglerna i världsantidopningskoden och de internationella standarderna. idrottsutövare som ska kontrolleras, i vilken utsträckning som kontrollerna ska ske och vilken typ av prov (blod- eller urinprov) som ska lämnas. IDTM beskriver att de använder sig av standardformulär för dopningskontroller som har tagits fram av och som anger vilken information som ska samlas in vid kontrollen. uppdragsgivaren i vissa fall även anvisningar om i vilken IT-miljö som kontrollen ska dokumenteras, t.ex. på papper eller inte. För utförande av uppdraget får serviceföretagen tillfällig tillgång till vissa personuppgifter, t.ex. idrottsutövarens vistelseinformation, i Den som endast har tillgång till personuppgifter i en databas för att t.ex. söka bland eller läsa dem, men inte har rätt att ändra, komplettera eller radera uppgifterna anses som huvudregel inte vara personuppgiftsansvarig för behandlingen (se prop. 2007/08:126 s. 62). Utredningen menar att serviceföretagen har möjlighet att ändra och komplettera informationen i de har Prop. 2021/22:139 tillgång till uppgifterna, medan IDTM påpekar att det som huvudregel inte Serviceföretagen kan även själva samla in information om var idrottsutövaren befinner sig, för att ta ställning till när det är lämpligt att utföra en dopningskontroll. IDTM menar dock att det inte sker i praktiken, utan att det endast görs momentana kontroller mot . Mot denna bakgrund är det enligt regeringens mening tveksamt om serviceföretagen alltid kan anses ha en sådan självständig ställning samt kan bestämma ändamålen och medlen för behandlingen av personuppgifter på ett sådant sätt att de är att betrakta som personuppgiftsansvariga för varje behandling som de utför i idrottens antidopningsarbete. Personuppgiftsansvaret bör inte regleras Registerförfattningar innehåller ofta en reglering av vem som är personuppgiftsansvarig. En sådan reglering har fördelen att det blir tydligt för de berörda vem som är personuppgiftsansvarig. Det råder som har framgått i viss mån delade meningar om vem som är personuppgiftsansvarig i antidopningsarbetet. Det skulle därför av tydlighetsskäl vara lämpligt att i lagen peka ut vem som är ansvarig för den behandling av personuppgifter som sker i arbetet. I den av Europeiska kommissionen utgivna utvärderingen av antidopningsarbetet i medlemsstaterna påtalas också behovet av att klargöra ansvarsfördelningen (se Protection, An evaluation of the anti-doping laws and practices in the EU Member States in light of the Protection Regulation, 2017, s. 21 och 97). Regeringen anser dock, till skillnad från utredningen, att en bestämmelse om att varje organ som omfattas av den föreslagna lagen ska vara personuppgiftsansvarigt för den behandling som organet utför i antidopningsarbetet skulle kunna innebära avvikelse i förhållande till vad som gäller enligt artikel 4.7 i dataskyddsförordningen. Som framgått kan det i vissa fall ifrågasättas om föreningar och förbund är att anse som personuppgiftsansvariga för sin behandling av personuppgifter i antidopningsarbetet. Detsamma gäller serviceföretag. Den bestämmelse som utredningen föreslår skulle alltså kunna leda till att en aktör som inte har inflytande över ändamålen och medlen för en behandling av personuppgifter ändå är att anse som personuppgiftsansvarig, vilket kan innebära svårigheter för de inblandade aktörerna. Som och påpekar skulle en sådan bestämmelse även kunna innebära att personuppgiftsansvaret regleras annorlunda i än i andra EU-länder. Då den föreslagna lagen t.ex. omfattar behandling av personuppgifter i som utförs av serviceföretag som inte är etablerade i finns därmed risk för normkonflikter. Mot denna bakgrund bedömer regeringen att personuppgiftsansvaret inte bör regleras i lagen. Vem som är personuppgiftsansvarig får i stället avgöras med stöd av artikel 4.7 i dataskyddsförordningen utifrån omständigheterna i varje enskilt fall. 2021/22:139 Särskilda bestämmelser om personuppgiftsbiträden bör inte införas Det förekommer att personuppgiftsbiträden anlitas i idrottens antidopningsarbete. Så kan vara fallet t.ex. när ett bolag åtar sig att utföra den tekniska driften av personuppgiftsbehandlingen för en personuppgiftsansvarigs räkning. Av artikel 29 i dataskyddsförordningen framgår att personuppgiftsbiträden och personer som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till personuppgifter, endast får behandla dessa uppgifter på instruktion från den personuppgiftsansvarige, såvida han eller hon inte är skyldig att göra det enligt unionsrätten eller medlemsstaternas nationella rätt. Om en behandling ska genomföras på en personuppgiftsansvarigs vägnar ska den personuppgiftsansvarige endast anlita personuppgiftsbiträden som ger tillräckliga garantier om att genomföra lämpliga tekniska och organisatoriska åtgärder på ett sådant sätt att behandlingen uppfyller kraven i förordningen och säkerställer att den registrerades rättigheter skyddas (se artikel 28.1). Personuppgiftsbiträdets hantering av personuppgifter ska regleras genom avtal eller annan bindande rättsakt som ska ha ett visst innehåll (se artikel 28.3). Enligt regeringen är bestämmelserna i dataskyddsförordningen som reglerar vad som gäller när en personuppgiftsansvarig anlitar ett personuppgiftsbiträde tillräckliga. Det finns därmed inte något behov av att införa särskilda bestämmelser om personuppgiftsbiträden i den föreslagna lagen. 8Tillåten behandling av personuppgifter 8.1Grundläggande principer för behandlingen av personuppgifter Minst en rättslig grund i artikel 6 i dataskyddsförordningen måste vara tillämplig för att en behandling av personuppgifter ska vara laglig. Det finns dessutom ett antal grundläggande principer i artikel 5 i förordningen som ska tillämpas vid all personuppgiftsbehandling. Den personuppgiftsansvarige ansvarar för och ska kunna visa att principerna följs. Enligt dessa principer ska personuppgifterna –behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (5.1 a), –samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål (5.1 b), –vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (5.1 c), –vara riktiga och om nödvändigt uppdaterade (5.1 d), –inte förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka uppgifterna behandlas (5.1 e), och –behandlas på ett sätt som säkerställer lämplig säkerhet för Prop. 2021/22:139 personuppgifterna (5.1 f). Den till världsantidopningskoden hörande standarden för skydd av privatlivet och personuppgifter innehåller också vissa grundläggande krav som gäller vid behandling av personuppgifter i idrottens antidopningsarbete. T.ex. följer av artikel 5.1 i standarden att personuppgifter ska behandlas endast om det är relevant och proportionerligt för att utföra antidopningsarbete enligt koden och de tillhörande internationella standarderna. Vidare får sådan behandling inte strida mot tillämplig dataskyddslagstiftning. Det finns därmed ett antal generella principer och bestämmelser som alltid ska tillämpas vid behandling av personuppgifter i idrottens antidopningsarbete, även om de inte framgår direkt av regeringens föreslagna lag om behandling av personuppgifter i idrottens antidopningsarbete. 8.2Tillåtna ändamål för behandlingen av personuppgifter Regeringens förslag: Personuppgifter ska få samlas in och i övrigt behandlas i idrottens antidopningsarbete om det är nödvändigt för vissa ändamål. Utredningens förslag stämmer överens med regeringens. Remissinstanserna: De flesta instanser tillstyrker eller har inga synpunkter på förslaget. invänder att utredningens lagförslag som sådant är för oprecist för att ge rättsligt stöd för den integritetskänsliga behandling av personuppgifter som förslaget avser. Myndigheten pekar i detta sammanhang särskilt på bl.a. att ändamålsbestämmelsen är vagt formulerad. Myndigheten menar att det i flera avseenden inte går att förutse vilken behandling som kan komma att utföras under respektive punkt eller av vilka aktörer. Det innebär i sin tur att lagstiftaren inte kan göra sådana bedömningar om proportionalitet och skyddsåtgärder som krävs enligt dataskyddsförordningen. Enligt myndigheten måste ändamålsbestämmelsen vara mer konkret och begränsas utifrån vad som är nödvändigt och proportionellt. Vidare efterfrågas närmare analyser av bl.a. vilken behandling av personuppgifter som är nödvändig för olika aktörer att utföra för olika ändamål, vilka risker som behandlingen innebär för de registrerade och hur riskerna kan begränsas. Slutligen lyfter myndigheten frågan om en konsekvensbedömning enligt artikel 35 i dataskyddsförordningen. (), (), och framför i ett gemensamt yttrande att behandling även bör få ske för att planera, koordinera och administrera utbildning, för forskningsändamål samt för att i övrigt uppfylla kraven i världsantidopningskoden. Världsantidopningsbyrån () menar att det bör övervägas att ändra ändamålsbestämmelsen till att avse all 2021/22:139 behandling som är tillåten eller som krävs enligt världsantidopningskoden eller dess internationella standarder. Skälen för regeringens förslag Personuppgifter ska enligt artikel 5.1 b i dataskyddsförordningen samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Uppgifterna får inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Det sistnämnda kallas för finalitetsprincipen. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska dock enligt samma bestämmelse inte anses vara oförenlig med de ursprungliga ändamålen. Det är den personuppgiftsansvarige som bestämmer ändamålen för personuppgiftsbehandlingen. Ändamålen kan dock även regleras i medlemsstaternas nationella rätt. Ändamålsbestämmelser är sådana specifika bestämmelser som anpassar tillämpningen av dataskyddsförordningen och säkerställer en laglig och rättvis behandling och är därmed tillåtna i nationell rätt enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Ändamålsbestämmelser anger den yttersta ram inom vilken uppgifter får behandlas. Sådana bestämmelser ger också möjlighet att på ett övergripande plan balansera intresset av en ändamålsenlig behandling av personuppgifter mot det intrång i den personliga integriteten som denna behandling kan innebära. Därmed kan välavvägda ändamålsbestämmelser i sig sägas utgöra en skyddsåtgärd för den enskilde. Enligt regeringens mening bör därför ändamålsbestämmelser införas i den föreslagna lagen. Uppgiften av allmänt intresse fastställs genom ändamålsbestämmelserna Som framgår av avsnitt 6.1 kan behandling av personuppgifter i idrottens antidopningsarbete stödjas på den rättsliga grunden att den är nödvändig för att utföra en uppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. Den rättsliga grunden för behandlingen, dvs. uppgiften av allmänt intresse, måste dock fastställas i rättsordningen (se artikel 6.3 i dataskyddsförordningen). Uppgiften att utföra antidopningsarbete inom idrotten ska alltså fastställas i den föreslagna lagen. Den rättsliga grunden bör vara tydlig och precis och dess tillämning bör vara förutsebar för dem som omfattas av den (se skäl 41 till dataskyddsförordningen). Vidare ska regleringen vara proportionell mot det mål som eftersträvas, i detta fall målet om en dopningsfri idrott (se artikel 6.3 i dataskyddsförordningen). Bestämmelser om att personuppgifter får behandlas för vissa ändamål utgör ett fastställande av uppgiften av allmänt intresse (jfr prop. 2017/18:105 s. 113 och prop. 2017/18:171 s. 83). Genom bestämmelser om att personuppgifter får behandlas i idrottens antidopningsarbete för vissa ändamål kan därmed uppgiften av allmänt intresse anses fastställd i den föreslagna lagen. Allmänt om utformningen av ändamålsbestämmelserna Som har utvecklats i avsnitt 7.3.1 bör lagen, så långt som det går, möjliggöra att personuppgifter kan behandlas för att utföra antidopningsarbete i i enlighet med världsantidopningskoden och de tillhörande internationella standarderna. De tillåtna ändamålen för behandlingen av personuppgifter bör preciseras så noga som möjligt. En allt för vagt hållen ändamålsbestämmelse riskerar nämligen att sätta integritetsskyddet ur spel. Regeringen anser därför att det inte är lämpligt att, som och i viss mån även RF m.fl. föreslår, utforma ändamålsbestämmelsen på ett sådant sätt att personuppgifter får behandlas om det är nödvändigt för att utföra arbete i enlighet med världsantidopningskoden och dess internationella standarder. menar att de ändamål som utredningen föreslår inte är tillräckligt preciserade. Enligt myndigheten är det inte möjligt att avgöra vilken behandling som kan utföras under respektive punkt. Det går inte heller att bedöma vilka aktörer som kan utföra behandlingen. Regeringen har, i avsnitt 4.1, 4.2 och 4.4.1, redogjort för bestämmelserna i världsantidopningskoden och de tillhörande internationella standarderna samt för de aktörer som kan behandla personuppgifter i antidopningsarbetet. Vi beskriver även i kommande avsnitt vilken behandling av personuppgifter som kan komma att utföras för respektive ändamål och av vem. Det ligger dock i sakens natur att det inte är möjligt att i detta lagstiftningsarbete i varje detalj redogöra för den behandling av personuppgifter som kan förekomma i det omfattande och gränsöverskridande antidopningsarbetet inom idrotten. Regeringen har övervägt att i den föreslagna lagen ange vilka aktörer som får behandla personuppgifter för respektive ändamål. Då flera aktörer kan behöva behandla personuppgifter för varje ändamål skulle det snarare göra lagen mer svåröverskådlig än tydligare. Ett exempel är att (Antidoping ), andra signatärer (t.ex. andra länders nationella antidopningsorganisationer, internationella specialidrottsförbund och storevenemangsorganisationer), serviceföretag etablerade i och utanför samt föreningar och förbund som är anknutna till RF eller ett internationellt specialidrottsförbund kan behöva behandla personuppgifter för ändamål som rör dopningskontroller. Det måste också antas att de aktörer som är mest berörda av antidopningsarbetet, t.ex. idrottsutövare som tävlar på högre nivåer, ofta har god kännedom om innebörden av regelverket och de inblandade aktörerna. Enligt regeringens mening är därför de ändamålsbestämmelser som föreslås i det följande tillräckligt preciserade och förutsebara för dem som omfattas av dem. Behandlingen ska vara nödvändig för att utföra vissa uppgifter Den rättsliga grunden för behandling av personuppgifter i idrottens antidopningsarbete är alltså att sådan behandling är nödvändig för att utföra en uppgift av allmänt intresse. Regeringen instämmer därför i utredningens förslag att de tillåtna ändamålen för behandling av personuppgifter bör avgränsas till sådan behandling som är nödvändig för att utföra vissa uppgifter i antidopningsarbetet. Kravet på att behandlingen ska vara nödvändig innebär inte att behandlingen ska vara oundgänglig. 2021/22:139 Metoden för att utföra uppgiften måste dock vara ändamålsenlig, effektiv och proportionerlig och får därmed inte medföra ett onödigt intrång i enskildas privatliv. Regeringen redogör i det följande för de ändamål för vilka personuppgifter bör få behandlas i idrottens antidopningsarbete med stöd av den föreslagna lagen. Lagrådet har uttalat att personuppgiftsbehandling för planering, uppföljning och utvärdering av verksamhet är en sådan integrerad del av själva verksamheten att den inte behöver regleras särskilt (se t.ex. prop. 2004/05:164 s. 179 och prop. 2009/10:85 s. 116). Någon särskild bestämmelse om att sådan behandling är tillåten behövs därför inte i den nya lagen. Regleringen är proportionell mot det mål som eftersträvas Av artikel 6.3 i dataskyddsförordningen framgår att nationell rätt som kompletterar förordningen ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Detta motsvarar det krav som ställer på lagstiftaren i en rättsstat. Det finns även ett krav på proportionalitetsbedömning vid undantag från förbudet mot behandling av känsliga personuppgifter med stöd av artikel i dataskyddsförordningen. Det antidopningsarbete som utförs på grund av världsantidopningskoden och de tillhörande internationella standarderna bidrar till att motverka dopning inom idrotten och målet om dopningsfri idrott. Som vi har utvecklat i avsnitt 6.2 är intresset av en dopningsfri idrott inte bara ett allmänt intresse, utan även ett viktigt allmänt intresse. Idrottens antidopningsarbete är till sin natur integritetskänsligt. Personuppgifter kan behandlas bl.a. för att utföra oannonserade dopningskontroller av idrottsutövare och för att skapa biologiska pass, dvs. medicinska profiler som innehåller resultaten av en idrottsutövares urin- och blodvärden . Personuppgifter kan även behandlas för att handlägga bestraffningsärenden mot idrottsutövare. Vidare kan uppgifter behandlas i en slags underrättelseverksamhet i syfte att upptäcka dopningsförseelser. har dock, i likhet med ett stort antal andra stater, ratificerat konvention mot dopning och konvention mot dopning inom idrotten. Det finns alltså internationellt en bred samsyn om vikten av att samordna insatserna mot dopning mellan länderna. Vidare finns en konsensus om att följa principerna i världsantidopningskoden (jfr artikel 4 i konvention mot dopning inom idrotten). Världsantidopningskoden och de tillhörande internationella standarderna är också det regelverk som stora delar av den organiserade idrotten, i såväl som internationellt, i praktiken har att rätta sig efter. Om t.ex. Antidoping inte skulle följa koden skulle bolaget, och i förlängningen svensk idrott, riskera att drabbas av negativa konsekvenser. Ytterst kan t.o.m. förlora rätten att anordna internationella evenemang eller svenska idrottsutövare uteslutas från att delta i sådana evenemang. Intresset av att antidopningsarbete kan utföras i enlighet med världsantidopningskoden och de internationella standarderna väger därför enligt regeringens mening tungt (jfr resonemang i målen 48151/11 och 77769/13, Fédération Nationale des Associations et Syndicats de Sportifs [FNASS] m.fl. mot ). En förutsättning för att detta arbete ska kunna utföras är att personuppgifter kan behandlas för de ändamål som anges i den föreslagna lagen. Mot intresset av att personuppgifter kan behandlas i idrottens antidopningsarbete ska ställas de risker för intrång i den personliga integriteten som behandlingen innebär. I antidopningsarbetet behandlas bl.a. känsliga personuppgifter om framför allt hälsa. Som exempel kan uppgifter i medicinska underlag behandlas vid handläggningen av ärenden om medicinsk dispens. Vidare kan uppgifter om medicinintag behandlas i samband med dopningskontroller. Uppgifterna kan behandlas av flera aktörer i flera led och även över nationsgränser. Detta ökar risken för att uppgifterna kan komma att användas i ovidkommande syften eller för att någon aktör genom en personuppgiftsincident förlorar kontrollen över uppgifterna. I bedrivs antidopningsarbetet av privaträttsliga organ. efterfrågar fördjupade analyser av riskerna med detta förhållande och lyfter särskilt rättighetsaspekter vid handläggningen av dopningsförseelser. Aktörerna i idrottens antidopningsarbete omfattas, till skillnad från t.ex. myndigheter, inte av någon verksamhetsreglerande författning som anger ramarna för verksamheten. Detta ökar riskerna för intrång i den personliga integriteten. Aktörerna i idrottens antidopningsarbete styrs dock till stor del av bestämmelserna i världsantidopningskoden, som har implementerats i svensk idrotts interna regelverk. Koden innehåller bl.a. relativt detaljerade bestämmelser om handläggningen av dopningsförseelser. Den misstänkte har bl.a. rätt att anlita ombud, rätt till muntlig förhandling, rätt till ett motiverat beslut och rätt att överklaga beslut (se artiklarna 8 och 13 i koden samt 8.2–4 och 13 i Idrottens antidopingreglemente). Dessa bestämmelser bedöms minska riskerna för intrång i enskildas fri- och rättigheter. Den föreslagna lagen innehåller dessutom flera skyddsåtgärder för att minska riskerna för enskilda. De föreslagna ändamålsbestämmelserna är viktiga för att begränsa risken för att personuppgifterna används för ovidkommande syften. Ändamålen är alla knutna till behandling som är nödvändig för att utföra specifika uppgifter i antidopningsarbetet. Ändamålsbestämmelsen anger därmed ramarna för den behandling som är tillåten med stöd av den föreslagna lagen. Vidare föreslås ett antal ytterligare skyddsåtgärder, t.ex. gallringsbestämmelser (se avsnitt 10.2 och 10.3) och tillgångsbegränsningar (se avsnitt 11.2), som bedöms minska riskerna för intrång i den personliga integriteten ytterligare. Sammantaget bedömer regeringen att intresset av att personuppgifter kan behandlas i idrottens antidopningsarbete tillsammans med de skyddsåtgärder som föreslås väger upp de nackdelar som kan uppstå för den enskilde genom behandlingen av personuppgifter i antidopningsarbetet. Kravet på konsekvensbedömning i vissa fall Den personuppgiftsansvarige ska enligt artikel 35.1 i dataskyddsförordningen i vissa fall göra en konsekvensbedömning avseende dataskydd före behandlingen av personuppgifter. Av samma artikel framgår att en sådan bedömning ska göras om en typ av behandling, 2021/22:139 särskilt med användning av ny teknik samt med beaktande av dess art, omfattning, sammanhang och ändamål, sannolikt leder till en hög risk för fysiska personers rättigheter och friheter. Den personuppgiftsansvarige ska enligt artikel 36.1 i samma förordning samråda med tillsynsmyndigheten före behandling om konsekvensbedömningen visar att behandlingen skulle leda till en hög risk. Det gäller dock inte om den som är personuppgiftsansvarig vidtar åtgärder för att minska risken. Enligt artikel 35.7 i dataskyddsförordningen ska en konsekvensbedömning åtminstone innehålla –en systematisk beskrivning av den planerade behandlingen och behandlingens syften, –en bedömning av behovet av och proportionaliteten hos behandlingen i förhållande till syftena, –en bedömning av riskerna för de registrerades rättigheter och friheter, och –de åtgärder som planeras för att hantera riskerna. Av artikel 35.10 i dataskyddsförordningen följer dock att en konsekvensbedömning i regel inte behöver göras om behandlingen av personuppgifter sker med stöd av artikel 6.1 c eller e i förordningen och den rättsliga grunden reglerar den specifika behandlingsåtgärden eller serien av åtgärder i fråga, om en konsekvensbedömning redan har genomförts som en del av en allmän konsekvensbedömning i samband med antagandet av denna rättsliga grund. lyfter frågan om konsekvensbedömning i detta lagstiftningsärende. Regeringen gör inom ramen för detta ärende överväganden om proportionalitet, risker för de registrerade och skyddsåtgärder.