prop · H903139 · 2022-03-01 00:00:00 — involverade aktörer, och att det bör förtydligas i lagen att överföring till tredjeland får ske med stöd av undantaget för viktiga skäl som rör Skälen för regeringens bedömning: I idrottens antidopningsarbete förs personuppgifter regelbundet in i databas . kan sedan nås av andra aktörer i antidopningsarbetet som har getts behörighet till det. Databasen , och även , är belägna i . Genom att föra in uppgifter i sker alltså en överföring av personuppgifter till ett land utanför EU/EES, dvs. Inom ramen för idrottens antidopningsarbete kan personupp- gifter även lämnas ut till andra aktörer på andra sätt än via . Mottagarna kan vara t.ex. internationella specialidrottsförbund eller storevenemangsorganisationer som är etablerade i tredjeland. Kapitel V i dataskyddsförordningen innehåller bestämmelser om i vilka fall personuppgifter får överföras till tredjeländer eller internationella Alla bestämmelser i kapitlet ska enligt artikel 44 i förordningen tillämpas för att säkerställa att den nivå på skyddet av fysiska personer som säkerställs genom dataskyddsförordningen inte undergrävs. Personuppgifter får enligt artikel 45 i dataskyddsförordningen föras över till ett tredjeland om har beslutat att landet säkerställer en adekvat skyddsnivå för uppgifterna. För tillfället finns det beslut om att 13 länder säkerställer en adekvat skyddsnivå, bl.a. . När det gäller säkerställer landet en adekvat skyddsnivå under förutsättning att landets lagstiftning för skydd av personuppgifter i privat sektor är tillämplig på mottagarens personuppgiftsbehandling, vilket är fallet för . Personuppgifter kan således överföras via till i med stöd av artikel 45. Om det inte finns något beslut om adekvat skyddsnivå får personuppgifter enligt artikel 46 i dataskyddsförordningen föras över till tredjeland efter att lämpliga skyddsåtgärder har vidtagits. För att överföringen ska vara tillåten krävs också att lagstadgade rättigheter för registrerade och effektiva rättsmedel för registrerade finns tillgängliga. Om det inte finns något beslut om adekvat skyddsnivå och inte heller lämpliga skyddsåtgärder får en överföring eller uppsättning av överföringar till tredjeland ske endast om något av undantagen i artikel 49.1i dataskyddsförordningen är för handen. Ett sådant undantag är enligt artikel 49.1 d att överföringen är nödvändig av viktiga skäl som rör allmänintresset. Allmänintresset måste dessutom enligt artikel 49.4 vara erkänt i unionsrätten eller den nationella rätt som den som är personuppgiftsansvarig omfattas av. I skäl 112 till dataskyddsförordningen pekas utbyten av uppgifter för att minska eller undanröja dopning ut som ett exempel på uppgiftsöverföringar som är nödvändiga med hänsyn till viktiga allmänintressen. Det står därmed klart att personuppgifter kan föras över till tredjeland i idrotten antidopningsarbete med stöd av undantaget i artikel 49.1 d. Europeiska dataskyddsstyrelsen har gett ut riktlinjer om undantagen i artikel 49 i dataskyddsförordningen. I riktlinjerna uttalas att undantagen ska tolkas på sådant sätt att de inte blir regel utan begränsas till specifika situationer. När överföringar görs inom rutinverksamhet rekommenderar därför Europeiska dataskyddsstyrelsen starkt alla dataexportörer att vidta lämpliga skyddsåtgärder i enlighet med artikel 46 i stället för att förlita sig på undantaget enligt artikel 49.1 d (se Riktlinjer 2/2018 för undantagen i artikel 49 enligt förordning 2016/679 s. 4 f. och 11). Bestämmelserna i kapitel V i dataskyddsförordningen är direkt tillämpliga. En överföring av personuppgifter till tredjeland i idrottens antidopningsarbete får således inte stå i strid med dessa bestämmelser. Mot bakgrund av det tydliga ställningstagandet i skäl 112 finns det ett utrymme att överföra personuppgifter till tredjeland i idrottens antidopningsarbete, även om det inte finns något beslut om adekvat skyddsnivå enligt artikel 45 eller lämpliga skyddsåtgärder enligt artikel 46 i dataskyddsförordningen. Den som avser att överföra uppgifter till tredjeland måste dock alltid måste göra en bedömning i det enskilda fallet om överföringen är tillåten. Förutsättningarna för att överföra personuppgifter till tredjeland regleras i de direkt tillämpliga bestämmelserna i dataskyddsförordningen. Det saknas därmed skäl att föra in särskilda bestämmelser om detta i den föreslagna lagen. Vi ser inte heller, till skillnad från , anledning att ange i lagen att personuppgifter kan överföras till tredjeland med stöd av undantaget i artikel 49.1 d i dataskyddsförordningen. Regeringens förslag: Endast sådana känsliga personuppgifter som rör hälsa, genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person ska få behandlas med stöd av artikel i Utredningens förslag överensstämmer med regeringens. Remissinstanserna: De flesta instanser har inte yttrat sig särskilt i anser att det bör framgå av bestämmelsen att behandlingen ska vara nödvändig för ett viktigt allmänt intresse, alternativt att den preciseras så att den endast omfattar behandling som är nödvändig för ett viktigt allmänt intresse. även en närmare utredning av vilken behandling av känsliga personuppgifter som det är nödvändigt och proportionellt att de olika aktörerna utför för respektive ändamål. (), och framför att det bör förtydligas i lag och förarbeten att behandling av känsliga personuppgifter även kan ske med stöd av andra undantag i artikel 9.2 i dataskyddsförordningen. Världsantidopningsbyrån () utgår från att behandling av känsliga personuppgifter även kan ske med stöd av andra undantag i artikel 9.2. Skälen för regeringens förslag: Dataskyddsförordningen innehåller ett principiellt förbud mot att behandla känsliga personuppgifter. känsliga personuppgifter avses enligt artikel 9.1 i förordningen sådana uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening. genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning. I artikel 9.2 i dataskyddsförordningen finns det ett antal undantag från förbudet att behandla känsliga personuppgifter. får enligt undantaget i artikel behandlas om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse. För att undantaget ska vara tillämpligt krävs dessutom att behandlingen sker på grundval nationell rätt, som ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. I 3 kap. 3 § dataskyddslagen finns en generell bestämmelse om i vilka fall känsliga personuppgifter får behandlas med stöd av artikel i Bestämmelsen gäller dock endast myndigheter och andra som träffas av offentlighetsprincipen och alltså inte de aktörer som omfattas av den föreslagna lagen. I idrottens antidopningsarbete behandlas känsliga personuppgifter om Med uppgifter om hälsa avses enligt artikel 4.15 i dataskyddsförordningen sådana uppgifter som rör en fysisk persons fysiska eller psykiska hälsa, inbegripet tillhandahållande av hälso- och sjukvårdstjänster, vilka ger information om dennes hälsostatus. Hälsouppgifter omfattar alla aspekter av en persons hälsa, till exempel uppgifter som kommer från tester eller undersökningar samt uppgifter om sjukdomshistoria och funktionsnedsättning (se skäl 35 till dataskyddsförordningen). Även känsliga personuppgifter i form av genetiska och biometriska uppgifter kan behandlas i antidopningsarbetet. Med genetiska uppgifter avses enligt artikel 4.13 i dataskyddsförordningen alla personuppgifter som rör nedärvda eller förvärvade genetiska kännetecken för en fysisk person, vilka ger unik information om denna fysiska persons fysiologi eller hälsa och vilka framför allt härrör från en analys av ett biologiskt prov från den fysiska personen i fråga. Det handlar framför allt om information som kan tas fram vid dna-analyser, men även motsvarande information som tas fram genom andra analyser omfattas (se prop. 2017/18:232 s. 150). Med biometriska uppgifter avses enligt artikel 4.14 i dataskyddsförordningen personuppgifter som erhållits genom en särskild teknisk behandling som rör en fysisk persons fysiska, fysiologiska eller beteendemässiga kännetecken och som möjliggör eller bekräftar identifieringen av denna fysiska person, såsom ansiktsbilder eller fingeravtrycksuppgifter. Biometriska uppgifter framkommer således vid mätning av fysiska karaktärsdrag hos den som ska identifieras. Vid identifieringen kan t.ex. blodkärl och dna användas (se prop. 2017/18:269 s. 153). Som har framgått i avsnitt 6.2 kan behandling av personuppgifter i idrottens antidopningsarbete stödjas främst på undantaget i artikel i dataskyddsförordningen. Det kan förvisso inte uteslutas att behandling av känsliga personuppgifter i något fall kan stödjas på t.ex. undantaget om samtycke i artikel 9.2 a. Det saknas dock skäl att särskilt ange det i lagen. Det kan alltså i vissa fall vara nödvändigt att behandla känsliga personuppgifter i idrottens antidopningsarbete med hänsyn till det viktiga allmänna intresset av en dopningsfri idrott. Antidoping , inom RF och internationella specialidrottsförbund som är etablerade i och är signatärer av världsantidopningskoden kan behöva behandla känsliga personuppgifter om hälsa vid handläggningen av ärenden om medicinsk dispens. Det kan också vara nödvändigt att Antidoping och andra organ som utför dopningskontroller i behandlar känsliga personuppgifter vid genomförandet av kontrollerna. Det kan handla om t.ex. att samla in uppgifter om medicinering i samband med provtagningen eller behandling av uppgifter i analysresultat. Dessutom kan Antidoping , och inom RF samt internationella specialidrottsförbund som är etablerade i och är signatärer av koden behöva behandla känsliga personuppgifter vid handläggningen av ärenden om dopningsförseelser. Det kan gälla t.ex. uppgifter som kommer från analysresultat eller ärenden om medicinsk dispens. Antidoping och internationella specialidrottsförbund som är etablerade i och är signatärer av koden kan också behöva behandla känsliga uppgifter om hälsa, t.ex. om bruk av mediciner, i underrättelsearbetet. Detsamma gäller andra organ, t.ex. föreningar och förbund, vid tillhandahållande av information i underrättelseverksamheten. Vidare kan serviceföretag behöva behandla känsliga personuppgifter vid utförandet av delegerade uppgifter som rör t.ex. ärenden om medicinsk dispens och dopningskontroller. För att känsliga personuppgifter ska få behandlas i idrottens antidopningsarbete krävs det att den nationella rätten innehåller lämpliga 2021/22:139 och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Som har framgått kan flera organ behandla känsliga personuppgifter i idrottens antidopningsarbete. Uppgifterna behandlas ibland i flera led. I vissa fall måste känsliga personuppgifter dessutom registreras i databas och lämnas ut till andra signatärer i enlighet med världsantidopningskoden och de internationella standarderna. Det sagda kan innebära risker för den personliga integriteten. Den föreslagna lagen innehåller ändamålsbestämmelser som anger ramarna för den personuppgiftsbehandling som får utföras i antidopningsarbetet med stöd av lagen. Dessa bestämmelser bedöms minska risken för intrång i den personliga integriteten. Vidare föreslås ett antal ytterligare skyddsåtgärder, t.ex. gallringsbestämmelser (se avsnitt 10.2 och 10.3) och åtkomstbegränsningar (se avsnitt 11.2), som minskar risken ytterligare. Enligt regeringens mening är det inte nödvändigt att behandla andra känsliga personuppgifter än hälsouppgifter, genetiska uppgifter och biometriska uppgifter i idrottens antidopningsarbete med hänsyn till intresset av en dopningsfri idrott. Som en ytterligare skyddsåtgärd bör det därför införas en bestämmelse som inskränker möjligheten att behandla känsliga personuppgifter i antidopningsarbetet till dessa tre kategorier av uppgifter. Det blir därmed tydligt för tillämparen vilka typer av känsliga personuppgifter som överhuvudtaget får behandlas i antidopningsarbetet med stöd av artikel i dataskyddsförordningen. Antidoping och de andra organen i antidopningsarbetet kan visserligen påverka vilka uppgifter som lämnas till dem, t.ex. som tips i underrättelsearbetet. För det fall att någon lämnar in sådana känsliga personuppgifter som inte får behandlas enligt den föreslagna bestämmelsen måste de som huvudregel raderas. Om uppgifterna lämnas in av den enskilde själv, t.ex. inom ramen för en ansökan om medicinsk dispens, kan det dock vara möjligt att behandla uppgifterna med stöd av den enskildes samtycke. Enligt utredningens förslag till bestämmelse får inga andra känsliga personuppgifter som avses i artikel 9.1 dataskyddsförordningen än sådana som rör hälsa, genetiska uppgifter och biometriska uppgifter behandlas med stöd av artikel i förordningen. Regeringen anser till skillnad från att det inte behöver framgå av bestämmelsen att behandlingen ska vara nödvändig för ett viktigt allmänt intresse, eftersom det framgår redan av artikel som är direkt tillämplig. Det framstår inte heller som lämpligt att i lagen närmare precisera i vilka fall behandling av känsliga personuppgifter är nödvändigt för ett viktigt allmänt intresse. Det får i stället avgöras utifrån omständigheterna i det enskilda fallet. Vi ansluter oss därför till utredningens förslag. Sammanfattningsvis gör regeringen bedömningen att den föreslagna lagen innehåller tillräckliga skyddsåtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. 8.6Behandling av personuppgifter som rör lagöverträdelser Regeringens förslag: Personuppgifter som rör lagöverträdelser ska få behandlas i idrottens antidopningsarbete för ändamål som rör ärenden om dopningsförseelser. De ska också få behandlas för ändamål som rör underrättelsearbete av Antidoping och internationella specialidrottsförbund som är etablerade i och signatärer av världsantidopningskoden. Utredningens förslag stämmer delvis överens med regeringens. I utredningens förslag anges dock att uppgifterna endast ska få behandlas i underrättelsearbetet av den dåvarande nationella antidopningsorganisationen . Remissinstanserna: Endast har yttrat sig särskilt i denna del. Myndigheten anser att en uppgift om en dopningsförseelse enligt idrottens interna regler kan utgöra en personuppgift som rör en lagöverträdelse som innefattar brott, t.ex. om uppgiften kvalificerats till att utgöra en brottslig gärning. Vidare påtalar myndigheten att även brottsmisstankar bör omfattas av artikel 10 i dataskyddsförordningen. Skälen för regeringens förslag: Uppgifter som rör lagöverträdelser anses inte som känsliga personuppgifter i dataskyddsförordningens mening men anses ändå vara en kategori av personuppgifter som förtjänar särskilt skydd. Enligt artikel 10 i dataskyddsförordningen får behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder endast utföras under kontroll av en myndighet. Behandling av sådana uppgifter får också ske om behandlingen tillåts enligt unionsrätten eller nationell rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får dock endast föras under kontroll av en myndighet. En uppgift om att en idrottsutövare har gjort sig skyldig till en dopningsförseelse enligt idrottens interna regler rör inte en fällande dom i brottsmål. Utredningen anser, till skillnad från , att en sådan uppgift inte heller kan röra en lagöverträdelse som innefattar brott. En dopningsförseelse enligt idrottens regelverk är inte synonymt med t.ex. ett dopningsbrott enligt lagen (1991:1969) om förbud mot vissa dopningsmedel. För att en dopningsförseelse enligt världsantidopningskoden ska anses föreligga krävs t.ex., till skillnad från vad som gäller för dopningsbrott, inte att förseelsen har skett uppsåtligen. En uppgift om att en idrottsutövare har gjort sig skyldig till en dopningsförseelse enligt idrottens regelverk kan därmed enligt regeringens mening i sig inte anses innefatta ett påstående om brott eller misstanke om brott. Uppgifter om lagöverträdelser kan dock komma att behandlas i idrottens antidopningsarbete vid prövningen av om en dopningsförseelse har begåtts, t.ex. skulle en fällande dom i brottmål kunna åberopas som bevisning i ärendet. Uppgifter som rör lagöverträdelser kan även komma att behandlas inom ramen för den underrättelseverksamhet som 2021/22:139 bedrivs av Antidoping , men även internationella specialidrottsförbund som är etablerade i och är signatärer av världsantidopningskoden. Som utredningen redogör för kan det röra sig om behandling av uppgifter från fällande brottmålsdomar avseende aktiva idrottsutövare. Vidare kan uppgifter om lagöverträdelser lämnas in som tips. framhåller att även misstankar om brott bör omfattas av artikel 10 i dataskyddsförordningen. Frågan har varit föremål för diskussion (se prop. 2017/18:105 s. 98 f.). Regeringen finner inte skäl att behandla frågan ytterligare inom ramen för detta lagstiftningsärende. För att uppgifter om lagöverträdelser ska få behandlas i idrottens antidopningsarbete krävs alltså enligt artikel 10 i dataskyddsförordningen att behandlingen har stöd i nationell rätt. Det finns bestämmelser om när andra än myndigheter får behandla sådana uppgifter i 3 kap. 8 § dataskyddslagen, 5 § förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning och Datainspektionens (numera ) föreskrifter (2018:2) om behandling av personuppgifter som rör lagöverträdelser. Vidare får enligt 6 § förordningen med kompletterande bestämmelser till EU:s dataskyddsförordning i enskilda fall besluta om att andra än myndigheter får behandla uppgifter om lagöverträdelser. Det saknas dock stöd för behandling i idrottens antidopningsarbete. Det bör därför införas en bestämmelse i den föreslagna lagen om att sådana uppgifter får behandlas. Den föreslagna lagen ska enligt artikel 10 i dataskyddsförordningen även innehålla lämpliga skyddsåtgärder för de registrerades rättigheter och friheter. Som har framgått kommer den föreslagna lagen att innehålla skyddsåtgärder i form av bestämmelser om bl.a. tillåtna ändamål, gallring och tillgångsbegränsning. Det har inte framkommit att det skulle vara nödvändigt att behandla personuppgifter om lagöverträdelser för något annat ändamål än de som rör handläggning av dopningsärenden och underrättelsearbete. Som utredningen har funnit bör möjligheten att behandla uppgifter om lagöverträdelser därför begränsas till dessa ändamål. En sådan begränsning, tillsammans med de skyddsåtgärder som i övrigt föreslås i lagen, uppfyller enligt regeringen kravet på lämpliga skyddsåtgärder. 8.7Publicering av uppgifter om dopningsförseelser Regeringens bedömning: I sker publiceringen på internet av uppgifter om dopningsavstängda idrottsutövare i regel på en webbplats som är skyddad enligt yttrandefrihetsgrundlagen. Det mesta talar för att publiceringen inte träffas av delegationsbestämmelsen i 1 kap. 20 § yttrandefrihetsgrundlagen. Det saknas därför utrymme för bestämmelser i lag om förbud mot publicering av uppgifter om dopningsförseelser. Utredningens bedömning överensstämmer i Utredningen bedömer att möjligheten publiceringen med stöd av dataskyddsförordningen är mycket begränsad. Vidare uppmanar utredningen den dåvarande nationella antidopningsorganisationen att överväga en ny ordning genom vilken aktuella uppgifter kan göras tillgängliga för dem som har ett berättigat intresse av dem. Remissinstanserna: Majoriteten av remissinstanserna har inte yttrat sig särskilt i denna del. efterfrågar en fördjupad analys av tillämpningen av yttrandefrihetsgrundlagen vid publicering av personuppgifter på internet. () upplyser att förbundet har för avsikt att överväga en ny ordning i syfte att endast göra uppgifter om dopningsförseelser tillgängliga för dem som har ett berättigat intresse av dem. Skälen för regeringens bedömning: I artikel 14.3 i världsantidopningskoden regleras offentlig publicering av uppgifter om dopningsförseelser. Det organ som ansvarar för resultathanteringen får offentligt publicera uppgifter om bl.a. den misstänktes identitet, förbjuden substans eller metod och förseelsens art redan innan beslut i ärendet har meddelats. Vid ett fällande beslut ska det ansvariga organet offentligt publicera beslutet, inklusive uppgifter om berörd idrott, den regel som har överträtts, namnet på den som har begått dopningsförseelsen, förbjuden substans eller metod och vilka konsekvenser som ålagts. Ett friande beslut får endast publiceras med den enskildes samtycke. Publiceringen måste ske genom åtminstone publicering av uppgifterna på det ansvariga organets hemsida en månad eller den tid som avstängningen löper. Publicering behöver dock inte ske om beslutet avser underåriga och skyddsvärda personer samt motionsidrottsutövare. Med skyddsvärd person avses bl.a. en person som av andra skäl än ålder saknar rättshandlingsförmåga enligt nationell rätt. I är det främst Antidoping som ansvarar för resultathantering och alltså är skyldigt att offentligt publicera bestraffningsbeslut. Vidare kan internationella specialidrottsförbund som är etablerade i och signatärer av koden vara skyldiga att offentligt publicera bestraffningsbeslut här. När det gäller Antidoping finns en bestämmelse som motsvarar regleringen i artikel 14.3 i världsantidopningskoden i artikel 14.3 i Idrottens antidopingreglemente. Vidare framgår av artikel 3 i Föreskrifter för nationell antidopingverksamhet att bestämmelserna om obligatorisk offentlig publicering av bestraffningsbeslut gäller för idrottsutövare som tävlar på internationell och nationell nivå. När det gäller skyddsvärda personer får offentlig publicering ske. Publiceringen ska dock begränsas till namn på den bestraffade, förenings- och förbundstillhörighet, beslutande organ samt påföljd. Vidare anges att för underåriga och motionsidrottsutövare sker ingen offentlig publicering av bestraffningsbeslut. Uppgifter om bestraffningar enligt Idrottens antidopingreglemente publiceras på RF:s hemsida . Listan över bestraffningar omfattar ett trettiotal idrottsutövare. Av listan framgår uppgifter om namn på den bestraffade, förenings- och förbundstillhörighet, beslutande organ samt påföljd. I ett tiotal fall finns det även en länk till en sammanfattning av avstängningsbeslutet. 2021/22:139 uppgifter om en idrottsutövare tas bort från listan när avstängningstiden har gått ut. Av artikel 15.1 i världsantidopningskoden följer att ett beslut om avstängning blir bindande för alla signatärer inom alla idrotter. Den offentliga publiceringen innebär att en signatär kan kontrollera om t.ex. en tävlande är avstängd av något annat organ. Ett annat motiv till den offentliga rapporteringen är att den anses ha en preventiv verkan. Artikel 29-gruppen kritiserade världsantidopningskodens krav på offentliggörande av uppgifter om dopningsförseelser för att vara alltför ingripande. Enligt gruppen kan syftena bakom publiceringen nås på ett mindre ingripande sätt (se Second opinion 4/2009 on the [] International Standard for the Protection of Privacy and Personal Information, on related provisions of the Code and on other privacy issues in the context of the fight against doping in sport by and [national] anti-doping organizations, WP162, s. 16 f.).