Regeringskansliets rättsdatabaser

Regeringens proposition 2021/22:139 Stärkt integritet i idrottens antidopningsarbete Prop. 2021/22:139 Regeringen överlämnar denna proposition till riksdagen. Stockholm den 24 februari 2022 Magdalena Andersson Anders Ygeman (Justitiedepartementet) Propositionens huvudsakliga innehåll I propositionen föreslår regeringen att det införs en ny lag som reglerar behandling av personuppgifter i sådant antidopningsarbete som utförs på grund av världsantidopningskoden eller de internationella standarder som kompletterar koden. Syftet är att göra det möjligt för vissa aktörer att behandla personuppgifter i idrottens antidopningsarbete på ett ändamålsenligt sätt och att skydda enskilda mot kränkningar av den personliga integriteten. Lagen kompletterar EU:s dataskyddsförordning. Lagen är tillämplig när personuppgifter behandlas i idrottens antidopningsarbete av Antidoping Sverige AB, som är nationell antidopningsorganisation för svensk idrott, och ett antal andra aktörer som utför antidopningsarbete i Sverige. Den innehåller bestämmelser om bl.a. för vilka ändamål som personuppgifter får behandlas i antidopningsarbetet. Vidare finns bestämmelser om skyddsåtgärder för enskilda i form av bl.a. tillgångsbegränsningar och begränsningar av den längsta tid som personuppgifter får behandlas. Den nya lagen föreslås träda i kraft den 1 augusti 2022. Innehållsförteckning 1 Förslag till riksdagsbeslut 5 2 Förslag till lag om behandling av personuppgifter i idrottens antidopningsarbete 6 3 Ärendet och dess beredning 9 4 Antidopningsarbetet inom idrotten 9 4.1 Vad är dopning? 9 4.2 Internationellt antidopningsarbete 10 4.2.1 Världsantidopningsbyrån WADA 10 4.2.2 Europarådet 10 4.2.3 Unesco 11 4.2.4 Europeiska unionen 11 4.2.5 Den olympiska rörelsen 11 4.2.6 Internationella specialidrottsförbund 12 4.2.7 Idrottens internationella skiljedomstol CAS 12 4.2.8 Laboratorier för dopningskontroll 12 4.3 Antidopningsarbete i Sverige 12 4.3.1 Idrottens centralorganisationer 12 4.3.2 Organisationen av antidopningsverksamheten för idrotten inom Riksidrottsförbundet 13 4.3.3 Antidopningsarbetet utanför Riksidrottsförbundet 16 4.4 Idrottens regelverk för antidopningsarbetet 16 4.4.1 Världsantidopningskoden och dess internationella standarder 17 4.4.2 Regelverket för idrotten inom Riksidrottsförbundet 24 5 Dagens regler för behandling av personuppgifter i idrottens antidopningsarbete 25 5.1 Grundläggande reglering om skydd av den personliga integriteten 25 5.2 Dataskyddsförordningen och dataskyddslagen 26 5.3 Idrottens interna regelverk 27 6 En ny lag om behandling av personuppgifter i idrottens antidopningsarbete införs 28 6.1 Rättslig grund för behandling av personuppgifter 28 6.2 Undantag för att behandla känsliga personuppgifter 33 6.3 En ny lag om behandling av personuppgifter i idrottens antidopningsarbete 35 7 Allmänna bestämmelser 37 7.1 Syftet med lagen 37 7.2 Definitionen av idrottens antidopningsarbete 37 7.3 Lagens tillämpningsområde 40 7.3.1 Verksamhet som lagen ska tillämpas på 40 7.3.2 Typ av personuppgiftsbehandling som lagen ska tillämpas på 50 7.4 Förhållandet till annan reglering 51 7.4.1 Dataskyddsförordningen, dataskyddslagen och idrottens interna regelverk 51 7.4.2 Patientdatalagen 52 7.5 Personuppgiftsansvar 54 8 Tillåten behandling av personuppgifter 58 8.1 Grundläggande principer för behandlingen av personuppgifter 58 8.2 Tillåtna ändamål för behandlingen av personuppgifter 59 8.2.1 Ändamålsbestämmelser införs 59 8.2.2 Ändamål som rör medicinsk dispens 64 8.2.3 Ändamål som rör vistelserapportering 67 8.2.4 Ändamål som rör dopningskontroller 69 8.2.5 Ändamål som rör ärenden om dopningsförseelser 71 8.2.6 Ändamål som rör underrättelsearbete 73 8.2.7 Ändamål som rör utbildning och forskning 75 8.3 Uppgiftsutlämnande och finalitetsprincipen 76 8.4 Personuppgifter kan överföras till tredjeland 80 8.5 Känsliga personuppgifter 82 8.6 Behandling av personuppgifter som rör lagöverträdelser 85 8.7 Publicering av uppgifter om dopningsförseelser 86 8.8 Personnummer och samordningsnummer 89 9 Enskildas rättigheter 90 10 Längsta tid som personuppgifter får behandlas 94 10.1 Allmänt om lagring av personuppgifter 94 10.2 En generell begränsning av tiden som personuppgifter får behandlas 95 10.3 En särskild begränsning av tiden som personuppgifter får behandlas i underrättelsearbetet 97 11 Ytterligare åtgärder för att skydda personer vid behandling av personuppgifter 98 11.1 Allmänt om skyddsåtgärder 98 11.2 Tillgången till personuppgifter 100 11.3 Sökbegränsning 101 11.4 Särskild upplysning 102 11.5 Dataskyddsombud 103 11.6 Andra skyddsåtgärder 105 12 Sekretess 107 13 Ikraftträdande- och övergångsbestämmelser 110 14 Konsekvenser av förslagen 110 15 Författningskommentar 113 Bilaga 1 Sammanfattning av betänkandet Stärkt integritet i idrottens antidopningsarbete (SOU 2019:24) 124 Bilaga 2 Betänkandets lagförslag 131 Bilaga 3 Förteckning över remissinstanserna 134 Bilaga 4 Lagrådets yttrande 135 Utdrag ur protokoll vid regeringssammanträde 136 1 Förslag till riksdagsbeslut Regeringens förslag: Riksdagen antar regeringens förslag till lag om behandling av personuppgifter i idrottens antidopningsarbete. 2 Förslag till lag om behandling av personuppgifter i idrottens antidopningsarbete Härigenom föreskrivs följande. Lagens syfte 1 § Syftet med denna lag är att ge aktörer i idrottens antidopningsarbete möjlighet att behandla personuppgifter på ett ändamålsenligt sätt och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. Idrottens antidopningsarbete 2 § Med idrottens antidopningsarbete avses i denna lag sådant antidopningsarbete som utförs på grund av världsantidopningskoden (World Anti-Doping Code) eller de internationella standarder som kompletterar koden. Lagens tillämpningsområde 3 § Denna lag ska tillämpas då personuppgifter behandlas i idrottens antidopningsarbete som utförs av 1. signatärer av världsantidopningskoden som är etablerade i Sverige, 2. signatärer av världsantidopningskoden som inte är etablerade i Sverige, om personuppgifterna behandlas i Sverige, 3. föreningar och förbund som är anknutna till Sveriges Riksidrottsförbund, eller 4. andra föreningar och förbund än de som anges i 3 och som är etablerade i Sverige och anknutna till ett internationellt specialidrottsförbund som är signatär av världsantidopningskoden. 4 § Denna lag ska även tillämpas då personuppgifter behandlas i idrottens antidopningsarbete som, efter delegation från en signatär av världsantidopningskoden, utförs av 1. organ som är etablerade i Sverige, eller 2. organ som inte är etablerade i Sverige, om personuppgifterna behandlas i Sverige. 5 § Denna lag gäller endast om behandlingen av personuppgifter är helt eller delvis automatiserad eller om personuppgifterna ingår i eller kommer att ingå i ett register. Förhållandet till annan reglering 6 § Denna lag kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), i lagen benämnd EU:s dataskyddsförordning. 7 § Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag. Ändamål med behandlingen 8 § Personuppgifter får behandlas i idrottens antidopningsarbete om det är nödvändigt för att 1. handlägga ärenden om medicinsk dispens samt begära överprövning av och överklaga beslut om sådan dispens, 2. planera, samordna och administrera vistelserapporteringar, 3. planera, samordna och genomföra dopningskontroller, 4. handlägga, tillhandahålla information i och överklaga beslut i ärenden om dopningsförseelser, och 5. inhämta, bearbeta, analysera och delge information som gäller möjliga dopningsförseelser. Endast Antidoping Sverige AB och internationella specialidrottsförbund som är etablerade i Sverige och är signatärer av världsantidopningskoden får behandla personuppgifter enligt första stycket 5. Andra organ som denna lag är tillämplig på får dock behandla personuppgifter om det är nödvändigt för att tillhandahålla Antidoping Sverige AB eller ett internationellt specialidrottsförbund som är signatär av världsantidopningskoden information som behövs i deras verksamhet enligt första stycket 5. 9 § Personuppgifter som behandlas enligt 8 § får även behandlas om det är nödvändigt för att tillhandahålla Polismyndigheten, Åklagarmyndigheten eller Tullverket information som behövs i myndigheternas brottsbekämpande verksamhet. 10 § Personuppgifter som behandlas enligt 8 § får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Behandling av känsliga personuppgifter 11 § Inga andra personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) än uppgifter om hälsa, genetiska uppgifter eller biometriska uppgifter för att entydigt identifiera en fysisk person får behandlas med stöd av artikel 9.2 g i samma förordning. Behandling av personuppgifter om lagöverträdelser 12 § Personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning får behandlas endast för de ändamål som anges i 8 § första stycket 4 och 5. Tillgången till personuppgifter 13 § Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Dataskyddsombud 14 § Antidoping Sverige AB, Sveriges Riksidrottsförbund och sådana organ som avses i 4 § 1 ska utse dataskyddsombud för sin behandling av personuppgifter i idrottens antidopningsarbete. Längsta tid som personuppgifter får behandlas 15 § Personuppgifter får inte behandlas under längre tid än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. 16 § Personuppgifter som behandlas för ändamål som anges i 8 § första stycket 5 får inte behandlas längre än tre år efter utgången av det kalenderår då uppgifterna behandlades första gången. Om en ny uppgift om samma persons anknytning till dopningsverksamhet behandlas före utgången av tidsfristen, får de personuppgifter som redan finns om personen fortsätta att behandlas så länge någon av uppgifterna får behandlas. Denna lag träder i kraft den 1 augusti 2022. 3 Ärendet och dess beredning Den 27 april 2016 antogs Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (dataskyddsförordningen). Dataskyddsförordningen tillämpas från och med den 25 maj 2018. Samma datum trädde lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) i kraft medan personuppgiftslagen (1998:204) upphävdes. Den 26 april 2018 beslutade regeringen att ge en särskild utredare i uppdrag att utreda vissa frågor om antidopningsarbete inom idrotten i syfte att säkerställa att dataskyddsförordningen följs (dir. 2018:31). Genom tilläggsdirektiv den 14 februari 2019 förlängdes utredningstiden (dir. 2019:2). Utredningen, som tog namnet Utredningen om antidopning och dataskydd, överlämnade den 3 juni 2019 betänkandet Stärkt integritet i idrottens antidopningsarbete (SOU 2019:24). En sammanfattning av betänkandet finns i bilaga 1. Betänkandets lagförslag finns i bilaga 2. Betänkandet har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 3. Remissvaren finns tillgängliga i Justitiedepartementet (Ju2022/00318). I propositionen behandlas betänkandets lagförslag. Under beredningen av betänkandets förslag har antidopningsverksamheten för svensk idrott omorganiserats. Efter förfrågan från Kulturdepartementet inkom Sveriges Riksidrottsförbund den 16 december 2020 med ett yttrande om hur antidopningsarbetet ska bedrivas efter omorganisationen (Ju2022/00318-22). Det hölls även ett möte med Sveriges Riksidrottsförbund och Antidoping Sverige AB den 21 juni 2021. Vidare hölls ett möte med Internationella Orienteringsförbundet den 8 september 2021 och med Sveriges Olympiska Kommitté den 7 oktober 2021. Lagrådet Regeringen beslutade den 13 januari 2022 att inhämta Lagrådets yttrande över ett lagförslag som överensstämmer med lagförslaget i denna proposition. Lagrådets yttrande finns i bilaga 4. Lagrådet lämnar förslaget utan erinran. 4 Antidopningsarbetet inom idrotten 4.1 Vad är dopning? Med dopning, även kallat doping, inom idrotten avses användning av artificiella medel och metoder, särskilt läkemedel och hormoner, för att höja prestationsförmågan hos människor och djur. Dopning är förbjudet enligt idrottens interna regler i såväl Sverige som internationellt. Dopning anses strida mot idrottens två grundsatser; rättvisa inom idrotten ("fair play") och att idrotten ska främja god hälsa. Det kan även vara olagligt att dopa sig. Att bruka eller på vissa andra sätt hantera dopningspreparat kan vara förbjudet enligt t.ex. lagen (1991:1969) om förbud mot vissa dopningsmedel. 4.2 Internationellt antidopningsarbete Dopning är ett internationellt problem och det finns därför behov av internationella lösningar och en bred internationell samverkan. Arbetet mot dopning inom idrotten inleddes på allvar på 1960-talet. Sedan dess har det vuxit fram ett förhållandevis komplext och omfattande samarbete mellan olika aktörer. Några av dessa aktörer beskrivs översiktligt i det följande. 4.2.1 Världsantidopningsbyrån WADA Världsantidopningsbyrån (World Anti-Doping Agency, WADA) grundades 1999 och är ett oberoende internationellt organ för bekämpning av dopning inom idrotten. WADA är en stiftelse med säte i Lausanne i Schweiz och huvudkontor i Montreal i Kanada. Styrelsen består främst av representanter för den olympiska rörelsen och de internationella specialidrottsförbunden samt regeringsföreträdare. WADA utvecklar och harmoniserar regelverket för antidopningsarbetet för att utjämna skillnader mellan idrotter och länder. Vidare ägnar sig WADA åt bl.a. utbildning och forskning. WADA får hälften av sin finansiering från Internationella olympiska kommittén och hälften från stater i olika världsdelar, bl.a. årliga bidrag från Sverige. WADA har utarbetat ett regelverk kallat världsantidopningskoden (World Anti-Doping Code) som är styrande för en stor del av antidopningsarbetet inom idrotten. Under koden finns även åtta internationella standarder, se vidare avsnitt 4.4.1. Koden har undertecknats av hundratals idrottsorganisationer och nationella antidopningsorganisationer. För Sveriges del har koden undertecknats av Sveriges Riksidrottsförbund, Sveriges Olympiska Kommitté, Sveriges Paralympiska Kommitté och Antidoping Sverige AB. Vidare har koden undertecknats av ett fåtal internationella specialidrottsförbund som har sitt säte i Sverige, t.ex. Internationella Orienteringsförbundet. WADA har databasen Anti-Doping Administration & Management System (ADAMS) som används för att samordna antidopningsarbetet. Databasen finns i Kanada. 4.2.2 Europarådet Europarådet är den äldsta och största politiska samarbets- och människorättsorganisationen i Europa. Europarådets konvention mot dopning upprättades den 16 november 1989. Konventionen är undertecknad av 52 länder. Sverige ratificerade konventionen 1990 och godkände 2002 ett tilläggsprotokoll till konventionen som uttalar ett stöd för WADA och staternas ambition att låta sina åtaganden utvärderas. Konventionen mot dopning tillhandahåller gemensamma standarder och förpliktar konventionsstaterna till vissa åtgärder i fråga om bl.a. lagstiftning, finansiering, dopningskontroller och utbildning. Inom ramen för konventionen har ett betydande arbete utförts för att stödja stater i Europa i byggandet av antidopningssystem samt bereda europeiska länders gemensamma synpunkter på WADA:s verksamhet och standarder. 4.2.3 Unesco Förenta nationernas organisation för utbildning, vetenskap och kultur (Unesco) antog 2005 en internationell konvention mot dopning inom idrotten. Konventionen har utformats med modell efter Europarådets konvention mot dopning. Sverige ratificerade Unescos konvention som första land 2005. Konventionen, som trädde i kraft 2007, har i dag ratificerats av 191 länder. Syftet med konventionen kan sägas vara dels att se till att konventionsstaterna vidtar åtgärder mot dopning inom idrotten som komplement till de åtgärder som vidtas av idrottsrörelsen, dels att stödja det antidopningsarbete som genomförs av WADA. De stater som har godkänt konventionen förbinder sig till principerna i världsantidopningskoden och till att stödja WADA:s verksamhet. Två av WADA beslutade internationella standarder är integrerade i konventionen, nämligen listan över förbjudna substanser och metoder samt standarden för medicinsk dispens från dopningsreglerna. 4.2.4 Europeiska unionen Medlemsstaterna i Europeiska unionen (EU) har genom fördraget om Europeiska unionens funktionssätt, även kallat Lissabonfördraget, gett EU:s institutioner ansvar att arbeta med idrottsfrågor. EU samarbetar med Europarådet och WADA i antidopningsfrågor. Europeiska kommissionen har en aktiv roll i arbetet med antidopningsfrågor inom idrotten främst genom att bevaka att antidopningsreglerna inte står i konflikt med EU-rätten. En särskild fråga i detta sammanhang rör dataskydd. Kommissionen publicerade 2017 en utvärdering av antidopningslagarna och antidopningsarbetet i medlemsstaterna i ljuset av dataskyddsförordningen (se Anti-Doping & Data Protection, An evaluation of the anti-doping laws and practices in the EU Member States in light on the General Data Protection Regulation). 4.2.5 Den olympiska rörelsen Den olympiska rörelsen främjar etisk idrott, rent spel och fred genom idrott. Internationella olympiska kommittén (IOK) och Internationella paralympiska kommittén arrangerar de olympiska och paralympiska spelen vartannat år. Kommittéerna ansvarar för antidopningsverksamheten för de idrottsutövare som deltar i spelen. De har undertecknat världsantidopningskoden. 4.2.6 Internationella specialidrottsförbund De internationella specialidrottsförbunden ansvarar för verksamheten, utvecklingen och reglerna inom sin respektive idrott. Specialidrottsförbunden har i allmänhet egna antidopningsprogram som bedrivs i samarbete med nationella medlemsförbund, till exempel inom simning och friidrott. Programmen innehåller normalt såväl dopningskontroller som information och utbildning. Det finns ett fåtal internationella specialidrottsförbund som har sitt säte i Sverige, t.ex. Internationella Orienteringsförbundet. 4.2.7 Idrottens internationella skiljedomstol CAS Idrottens internationella skiljedomstol (CAS) grundades 1984 och har sitt huvudkontor i Lausanne i Schweiz. CAS är det högsta internationella organet för överklagande i frågor om idrott. Domstolen behandlar även traditionella skiljedomsfall som ska avgöras i en instans. 4.2.8 Laboratorier för dopningskontroll Dopningsprov inom idrotten analyseras i laboratorier som har godkänts och övervakas av WADA. För närvarande finns 33 sådana laboratorier i världen. Syftet är att dopningsproverna ska behandlas på samma sätt överallt i världen. I Sverige finns ett av WADA ackrediterat laboratorium, Dopinglaboratoriet vid Karolinska Universitetssjukhuset i Huddinge. 4.3 Antidopningsarbete i Sverige 4.3.1 Idrottens centralorganisationer Inom svensk idrott finns två självständiga centralorganisationer; Sveriges Riksidrottsförbund (RF) och Sveriges Olympiska Kommitté (SOK). RF är en ideell förening och samlande organisation för merparten av föreningsidrotten i Sverige. Förbundet har till uppgift att bl.a. leda, företräda, stödja och utveckla idrottsrörelsen, såväl nationellt som internationellt. RF prövar även frågor om statsbidrag till idrottsverksamhet i enlighet med förordningen (1999:1177) om statsbidrag till idrottsverksamhet. RF:s högsta beslutande organ är RF-stämman. Stämman hålls vartannat år och består av cirka 200 ombud för specialidrottsförbunden. RF-stämman beslutar om grundläggande policyfrågor, idrottsrörelsens gemensamma verksamhetsinriktning och inträde av nya medlemsförbund. RF-stämman väljer även Riksidrottsstyrelsen, som är beslutande organ då stämman inte är samlad. Riksidrottsstyrelsen består av ordförande och tio ledamöter. Den ska verka för att idrottsrörelsens verksamhetsidé efterlevs, verkställa RF-stämmans beslut och sköta RF:s medel. Stämman utser också Riksidrottsnämnden som är RF:s högsta juridiska instans. Nämnden består av ordförande, vice ordförande och sex övriga ledamöter. RF består av 72 nationella specialidrottsförbund, som i sin tur har omkring 20 000 anslutna lokala idrottsföreningar. De lokala föreningarna är på regional nivå anslutna till specialidrottsdistriktsförbund och RF-SISU distrikt. Det handlar om totalt sett cirka 3,1 miljoner medlemmar. Svenska Parasportförbundet och Sveriges Paralympiska Kommitté, även kallat Parasport Sverige, är ett specialidrottsförbund som är medlem i RF. Parasport Sverige organiserar idrott för personer med rörelsenedsättning, synnedsättning och intellektuell funktionsnedsättning inom 14 idrotter. Vidare ansvarar förbundet för den paralympiska idrotten. SOK är den högsta instansen för olympiska frågor inom den svenska idrottsrörelsen. Kommitténs främsta uppgift är att förbereda och leda det svenska deltagandet i de olympiska spelen. Till uppgifterna hör även bl.a. uttagning av idrottare, elitidrottsutveckling, internationellt arbete, marknadsföring och sponsring. SOK består av 41 nationella specialidrottsförbund vars idrotter ingår i det olympiska programmet och 14 s.k. erkända specialidrottsförbund vars idrotter inte ingår i de olympiska spelen men som har godkänts av IOK. Samtliga medlemsförbund är också medlemmar i RF. RF, SOK och Sveriges Paralympiska Kommitté är signatärer av världsantidopningskoden. I nästa avsnitt redogörs för antidopningsarbetet för idrotten inom RF. SOK utför antidopningsarbete i form av utbildning och information i antidopningsfrågor. Kommittén utför även visst antidopningsarbete i anslutning till de olympiska spelen, t.ex. bistår idrottsutövare i den svenska truppen i frågor om medicinsk dispens och lämnar vistelserapporter om idrottsutövarna i truppen. SOK skickar även listor till Antidoping Sverige AB med namn på idrottsutövare som kan kvalificera sig till de olympiska spelen (s.k. long list), för att möjliggöra dopningskontroller av dem. Sveriges Paralympiska Kommitté kan, i likhet med SOK, lämna ut uppgifter om idrottsutövare som kan kvalificera sig till de paralympiska spelen för att möjliggöra dopningskontroller av dem. 4.3.2 Organisationen av antidopningsverksamheten för idrotten inom Riksidrottsförbundet En ny organisation för antidopningsarbetet Fram till utgången av 2020 bedrevs antidopningsarbetet i Sverige främst av RF, som var nationell antidopningsorganisation för svensk idrott enligt världsantidopningskoden. Koden ställer dock sedan den 1 januari 2021 krav på att en nationell antidopningsorganisation ska vara oberoende från regeringen och idrottsrörelsen i fråga om operativa beslut och operativ verksamhet. RF bildade därför Antidopingstiftelsen i syfte att främja självständigheten hos antidopningsverksamheten i Sverige. Antidopingstiftelsen är ensam ägare till dotterbolaget Antidoping Sverige AB (Antidoping Sverige). Antidoping Sverige har sedan den 1 januari 2021 övertagit rollen som nationell antidopningsorganisation. Samarbetet mellan RF på den ena sidan samt Antidopingstiftelsen och Antidoping Sverige på den andra sidan är reglerat i ett avtal mellan parterna. Antidopingstiftelsen Antidopingstiftelsen har till ändamål att främja självständigheten hos antidopningsverksamheten i Sverige. Stiftelsen leds av en styrelse. Den består av minst fem och högst nio ledamöter. Styrelsen utser inom sig en ledamot att vara ordförande. Regeringen, RF, SOK, Parasport Sverige, Folkhälsomyndigheten, Svensk Förening för Fysisk Aktivitet och Idrottsmedicin samt Centrum för idrottsforskning erbjuds att utse en styrelseledamot vardera. Stiftelsen utför sådana uppgifter som är förknippade med ägandet i och förvaltningen av aktierna i Antidoping Sverige. Till stiftelsens uppgifter hör bl.a. att utse styrelsen i bolaget, godkänna bolagets resultat- och balansräkning samt utöva tillsyn över att bolagets antidopningsverksamhet följer världsantidopningskoden. Stiftelsen behandlar inte personuppgifter i antidopningsarbetet. Antidoping Sverige Antidoping Sverige, som alltså numera är nationell antidopningsorganisation för svensk idrott, ansvarar för större delen av antidopningsarbetet i Sverige. Verksamheten finansieras genom bl.a. ett riktat statligt bidrag till Antidopingstiftelsen. Antidoping Sveriges styrelse leder och koordinerar antidopningsarbetet utifrån Antidopingstiftelsens direktiv. Styrelsen utses av Antidopingstiftelsen och består av minst fyra och högst tio ledamöter. Ordförande och vice ordförande utses på årsstämman. Styrelsen har det övergripande ansvaret för antidopningsverksamheten och ansvarar för att reglerna mot dopning efterlevs. Styrelsen ansvarar också för att utfärda anvisningar för antidopningsverksamheten och leda den operativa verksamheten. Styrelsen får dock delegera sin beslutanderätt till särskilda organ, en ledamot eller en annan person. Det operativa antidopningsarbetet utförs av Antidoping Sveriges kansli. Kansliet har omkring 20 anställda och verkställer i första hand styrelsens beslut. Arbetet kan delas in i sex delar: dispenshandläggning, vistelserapportering, dopningskontroller, resultathantering, underrättelsearbete och utbildning. Antidoping Sveriges styrelse utser Dispenskommittén. Kommittén har till uppgift att besluta över ansökningar om dispens från förbudet att inta läkemedel som innehåller dopningsklassade substanser. Den består av tre ledamöter och suppleanter. Dopningskontrollfunktionärer Dopningskontrollfunktionärer leder utförandet av dopningskontroller. Det finns omkring 60 dopningskontrollfunktionärer som har legitimerats av Antidoping Sverige. Därutöver finns cirka 70 dopningskontrollbiträden som assisterar vid dopningskontroller. Dopningskontrollfunktionärerna har uppdragsavtal med Antidoping Sverige och är således inte anställda i bolaget. Riksidrottsförbundet RF har överlåtit större delen av det antidopningsarbete som tidigare bedrevs inom förbundet till Antidoping Sverige. RF bedriver dock även fortsättningsvis visst antidopningsarbete. RF-stämman utser alltjämt Dopingnämnden, som är ett särskilt bestraffningsorgan för ärenden som gäller dopningsförseelser och överklagandeinstans för ärenden om medicinsk dispens. Nämnden består av ordförande, vice ordförande och fyra ledamöter. Dopingnämndens beslut i ärenden om dopningsförseelser kan överklagas till Riksidrottsnämnden, som är RF:s högsta juridiska instans. Riksidrottsnämndens beslut kan i vissa fall överklagas till CAS. RF har gett Antidoping Sverige tillgång till förbundets medlemsregister via databasen IdrottOnline. Nationella specialidrottsförbund De nationella specialidrottsförbunden, som är egna ideella föreningar, ska enligt RF:s stadgar upprätta egna antidopningsplaner. Planerna, som anpassas till förbundets idrott, vägleder specialidrottsdistriktsförbund och föreningar i antidopningsarbetet. Specialidrottsförbunden bistår även Antidoping Sverige i antidopningsarbetet, t.ex. vid valet av vilka idrottsutövare som ska vistelserapportera. De ser också till att Antidoping Sverige får uppgifter om prioriterade idrottsutövare och föreningar samt om gemensamma läger, samlingar och förändringar i det nationella tävlingsprogrammet. RF-SISU distrikt RF och Studieförbundet SISU Idrottsutbildarna har för sin regionala verksamhet gemensamma RF-SISU distrikt, som ersätter de tidigare distriktsidrottsförbunden. RF-SISU distrikten, som är egna ideella föreningar, stödjer specialidrottsdistriktsförbund och föreningar med information och rådgivning. Distrikten bedriver även opinionsbildning och samverkar lokalt och regionalt med olika organisationer och myndigheter. De bistår även Antidoping Sverige med att planera dopningskontroller. De behandlar dock endast i begränsad omfattning personuppgifter i antidopningsarbetet. Dopinglaboratoriet vid Karolinska Universitetssjukhuset Dopinglaboratoriet vid Karolinska Universitetssjukhuset i Huddinge är ett av WADA ackrediterat laboratorium. Verksamheten kontrolleras varje år av WADA. Laboratoriet har varit ackrediterat sedan 1985. Antidoping Sverige har ett avtal med laboratoriet om analyser av dopningsprov inom idrotten. Varje år analyserar laboratoriet 3 000-4 000 dopningsprover åt svensk idrott. Därutöver analyserar laboratoriet dopningsprover åt internationella specialidrottsförbund och andra länders nationella antidopningsorganisationer. 4.3.3 Antidopningsarbetet utanför Riksidrottsförbundet Det förekommer även antidopningsarbete i Sverige utanför den RF-anknutna idrotten. I det följande redogörs för en del av detta arbete. Idrottsorganisationer som inte är anknutna till Riksidrottsförbundet Det finns idrottsorganisationer i Sverige som inte är anknutna till RF. Dessa organisationer omfattas inte av RF:s och Antidoping Sveriges antidopningsverksamhet. Så är fallet även om idrotten verkar under ett internationellt specialidrottsförbund som är signatär av världsantidopningskoden och därmed har förbundit sig att utföra antidopningsarbete, t.ex. dopningskontroller. Ett exempel på detta är Svenska Bodybuilding- och Fitnessförbundet under Internationella bodybuilding- och fitnessförbundet, som är signatär av koden. Kommersiellt antidopningsarbete Det finns en kommersiell marknad där privata aktörer gör främst dopningskontroller på uppdrag av idrottsorganisationer och nationella antidopningsorganisationer. Ett exempel på en sådan aktör är International Doping Tests Management AB (IDTM) som är ett svenskt serviceföretag som bl.a. utför dopningskontroller åt internationella idrottsorganisationer och handlägger dispensansökningar. Serviceföretagen är inte signatärer av världsantidopningskoden men följer koden i sitt arbete. Gym- och träningsanläggningar Det finns även ett antidopningsarbete utanför den traditionella idrotten. Ett sådant arbete kan beröra privata, föreningsdrivna eller kommunala gym- och träningsanläggningar och sker främst i förebyggande syfte. Vid misstankar om dopningsbrott kan Polismyndigheten kontaktas. I utredningens betänkande görs bedömningen att det inte förekommer några egna dopningskontroller vid gym- och träningsanläggningar. 4.4 Idrottens regelverk för antidopningsarbetet Antidopningsarbetet i Sverige utförs alltså främst av privata aktörer, såsom Antidoping Sverige och RF. Arbetet har inte stöd i någon nationell författning utan styrs av idrottens interna regelverk, främst världsantidopningskoden och de internationella standarder som kompletterar koden. Integritetsskyddsmyndigheten (tidigare Datainspektionen) menar i sitt remissvar över utredningens betänkande att det inte klart framgår vad som krävs enligt dessa regler. I det följande redogörs för huvuddragen i idrottens interna regelverk som gäller i december 2021. 4.4.1 Världsantidopningskoden och dess internationella standarder WADA har alltså utarbetat världsantidopningskoden. Koden antogs 2003 och har därefter reviderats vid flera tillfällen. Den senaste versionen av koden började gälla den 1 januari 2021. Under koden finns i dag åtta internationella standarder: standarden för signatärers efterlevnad av koden, standarden för dopningslistan, standarden för medicinsk dispens, standarden för dopningskontroll och utredning, standarden för laboratorier, standarden för resultathantering, standarden för utbildning samt standarden för skydd av privatlivet och personuppgifter. Koden och dess internationella standarder är bindande för signatärerna. Regelverken finns publicerade på WADA:s webbplats www.wada-ama.org. Världsantidopningskoden får undertecknas av vissa idrottsorganisationer, bl.a. internationella specialidrottsförbund, storevenemangsorganisationer (Major Event Organizations) och nationella antidopningsorganisationer (se artikel 23.1). Med storevenemangsorganisation avses vissa organisationer som är styrande organ för kontinentala, regionala och andra internationella evenemang, t.ex. IOK. Nationell antidopningsorganisation definieras som ett organ som ett land har utsett att ha primär befogenhet och ansvar att anta och implementera antidopningsregler, leda provtagning, hantera testresultat samt genomföra resultathantering på nationell nivå. Om en behörig myndighet inte har utsett ett sådant organ är det i stället landets nationella olympiska kommitté eller det organ som kommittén utsett (se bilaga 1 till koden). Signatärerna ska implementera tillämpliga bestämmelser i världsantidopningskoden i stadgar, regler eller policyer inom sitt ansvarsområde (se artikel 23.2). De ska även avsätta tillräckliga resurser för att införa antidopningsprogram inom alla områden som följer av koden och de internationella standarderna (se artikel 23.3). Vidare ska signatärerna anta regler som ålägger deras medlemsorganisationer att följa, implementera, upprätthålla och verkställa koden samt vidta lämpliga åtgärder mot en medlemsorganisation som brister i sina åligganden (se artikel 12). En signatär får delegera vissa uppgifter i antidopningsarbetet till t.ex. ett serviceföretag, men är fortfarande ansvarig för att arbetet utförs i enlighet med världsantidopningskoden (se artikel 20). WADA ska övervaka att signatärerna följer världsantidopningskoden och de internationella standarderna i enlighet med den internationella standarden för signatärers efterlevnad av koden. Om en signatär inte följer koden eller standarderna kan denne förklaras att inte följa reglerna (non-compliant) och åläggas olika typer av konsekvenser. Exempel på sådana konsekvenser är att en tredje part övervakar eller tar över antidopningsarbetet, böter, att det aktuella landet förlorar rätten att anordna internationella evenemang eller att landets idrottsutövare utesluts från att delta i sådana evenemang (se artikel 24.1). Dopning, dopningsförseelser och konsekvenser Dopning definieras i världsantidopningskoden som förekomsten av en eller flera dopningsförseelser (se artikel 1). Med dopningsförseelse avses en rad olika omständigheter eller handlingar, t.ex. förekomst av förbjuden substans i ett dopningsprov, bruk eller innehav av förbjuden substans, vägran att lämna dopningsprov och tre fastställda vistelserapporteringsbrister inom ett år (se artikel 2). Även andra personer än idrottsutövare kan begå dopningsförseelser. En förseelse kan leda till olika konsekvenser, bl.a. diskvalificering och avstängning (se artiklarna 9-11). WADA ska minst en gång per år publicera dopningslistan, som är en internationell standard med en lista över substanser och metoder som är förbjudna som dopning (artikel 4.1-3). Medicinsk dispens Idrottsutövare som av medicinska skäl måste använda dopningsklassade läkemedel eller metoder kan ansöka om medicinsk dispens från dopningsreglerna. Bestämmelser om sådan dispens finns i artikel 4.4 i världsantidopningskoden och den internationella standarden för medicinsk dispens (ISTUE). För att en ansökan om medicinsk dispens ska beviljas måste idrottsutövaren visa sitt behov av den förbjudna substansen eller metoden (se artikel 4.2 i ISTUE). Idrottsutövaren ska använda en viss ansökningsblankett och bifoga ett medicinskt underlag (se artikel 6.2 och 6.4 i ISTUE). Ansökan ska i regel göras innan idrottsutövaren brukar eller innehar substansen eller metoden i fråga. I vissa fall får dock ansökan ske retroaktivt, t.ex. om idrottsutövare som tävlar på lägre nivå lämnar ett positivt dopningsprov (se artiklarna 4.4.5 i koden samt 4.1 och 4.3 i ISTUE). Idrottsutövare som inte är på internationell nivå ska ansöka om dispens hos sin nationella antidopningsorganisation. Ett beslut om att avslå ansökan får överklagas till en överprövande instans i enlighet med regler som har fastställts av den nationella antidopningsorganisationen (se artikel 4.4.2 i koden). Idrottsutövare som är på internationell nivå ska ansöka om dispens hos det internationella specialidrottsförbundet. Om ansökan beviljas får den nationella antidopningsorganisationen hänskjuta frågan till WADA för granskning (se artikel 4.4.3.2 i koden). Medicinsk dispens som har beviljats av en nationell antidopningsorganisation, och som uppfyller kraven i ISTUE, ska erkännas av det internationella specialidrottsförbundet. Ett sådant erkännande kan ske genom att det internationella specialidrottsförbundet tillkännager att det automatiskt godkänner en sådan dispens. I annat fall ska idrottsutövaren lämna in en begäran om erkännande till det internationella specialidrottsförbundet. Om begäran avslås får idrottsutövaren eller den nationella antidopningsorganisationen hänskjuta frågan till WADA för prövning (se artiklarna 4.4.3.1 i koden och 7.1 i ISTUE). Storevenemangsorganisationer får i vissa fall kräva att idrottsutövare ansöker om medicinsk dispens hos dem om han eller hon vill använda en förbjuden substans eller metod i anslutning till evenemanget. Storevenemangsorganisationer ska dock erkänna en redan beviljad dispens som uppfyller kraven i ISTUE. Om en ansökan eller begäran om erkännande av dispens avslås får idrottsutövaren överklaga beslutet till ett självständigt organ som har inrättats eller utsetts av storevenemangsorganisationen (se artikel 4.4.4 i koden). WADA får alltid på begäran eller eget initiativ granska beslut om medicinsk dispens (se artikel 4.4.6 i koden). Internationella specialidrottsförbunds och WADA:s beslut om dispens får i vissa fall överklagas till CAS (se artikel 4.4.7 och 4.4.8 i koden). Varje nationell antidopningsorganisation, internationellt specialidrottsförbund och storevenemangsorganisation ska inrätta en dispenskommitté för att pröva ansökningar om och erkännande av medicinsk dispens (se artikel 5.3 i ISTUE). Dispenskommitténs beslut ska göras tillgängligt för WADA och andra organ via WADA:s databas ADAMS. När en dispens har beviljats ska informationen omfatta bl.a. den tillåtna substansen eller metoden, dosering och dispensens giltighetstid. Vidare ska informationen gälla ansökningsblanketten och relevant klinisk information, dock endast för åtkomst av WADA, den nationella antidopningsorganisationen, det internationella specialidrottsförbundet och den storevenemangsorganisation som anordnar ett evenemang som idrottsutövaren deltar i (se artiklarna 5.5, 6.10 och 7.5 ISTUE). Varje medicinsk dispens har en specificerad varaktighet och upphör automatiskt vid tidsperiodens slut. En medicinsk dispens kan dock dras tillbaka innan datumet för upphörande om idrottsutövaren inte uppfyller kraven eller villkoren för dispensen (se artikel 6.11 och 6.12 i ISTUE). En ansökan om medicinsk dispens ska behandlas konfidentiellt. Information som lämnas av en idrottsutövare vid en ansökan om medicinsk dispens får endast användas för att pröva ansökan och utreda en misstänkt dopningsförseelse (se artikel 9.3 och 9.5 i ISTUE). Vistelserapportering Vistelserapportering utförs av vissa utvalda idrottsutövare i syfte att möjliggöra effektiva och oanmälda dopningskontroller. Bestämmelser om vistelserapportering finns i artikel 5.5 i världsantidopningskoden och artikel 4.8 i den internationella standarden för dopningskontroll och utredning (ISTI). Signatärerna ska samla in all vistelseinformation som krävs för att kunna utföra dopningskontroller enligt dopningskontrollplanen på ett effektivt och ändamålsenligt sätt (se artikel 4.8.1 i ISTI). Internationella specialidrottsförbund och nationella antidopningsorganisationer bör överväga att placera idrottsutövarna i olika kontrollpooler - kallade registrerad kontrollpool, kontrollpool och annan pool - beroende på vilken vistelserapportering som behövs för att utföra dopningskontroller i enlighet med dopningskontrollplanen (se artikel 4.8.4 i ISTI). Internationella specialidrottsförbund och nationella antidopningsorganisationer ska besluta vilka idrottsutövare som ska ingå i deras registrerade kontrollpool. De ska därvid överväga vissa kriterier, t.ex. om idrottsutövaren regelbundet tävlar på en hög internationell nivå. De ska även via ADAMS tillhandahålla en lista med namnen på de idrottsutövare som ingår i deras registrerade kontrollpool. Idrottsutövare ska informeras innan de tas in i en registrerad kontrollpool och när de tas bort från en sådan (se artiklarna 5.5 i koden samt 4.8.6.1 och 4.8.7 i ISTI). Idrottsutövare som ingår i en registrerad kontrollpool ska kvartalsvis lämna vistelserapporter för de kommande tre månaderna med uppgifter om post- och e-postadress, var de övernattar, var de tränar, arbetar eller utövar någon annan regelbunden aktivitet, tävlingsschema samt vistelseuppgifter för en 60-minutersperiod varje dag. Det organ som samlar in vistelserapporterna ska granska dem för att säkerställa att de lämnats korrekt (se artikel 4.8.6.2 och 4.8.8 i ISTI). Vistelserapporterna ska via ADAMS göras tillgängliga för WADA och andra signatärer som har behörighet att utföra dopningskontroller på idrottsutövaren. Rapporterna ska hanteras strikt konfidentiellt och får endast användas för vissa syften, bl.a. planera, samordna och genomföra dopningskontroll, ge information som är relevant för idrottsutövarens biologiska pass samt utreda en potentiell dopningsförseelse (se artiklarna 5.5 i koden och 4.8.2 i ISTI). Internationella specialidrottsförbund och nationella antidopningsorganisationer ska även besluta vilka idrottsutövare som ska ingå i deras kontrollpool. De ska därvid överväga vissa kriterier, bl.a. om idrottsutövaren bör testas minst en gång per år utom tävling. De får i vissa fall besluta att det är tillräckligt att en idrottsutövare ingår i en kontrollpool som en del av ett lag. Idrottsutövare ska informeras innan denne tas in i en kontrollpool. Vistelserapporterna ska åtminstone omfatta uppgifter om övernattningsadress, tävlingsschema och regelbundna träningsaktiviteter. Rapporterna ska lämnas i ADAMS. Internationella specialidrottsförbund och nationella specialidrottsförbund får även inrätta andra pooler med lägre krav på vistelserapportering (se artiklarna 5.5 i koden samt 4.8.10 och 4.8.11 i ISTI). Internationella specialidrottsförbund och nationella antidopningsorganisationer ska samordna valet av vilka idrottsutövare som ska ingå i kontrollpoolerna och insamlingen av vistelserapporter (se artiklarna 5.5 samt 4.8.6.5 och 4.8.12 i ISTI). De får delegera ansvaret för vistelserapporteringen till b.la. idrottsutövarens nationella specialidrottsförbund eller ett serviceföretag (se artikel 4.8.14.1 i ISTI). Nationella specialidrottsförbund ska göra sitt bästa för att hjälpa det internationella specialidrottsförbundet eller nationella antidopningsorganisationen att samla in vistelserapporter (se artikel 4.8.14.2 i ISTI). Storevenemangsorganisationer får beträffande idrottsutövare som inte ingår i en registrerad kontrollpool anta evenemangsspecifika regler om vistelserapportering (se artikel 4.8.13 i ISTI). Dopningskontroller Dopningskontroller får anses utgöra en central del av idrottens antidopningsarbete. Hur dopningskontrollerna får utföras regleras utförligt i artikel 5.1-5.4 i världsantidopningskoden och i ISTI. Idrottsutövare är i regel skyldiga att, på begäran av ett organ som har behörighet att utföra en dopningskontroll av dem, lämna ett dopningsprov. Nationella antidopningsorganisationer ska ha behörighet att utföra dopningskontroller inom och utom tävling på idrottsutövare som t.ex. är medborgare, bosatta eller medlemmar i idrottsföreningar i landet eller vistas i landet. Internationella specialidrottsförbund ska ha behörighet att göra dopningskontroller inom och utom tävling på idrottsutövare som omfattas av deras regler, vilket inkluderar medlemmar i förbundet samt i förbundets nationella specialidrottsförbund och dess medlemmar. Vidare ska storevenemangsorganisationer ha behörighet att utföra dopningskontroller inom och utom tävling i anslutning till deras evenemang. Även WADA har i undantagsfall behörighet att göra dopningskontroller. Organ som har rätt att utföra dopningskontroller får delegera vissa uppgifter till t.ex. serviceföretag (se artiklarna 5.2 och 20.7.10 i koden samt 4.9.2 i ISTI). Organ som har rätt att utföra dopningskontroller är skyldiga att göra en riskbedömning av relevanta idrottsgrenar och upprätta en plan för dopningskontrollerna, som bl.a. ska innehålla en prioritering mellan idrotter/idrottsgrenar, idrottsutövare och typer av kontroller. Riskbedömningen och dopningskontrollplanen ska på begäran lämnas till WADA (se artikel 4.1-4.6 i ISTI). Organ som utför dopningskontroller ska koordinera arbetet med andra organ med överlappande kontrollbehörighet, i syfte att uppnå effektivitet i kontrollsystemet och undvika att idrottsutövare kontrolleras vid upprepade tillfällen i onödan. De ska konsultera varandra för att samordna dopningskontrollerna. De ska även föra in dopningskontrollformulär samt dela vistelseinformation, information om idrottsutövares biologiska pass och underrättelseinformation i ADAMS (se artiklarna 5.4.2 i koden och 4.9.1 i ISTI). Det organ som ansvarar för provtagningen ska utse dopningskontrollfunktionärer, biträden (chaperones) och annan personal att utföra provtagningen. Provtagning ska i regel ske utan förvarning. Det ansvariga organet, en dopningskontrollfunktionär eller ett biträde ska lokalisera idrottsutövaren samt underrätta och informera honom eller henne om provtagningen. Alla försök att underrätta idrottsutövaren ska dokumenteras. Idrottsutövaren ska underteckna ett formulär för att bekräfta och acceptera underrättelsen (se artikel 5 i ISTI). En dopningskontrollfunktionär ska ta ett blod- eller urinprov från idrottsutövaren. I samband med provtagningen ska bl.a. idrottsutövarens namn, födelsedatum, kontaktuppgifter samt ev. mediciner som tagits under de senaste sju dagarna dokumenteras (se artiklarna 6 och 7 i ISTI). Dopningsprover får analyseras endast av laboratorier som har ackrediterats eller annars godkänts av WADA. Analysen ska ske för att bl.a. upptäcka förbjudna substanser eller metoder eller bistå en antidopningsorganisation i profilering av relevanta parametrar i idrottsutövares kroppsmaterial eller för annat legitimt antidopningsyfte. Analysen ska ske i enlighet med den internationella standarden för laboratorier (ISL). Provresultatet ska lämnas via ADAMS (se artiklarna 6.1, 6.2 och 6.4 i koden samt 5.3.8.4 i ISL). Organ som ansvarar för att utföra dopningskontroller ska, inom ramen för sin dopningskontrollplan, bedöma i vilken utsträckning det behövs provtagning som involverar longitudinell profilering, dvs. ett program för biologiska pass (se artikel 4.6.1 i ISTI). Med biologiskt pass avses en medicinsk profil som innehåller resultaten av en idrottsutövares urin- och blodvärden under en viss period. Det biologiska passet bevaras i ADAMS. Efter en dopningskontroll ska en passhanteringsenhet (Athlete Passport Management Unit) analysera om det finns avvikelser i förhållande till det biologiska passet (se annex C till den internationella standarden för resultathantering). Underrättelseverksamhet och utredning Signatärerna ska, utöver dopningskontroller, även vidta andra åtgärder för att upptäcka dopningsförseelser. De ska samla information och utföra utredningar i enlighet med artikel 5.7 i världsantidopningskoden samt artiklarna 11 och 12 i ISTI. Internationella specialidrottsförbund och nationella antidopningsorganisationer m.fl. ska göra allt i sin makt för att säkerställa att de kan få tag i eller ta emot information från alla tillgängliga källor. De ska se till att informationen behandlas säkert och konfidentiellt samt endast för legitima antidopningssyften. Organen ska se till att de i samband med mottagandet kan bedöma informationens relevans och riktighet. De bör också sammanställa och analysera informationen för att identifiera mönster, trender och förhållanden som kan hjälpa organen att utveckla effektiva antidopningsstrategier eller i ett särskilt fall bedöma om det finns anledning att utreda om en dopningsförseelse begåtts. Informationen ska användas för att utarbeta dopningskontrollplaner, fastställa när riktade dopningskontroller ska genomföras och skapa filer med information som underlag för utredning av dopningsförseelser. Organen ska också anta policyer och förfaranden för att dela information med andra antidopningsorganisationer, rättsväsendet och vissa andra myndigheter (se artikel 11 i ISTI). Internationella specialidrottsförbund och nationella antidopningsorganisationer m.fl. ska säkerställa att de, konfidentiellt och effektivt, kan utreda information som ger rimlig anledning att misstänka att en dopningsförseelse har begåtts i enlighet med den internationella standarden för resultathantering. De ska samla in och dokumentera information för att använda informationen som bevis för en potentiell dopningsförseelse eller för att identifiera andra potentiella bevis. De ska använda alla resurser som är rimligen tillgängliga för att utföra utredningar. Om organet kommer fram till att idrottsutövaren eller annan misstänkt ska anklagas för dopningsförseelse ska han eller hon underrättas i enlighet med den internationella standarden för resultathantering. I annat fall ska organet underrätta WADA, det internationella specialidrottsförbundet och den nationella antidopningsorganisationen om beslutet med en motivering. Organets beslut att inte anklaga den misstänkte för dopningsförseelse får överklagas (se artiklarna 13.2 i koden och 12 i ISTI). Resultathantering Om idrottsutövare eller andra personer misstänks för en dopningsförseelse kan han eller hon efter ett bestraffningsförfarande bli föremål för konsekvenser. Resultathanteringen är en process för att hantera misstänkta dopningsförseelser. Bestämmelser om resultathantering finns i artiklarna 7, 8, 13 och 14.1-3 i världsantidopningskoden och den internationella standarden för resultathantering (ISRM). Det organ som initierade och styrde provtagningen ska som huvudregel ansvara för resultathanteringen. Om ingen provtagning har skett ska det organ som först underrättar den misstänkte och som avser att följa upp misstanken vara ansvarig (se artikel 7.1 i koden). När det ansvariga organet underrättas om en misstänkt dopningsförseelse ska organet inledningsvis göra utredning för att fastställa om det t.ex. finns en medicinsk dispens eller om det skett någon avvikelse vid provtagningen eller analysen. Organet ska även genom ADAMS samt kontakt med WADA och andra relevanta organ, utreda om det finns någon tidigare dopningsförseelse (se artiklarna 7.2 och 7.3 i koden samt 5.1.1, 5.2 och 5.3.1 i ISRM). Om det ansvariga organet väljer att gå vidare med misstanken ska den misstänkte underrättas om misstanken och informeras om bl.a. möjligheten att inom en viss tid lämna en förklaring. Efter att en förklaring lämnats får organet begära in ytterligare information och dokument från den misstänkte. All kommunikation med den misstänkte ska lämnas till den nationella antidopningsorganisationen, det internationella specialidrottsförbundet och WADA samt rapporteras i ADAMS (se artiklarna 14.1.1-3 i koden samt 5.1.2 och 5.3.2 i ISRM). Det ansvariga organet ska respektive får i vissa fall meddela beslut om interimistisk avstängning, dock under förutsättning att den misstänkte får möjlighet till en förhandling. Beslut som rör interimistisk avstängning ska lämnas till den nationella antidopningsorganisationen, det internationella specialidrottsförbundet och WADA samt rapporteras i ADAMS (se artiklarna 7.4 i koden och 6 i ISRM). När den misstänkte har lämnat en förklaring eller tiden för att lämna en sådan förklaring löpt ut ska det ansvariga organet, om det fortfarande anser att en dopningsförseelse har begåtts, skriftligen meddela den misstänkte att denne anklagas för dopningsförseelse. Meddelandet ska samtidigt skickas till den nationella antidopningsorganisationen, det internationella specialidrottsförbundet och WADA samt rapporteras i ADAMS. Om organet väljer att inte gå vidare med misstanken ska det underrätta den misstänkte och sådana organ som har överklaganderätt (se artiklarna 5.4, 7.1, 7.2 och 7.4 i ISRM). Om den misstänkte erkänner eller ska anses ha erkänt dopningsförseelsen och de föreslagna konsekvenserna ska det ansvariga organet meddela beslut. Om den misstänkte begär en förhandling ska organet anmäla ärendet till en rättvis, opartisk och operationellt självständig panel för prövning. Vissa ärenden kan även prövas direkt av CAS (se artiklarna 8.1, 8.3 och 8.5 i koden samt 7.3, 7.5, 7.6 och 8 i ISRM). Resultathanteringsbeslut får i regel inte begränsas till ett visst geografiskt område eller en viss idrott. Av beslutet ska det framgå bl.a. om en dopningsförseelse har begåtts och grunden för bedömningen samt konsekvenser. Den misstänkte och sådana organ som har överklaganderätt ska underrättas om beslutet. Det ska även rapporteras i ADAMS (se artiklarna 7.5 och 8.4 i koden och 9 i ISRM). Beslut som rör bl.a. dopningsförseelser, konsekvenser och interimistisk avstängning får överklagas. När det gäller ärenden som rör deltagande i internationella evenemang eller idrottsutövare på internationell nivå ska överklagande ske till CAS. I andra fall ska överklagande göras till en överprövande instans i enlighet med regler som har fastställts av den nationella antidopningsorganisationen. Överklagande får göras av bl.a. den som beslutet rör, det internationella specialidrottsförbundet, den nationella antidopningsorganisationen och WADA. Den överprövande instansens beslut får i vissa fall överklagas till CAS (se artikel 13.2 i koden). De organ som mottar information i ett ärende får inte avslöja informationen till andra än dem som behöver veta, t.ex. lämplig personal vid den nationella olympiska kommittén, det nationella specialidrottsförbundet och det eventuella laget, förrän det ansvariga organet har offentligt publicerat uppgifterna. När en underrättelse har lämnats till den misstänkte och berörda organ får det ansvariga organet offentligt publicera den misstänktes identitet, den förbjudna substansen eller metoden, förseelsens art och om den misstänkte är interimistiskt avstängd. Vid fällande beslut ska det ansvariga organet offentligt publicera uppgifter om ärendet, inklusive uppgifter om berörd idrott, vilken regel som har överträtts, namnet på den som har begått dopningsförseelsen, vilken förbjuden substans eller metod som har använts samt vilka konsekvenser som dopningsärendet har föranlett. Publicering behöver dock inte ske om beslutet avser bl.a. en underårig eller en motionsidrottsutövare (se artiklarna 14.1.5 och 14.3 i koden). Utbildning och forskning Signatärerna ska bedriva utbildningsverksamhet för att motverka dopning inom idrotten. Bestämmelser om detta finns i artikel 18 i världsantidopningskoden och den internationella standarden för utbildning. Signatärerna ska ta fram en utbildningsplan och fastställa en utbildningspool, dvs. en lista med målgrupper för utbildningen. Utbildningspoolen ska åtminstone omfatta idrottsutövare som ingår i signatärens registrerade kontrollpool och idrottsutövare som återvänder efter en sanktion. Utbildningsplanen ska på begäran lämnas till WADA och andra signatärer. Signatärerna ska samordna sina utbildningsinsatser. Utbildningsprogrammen ska innehålla vissa utpekade ämnen, t.ex. idrottsutövares rättigheter och skyldigheter enligt världsantidopningskoden. Ämnen och innehåll ska anpassas efter den aktuella målgruppen. Utbildningen kan levereras genom bl.a. fysiska utbildningstillfällen, e-utbildning, broschyrer och hemsidor. Signatärerna ska även samarbeta med varandra för att samordna utbildningsinsatserna. Signatärerna ska årligen utvärdera utbildningsprogrammet och på begäran lämna en utvärderingsrapport till WADA. Enligt artikel 19 i världsantidopningskoden ska signatärerna uppmuntra och främja antidopningsforskning. De ska även vidta alla rimliga åtgärder för att säkerställa att forskningsresultat används för att främja mål som är förenliga med principerna i koden. Forskningsresultaten ska, i den mån det är möjligt med hänsyn till immateriella rättigheter, tillhandahållas WADA och, om det är lämpligt, andra intressenter. 4.4.2 Regelverket för idrotten inom Riksidrottsförbundet I RF:s stadgar, Idrottens antidopingreglemente och Föreskrifter för nationell antidopingverksamhet finns regler om antidopningsverksamheten inom RF, Antidopingstiftelsen och Antidoping Sverige. RF:s stadgar är bindande för förbundets medlemsorganisationer. Antidopningsverksamheten regleras främst i 13 kap. i stadgarna. Enligt 13 kap. 1 § i stadgarna ska RF, Antidopingstiftelsen och Antidoping Sverige gemensamt verka för en dopningsfri idrott. Vidare sägs att den operativa verksamheten leds och koordineras av Antidopingstiftelsen genom Antidoping Sverige, som är svensk idrotts nationella antidopningsorganisation, i enlighet med världsantidopningskoden. Kapitlet innehåller även bestämmelser om bl.a. ansvarsfördelningen mellan Antidoping Sverige och RF samt Dopingnämndens sammansättning. Enligt 13 kap. 2 § i RF:s stadgar är dopning inom idrotten förbjudet i enlighet med Idrottens antidopingreglemente, som är baserat på världsantidopningskoden. Vidare framgår att vid konflikt mellan reglementet och kodens tvingande regler har de sistnämnda företräde. Idrottens antidopingreglemente har samma dignitet som RF:s stadgar och fastställs av RF-stämman och Antidoping Sveriges bolagsstämma. Riksidrottsstyrelsen och Antidoping Sveriges styrelse har dock rätt att mellan respektive stämma besluta om ändring av reglementet efter fastställda ändringar i koden eller om det annars finns särskilda skäl. Sådan ändring ska underställas nästkommande respektive stämma för godkännande. Idrottens antidopingreglemente innehåller främst en översättning av bestämmelserna i världsantidopningskoden. Enligt artikel 1 gäller reglementet för RF och Antidoping Sverige. Det gäller vidare för specialidrottsförbund, deras medlemsföreningar och deras medlemmar. Reglementet gäller även för vissa andra personer som t.ex. deltar i vissa tävlingar. Av artikel 18.4 i reglementet följer även att varje nationellt specialidrottsförbund ska implementera reglementet i sina regler. Antidoping Sverige har även gett ut Föreskrift för medicinsk dispens och Föreskrift för resultathantering som innehåller översättningar av de internationella standarderna för medicinsk dispens respektive resultathantering. RF och Antidoping Sverige har dessutom utfärdat Föreskrifter för nationell antidopingverksamhet. Föreskrifterna utgör ett komplement till Idrottens antidopingreglemente och de internationella standarder som kompletterar världsantidopningskoden. Föreskrifterna innehåller bestämmelser om bl.a. vistelserapportering och offentlig publicering av bestraffningsbeslut. Antidoping Sverige har även utfärdat anvisningar till vägledning för tillämpning av dessa föreskrifter. 5 Dagens regler för behandling av personuppgifter i idrottens antidopningsarbete 5.1 Grundläggande reglering om skydd av den personliga integriteten Enligt 2 kap. 6 § andra stycket regeringsformen är var och en, utöver vad som anges i första stycket i paragrafen, gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Regleringen i 2 kap. 6 § andra stycket gäller för enskilda i förhållande till det allmänna, och skyddar därför inte mot åtgärder som en enskild kan vidta i förhållande till en annan enskild (se vidare avsnitt 6.3). Europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonventionen) gäller som lag i Sverige. Enligt 2 kap. 19 § regeringsformen får förskrifter inte meddelas i strid med Sveriges åtaganden på grund av Europakonventionen. Av artikel 8 i Europakonventionen framgår att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. En offentlig myndighet får inte inskränka åtnjutandet av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till vissa angivna intressen. Artikel 8 innebär primärt en förpliktelse för det allmänna att avhålla sig från ingrepp i den skyddade rättigheten. Enligt Europadomstolens praxis har dock staten även en positiv förpliktelse att vidta rimliga åtgärder för att skydda den enskildes privata sfär i relation till andra enskilda, t.ex. genom lagstiftning. Europeiska unionens (EU) stadga om de grundläggande rättigheterna är rättsligt bindande för EU:s institutioner och medlemsstaterna när de tillämpar unionsrätten. I artikel 7 i stadgan slås fast att var och en har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sin korrespondens. Av artikel 8 i stadgan framgår bl.a. att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. I artikel 52 i stadgan anges att begränsningar av rättigheterna endast får göras om de är nödvändiga och svarar mot ett mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors rättigheter och friheter. 5.2 Dataskyddsförordningen och dataskyddslagen Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (dataskyddsförordningen) är tillämplig i medlemsstaterna sedan den 25 maj 2018. Förordningen ersätter 1995 års dataskyddsdirektiv och baseras till stor del på regleringen i det direktivet, men innebär även en rad förändringar. Dataskyddsförordningen utgör den generella regleringen av behandling av personuppgifter inom EU. Den gäller också inom EES, dvs. i Island, Liechtenstein och Norge. Förordningen är tillämplig på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. Från förordningens tillämpningsområde undantas bl.a. behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten och personuppgiftsbehandling av privat natur. I förordningen regleras bl.a. grundläggande principer för behandling av personuppgifter, den registrerades rättigheter, personuppgiftsansvar, överföring av personuppgifter till tredjeländer, tillsyn över personuppgiftsbehandling och rätten för enskilda att få tillgång till rättsmedel. Artikel 29-arbetsgruppen för skydd av personuppgifter var en oberoende europeisk arbetsgrupp som behandlade frågor om integritetsskydd och skydd av personuppgifter. Arbetsgruppen utfärdade bl.a. riktlinjer för hur det tidigare dataskyddsdirektivet skulle tolkas. Artikel 29-gruppen ersattes den 25 maj 2018 av Europeiska dataskyddsstyrelsen, som är ett EU-organ som ansvarar för tillämpningen av dataskyddsförordningen. Europeiska dataskyddsstyrelsen har bl.a. till uppgift att se till att dataskyddslagstiftningen tillämpas konsekvent i hela EU. Den utfärdar också riktlinjer och rekommendationer i olika dataskyddsfrågor samt har godkänt riktlinjer som utfärdats av Artikel 29-gruppen. Dataskyddsförordningen är direkt tillämplig i alla EU:s medlemsstater men förutsätter och möjliggör samtidigt kompletterande bestämmelser i nationell rätt. I lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) finns sådana bestämmelser som kompletterar dataskyddsförordningen på ett generellt plan. Lagen reglerar bl.a. frågor om rättslig grund för behandling av personuppgifter, behandling av känsliga personuppgifter, begränsningar av den registrerades rättigheter, tillsynsmyndighetens handläggning och beslut samt skadestånd och överklagande. Dataskyddslagen kompletteras av förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning. Dataskyddslagen är subsidiär i förhållande till annan lag eller förordning, vilket möjliggör avvikande bestämmelser i andra s.k. registerförfattningar. Ett exempel på en sådan registerförfattning är patientdatalagen (2008:355). 5.3 Idrottens interna regelverk Världsantidopningsbyrån (WADA) har i enlighet med världsantidopningskoden utfärdat en internationell standard för skydd av privatlivet och personuppgifter. En reviderad version av standarden trädde i kraft den 1 januari 2021. Syftet med standarden är att säkerställa ett lämpligt, tillräckligt och effektivt skydd för den personliga integriteten vid utförandet av antidopningsarbetet enligt världsantidopningskoden. Standarden innehåller bestämmelser om bl.a. den enskildes rättigheter vid behandling av personuppgifter, säkerhetsåtgärder vid behandling och längsta tid för behandling. Standarden är tvingande så länge den inte bryter mot tillämplig lag. För svensk idrotts del följer av artikel 14.6 i Idrottens antidopingreglemente att Antidoping Sverige AB (Antidoping Sverige) får samla in, förvara, behandla och offentliggöra personuppgifter med anknytning till idrottsutövare och andra personer när det är nödvändigt och lämpligt för att utföra antidopningsaktiviteter enligt världsantidopningskoden, dess internationella standarder, aktuellt reglemente och i enlighet med tillämplig lag. Det framgår också att Antidoping Sverige ska behandla personlig information i enlighet med en giltig rättslig grund samt säkerställa att tredje part som får del av personlig information är föremål för tekniska och avtalsenliga kontroller för att skydda sådan informations sekretess och integritet. Antidoping Sverige har 2021 antagit en integritetspolicy för behandling av personuppgifter. I policyn anges att behandling av personuppgifter för att efterleva världsantidopningskoden och de internationella standarderna, t.ex. genom att genomföra dopningskontroller, ålägga idrottsutövare att vistelserapportera och hantera ansökningar om medicinsk dispens, sker med stöd av den lagliga grunden samtycke. Vidare anges att behandling för att genomdriva idrottens sanktionssystem stöds på den rättsliga grunden fullgörande av avtal. Även Sveriges Riksidrottsförbund (RF) har 2018 antagit en integritetspolicy för behandling av personuppgifter. Av policyn framgår att behandling för att genomdriva idrottens sanktionssystem, t.ex. Dopingnämnden och Riksidrottsnämnden, stöds på den rättsliga grunden fullgörande av avtal. Vidare upprättade RF 2018 en uppförandekod för behandling av personuppgifter inom idrottsrörelsen. Uppförandekoden gäller för RF samt de föreningar och förbund som är anknutna till RF som ett komplement till dataskyddsförordningen och dataskyddslagen. I uppförandekoden anges att behandling av personuppgifter inom ramen för RF:s och medlemmarnas antidopningsarbete kan stödjas på de lagliga grunderna uppgift av allmänt intresse och rättslig förpliktelse. Det framgår vidare att den behandling av känsliga personuppgifter som utförs inom ramen för antidopningsarbetet är en uppgift av sådant viktigt allmänt intresse som utgör ett giltigt undantag från förbudet mot att behandla känsliga personuppgifter. RF har dock inte uppdaterat uppförandekoden efter omorganisationen av antidopningsarbetet men en översyn pågår. 6 En ny lag om behandling av personuppgifter i idrottens antidopningsarbete införs 6.1 Rättslig grund för behandling av personuppgifter Regeringens bedömning: Behandling av personuppgifter i idrottens antidopningsarbete bör kunna stödjas på den rättsliga grunden att personuppgiftsbehandlingen är nödvändig för att utföra en uppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. Det bör dock införas en nationell reglering för att den rättsliga grunden ska kunna användas. Utredningens bedömning stämmer överens med regeringens. Remissinstanserna: Ingen remissinstans invänder mot bedömningen. Integritetsskyddsmyndigheten (tidigare Datainspektionen) delar i och för sig bedömningen. Myndigheten anser dock att uppgiften att bedriva antidopningsarbete inom idrotten inte har fastställts genom utredningens lagförslag, och att den rättsliga grunden uppgift av allmänt intresse därför inte kan användas, se vidare avsnitt 7.2 och 8.2.1. Världsantidopningsbyrån (WADA) förutsätter att behandling av personuppgifter kan ske även med stöd av andra rättsliga grunder än uppgift av allmänt intresse, t.ex. samtycke i vissa fall. Skälen för regeringens bedömning Antidopningsarbetet inom idrotten förutsätter att personuppgifter kan behandlas. För att behandling av personuppgifter ska vara laglig krävs att det finns en rättslig grund för behandlingen i dataskyddsförordningen. I artikel 6.1 a-f finns en uttömmande uppräkning av de rättsliga grunderna. Om inget av dessa villkor är uppfyllda är behandlingen inte laglig och får därmed inte utföras. De rättsliga grunder som kan övervägas beträffande idrottens antidopningsarbete är att - den registrerade har lämnat sitt samtycke till behandlingen (punkt a), - behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part (punkt b), - behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (punkt c), - behandlingen är nödvändig för att utföra en uppgift som är av allmänt intresse (punkt e), och - behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, dock förutsatt att den registrerades intressen eller fri- och rättigheter inte väger tyngre (punkt f). Samtycke, avtal, rättslig förpliktelse eller intresseavvägning som rättslig grund I dag förekommer det att personuppgifter behandlas i idrottens antidopningsarbete med stöd av samtycke (artikel 6.1 a). Med samtycke avses enligt artikel 4.11 i dataskyddsförordningen varje slag av frivillig, specifik, informerad och otvetydig viljeyttring genom vilken den registrerade godtar personuppgiftsbehandling som rör honom eller henne. I skäl 42 till förordningen anges att ett samtycke inte bör betraktas som frivilligt om den registrerade inte har någon genuin eller fri valmöjlighet eller inte utan problem kan vägra eller ta tillbaka sitt samtycke. Av skäl 43 framgår att samtycke inte bör utgöra giltig rättslig grund i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige. Den registrerade ska enligt artikel 7.3 i dataskyddsförordningen även ha rätt att när som helst återkalla sitt samtycke. Europeiska dataskyddsstyrelsen har antagit riktlinjer avseende samtycke enligt dataskyddsförordningen. I dessa riktlinjer anges bl.a. att samtycke generellt sett endast är en lämplig rättslig grund om den registrerade erbjuds kontroll och får en genuin valmöjlighet att godta eller vägra godta de villkor som erbjuds eller att vägra godta dem utan problem (se Riktlinjer 05/2020 om samtycke enligt förordning (EU) 2016/679, s. 5). Artikel 29-gruppen har i två yttranden uttalat sig angående förhållandet mellan antidopningsarbetet enligt världsantidopningskoden och det tidigare gällande dataskyddsdirektivet. I dessa yttranden uttalas att idrottsutövares samtycke till personuppgiftsbehandlingen inte kan anses vara frivilligt (se Opinion 3/2008 on the World Anti-Doping Code Draft International Standard for the Protection of Privacy, WP156, s. 5, och Second opinion 4/2009 on the World Anti-Doping Agency [WADA] International Standard for the Protection of Privacy and Personal Information, on related provisions of the WADA Code and on other privacy issues in the context of the fight against doping in sport by WADA and [national] anti-doping organizations, WP162, s. 11 f.). I den av Europeiska kommissionen utgivna utvärderingen av antidopningsarbetet i medlemsstaterna anges också att behandling av personuppgifter i idrottens antidopningsarbete vanligtvis inte kan stödjas på den rättsliga grunden om samtycke (se Anti-Doping & Data Protection, An evaluation of the anti-doping laws and practices in the EU Member States in light of the General Data Protection Regulation, 2017, s. 83). Idrottsutövare som är anknutna till Sveriges Riksidrottsförbund (RF) omfattas av idrottens interna regelverk för antidopningsarbetet. Som utredningen konstaterar saknar idrottsutövare i Sverige i många fall alternativ till idrottande inom RF. Det kan därmed ifrågasättas om det finns en genuin och fri möjlighet att neka samtycke till behandling av personuppgifter i antidopningsarbetet utan att drabbas av negativa konsekvenser. Vidare kan en vägran att samtycka till dopningskontroll i sig innebära en dopningsförseelse enligt världsantidopningskoden och Idrottens antidopingreglemente (se artikel 2.3 i respektive regelverk). Slutligen behandlas personuppgifter i idrottens antidopningsarbete även om ett samtycke återkallas efter en utförd dopningskontroll. Det är därmed tveksamt om behandling av personuppgifter i idrottens antidopningsarbete kan stödjas på den rättsliga grunden samtycke. Med det sagt kan det inte uteslutas att behandling i något fall kan stödjas på ett samtycke som uppfyller kraven enligt dataskyddsförordningen. Exempelvis förutsätter forskning på prover och data från dopningskontroller uttryckligen idrottsutövarens samtycke (se artikel 6.3 i världsantidopningskoden respektive Idrottens antidopingreglemente). När det gäller den rättsliga grunden som tar sikte på att behandlingen är nödvändig för att fullgöra ett avtal (artikel 6.1 b) gör sig liknande problem gällande som beträffande samtycke. Det är tveksamt om behandling av personuppgifter i idrottens antidopningsarbete kan stödjas på den rättsliga grunden att behandlingen är nödvändig för uppfyllande av t.ex. ett avtal om medlemskap i en idrottsförening (jfr Anti-Doping & Data Protection, An evaluation of the anti-doping laws and practices in the EU Member States in light of the General Data Protection Regulation, 2017, s. 83 f.). Vidare kan det finnas skäl att behandla personuppgifter i idrottens antidopningsarbete även efter att ett avtal om medlemskap upphört. Det är därmed tveksamt om behandling av personuppgifter i idrottens antidopningsarbete kan stödjas på den rättsliga grunden avtal. Den rättsliga grunden rättslig förpliktelse (artikel 6.1 c) kan inte användas för behandling av personuppgifter i idrottens antidopningsarbete. Det saknas nämligen författningsreglering i Sverige som anger att Antidoping Sverige AB (Antidoping Sverige) eller någon annan aktör ska utföra ett antidopningsarbete inom idrotten och frågan om att införa en sådan reglering ligger utanför detta lagstiftningsarbete. Det är även tveksamt om behandling av personuppgifter i antidopningsarbetet kan stödjas på den rättsliga grunden intresseavvägning (artikel 6.1 f). Som utredningen påpekar väger den enskildes intressen och grundläggande friheter tungt i sammanhanget. Den rättsliga grund som därmed återstår är uppgift av allmänt intresse (artikel 6.1 e). Uppgift av allmänt intresse som rättslig grund Antidopningsarbetet inom idrotten syftar till att tillgodose intresset av en dopningsfri idrott, vilket i sin tur innefattar intressen av att främja god hälsa för idrottsutövare och rättvisa inom idrotten, s.k. fair play. Detta anges också i 13 kap. 2 § första stycket i RF:s stadgar. Personuppgifter får behandlas om det är nödvändigt för att utföra en arbetsuppgift av allmänt intresse (artikel 6.1 e). Den som utför uppgiften måste dock inte vara skyldig att göra det. Uppgiften kan utföras av såväl offentliga som privata aktörer. Begreppet allmänt intresse är ett unionsrättsligt begrepp som inte har definierats i dataskyddsförordningen eller det tidigare gällande dataskyddsdirektivet. Innebörden har inte heller utvecklats av EU-domstolen. Av skäl 45 till dataskyddsförordningen följer att allmänintresset innefattar bl.a. hälso- och sjukvårdsändamål. I skäl 112 anges internationella utbyten av uppgifter för att minska och/eller undanröja dopning inom idrott som exempel på ett viktigt allmänintresse. I förarbetena till dataskyddslagen uttalas att rent språkligt kan en uppgift av allmänt intresse antas avse något som är av intresse för eller berör många människor på ett bredare plan, i motsats till ett särintresse (se prop. 2017/18:105 s. 55). Antidopningsarbetet inom idrotten i Sverige berör hela den RF-anknutna idrotten, dvs. cirka tre miljoner idrottsutövare samt tränare, ledare, funktionärer och läkare. Som utredningen konstaterar kan arbetet även vara av intresse utanför idrotten, t.ex. för åskådare. Arbetet berör således många människor i Sverige. Sverige har, inom ramen för det folkhälsopolitiska målområdet Levnadsvanor, ett folkhälsopolitiskt mål om ett samhälle fritt från narkotika och dopning. Vidare beslutade regeringen i mars 2021 en proposition om en förnyad strategi för politiken avseende alkohol, narkotika, dopning, tobak och nikotin samt spel om pengar 2021-2025 (den s.k. ANDTS-politiken) (se prop. 2020/21:132). Riksdagen avslog dock regeringens förslag och tillkännagav för regeringen vad utskottet anför om ett förslag till en ny ANDTS-strategi. Utskottet anförde bl.a. att regeringen bör återkomma med ett förslag till en reviderad och förbättrad ANDTS-strategi som tydliggör de olika insatser som måste vidareutvecklas och genomföras samt var ansvaret för insatserna ska ligga (se bet. 2020/21:SoU25, rskr. 2020/21:375). I såväl Sverige som internationellt finns det en konsensus om att motverka dopning inom idrotten. Sverige har, i likhet med ett stort antal andra länder, anslutit sig till Europarådets konvention mot dopning och Unescos konvention mot dopning inom idrotten. Sverige har därmed tagit på sig att genomföra de insatser mot dopning inom idrotten som följer av konventionerna. Som en del i efterlevnaden av konventionerna ger staten varje år ett betydande bidrag till antidopningsarbetet inom idrotten. För budgetåret 2021 uppgår bidraget till 44 miljoner kronor och lämnas främst till Antidopingstiftelsen. Europadomstolen har i en dom från 2018 funnit att kravet på vistelserapportering för vissa idrottsutövare enligt fransk lag, som implementerade världsantidopningskoden, inte innebär en kränkning av rätten till privatliv i artikel 8 i Europakonventionen. Domstolen fann visserligen att vistelserapporteringen inskränker idrottsutövarnas rätt till privatliv, men att inskränkningen är nödvändig i ett demokratiskt samhälle med hänsyn till intresset av hälsa och rättvisa inom idrotten samt är proportionerlig (se målen 48151/11 och 77769/13, Fédération Nationale des Associations et Syndicats de Sportifs (FNASS) m.fl. mot Frankrike). I den av Europeiska kommissionen utgivna utvärderingen av antidopningsarbetet i medlemsstaterna rekommenderas att någon av de rättsliga grunderna rättslig förpliktelse eller uppgift av allmänt intresse används. Vidare rekommenderas att medlemsstaterna i lag eller förarbeten formulerar vilket allmänt intresse som står på spel och vilken behandling som är nödvändig i ljuset av det allmänna intresset (se s. 86 och 114). Mot denna bakgrund, och särskilt med beaktande av skäl 112 i dataskyddsförordningen, ansluter sig regeringen till utredningens bedömning att antidopningsarbete inom idrotten är en uppgift av allmänt intresse. Behandling av personuppgifter i idrottens antidopningsarbete kan därför stödjas på den rättsliga grunden uppgift av allmänt intresse. Det behövs en nationell författningsreglering för att den rättsliga grunden ska kunna användas Det är dock inte tillräckligt att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Enligt artikel 6.3 i dataskyddsförordningen ska grunden för behandlingen även fastställas i unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Detta krav förtydligas i 2 kap. 2 § dataskyddslagen som anger att personuppgifter får behandlas med stöd av artikel 6.1 e i dataskyddsförordningen om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Det som måste ha stöd i rättsordningen är uppgiften av allmänt intresse. Av skäl 41 till dataskyddsförordningen framgår att den rättsliga grunden bör vara tydlig och precis och dess tillämpning bör vara förutsebar för dem som omfattas av den, i enlighet med rättspraxis vid EU-domstolen och Europadomstolen. I förarbetena till dataskyddslagen uttalas att graden av tydlighet och precision måste bedömas från fall till fall utifrån behandlingens och verksamhetens karaktär. En behandling av personuppgifter som inte utgör någon egentlig kränkning av den personliga integriteten kan ske med stöd av en rättslig grund som är allmänt hållen, medan ett mer kännbart intrång kräver att den rättsliga grunden är mer preciserad och därmed gör intrånget förutsebart (se prop. 2017/18:105 s. 51). Det finns alltså inget krav på att själva personuppgiftsbehandlingen behöver regleras i unionsrätten eller nationell rätt. Enligt artikel 6.2 i dataskyddsförordningen får dock medlemsstaterna införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen med hänsyn till behandling för att efterleva artikel 6.1 e. Det får ske genom att fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling. Vidare framgår av artikel 6.3 i förordningen att den rättsliga grunden för behandling som sker med stöd av artikel 6.1 e kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen; bl.a. allmänna villkor för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, vilka enheter som personuppgifterna får lämnas ut till och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling. Unionsrätten eller den nationella rätten ska enligt artikel 6.3 i dataskyddsförordningen uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Det återspeglar det krav som Europakonventionen ställer på lagstiftaren i en rättsstat. Arbetsuppgifterna inom idrottens antidopningsarbete i Sverige framgår av den svenska idrottens interna regelverk. Uppgifterna följer dock inte av unionsrätten. De framgår inte heller av någon svensk författning eller något beslut som meddelats med stöd av en sådan författning. Uppgiften att utföra antidopningsarbete inom idrotten behöver därför fastställas i författning för att behandlingen av personuppgifter i arbetet ska kunna stödjas på den rättsliga grunden uppgift av allmänt intresse. 6.2 Undantag för att behandla känsliga personuppgifter Regeringens bedömning: Behandling av känsliga personuppgifter i idrottens antidopningsarbete bör kunna stödjas på undantaget för ett viktigt allmänt intresse i artikel 9.2 g i dataskyddsförordningen. För att undantaget ska kunna användas bör det dock införas en nationell reglering som säkerställer den registrerades grundläggande intressen i antidopningsarbetet. Utredningens bedömning stämmer överens med regeringens. Remissinstanserna: Ingen remissinstans invänder mot bedömningen. Integritetsskyddsmyndigheten delar i och för sig bedömningen. Enligt myndigheten har dock uppgiften att bedriva antidopningsarbete inom idrotten inte fastställts genom utredningens lagförslag. Den föreslagna lagen ger därmed enligt myndigheten inte undantag för att behandla känsliga personuppgifter i arbetet, se vidare avsnitt 7.2 och 8.2.1. Skälen för regeringens bedömning I antidopningsarbetet inom idrotten behandlas en del känsliga personuppgifter, framför allt uppgifter om hälsa, vid t.ex. dispenshandläggning, dopningskontroller och resultathanering. Enligt artikel 9.1 i dataskyddsförordningen är behandling av vissa särskilda kategorier av personuppgifter, s.k. känsliga personuppgifter, i princip förbjuden. I artikel 9.2 i förordningen finns dock vissa undantag från förbudet att behandla känsliga personuppgifter. De undantag som främst är av intresse för idrottens antidopningsarbete är att - den registrerade har uttryckligen lämnat sitt samtycke till behandlingen (9.2 a), - behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse (9.2 g), och - behandlingen är nödvändig av skäl som hör samman med förebyggande hälso- och sjukvård och yrkesmedicin, bedömningen av en arbetstagares arbetskapacitet, medicinska diagnoser, tillhandahållande av hälso- och sjukvård och behandling eller social omsorg (9.2 h). Undantag för behandling av känsliga personuppgifter Som har utvecklats i avsnitt 6.1 är det tveksamt om personuppgiftsbehandling i idrottens antidopningsarbete kan stödjas på den rättsliga grunden samtycke, annat än i vissa specifika fall. I linje med detta bedömer regeringen att det även är tveksamt om känsliga personuppgifter kan behandlas med tillämpning av undantaget för samtycke (artikel 9.2 a). När det gäller undantaget avseende behandling av personuppgifter inom hälso- och sjukvård och social omsorg (artikel 9.2 h) är det, som utredningen konstaterar, troligen endast tillämpligt avseende idrottsutövare som är anställda av en idrottsorganisation. I den av Europeiska kommissionen utgivna utvärderingen nämns som exempel att en idrottsläkare testar en idrottsutövare som är anställd av en idrottsorganisation (se Anti-Doping & Data Protection, An evaluation of the anti-doping laws and practices in the EU Member States in light of the General Data Protection Regulation, 2017, s. 90). Då endast ett begränsat antal idrottsutövare utövar sin idrott som anställda kan undantaget inte användas för antidopningsarbetet generellt. Därmed återstår undantaget som tar sikte på att behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse (artikel 9.2 g). Som har framgått bedömer regeringen att intresset av en dopningsfri idrott är ett allmänt intresse (se avsnitt 6.1). Av samma skäl bör intresset av en dopningsfri idrott vara ett viktigt allmänt intresse. I detta sammanhang bör det särskilt framhållas att det framgår av skäl 112 till dataskyddsförordningen att utbyten av uppgifter för att undanröja dopning inom idrotten är ett viktigt allmänintresse. Regeringen delar alltså utredningens bedömning att behandling av känsliga personuppgifter i idrottens antidopningsarbete kan stödjas på undantaget att behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse. Det behövs en nationell reglering för att undantaget ska kunna användas Det räcker inte med att en behandling av känsliga personuppgifter är nödvändig med hänsyn till ett viktigt allmänt intresse för att undantaget i artikel 9.2 g i dataskyddsförordningen ska kunna användas. Av artikel 9.2 g framgår nämligen att behandlingen även ska ske på grundval av unionsrätten eller medlemsstaternas nationella rätt, som ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd samt innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Kravet på att behandlingen ska ske på grundval av unionsrätten eller den nationella rätten, som ska stå i proportion till det eftersträvade syftet, innebär att den rättsliga grunden för behandlingen typiskt sett kommer att vara någon av rättslig förpliktelse (artikel 6.1 c), uppgift av allmänt intresse eller myndighetsutövning (artikel 6.1 e) som har stöd i rättsordningen (se prop. 2017/18:105 s. 84). Det krävs alltså inte att själva behandlingen av känsliga personuppgifter har rättsligt stöd. När det gäller kravet på att det rättsliga stödet måste vara förenligt med det väsentliga innehållet i rätten till dataskydd är det svårt att föreställa sig en rättslig grund för behandling av personuppgifter som uppfyller kraven i artikel 6 men inte är förenlig med det väsentliga innehållet i rätten till dataskydd. Det kan därför ifrågasättas om detta krav går utöver kraven enligt artikel 6 som måste vara uppfyllda vid all behandling av personuppgifter i allmänt intresse (se prop. 2017/18:105 s. 84). Däremot tillkommer kravet på att gällande rätt ska innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande intressen och rättigheter. Som tidigare har nämnts saknas i dag en nationell reglering avseende idrottens antidopningsarbete. För att behandling av känsliga personuppgifter ska kunna stödjas på undantaget om ett viktigt allmänt intresse i artikel 9.2 g krävs därmed att sådan reglering införs. Regleringen måste också innehålla lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. 6.3 En ny lag om behandling av personuppgifter i idrottens antidopningsarbete Regeringens förslag: En ny lag med bestämmelser om behandling av personuppgifter i idrottens antidopningsarbete ska införas. Lagens namn ska vara lagen om behandling av personuppgifter i idrottens antidopningsarbete. Utredningens förslag stämmer i huvudsak överens med regeringens. Utredningen föreslår dock att lagens namn ska vara lagen om dataskydd i idrottens antidopningsarbete. Remissinstanserna: Ingen remissinstans invänder mot förslaget. Integritetsskyddsmyndigheten välkomnar förslaget och framhåller att lagform krävs enligt 2 kap. 6 § andra stycket regeringsformen. Skälen för regeringens förslag: För att behandling av personuppgifter i idrottens antidopningsarbete ska kunna stödjas på den rättsliga grunden att den är nödvändig för att utföra en uppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen måste grunden för behandlingen, dvs. uppgiften att utföra antidopningsarbete inom idrotten, fastställas i en nationell författning. En sådan reglering får, som framgår av artiklarna 6.2 och 6.3 i dataskyddsförordningen, även innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen. Denna typ av mer specifika nationella bestämmelser förekommer ofta i svenska registerförfattningar. För att känsliga personuppgifter ska kunna behandlas i idrottens antidopningsarbete med stöd av undantaget om viktigt allmänt intresse enligt artikel 9.2 g i dataskyddsförordningen krävs också att författningen innehåller bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Det saknas en lämplig författning där dessa bestämmelser kan föras in. Det bör därför införas en särskild författning som reglerar personuppgiftsbehandlingen i idrottens antidopningsarbete. När det gäller frågan om lämplig normgivningsnivå kan konstateras att det av 2 kap. 6 § andra stycket regeringsformen framgår att enskilda gentemot det allmänna är skyddade mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av personliga förhållanden. Inskränkningar i detta skydd kan enligt 2 kap. 20 och 21 §§ regeringsformen endast göras genom lag och bara för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. Bestämmelsen i 2 kap. 6 § andra stycket regeringsformen är avsedd att endast omfatta vissa kvalificerade intrång i den personliga integriteten. Vid bedömningen av vad som kan anses utgöra ett betydande intrång ska uppgifternas karaktär och omfattning, ändamålet med behandlingen och omfattningen av utlämnandet av uppgifter till andra beaktas (se prop. 2009/10:80 s. 184). Antidopningsarbetet inom idrotten förutsätter att personuppgifter kan behandlas i en betydande omfattning. Arbetet kan, som utredningen konstaterar, innebära övervakning och kartläggning av idrottsutövares personliga förhållanden samt ett betydande intrång i den personliga integriteten. Det gäller inte minst i fråga om arbete kopplat till oannonserade dopningskontroller, vistelserapportering och underrättelseverksamhet. Grundlagsskyddet i 2 kap. 6 § andra stycket regeringsformen träffar dock endast åtgärder som det allmänna vidtar mot enskilda. Med det allmänna avses riksdag, regering, kommuner, domstolar och andra myndigheter, men ibland också privaträttsliga organ eller företag som har anförtrotts myndighetsutövning. I Sverige utförs antidopningsarbetet inom idrotten huvudsakligen av privaträttsliga subjekt, framför allt Antidoping Sverige. När det gäller antidopningsarbetet har inte några förvaltningsuppgifter innefattande myndighetsutövning överlämnats till dessa subjekt. Den föreslagna författningen omfattar alltså inte behandling av personuppgifter som utförs av det allmänna (se avsnitt 7.3.1). Grundlagsskyddet i 2 kap. 6 § andra stycket regeringsformen är därmed inte tillämpligt för enskilda vid den behandling av personuppgifter i idrottens antidopningsarbete som omfattas av lagen. Av 8 kap. 2 § första stycket 2 regeringsformen framgår att föreskrifter ska meddelas genom lag om de avser förhållandet mellan enskilda och det allmänna under förutsättning att föreskrifterna gäller skyldigheter för enskilda eller i övrigt avser ingrepp i enskildas personliga eller ekonomiska förhållanden. Den föreslagna författningen kan, i likhet med dataskyddslagen, anses vara av offentligrättslig karaktär och innehålla betungande föreskrifter för de enskilda personuppgiftsansvariga och personuppgiftsbiträden som träffas av den (jfr prop. 2017/18:105 s. 26). Författningen ska därför enligt 8 kap. 2 § första stycket 2 regeringsformen ha lagform. Lagens namn bör, i linje med hur liknande registerlagar brukar benämnas, vara lagen om behandling av personuppgifter i idrottens antidopningsarbete, i stället för lagen om dataskydd i idrottens antidopningsarbete. 7 Allmänna bestämmelser 7.1 Syftet med lagen Regeringens förslag: Syftet med lagen ska vara att ge möjlighet att behandla personuppgifter inom idrottens antidopningsarbete på ett ändamålsenligt sätt samt att skydda människor mot att deras personliga integritet kränks vid sådan behandling. Utredningens förslag överensstämmer med regeringens i sak. Remissinstanserna: Ingen remissinstans har yttrat sig särskilt i denna del. Skälen för regeringens förslag: Som utredningen konstaterar bör syftet med lagen vara tudelat. Den bör syfta till att dels ge möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i idrottens antidopningsarbete, dels tillförsäkra de personer som berörs av behandlingen ett gott skydd för sina personuppgifter. Vissa registerförfattningar inleds med en allmän bestämmelse om syftet med lagstiftningen. Syftet anges i regel, och i linje med utredningens förslag, vara att möjliggöra viss personuppgiftsbehandling och samtidigt skydda människors personliga integritet. En sådan bestämmelse har ett symboliskt och informativt värde, men kan även få relevans i rättstillämpningen genom att den ger vägledning för tolkningen av de materiella bestämmelserna i lagen. Regeringen instämmer därför i utredningens förslag att lagen ska innehålla en syftesbestämmelse som uttrycker regleringens dubbla syften. Vi har dock valt en något annan språklig formulering av bestämmelsen än utredningen. 7.2 Definitionen av idrottens antidopningsarbete Regeringens förslag: Med idrottens antidopningsarbete ska i lagen avses sådant arbete som utförs på grund av världsantidopningskoden eller tillhörande internationella standarder. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Ingen instans, utom Integritetsskyddsmyndigheten, har någon invändning mot förslaget. Myndigheten anser att lagförslaget som sådant är för oprecist för att ge rättsligt stöd för den integritetskänsliga behandling av personuppgifter som det avser. Myndigheten pekar i detta sammanhang särskilt på att definitionen av idrottens antidopningsarbete är knuten till världsantidopningskoden med tillhörande internationella standarder. Enligt myndigheten bör en eventuell hänvisning till koden och standarderna avse en specifik lydelse av dem, som noggrant har gåtts igenom i förhållande till dataskyddsförordningen. Vidare anser myndigheten att begreppet "på grund av" måste förtydligas. Världsantidopningsbyrån (WADA) framhåller att det bör framgå av lagen att antidopningsarbetet inom idrotten är av allmänt intresse. Skälen för regeringens förslag: Som framgår av avsnitt 6.1 kan behandling av personuppgifter i idrottens antidopningsarbete stödjas på den rättsliga grunden att den är nödvändig för att utföra en uppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. Den rättsliga grunden för behandlingen, dvs. uppgiften att utföra antidopningsarbete inom idrotten, måste dock fastställas i den lag som föreslås införas (se artikel 6.3 i dataskyddsförordningen). Den rättsliga grunden för behandlingen bör vara tydlig och precis och dess tillämpning bör vara förutsebar för de personer som omfattas av den (se skäl 41 till dataskyddsförordningen). Vidare ska den nationella rätten uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas (se artikel 6.3 i dataskyddsförordningen). Ett led i att fastställa uppgiften att utföra antidopningsarbete inom idrotten är att definiera vad som avses med idrottens antidopningsarbete. Sverige har genom att ansluta sig till Europarådets konvention mot dopning och dess tilläggsprotokoll samt Unescos konvention mot dopning inom idrotten tagit på sig ett ansvar för att bekämpa dopning inom idrotten. Genom att ansluta sig till den sistnämnda konventionen har Sverige också lämnat sitt godkännande till det antidopningsarbete som utförs enligt världsantidopningskoden. Vidare har Sverige förbundit sig till principerna i koden. Världsantidopningskoden och de tillhörande internationella standarderna är det regelverk som stora delar av den organiserade idrotten, i såväl Sverige som internationellt, ska rätta sig efter. En signatär som inte följer koden riskerar att åläggas konsekvenser, i vissa fall kan t.o.m. det aktuella landet förlora rätten att anordna internationella idrottsevenemang eller landets idrottsutövare uteslutas från att delta i sådana evenemang. Regeringen vill inte i onödan försvåra det angelägna antidopningsarbete som utförs inom idrotten och som alltså har stöd i de internationella konventioner som Sverige har anslutit sig till. Lagen om behandling av personuppgifter i idrottens antidopningsarbete bör därför, så långt som det är möjligt, tillgodose att personuppgifter kan behandlas för att utföra sådant antidopningsarbete som följer av världsantidopningskoden och de tillhörande internationella standarderna. Regeringen ansluter sig därför till utredningens slutsats att lagen ska vara tillämplig för behandling av personuppgifter i sådant antidopningsarbete som utförs i Sverige på grund av koden eller dess standarder. Med sådant arbete som utförs på grund av världsantidopningskoden och de internationella standarderna avses sådant arbete som utförs av signatärer i enlighet med koden och standarderna. Signatärerna av världsantidopningskoden är skyldiga att följa bestämmelserna i koden och de internationella standarderna. De ska t.ex. hantera frågor om medicinsk dispens, vistelserapportering, dopningskontroller, resultathantering och underrättelseverksamhet i enlighet med regelverket. Signatärerna ska också anta egna regler om antidopning inom sitt respektive ansvarsområde (se artikel 23.2 i koden). De ska genomföra vissa bestämmelser i koden utan substantiella ändringar, medan andra bestämmelser medger viss flexibilitet vid implementeringen eller inte behöver upprepas i de egna reglerna (se artikel 23.2.2 och s. 16 i koden). Vidare kan sådant arbete som utförs på grund av världsantidopningskoden och standarderna omfatta arbete som utförs av andra aktörer än signatärer av koden. Signatärerna ska enligt koden anta regler som ålägger deras medlemsorganisationer och vissa andra idrottsorgan att följa, implementera och verkställa koden. Dessutom ska signatärerna vidta åtgärder mot en organisation som inte uppfyller sina åligganden (se artikel 12 i koden). Signatärernas medlemsorganisationer kan därför indirekt vara skyldiga att utföra antidopningsarbete i enlighet med koden och standarderna. Signatärerna får dessutom delegera vissa av sina uppgifter i antidopningsarbetet till t.ex. serviceföretag (se artikel 20 i koden). Serviceföretag kan därför genom avtal med en signatär indirekt vara skyldiga att utföra antidopningsarbete i enlighet med koden och standarderna. I avsnitt 4.4.1 finns en närmare redogörelse för innehållet i världsantidopningskoden och de internationella standarderna. Då det är fråga om ett relativt omfattande regelverk är det dock inte lämpligt att inom ramen för detta lagstiftningsarbete i varje detalj redogöra för innehållet. Det kan antas att de aktörer som är mest berörda av idrottens antidopningsarbete, bl.a. idrottsutövare som tävlar på högre nivåer, i regel har god kännedom om innebörden av regelverket. Vid dessa förhållanden är det enligt regeringen tillräckligt tydligt och förutsebart vad som avses med antidopningsarbete som utförs på grund av koden och standarderna. Som Integritetsskyddsmyndigheten lyfter i sitt remissvar kan världsantidopningskoden och de internationella standarderna ändras utan den svenska lagstiftarens inblandning. Myndigheten anser därför att lagen ska hänvisa till en specifik lydelse av regelverket. En sådan hänvisning skulle dock innebära att lagen måste ändras varje gång koden eller någon av de internationella standarderna ändras. Koden ändras vanligtvis inte särskilt ofta, i regel cirka vart sjätte år. Den internationella standarden som avser dopningslistan uppdateras däremot åtminstone årligen. Det är därför en betydligt mer praktisk ordning att lagen i stället ändras när kommande ändringar i koden eller de internationella standarderna motiverar det. Vanligtvis aviseras ändringar med god framförhållning. Som exempel antogs den nuvarande koden i november 2019 och började gälla i januari 2021. En revidering av koden föregås av ett remissförfarande varvid signatärer och andra aktörer får möjlighet att lämna synpunkter på förslaget. Regeringen anser därför i likhet med utredningen att lagens hänvisning till regelverket ska vara dynamisk och alltså avse koden och de internationella standarderna i den vid varje tidpunkt gällande lydelsen. Integritetsskyddsmyndigheten understryker vidare att världsantidopningskoden och de internationella standarderna måste gås igenom noggrant i förhållande till dataskyddsförordningen. Den föreslagna lagen måste naturligtvis vara proportionell mot det mål som eftersträvas, dvs. en dopningsfri idrott, och även i övrigt uppfylla kraven i dataskyddsförordningen. Regeringen utvecklar sina överväganden i dessa frågor i de följande avsnitten. Som framgått kan behandling av personuppgifter i idrottens antidopningsarbete stödjas på den rättsliga grunden uppgift av allmänt intresse i artikel 6.1. e i dataskyddsförordningen. Regeringen anser, till skillnad från WADA, att det inte finns skäl att ange i lagen att idrottens antidopningsarbete är av allmänt intresse. 7.3 Lagens tillämpningsområde 7.3.1 Verksamhet som lagen ska tillämpas på Regeringens förslag: Lagen ska vara tillämplig när personuppgifter behandlas i idrottens antidopningsarbete som utförs av 1. signatärer av världsantidopningskoden som är etablerade i Sverige, 2. signatärer av världsantidopningskoden som inte är etablerade i Sverige, om personuppgifterna behandlas i Sverige, 3. föreningar och förbund som är anknutna till Riksidrottsförbundet, eller 4. andra föreningar och förbund som är etablerade i Sverige och anknutna till ett internationellt specialidrottsförbund som är signatär av världsantidopningskoden. Lagen ska också vara tillämplig när personuppgifter behandlas i idrottens antidopningsarbete som, efter delegation från en signatär av världsantidopningskoden, utförs av 1. organ som är etablerade i Sverige, eller 2. organ som inte är etablerade i Sverige, om personuppgifterna behandlas i Sverige. Utredningens förslag överensstämmer delvis med regeringens. Utredningen föreslår att lagen ska tillämpas när personuppgifter behandlas i idrottens antidopningsarbete som utförs av den dåvarande nationella antidopningsorganisationen Sveriges Riksidrottsförbund. När det gäller andra signatärer av världsantidopningskoden föreslås att lagen ska tillämpas endast om personuppgifterna behandlas i Sverige. Enligt utredningens förslag ska lagen vara tillämplig när personuppgifter behandlas i idrottens antidopningsarbete "på uppdrag av" en signatär av världsantidopningskoden, i stället för "efter delegation från" en signatär. Remissinstanserna: Ingen instans, utom Integritetsskyddsmyndigheten, invänder mot förslaget. Myndigheten framhåller i anslutning till förslaget att det är viktigt att det görs en bedömning av vilken behandling av personuppgifter som respektive aktör behöver utföra samt vilka krav som världsantidopningskoden och de internationella standarderna ställer på aktörer som inte är signatärer. Vidare ifrågasätter Myndigheten om dataskyddsförordningen medger att man utsträcker det territoriella tillämpningsområdet. Enligt myndigheten bör begreppet "organ" ersättas av "personuppgiftsansvariga och personuppgiftsbiträden". Skälen för regeringens förslag Som framgår av närmast föregående avsnitt bör lagen vara tillämplig när personuppgifter behandlas i idrottens antidopningsarbete, dvs. sådant arbete som utförs på grund av världsantidopningskoden eller tillhörande internationella standarder. Svenska signatärer av koden är Antidoping Sverige AB (Antidoping Sverige), Sveriges Riksidrottsförbund (RF), Sveriges Olympiska Kommitté (SOK) och Sveriges Paralympiska Kommitté (SPK). Vidare har koden undertecknats av ett fåtal internationella specialidrottsförbund som har sitt säte i Sverige, t.ex. Internationella Orienteringsförbundet. Antidopningsarbete som utförs av Antidoping Sverige Utredningens förslag bygger på vilka aktörer som behandlade personuppgifter i idrottens antidopningsarbete när betänkandet lämnades. Organisationen av antidopningsarbetet inom idrotten i Sverige har dock sedan dess förändrats. Tidigare var RF nationell antidopningsorganisation och ansvarade för större delen av antidopningsarbetet inom idrotten i Sverige. RF beslutade dock i slutet av 2020 att bilda Antidopingstiftelsen i syfte att främja självständigheten hos antidopningsverksamheten. Stiftelsen äger i sin tur samtliga aktier i Antidoping Sverige. Till stiftelsens uppgifter hör bl.a. att utse styrelseledamöter i Antidoping Sverige och utöva tillsyn över att bolaget följer världsantidopningskoden. Stiftelsen behandlar dock inte några personuppgifter i sitt antidopningsarbete och bör därför inte omfattas av den föreslagna lagen. Antidoping Sverige är signatär av världsantidopningskoden och numera nationell antidopningsorganisation enligt koden. Bolaget utför därför en stor del av uppgifterna i antidopningsarbetet som tidigare låg på RF. Som framgår av avsnitt 4.4.1 har en nationell antidopningsorganisation en rad skyldigheter enligt världsantidopningskoden och dess internationella standarder, bl.a. att handlägga ansökningar om medicinsk dispens, hantera vistelserapporteringar, genomföra dopningskontroller, handlägga ärenden om dopningsförseelser och bedriva underrättelsearbete. Antidoping Sverige är alltså skyldigt att utföra antidopningsarbete på grund av koden och dess internationella standarder. Mot denna bakgrund bör den föreslagna lagen vara tillämplig när Antidoping Sverige behandlar personuppgifter i idrottens antidopningsarbete. Därmed omfattas sådan behandling i arbetet som utförs av bolagets styrelse och kansli samt Dispenskommittén. Vidare omfattas behandling av personuppgifter i samband med dopningskontroller som utförs av dopningskontrollfunktionärer som har träffat uppdragsavtal med Antidoping Sverige. Antidoping Sverige leder och ansvarar för dopningskontrollfunktionärernas arbete. Som utredningen framhåller kan en jämförelse göras med inhyrda konsulter som arbetar under en kunds ledning och ansvar. Dessa konsulter anses normalt inte vara personuppgiftsbiträden utan ses som en del av den inhyrande organisationen. Dopningskontrollfunktionärerna bör därför ses som en del av Antidoping Sveriges organisation och inte som externa personuppgiftsbiträden. Antidopningsarbete som utförs av Riksidrottsförbundet RF är signatär av världsantidopningskoden, men alltså inte längre nationell antidopningsorganisation för svensk idrott. RF utför dock fortfarande antidopningsarbete inom ramen för instanserna Dopingnämnden och Riksidrottsnämnden. Antidoping Sverige är enligt artiklarna 8.1 och 13.2.2 i världsantidopningskoden skyldigt att tillhandahålla ett bestraffningsorgan och en överklagandeinstans för prövning av ärenden om dopningsförseelser. Antidoping Sverige ska enligt artikel 4.4.2 i koden även utse en överklagandeinstans för prövning av ansökningar om medicinsk dispens. Av Idrottens antidopingreglemente framgår att Dopingnämnden är bestraffningsorgan för ärenden om dopningsförseelser och överklagandeinstans för ärenden om medicinsk dispens (se artiklarna 8.1 och 4.4.6.1). Vidare framgår av artikel 13.2.2.2 i samma regelverk att Dopingnämndens beslut i ärenden om dopningsförseelser kan överklagas till Riksidrottsnämnden. Det förekommer också att RF får tips om misstänkta dopningsförseelser som vidarebefordras till Antidoping Sverige. RF utför således alltjämt antidopningsarbete på grund av världsantidopningskoden och dess internationella standarder. För att kunna utföra arbetet måste förbundet behandla personuppgifter. Mot denna bakgrund anser regeringen att den föreslagna lagen ska vara tillämplig när RF behandlar personuppgifter i idrottens antidopningsarbete. Antidopningsarbete som utförs av Sveriges Olympiska Kommitté och Sveriges Paralympiska Kommitté SOK och SPK är signatärer av världsantidopningskoden. Internationella olympiska kommittén (IOK) och Internationella paralympiska kommittén ska enligt artikel 20.1.1 respektive 20.2.1 i koden anta regler för de olympiska respektive paralympiska spelen som överensstämmer med koden och de internationella standarderna. De kan, i anslutning till spelen, hantera frågor om t.ex. medicinska dispenser, vistelserapportering och dopningskontroller (se artiklarna 4.4.4, 5.2.3 och 5.5 i koden). Kommittéerna får beträffande idrottsutövare som inte ingår i en registrerad kontrollpool anta evenemangsspecifika regler om att idrottsutövare eller relevanta tredje parter ska vistelserapportera (se artikel 4.8.13 i den internationella standarden för dopningskontroll och utredning). IOK har för tidigare olympiska spel antagit regler om att nationella olympiska kommittéer ska lämna vistelserapporter beträffande sina idrottsutövare (se artikel 5.6.2 i Internationella olympiska kommitténs antidopningsregler för de olympiska spelen i Tokyo 2020 [från mars 2021]). SOK kan alltså, enligt IOK:s regler som genomför koden och de internationella standarderna, vara skyldiga att vistelserapportera. Nationella olympiska och paralympiska kommittéer ska enligt artikel 20.4.6 i koden bl.a. samarbeta med den nationella antidopningsorganisationen. Ett exempel på sådant samarbete är att SOK lämnar listor med namn på idrottsutövare som kan kvalificera sig till olympiska spelen till Antidoping Sverige för vidare hantering. SOK och SPK kan alltså utföra antidopningsarbete på grund av världsantidopningskoden och dess internationella standarder. För att kunna utföra arbetet måste kommittéerna behandla personuppgifter. Mot denna bakgrund anser regeringen att den föreslagna lagen ska vara tillämplig när SOK och SPK behandlar personuppgifter i idrottens antidopningsarbete. Antidopningsarbete som utförs av internationella specialidrottsförbund som är etablerade i Sverige och är signatärer av världsantidopningskoden Som framgår av avsnitt 4.4.1 har internationella specialidrottsförbund som är signatärer av världsantidopningskoden en rad skyldigheter enligt koden och dess internationella standarder, bl.a. att handlägga ansökningar om medicinsk dispens, hantera vistelserapporteringar, genomföra dopningskontroller, handlägga ärenden om dopningsförseelser och bedriva underrättelsearbete. Internationella specialidrottsförbund kan vara etablerade i och utanför Sverige. Det finns ett fåtal internationella specialidrottsförbund som är signatärer av världsantidopningskoden och har sitt säte i Sverige. Ett exempel är Internationella Orienteringsförbundet. Internationella specialidrottsförbund som är etablerade i Sverige och är signatärer av koden är alltså skyldiga att utföra antidopningsarbete på grund av koden och dess internationella standarder här. Mot denna bakgrund bör den föreslagna lagen vara tillämplig när internationella specialidrottsförbund som är etablerade i Sverige och är signatärer av koden behandlar personuppgifter i idrottens antidopningsarbete. Sammanfattningsvis bör alltså lagen vara tillämplig när signatärer av världsantidopningskoden som är etablerade i Sverige behandlar personuppgifter i idrottens antidopningsarbete. Antidopningsarbete som utförs av andra signatärer av världsantidopningskoden Av artikel 5.2 i världsantidopningskoden följer att även andra länders nationella antidopningsorganisationer, internationella specialidrottsförbund och storevenemangsorganisationer får utföra dopningskontroller i Sverige. Vidare har WADA enligt artikel 20.7.10 i koden rätt att utföra dopningskontroller här. Utredningen konstaterar dock att WADA inte utför något sådant operativt arbete i dag. Internationella specialidrottsförbund som är signatärer av världsantidopningskoden har alltså rätt att i Sverige utföra dopningskontroller på idrottsutövare som omfattas av förbundets regler. I vilken utsträckning detta sker skiljer sig åt mellan de olika förbunden. Enligt utredningen utför vissa förbund inte några kontroller i Sverige, medan andra testar i viss utsträckning. Vidare kan det förekomma att storevenemangsorganisationer som är signatärer av koden, t.ex. IOK, utför dopningskontroller i Sverige i anslutning till ett visst evenemang. Även andra länders nationella antidopningsorganisationer får utföra kontroller i Sverige, exempelvis på idrottsutövare som är medborgare eller bosatta i det andra landet men befinner sig i Sverige. I sådana fall ges vanligtvis Antidoping Sverige eller ett serviceföretag i uppdrag att utföra dopningskontrollen. Internationella specialidrottsförbund och storevenemangsorganisationer som är signatärer av världsantidopningskoden kan vara etablerade såväl inom som utom EU eller EES. Så kan vara fallet även för de nationella antidopningsorganisationerna. Dataskyddsförordningen är som huvudregel tillämplig för dem som är etablerade inom EU eller EES (se artiklarna 3.1 och 3.3). Förordningen ska dock även tillämpas, trots att etablering inom EU eller EES saknas, om behandlingen avser registrerade som befinner sig i unionen och har anknytning till övervakning av registrerades beteende i unionen (se artikel 3.2). Dopningskontroller innebär i sig en kontroll av idrottsutövares intag av förbjudna substanser. Den behandling av personuppgifter som sker i samband med dopningskontroller får därmed anses ha anknytning till övervakning av registrerades beteenden i unionen. Regeringen bedömer därför, i likhet med utredningen, att dataskyddsförordningen är tillämplig även för sådana organisationer som inte är etablerade inom EU eller EES men som utför dopningskontroller här. Signatärer av världsantidopningskoden som inte är etablerade i Sverige har alltså enligt koden rätt att utföra dopningskontroller i Sverige, vilket också sker i dag. Den föreslagna lagen bör därför vara tillämplig också när signatärer av koden som inte är etablerade i Sverige behandlar personuppgifter i idrottens antidopningsarbete. Som utvecklas nedan bör dock lagen endast vara tillämplig när dessa aktörer behandlar personuppgifter i Sverige. Antidopningsarbete som utförs av föreningar och förbund som är anknutna till Riksidrottsförbundet Signatärer ska enligt artikel 12 i världsantidopningskoden anta regler som ålägger bl.a. dess medlemsorganisationer att följa, implementera och verkställa koden. De ska även vidta lämpliga åtgärder mot en organisation som inte uppfyller sina åligganden. I artikel 4.8.14.2 i den internationella standarden för dopningskontroll och utredning anges uttryckligen att nationella specialidrottsförbund ska göra sitt bästa för att hjälpa det internationella specialidrottsförbundet och den nationella antidopningsorganisationen att samla in vistelseinformation från idrottsutövare. Av artikel 11.2.1 i samma standard framgår att signatärerna ska säkerställa att de kan hämta in och ta emot underrättelseinformation från alla tänkbara källor, bl.a. nationella specialidrottsförbund. RF:s medlemsorganisationer är bundna av reglerna i RF:s stadgar. De nationella specialidrottsförbunden och deras medlemsföreningar är även bundna av bestämmelserna i Idrottens antidopingreglemente och Föreskrifter för nationell antidopingverksamhet. Som framgått implementerar detta regelverk världsantidopningskoden. Enligt dessa regler är föreningarna och förbunden skyldiga att utföra visst antidopningsarbete. När det gäller de nationella specialidrottsförbunden ska de bl.a. arbeta för en dopningsfri verksamhet inom förbundet och sina medlemsföreningar samt upprätta en plan för antidopningsarbetet (se 11 kap. 4 § 5 i RF:s stadgar). De ska även på begäran av bl.a. Antidoping Sverige, Dopingnämnden och Riksidrottsnämnden lämna uppgifter och avge yttranden (se 11 kap. 4 § 6 i RF:s stadgar). Förbunden ska också underrätta Antidoping Sverige och berört internationellt specialidrottsförbund om misstänkta dopningsförseelser och samarbeta med berörda organ vid utredning av en sådan misstanke (se 11 kap. 4 § 7 och 13 kap. 6 § i RF:s stadgar samt artikel 18.7 i Idrottens antidopingreglemente). De ska även rapportera till Antidoping Sverige vilka idrottsutövare som av ett internationellt specialidrottsförbund har utsetts att ingå i dess registrerade kontrollpool för vistelserapportering (se artikel 2.4.1 i Föreskrifter för nationell antidopingverksamhet). Dessutom ska de på begäran av Antidoping Sverige lämna person- och adressuppgifter till idrottsutövare som ingår i en kontrollpool (se artikel 2.4.2 i Föreskrifter för nationell antidopingverksamhet). De enskilda föreningarna ska på begäran av bl.a. Antidoping Sverige, Dopingnämnden och Riksidrottsnämnden lämna uppgifter och avge yttranden (se 8 kap. 5 § 6 i RF:s stadgar). Utredningen ger som exempel att det kan handla om att lämna ut deltagarlistor för olika tävlingar där dopningskontroller kan behöva utföras. Specialidrottsdistriktsförbunden och RF-SISU distrikten behandlar endast i begränsad omfattning personuppgifter i antidopningsarbetet. RF-SISU distrikten kan bistå Antidoping Sverige med att planera dopningskontroller. De kan lämna förslag på t.ex. lag eller träningsanläggningar där kontroller kan utföras. De lämnar dock inte förslag på enskilda idrottsutövare. Vidare förekommer det att tips om misstänkta dopningsförseelser vidarebefordras till Antidoping Sverige. Föreningar och förbund som är anknutna till RF kan alltså utföra antidopningsarbete på grund av världsantidopningskoden och dess internationella standarder som förutsätter viss behandling av personuppgifter. Dessa organisationer är inte signatärer av världsantidopningskoden. RF och Antidoping Sverige har dock i linje med sina skyldigheter enligt koden antagit regler som ålägger organisationerna att följa koden och standarderna. Organisationerna har därmed ett indirekt krav på sig att utföra antidopningsarbete på grund av koden och dess internationella standarder. De kan också ha motsvarande krav på sig genom medlemskap i internationella specialidrottsförbund som är signatärer av världsantidopningskoden. Den föreslagna lagen bör därför omfatta behandling av personuppgifter i idrottens antidopningsarbete som utförs av föreningar och förbund som är anknutna till RF. Antidopningsarbete som utförs av föreningar och förbund utanför Riksidrottsförbundet Det finns ett fåtal nationella specialidrottsförbund i Sverige som inte är medlemmar i RF, men som tillhör internationella specialidrottsförbund som är signatärer av världsantidopningskoden. Exempel på sådana nationella specialidrottsförbund är Svenska Bodybuilding- och Fitnessförbundet som tillhör Internationella bodybuilding- och fitnessförbundet samt Svenska Surfförbundet som tillhör Internationella surfförbundet. Som framgått ska varje signatär enligt artikel 12 i världsantidopningskoden anta regler som ålägger dess medlemsorganisationer att följa, implementera och verkställa koden samt vidta lämpliga åtgärder mot en organisation som inte uppfyller sina åligganden. Signatärer som är ett internationellt specialidrottsförbund ska enligt artikel 20.3 i koden även ställa krav på att de nationella specialidrottsförbunden bl.a. antar regler i linje med koden och dess standarder samt underrättar den nationella antidopningsorganisationen och det internationella specialidrottsförbundet om eventuella dopningsförseelser. Nationella specialidrottsförbund som inte tillhör RF men ett internationellt specialidrottsförbund som är signatär av koden kan alltså, på motsvarande sätt som RF:s medlemsförbund, ha ett indirekt krav på sig att utföra ett antidopningsarbete på grund av koden och dess internationella standarder. I detta arbete kan det förekomma en viss behandling av personuppgifter. Enskilda idrottsföreningar i Sverige som är medlemmar i de nu aktuella nationella specialidrottsförbunden kan, i likhet med föreningar inom RF, vara skyldiga att t.ex. lämna ut information och deltagarlistor till de nationella och internationella specialidrottsförbunden i antidopningsarbetet. Även sådana föreningar kan därmed i någon mån behandla personuppgifter i idrottens antidopningsarbete. Mot denna bakgrund bör den föreslagna lagen även omfatta behandling av personuppgifter i idrottens antidopningsarbete som utförs av föreningar och förbund som är etablerade i Sverige och som inte är anknutna till RF men till ett internationellt specialidrottsförbund som är signatär av världsantidopningskoden. Regeringen har, i förhållande till utredningens förslag, förtydligat att föreningarna och förbunden ska vara etablerade i Sverige (jfr 4 § i lagförslaget). Antidopningsarbete som utförs av serviceföretag Signatärer får enligt världsantidopningskoden och de internationella standarderna delegera uppgifter i antidopningsarbetet till t.ex. en nationell antidopningsorganisation eller ett serviceföretag som inte är signatär, men är alltjämt ansvarig för att de delegerade uppgifterna utförs i enlighet med koden (se bl.a. artikel 20 i koden samt artiklarna 4.8.14.1 och 4.9.2 i den internationella standarden för dopningskontroll och utredning). De internationella specialidrottsförbunden har vanligtvis inte egna dopningskontrollfunktionärer. Inte heller storevenemangsorganisationer har egna funktionärer. Om dessa organ vill utföra dopningskontroller i Sverige kan de lämna ett uppdrag till Antidoping Sverige att utföra dem. Uppdraget kan dock även lämnas till ett serviceföretag. Även Antidoping Sverige och andra nationella antidopningsorganisationer kan ge serviceföretag i uppdrag att utföra dopningskontroller. För Antidoping Sveriges del sker det i regel när svenska idrottsutövare befinner sig utomlands, t.ex. på träningsläger. Serviceföretagen kan vara etablerade såväl inom som utom EU eller EES. I dag finns det ett serviceföretag, International Doping Tests & Management AB (IDTM), med säte i Sverige. Bland företagets tjänster ingår att organisera, planera och genomföra dopningskontroller i enlighet med världsantidopningskoden. Kontrollerna genomförs på idrottsutövare över hela världen, så även i Sverige, utifrån kundernas önskemål. Bland företagets tjänster ingår även resultathantering och hantering av dispensansökningar. Dataskyddsförordningen är tillämplig även för sådana organ som inte är etablerade inom EU eller EES men som utför dopningskontroller här. Förordningen är alltså tillämplig även för serviceföretag som inte är etablerade inom EU eller EES men som gör dopningskontroller på idrottsutövare som befinner sig här. Serviceföretagen är inte signatärer av världsantidopningskoden. Koden förutsätter dock att signatärerna kan delegera uppgifter till serviceföretag. Regeringen delar därmed utredningens bedömning att den föreslagna lagen bör vara tillämplig när serviceföretag behandlar personuppgifter i idrottens antidopningsarbete på uppdrag av en signatär. Enligt utredningens förslag till bestämmelse ska lagen tillämpas då personuppgifter behandlas i sådant antidopningsarbete som utförs på uppdrag av en signatär av världsantidopningskoden av organ som uppfyller vissa kriterier. Då avsikten med bestämmelsen är att träffa serviceföretagen bör dock bestämmelsen justeras på sådant sätt att det framgår att antidopningsarbetet ska utföras efter delegation från en signatär av koden. Genom en sådan justering blir det tydligt att lagen inte är tänkt att omfatta laboratorier (se även avsnitt 7.4.2). Regeringen delar inte Integritetsskyddsmyndighetens synpunkt att "organ" bör bytas ut mot "personuppgiftsansvariga och personuppgiftsbiträden", då det skulle göra bestämmelsen mer svårläst. Antidopningsarbete som utförs av Dopinglaboratoriet Regeringen delar utredningens bedömning att patientdatalagen (2008:355) är tillämplig vid Dopinglaboratoriets behandling av personuppgifter i idrottens antidopningsarbete. Laboratoriets personuppgiftsbehandling bör därmed inte omfattas av tillämpningsområdet för den föreslagna lagen. Vi utvecklar våra överväganden i denna fråga i avsnitt 7.4.2. Antidopningsarbete vid gym- och träningsanläggningar Det kan, enligt utredningen, förekomma att aktörer som bedriver gym- och träningsverksamhet kontaktar Polismyndigheten på grund av misstankar om brott mot lagen (1991:1969) om förbud mot vissa dopningsmedel. Det kan i detta sammanhang noteras att det av skäl 50 till dataskyddsförordningen framgår att om den personuppgiftsansvarige anmäler möjliga brott eller hot mot den allmänna säkerheten och i enskilda fall eller i flera fall som rör samma brott eller hot mot den allmänna säkerheten överför dessa personuppgifter till en behörig myndighet, ska detta betraktas som att den personuppgiftsansvarige agerar i ett berättigat intresse. Aktörer som bedriver gym- och träningsverksamhet kan även i övrigt bedriva visst antidopningsarbete. Utredningen konstaterar dock att arbetet normalt sett inte förutsätter någon personuppgiftsbehandling eftersom det är av förebyggande karaktär och utförs på ett generellt plan. Då dessa aktörers antidopningsarbete inte styrs av världsantidopningskoden bör de inte omfattas av den föreslagna lagen. Det har inte heller framkommit att det finns behov av någon särskild reglering avseende behandling av personuppgifter beträffande dem. Lagens territoriella tillämpningsområde Behandling av personuppgifter i idrottens antidopningsarbete är ofta en gränsöverskridande aktivitet. Som exempel kan förekomma att Antidoping Sverige utför eller låter ett annat lands nationella antidopningsorganisation eller ett serviceföretag utföra dopningskontroller på idrottsutövare som befinner sig utomlands. Vidare kan resultatet av en dopningskontroll som har utförts i Sverige på uppdrag av t.ex. ett internationellt specialidrottsförbund komma att behandlas utanför Sveriges gränser. I sådana situationer uppkommer frågan om vilket lands nationella rätt som ska tillämpas. Som utredningen framhåller finns det två grundläggande principer för detta val; den lag som gäller i det land där den personuppgiftsansvarige är etablerad (etableringslandsprincipen) eller lagen i den registrerades land (effektlandsprincipen). Dataskyddsförordningen innehåller bestämmelser om förordningens territoriella tillämpningsområde (se artikel 3). Förordningen är tillämplig på sådan behandling av personuppgifter som utförs inom ramen för verksamhet som bedrivs på verksamhetsställen inom EU eller EES. Det spelar i sådana fall inte någon roll var behandlingen faktiskt utförs. Detta kan sägas vara ett uttryck för etableringslandsprincipen. Förordningen är dessutom i vissa fall tillämplig även om det inte finns någon etablering inom EU eller EES. Så är fallet om behandlingen av personuppgifter avser registrerade som befinner sig i unionen och har anknytning till bl.a. övervakning av registrerades beteende i unionen. I dessa fall kan således effektlandsprincipen sägas gälla. I dataskyddsförordningen regleras däremot inte det territoriella tillämpningsområdet för sådan nationell rätt som kompletterar regelverket. Europeiska kommissionen har, vid möten i en expertgrupp om bl.a. dataskyddsförordningen, framhållit behovet av att medlemsstaterna tar ställning till det territoriella tillämpningsområdet för nationell lagstiftning som kompletterar förordningen. Kommissionen har förordat att etableringslandsprincipen bör gälla som utgångspunkt, då en sådan ordning minimerar risken för normkonflikter och minskar risken för att det fria flödet av personuppgifter inom unionen hindras (se Kompletterande promemoria till betänkandet Ny dataskyddslag [SOU 2017:39], Ju2017/04264/L6, s. 7). I 1 kap. 5 § dataskyddslagen finns en bestämmelse om den lagens territoriella tillämpningsområde som följer dataskyddsförordningens principer. Dataskyddslagen gäller vid behandling av personuppgifter som utförs inom ramen för verksamhet som bedrivs vid verksamhetsställen i Sverige. Lagen tillämpas i vissa fall även vid etablering i tredjeland. Det gäller bl.a. om behandlingen avser registrerade som befinner sig i Sverige och har anknytning till övervakning av deras beteende i Sverige. I artikel 4 i det tidigare gällande dataskyddsdirektivet finns, till skillnad från i dataskyddsförordningen, en bestämmelse om vilket lands nationella rätt som ska tillämpas i olika fall. Denna artikel implementerades genom 4 § i den numera upphävda personuppgiftslagen (1998:204). Den lagen gällde för sådana personuppgiftsansvariga som är etablerade i Sverige och, i vissa fall, vid etablering i tredjeland. Personuppgiftslagen var med andra ord inte tillämplig för personuppgiftsansvariga som är etablerade i andra EU-länder. I kameraövervakningslagen (2013:460) fanns en bestämmelse om den lagens territoriella tillämpningsområde som liknade den i personuppgiftslagen. Kameraövervakningslagen har numera ersatts av kamerabevakningslagen (2018:1200) utan att det territoriella tillämpningsområdet för lagen har ändrats (se prop. 2017/18:231 s. 43 f.). Vid införandet av kameraövervakningslagen angavs att det skulle vara oförenligt med artikel 4 i det dåvarande dataskyddsdirektivet att den svenska regleringen även skulle omfatta den som är etablerad i en annan EU-stat (se prop. 2012/13:115 s. 41). Det finns dock inte någon liknande begränsning i dataskyddsförordningen. Den nu föreslagna lagens territoriella tillämpningsområde bör av rättssäkerhetsskäl framgå av lagen. Enligt regeringens mening bör etableringsprincipen gälla som utgångspunkt för tillämpningsområdet. Det ligger i linje med regleringen i dataskyddsförordningen och dataskyddslagen samt den lösning som kommissionen har förordat. Flera av de aktörer som regeringen föreslår ska omfattas av lagen är etablerade i Sverige. Det gäller Antidoping Sverige, RF, SOK och SPK som är signatärer av koden. Det gäller också internationella specialidrottsförbund som är etablerade i Sverige och är signatärer av koden, t.ex. Internationella Orienteringsförbundet. Vidare gäller det föreningar och förbund som är anknutna till RF. Lagen omfattar också andra föreningar och förbund som är etablerade i Sverige och är anknutna till ett internationellt specialidrottsförbund som är signatär av världsantidopningskoden. Vidare omfattas serviceföretag som är etablerade här, dvs. i dag IDTM. När det gäller dessa aktörer bör den föreslagna lagen vara tillämplig oavsett var behandlingen faktiskt utförs och den registrerade befinner sig. Den föreslagna lagen omfattar även behandling av personuppgifter i idrottens antidopningsarbete som utförs av aktörer som inte är etablerade i Sverige. Det gäller signatärer av världsantidopningskoden som inte är etablerade här, t.ex. andra länders nationella antidopningsorganisationer och andra internationella specialidrottsförbund. Så är även fallet för serviceföretag som inte är etablerade i Sverige. Som framgått får dessa aktörer enligt koden utföra dopningskontroller i Sverige. Om den föreslagna lagen inte skulle gälla för dessa aktörer finns det en risk för att de inte har någon rättslig grund för behandling av personuppgifter i samband med att de utför dopningskontroller i Sverige. När det gäller signatärer av världsantidopningskoden och serviceföretag som inte är etablerade i Sverige kan det övervägas att använda sig av effektlandsprincipen. En sådan bestämmelse skulle dock innebära att lagen får ett förhållandevis vidsträckt tillämpningsområde. Lagen skulle nämligen vara tillämplig oavsett var i världen behandlingen utförs bara en idrottsutövare fysiskt befinner sig i Sverige. Regeringen ansluter sig därför till utredningens bedömning att lagen ska vara tillämplig då dessa organ behandlar personuppgifter i idrottens antidopningsarbete endast om behandlingen utförs i Sverige. Integritetsskyddsmyndigheten ifrågasätter om dataskyddsförordningen medger att man utsträcker det territoriella tillämpningsområdet, med hänvisning till förarbetena till kamerabevakningslagen. Som redan har framgått gör regeringen bedömningen att den behandling av personuppgifter som sker i samband med dopningskontroller har anknytning till övervakning av idrottsutövarnas beteende i unionen och att dataskyddsförordningen även gäller för de organ som inte är etablerade inom unionen men som utför dopningskontroller här. Det föreslagna tillämpningsområdet för lagen går således inte utöver tillämpningsområdet för dataskyddsförordningen. Det föreslagna territoriella tillämpningsområdet för lagen följer förvisso inte helt principerna i dataskyddsförordningen och dataskyddslagen. Då dataskyddsförordningen inte reglerar det territoriella tillämpningsområdet för kompletterande nationell lagstiftning bör dock medlemsstaterna i princip vara fria att bestämma detta själva, vilket även kommissionen och andra medlemsstater gett uttryck för (se Kompletterande promemoria till betänkandet Ny dataskyddslag [SOU 2017:39], Ju2017/04264/L6, s. 6). Enligt regeringens mening utgör dataskyddsförordningen därför inget hinder mot den föreslagna regleringen av lagens territoriella tillämpningsområde. Förslaget innebär, till skillnad från vad som gäller enligt dataskyddslagen, att lagen kan vara tillämplig även för sådan behandling av personuppgifter som utförs av aktörer som är etablerade i ett annat land inom EU eller EES. Dessa aktörer kan visserligen komma att omfattas av såväl det svenska regelverket som ett regelverk som gäller i etableringslandet. Den föreslagna lagen syftar dock till bl.a. att skapa en rättslig grund för att behandla personuppgifter i antidopningsarbete som utförs på grund av världsantidopningskoden, som i dag i stor utsträckning styr antidopningsarbetet inom unionen. Vi delar därför utredningens bedömning att risken för normkonflikter framstår som liten. När det gäller behandling av personuppgifter i idrottens antidopningsarbete som utförs av signatärer av koden som inte är etablerade i Sverige bör lagen alltså vara tillämplig endast om uppgifterna behandlas i Sverige. Detsamma bör gälla serviceföretag som inte är etablerade i Sverige. 7.3.2 Typ av personuppgiftsbehandling som lagen ska tillämpas på Regeringens förslag: Lagen ska gälla för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller kommer att ingå i ett register. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Ingen instans, utom Integritetsskyddsmyndigheten, invänder mot förslaget. Myndigheten menar att bestämmelsen är obehövlig och inte bör införas i lagen. Om bestämmelsens ändå införs bör terminologin motsvara den i dataskyddsförordningen. Skälen för regeringens förslag: I artikel 2.1 i dataskyddsförordningen anges att den ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår eller kommer att ingå i ett register. Enligt artikel 4.6 i förordningen definieras register som en strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella och geografiska förhållanden. Den föreslagna lagen bör, som utredningen funnit, i detta avseende ha samma tillämpningsområde som dataskyddsförordningen. Regeringen delar även utredningens bedömning att en bestämmelse med denna innebörd av tydlighetsskäl bör införas i lagen. Sådana bestämmelser är också vanligt förekommande i registerlagstiftning, se bl.a. 1 kap. 1 § lagen (2020:421) om Rättsmedicinalverkets behandling av personuppgifter, 2 § kustbevakningsdatalagen (2019:429) och 1 kap. 2 § vägtrafikdatalagen (2019:369). När det gäller den språkliga utformningen av bestämmelsen kan konstateras att utformningen av motsvarande bestämmelser i olika registerlagar varierar. I vissa lagar används, som utredningen föreslår, uttrycket "en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier" (se t.ex. 2 § kustbevakningsdatalagen). I vissa nyare registerlagar talas i stället endast om "register" för att beteckna dessa uppgiftssamlingar (se t.ex. 1 kap. 1 § lagen om Rättsmedicinalverkets behandling av personuppgifter). Det sistnämnda alternativet motsvarar bättre terminologin som används i dataskyddsförordningen, något som Integritetsskyddsmyndigheten efterfrågar i sitt remissvar. Enligt regeringens mening bör därför begreppet "register" användas i den föreslagna lagen. Lagen bör således gälla för sådan behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller kommer att ingå i ett register. Detta innebär inte någon skillnad i sak i förhållande till utredningens förslag. 7.4 Förhållandet till annan reglering 7.4.1 Dataskyddsförordningen, dataskyddslagen och idrottens interna regelverk Regeringens förslag: Lagen ska innehålla en upplysning om att den kompletterar dataskyddsförordningen. Lagen ska vidare ange att dataskyddslagen och föreskrifter som har meddelats i anslutning till dataskyddslagen ska gälla, om inte annat följer av lagen. Regeringens bedömning: Lagen har företräde framför idrottens interna regler om behandling av personuppgifter. Det behöver inte anges särskilt i lagen. Utredningens förslag och bedömning överensstämmer med regeringens. Remissinstanserna: Ingen instans har yttrat sig särskilt i denna del. Skälen för regeringens förslag och bedömning: Dataskyddsförordningen är direkt tillämplig i Sverige och har företräde framför nationell lagstiftning. Den föreslagna lagen om behandling av personuppgifter i idrottens antidopningsarbete kommer därför att innehålla bestämmelser som kompletterar eller tar över bestämmelserna i dataskyddsförordningen, när det är tillåtet. Regeringen delar därför utredningens bedömning att lagen av pedagogiska skäl bör innehålla en upplysning om att den kompletterar dataskyddsförordningen. Dataskyddslagen innehåller bestämmelser av generell karaktär som kompletterar dataskyddsförordningen. Av 1 kap. 6 § dataskyddslagen framgår att om en annan lag eller förordning innehåller någon bestämmelse som rör behandling av personuppgifter och som avviker från dataskyddslagen ska den bestämmelsen tillämpas. Dataskyddslagen är alltså subsidiär i förhållande till annan lagstiftning om behandling av personuppgifter. Som utredningen funnit bör det av tydlighetsskäl även införas en bestämmelse i den föreslagna lagen om att dataskyddslagen, och föreskrifter som meddelats i anslutning till denna, gäller om inte annat följer av den föreslagna lagen. Bestämmelserna i dataskyddsförordningen, dataskyddslagen och den föreslagna lagen har företräde framför idrottens interna regelverk. Regeringen instämmer i utredningens slutsats att detta förhållande inte behöver uttryckas särskilt i den föreslagna lagen. 7.4.2 Patientdatalagen Regeringens bedömning: Lagen ska inte vara tillämplig när personuppgifter behandlas i idrottens antidopningsarbete som utförs av Dopinglaboratoriet vid Karolinska Universitetssjukhuset. Det behöver därmed inte anges särskilt i lagen att den inte ska gälla då personuppgifter behandlas hos Dopinglaboratoriet med stöd av patientdatalagen. Utredningens förslag överensstämmer inte med regeringens bedömning. Utredningen föreslår att lagen ska innehålla en bestämmelse om att lagen inte ska gälla då personuppgifter behandlas hos Dopinglaboratoriet vid Karolinska Universitetssjukhuset med stöd av patientdatalagen. Remissinstanserna: De flesta remissinstanser tillstyrker eller har ingen invändning mot förslaget. Integritetsskyddsmyndigheten anser att det inte framgår vad som är avsikten med den föreslagna bestämmelsen eller vilka konsekvenser som bestämmelsen får för den personliga integriteten. Enligt myndigheten bör det göras en närmare analys utifrån dataskyddsförordningen och patientdatalagen. Förvaltningsrätten i Stockholm och Socialstyrelsen menar att den föreslagna bestämmelsen bör ändras så att den omfattar alla ackrediterade dopningslaboratorier. Vidare anser Socialstyrelsen att det bör förtydligas vad som ska gälla om patientdatalagen inte skulle vara tillämplig. Skälen för regeringens bedömning: Av artikel 6.1 i världsantidopningskoden följer att endast laboratorier som har ackrediterats eller annars godkänts av WADA får analysera dopningsprov. I dag finns det ett sådant laboratorium i Sverige, nämligen Dopinglaboratoriet vid Karolinska Universitetssjukhuset som drivs av Region Stockholm. Antidoping Sverige har ett avtal med laboratoriet om analyser av dopningsprov. Till laboratoriets kunder hör även andra nationella antidopningsorganisationer och internationella specialidrottsförbund. Laboratoriets verksamhet finansieras nästan uteslutande av de avgifter som kunderna betalar för varje prov. Vid analyser av dopningsprov får Dopinglaboratoriet ta del av provnummer som är kopplat till idrottsutövaren. Laboratoriet får också uppgifter om idrottsutövarens kön, idrottstillhörighet och disciplin samt eventuella uppgifter om medicinanvändning. Däremot får laboratoriet inte tillgång till uppgifter som direkt avslöjar idrottsutövarens identitet. Provnumret kan dock knytas till idrottsutövaren via de uppgifter som Antidoping Sverige eller någon annan kund har om dopningskontrollen. Laboratoriet behandlar därmed personuppgifter i idrottens antidopningsarbete (jfr artikel 4.1 i dataskyddsförordningen). Utredningen lyfter frågan om den behandling av personuppgifter som utförs av Dopinglaboratoriet faller under patientdatalagen och därmed inte bör omfattas av den föreslagna lagen. Av 1 kap. 1 § patientdatalagen framgår att lagen är tillämplig vid vårdgivares behandling av personuppgifter inom hälso- och sjukvården. Med "vårdgivare" avses enligt 1 kap. 3 § patientdatalagen bl.a. region i fråga om sådan hälso- och sjukvård som regionen har ansvar för. "Hälso- och sjukvård" definieras enligt samma bestämmelse som bl.a. verksamhet som avses i hälso- och sjukvårdslagen (2017:30). Enligt 2 kap. 1 § hälso- och sjukvårdslagen avses med hälso- och sjukvård bl.a. åtgärder för att medicinskt förebygga, utreda och behandla sjukdomar och skador. Begreppet hälso- och sjukvård har getts samma definition sedan tillkomsten av den äldre hälso- och sjukvårdslagen från 1982. Enligt förarbetena till den sistnämnda lagen kan åtgärder för att förebygga sjukdomar och skador vara både miljöinriktade och individinriktade. Miljöinriktade åtgärder kan innefatta insatser för att för att fastställa hur kemiska, biologiska, fysiska, sociala och psykologiska faktorer inverkar på befolkningens hälsotillstånd. Beträffande individinriktade förebyggande åtgärder innefattas åtgärder för att uppspåra hälsoproblem, t.ex. allmänna och riktade hälsokontroller (se prop. 1981/82:97 s. 110 f.). I doktrinen uttalas att privata laboratorier som tar emot uppdrag från vårdgivare avseende exempelvis provtagning och analys normalt inte betraktas som vårdgivare. Laboratorium som utgör en integrerad del av en offentlig vårdgivares verksamhet får däremot anses bedriva hälso- och sjukvård, t.ex. en regions egna mikrobiologiska laboratorier (se Manólis Nymark, Patientdatalagen [29 december 2019], JUNO, kommentaren till 1 kap. 1 §). Definitionen av hälso- och sjukvård får mot denna bakgrund anses vara vid. Då dopning kan vara förknippat med hälsorisker kan verksamheten vid Dopinglaboratoriet enligt regeringens mening sägas syfta till bl.a. att spåra upp hälsoproblem. Dopinglaboratoriet utgör en del av region Stockholms verksamhet vid Enheten för klinisk farmakologi vid Karolinska universitetssjukhuset. Laboratoriet tar förvisso inte uppdrag från vården vid det egna sjukhuset, utan från olika organisationer inom idrotten. Verksamheten vid laboratoriet påminner dock om den som bedrivs vid en regions egna mikrobiologiska laboratorier, som alltså anses bedriva hälso- och sjukvård. Det framstår därmed som rimligt att verksamheten vid Dopinglaboratoriet faller in under samma lag som resten av verksamheten. Utredningen drar också slutsatsen att laboratoriet redan i dag tillämpar patientdatalagen i sitt arbete. Mot denna bakgrund gör regeringen, i likhet med utredningen, bedömningen att Dopinglaboratoriet bedriver hälso- och sjukvård i hälso- och sjukvårdslagens mening och att den behandling av personuppgifter som sker inom ramen för detta arbete omfattas av patientdatalagen. Patientdatalagen syftar enligt 1 kap. 2 § andra stycket till bl.a. att personuppgifter ska behandlas så att den registrerades integritet respekteras. Lagen har också anpassats till dataskyddsförordningen (se prop. 2017/18:171, bet. 2017/18:SoU33, rskr. 2017/18:261). Det får därför förutsättas att skyddet för den personliga integriteten är tillgodosett beträffande sådan behandling av personuppgifter som omfattas av tillämpningsområdet. Regeringen ser därför, till skillnad från Integritetsskyddsmyndigheten, inte anledning att inom ramen för detta lagstiftningsarbete göra några närmare analyser utifrån dataskyddsförordningen och patientdatalagen. Regeringen föreslår i avsnitt 7.3.1 att bestämmelsen i 4 § i lagförslaget justeras på sådant sätt att lagen ska vara tillämplig då personuppgifter behandlas i antidopningsarbete som utförs av ett organ efter delegation från en signatär av världsantidopningskoden. Det blir därmed tydligt att behandlingen av personuppgifter vid Dopinglaboratoriet eller något annat laboratorium inte omfattas av lagens tillämpningsområde. Dopningsprov får enligt världsantidopningskoden endast analyseras av laboratorier som har godkänts av WADA. Antidoping Sverige eller andra signatärer kan därmed inte anses delegera uppgiften att analysera dopningsprov till sådana laboratorier. Det finns således inte längre något behov av en särskild bestämmelse om att lagen inte ska gälla då personuppgifter behandlas hos Dopinglaboratoriet vid Karolinska Universitetssjukhuset med stöd av patientdatalagen. Regeringen föreslår därför att den av utredningen föreslagna bestämmelsen utgår. 7.5 Personuppgiftsansvar Regeringens bedömning: Det bör inte införas särskilda bestämmelser om personuppgiftsansvar i lagen. Lagen bör inte heller innehålla särskilda bestämmelser om personuppgiftsbiträden. Utredningens förslag stämmer inte överens med regeringens bedömning. Utredningen föreslår att det ska föras in en bestämmelse i lagen om att varje organ som omfattas av lagen ska vara personuppgiftsansvarig för den behandling av personuppgifter som organet utför i idrottens antidopningsarbete. Utredningens bedömning i fråga om bestämmelser om personuppgiftsbiträden stämmer överens med regeringens. Remissinstanserna: De flesta instanser tillstyrker eller har ingen invändning mot förslaget. Integritetsskyddsmyndigheten anser dock utredningens förslag riskerar att leda till en felaktig tillämpning av artikel 4 i dataskyddsförordningen och att bestämmelsen inte bör införas i lagen. Myndigheten efterfrågar en fördjupad analys av i vilken egenskap respektive organ behandlar personuppgifter. Vidare framhålls att förslaget kan leda till normkonflikter inom EU. Slutligen anser myndigheten att bestämmelsens ordalydelse tycks omöjliggöra att man kan behandla personuppgifterna som personuppgiftsbiträde. Serviceföretaget International Doping Tests & Management AB (IDTM) anser att serviceföretagen agerar som personuppgiftsbiträden när de hanterar dopningstester och hämtar information från idrottsutövarnas vistelserapporter. Bolaget understryker vikten av att en internationell samsyn inväntas innan personuppgiftsansvaret regleras i lag. Enligt IDTM bör bestämmelsen inte införas i lagen, alternativt inte omfatta serviceföretagen. Ingen instans yttrar sig särskilt över bedömningen som rör bestämmelser om personuppgiftsbiträden. Skälen för regeringens bedömning Den som behandlar personuppgifter är antingen personuppgiftsansvarig eller personuppgiftsbiträde. Begreppet personuppgiftsansvar är centralt inom all reglering om dataskydd. Den personuppgiftsansvarige är skyldig att se till att behandlingen av personuppgifter sker i enlighet med tillämpliga bestämmelser. Enskilda ska alltid kunna vända sig till den personuppgiftsansvarige för att göra sina rättigheter gällande. Med personuppgiftsansvarig avses enligt definitionen i artikel 4.7 i dataskyddsförordningen en fysisk eller juridisk person, myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om två eller fler personuppgiftsansvariga gemensamt fastställer ändamålen och medlen för behandlingen ska de, enligt artikel 26 i samma förordning, vara gemensamt personuppgiftsansvariga. I ett sådant fall ska de under öppna former fastställa sitt respektive ansvar för att fullgöra skyldigheterna enligt dataskyddsförordningen. Personuppgiftsbiträde definieras i artikel 4.8 i dataskyddsförordningen som en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning. Bedömningen av vem som är personuppgiftsansvarig för en viss behandling ska som huvudregel göras utifrån dataskyddsförordningen och de faktiska omständigheterna i varje enskilt fall. Medlemsstaterna kan dock enligt artikel 4.7 i dataskyddsförordningen ange vem som är personuppgiftsansvarig i den nationella rätten om ändamålen och medlen för behandlingen bestäms av unionsrätten eller nationell rätt. Personuppgiftsansvaret i idrottens antidopningsarbete För att vara personuppgiftsansvarig enligt dataskyddsförordningen ska man alltså bestämma ändamålen och medlen för behandlingen. Som har framgått föreslås lagen om behandling av personuppgifter i idrottens antidopningsarbete omfatta behandling av personuppgifter som utförs av en rad olika organ, se avsnitt 7.3.1. Enligt regeringens bedömning är de organ som omfattas av lagen i många fall personuppgiftsansvariga för den behandling som de utför. Som Integritetsskyddsmyndigheten och serviceföretaget IDTM påpekar är det dock tveksamt om så alltid är fallet. Föreningar och förbund som är anknutna till RF är skyldiga att följa idrottens interna antidopningsregler. Många personuppgiftsansvariga styrs dock av omständigheter som helt eller delvis ligger bortom den egna kontrollen, t.ex. författningsbestämmelser, myndighetsinstruktioner, samarbetsavtal och andra yttre faktorer. Det i sig utesluter alltså inte att föreningarna och förbunden kan vara personuppgiftsansvariga för sin behandling i antidopningsarbetet (jfr prop. 2014/15:148 s. 34). Det finns dock situationer där det kan ifrågasättas om föreningarna eller förbunden har något reellt inflytande över ändamålen och medlen för en behandling av personuppgifter. Ett exempel är om en förening är skyldig att på begäran av Antidoping Sverige lämna ut vissa specifika uppgifter till bolaget. Detta fall kan jämföras med fallet att en myndighet beordrar t.ex. ett företag att utföra en viss behandling. I det sistnämnda fallet anses myndigheten som regel vara personuppgiftsansvarig (se prop. 1998/99:34 s. 66 f. och prop. 2000/01:33 s. 137 f. samt Datainspektionens beslut den 12 juni 2014, dnr 1739-2013). När det gäller serviceföretagen finns olika uppfattningar om huruvida de är att anse som personuppgiftsansvariga för sin behandling av personuppgifter i antidopningsarbetet. Utredningen landar, efter ett utförligt resonemang, i att företagen bör ses som personuppgiftsansvariga. IDTM menar dock att man agerar som personuppgiftsbiträde såväl när man hanterar dopningstesterna som när man hämtar information från idrottsutövares vistelserapporter. Enligt bolaget tycks det även vara den gängse uppfattningen inom antidopningsvärlden. Den som anlitar någon annan för att behandla personuppgifter, t.ex. för att samla in och bearbeta uppgifterna, är normalt att anse som personuppgiftsansvarig och den anlitade som personuppgiftsbiträde. Kammarrätten i Stockholm har dock i en dom funnit att det sagda inte gäller i ett fall då ett företag hade anlitats för att göra bakgrundskontroller av arbetssökande. Domstolen konstaterade att företaget hade utarbetat särskilda metoder för insamlingen av uppgifter och att denna metod rimligen var skälet till att företaget anlitats för uppdraget. Företaget hade därför en självständig ställning och kunde bestämma ändamålen och medlen för behandlingen av personuppgifter på ett sådant sätt att bolaget var att betrakta som personuppgiftsansvarigt enligt personuppgiftslagen (se Kammarrätten i Stockholms dom, HFD 2015 ref. 3). Som utredningen lyfter anses även inkassobolag som har anlitats att driva in fordringar som personuppgiftsansvariga för behandlingen av personuppgifter i indrivningsverksamheten (se Datainspektionens allmänna råd om tillämpningen av inkassolagen, 2011, s. 9). Integritetsskyddsmyndigheten framhåller dock i sitt remissvar att inkassoverksamhet är reglerad och att inkassobolagen ansvarar för att dessa regler efterföljs, varför en annan ansvarsfördelning i detta fall skulle vara orimlig. Serviceföretag anlitas av signatärer av världsantidopningskoden för att utföra antidopningsarbete, t.ex. dopningskontroller. Uppdraget förutsätter dock att personuppgifter behandlas. Serviceföretagen ska utföra dopningskontrollerna i enlighet med reglerna i världsantidopningskoden och de internationella standarderna. Uppdragsgivaren bestämmer vilka idrottsutövare som ska kontrolleras, i vilken utsträckning som kontrollerna ska ske och vilken typ av prov (blod- eller urinprov) som ska lämnas. IDTM beskriver att de använder sig av standardformulär för dopningskontroller som har tagits fram av WADA och som anger vilken information som ska samlas in vid kontrollen. Enligt IDTM ger uppdragsgivaren i vissa fall även anvisningar om i vilken IT-miljö som kontrollen ska dokumenteras, t.ex. på papper eller inte. För utförande av uppdraget får serviceföretagen tillfällig tillgång till vissa personuppgifter, t.ex. idrottsutövarens vistelseinformation, i WADA:s databas ADAMS. Den som endast har tillgång till personuppgifter i en databas för att t.ex. söka bland eller läsa dem, men inte har rätt att ändra, komplettera eller radera uppgifterna anses som huvudregel inte vara personuppgiftsansvarig för behandlingen (se prop. 2007/08:126 s. 62). Utredningen menar att serviceföretagen har möjlighet att ändra och komplettera informationen i ADAMS under tiden de har tillgång till uppgifterna, medan IDTM påpekar att det som huvudregel inte är tillåtet. Serviceföretagen kan även själva samla in information om var idrottsutövaren befinner sig, för att ta ställning till när det är lämpligt att utföra en dopningskontroll. IDTM menar dock att det inte sker i praktiken, utan att det endast görs momentana kontroller mot ADAMS. Mot denna bakgrund är det enligt regeringens mening tveksamt om serviceföretagen alltid kan anses ha en sådan självständig ställning samt kan bestämma ändamålen och medlen för behandlingen av personuppgifter på ett sådant sätt att de är att betrakta som personuppgiftsansvariga för varje behandling som de utför i idrottens antidopningsarbete. Personuppgiftsansvaret bör inte regleras Registerförfattningar innehåller ofta en reglering av vem som är personuppgiftsansvarig. En sådan reglering har fördelen att det blir tydligt för de berörda vem som är personuppgiftsansvarig. Det råder som har framgått i viss mån delade meningar om vem som är personuppgiftsansvarig i antidopningsarbetet. Det skulle därför av tydlighetsskäl vara lämpligt att i lagen peka ut vem som är ansvarig för den behandling av personuppgifter som sker i arbetet. I den av Europeiska kommissionen utgivna utvärderingen av antidopningsarbetet i medlemsstaterna påtalas också behovet av att klargöra ansvarsfördelningen (se Anti-Doping & Data Protection, An evaluation of the anti-doping laws and practices in the EU Member States in light of the General Data Protection Regulation, 2017, s. 21 och 97). Regeringen anser dock, till skillnad från utredningen, att en bestämmelse om att varje organ som omfattas av den föreslagna lagen ska vara personuppgiftsansvarigt för den behandling som organet utför i antidopningsarbetet skulle kunna innebära avvikelse i förhållande till vad som gäller enligt artikel 4.7 i dataskyddsförordningen. Som framgått kan det i vissa fall ifrågasättas om föreningar och förbund är att anse som personuppgiftsansvariga för sin behandling av personuppgifter i antidopningsarbetet. Detsamma gäller serviceföretag. Den bestämmelse som utredningen föreslår skulle alltså kunna leda till att en aktör som inte har inflytande över ändamålen och medlen för en behandling av personuppgifter ändå är att anse som personuppgiftsansvarig, vilket kan innebära svårigheter för de inblandade aktörerna. Som Integritetsskyddsmyndigheten och IDTM påpekar skulle en sådan bestämmelse även kunna innebära att personuppgiftsansvaret regleras annorlunda i Sverige än i andra EU-länder. Då den föreslagna lagen t.ex. omfattar behandling av personuppgifter i Sverige som utförs av serviceföretag som inte är etablerade i Sverige finns därmed risk för normkonflikter. Mot denna bakgrund bedömer regeringen att personuppgiftsansvaret inte bör regleras i lagen. Vem som är personuppgiftsansvarig får i stället avgöras med stöd av artikel 4.7 i dataskyddsförordningen utifrån omständigheterna i varje enskilt fall. Särskilda bestämmelser om personuppgiftsbiträden bör inte införas Det förekommer att personuppgiftsbiträden anlitas i idrottens antidopningsarbete. Så kan vara fallet t.ex. när ett bolag åtar sig att utföra den tekniska driften av personuppgiftsbehandlingen för en personuppgiftsansvarigs räkning. Av artikel 29 i dataskyddsförordningen framgår att personuppgiftsbiträden och personer som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till personuppgifter, endast får behandla dessa uppgifter på instruktion från den personuppgiftsansvarige, såvida han eller hon inte är skyldig att göra det enligt unionsrätten eller medlemsstaternas nationella rätt. Om en behandling ska genomföras på en personuppgiftsansvarigs vägnar ska den personuppgiftsansvarige endast anlita personuppgiftsbiträden som ger tillräckliga garantier om att genomföra lämpliga tekniska och organisatoriska åtgärder på ett sådant sätt att behandlingen uppfyller kraven i förordningen och säkerställer att den registrerades rättigheter skyddas (se artikel 28.1). Personuppgiftsbiträdets hantering av personuppgifter ska regleras genom avtal eller annan bindande rättsakt som ska ha ett visst innehåll (se artikel 28.3). Enligt regeringen är bestämmelserna i dataskyddsförordningen som reglerar vad som gäller när en personuppgiftsansvarig anlitar ett personuppgiftsbiträde tillräckliga. Det finns därmed inte något behov av att införa särskilda bestämmelser om personuppgiftsbiträden i den föreslagna lagen. 8 Tillåten behandling av personuppgifter 8.1 Grundläggande principer för behandlingen av personuppgifter Minst en rättslig grund i artikel 6 i dataskyddsförordningen måste vara tillämplig för att en behandling av personuppgifter ska vara laglig. Det finns dessutom ett antal grundläggande principer i artikel 5 i förordningen som ska tillämpas vid all personuppgiftsbehandling. Den personuppgiftsansvarige ansvarar för och ska kunna visa att principerna följs. Enligt dessa principer ska personuppgifterna - behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (5.1 a), - samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål (5.1 b), - vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (5.1 c), - vara riktiga och om nödvändigt uppdaterade (5.1 d), - inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna behandlas (5.1 e), och - behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna (5.1 f). Den till världsantidopningskoden hörande standarden för skydd av privatlivet och personuppgifter innehåller också vissa grundläggande krav som gäller vid behandling av personuppgifter i idrottens antidopningsarbete. T.ex. följer av artikel 5.1 i standarden att personuppgifter ska behandlas endast om det är relevant och proportionerligt för att utföra antidopningsarbete enligt koden och de tillhörande internationella standarderna. Vidare får sådan behandling inte strida mot tillämplig dataskyddslagstiftning. Det finns därmed ett antal generella principer och bestämmelser som alltid ska tillämpas vid behandling av personuppgifter i idrottens antidopningsarbete, även om de inte framgår direkt av regeringens föreslagna lag om behandling av personuppgifter i idrottens antidopningsarbete. 8.2 Tillåtna ändamål för behandlingen av personuppgifter 8.2.1 Ändamålsbestämmelser införs Regeringens förslag: Personuppgifter ska få samlas in och i övrigt behandlas i idrottens antidopningsarbete om det är nödvändigt för vissa ändamål. Utredningens förslag stämmer överens med regeringens. Remissinstanserna: De flesta instanser tillstyrker eller har inga synpunkter på förslaget. Integritetsskyddsmyndigheten invänder att utredningens lagförslag som sådant är för oprecist för att ge rättsligt stöd för den integritetskänsliga behandling av personuppgifter som förslaget avser. Myndigheten pekar i detta sammanhang särskilt på bl.a. att ändamålsbestämmelsen är vagt formulerad. Myndigheten menar att det i flera avseenden inte går att förutse vilken behandling som kan komma att utföras under respektive punkt eller av vilka aktörer. Det innebär i sin tur att lagstiftaren inte kan göra sådana bedömningar om proportionalitet och skyddsåtgärder som krävs enligt dataskyddsförordningen. Enligt myndigheten måste ändamålsbestämmelsen vara mer konkret och begränsas utifrån vad som är nödvändigt och proportionellt. Vidare efterfrågas närmare analyser av bl.a. vilken behandling av personuppgifter som är nödvändig för olika aktörer att utföra för olika ändamål, vilka risker som behandlingen innebär för de registrerade och hur riskerna kan begränsas. Slutligen lyfter myndigheten frågan om en konsekvensbedömning enligt artikel 35 i dataskyddsförordningen. Sveriges Riksidrottsförbund (RF), Sveriges Olympiska Kommitté (SOK), Svenska Fotbollförbundet och Svenska Friidrottsförbundet framför i ett gemensamt yttrande att behandling även bör få ske för att planera, koordinera och administrera utbildning, för forskningsändamål samt för att i övrigt uppfylla kraven i världsantidopningskoden. Världsantidopningsbyrån (WADA) menar att det bör övervägas att ändra ändamålsbestämmelsen till att avse all behandling som är tillåten eller som krävs enligt världsantidopningskoden eller dess internationella standarder. Skälen för regeringens förslag Allmänt om ändamålsbestämmelser Personuppgifter ska enligt artikel 5.1 b i dataskyddsförordningen samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Uppgifterna får inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Det sistnämnda kallas för finalitetsprincipen. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska dock enligt samma bestämmelse inte anses vara oförenlig med de ursprungliga ändamålen. Det är den personuppgiftsansvarige som bestämmer ändamålen för personuppgiftsbehandlingen. Ändamålen kan dock även regleras i medlemsstaternas nationella rätt. Ändamålsbestämmelser är sådana specifika bestämmelser som anpassar tillämpningen av dataskyddsförordningen och säkerställer en laglig och rättvis behandling och är därmed tillåtna i nationell rätt enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Ändamålsbestämmelser anger den yttersta ram inom vilken uppgifter får behandlas. Sådana bestämmelser ger också möjlighet att på ett övergripande plan balansera intresset av en ändamålsenlig behandling av personuppgifter mot det intrång i den personliga integriteten som denna behandling kan innebära. Därmed kan välavvägda ändamålsbestämmelser i sig sägas utgöra en skyddsåtgärd för den enskilde. Enligt regeringens mening bör därför ändamålsbestämmelser införas i den föreslagna lagen. Uppgiften av allmänt intresse fastställs genom ändamålsbestämmelserna Som framgår av avsnitt 6.1 kan behandling av personuppgifter i idrottens antidopningsarbete stödjas på den rättsliga grunden att den är nödvändig för att utföra en uppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. Den rättsliga grunden för behandlingen, dvs. uppgiften av allmänt intresse, måste dock fastställas i rättsordningen (se artikel 6.3 i dataskyddsförordningen). Uppgiften att utföra antidopningsarbete inom idrotten ska alltså fastställas i den föreslagna lagen. Den rättsliga grunden bör vara tydlig och precis och dess tillämning bör vara förutsebar för dem som omfattas av den (se skäl 41 till dataskyddsförordningen). Vidare ska regleringen vara proportionell mot det mål som eftersträvas, i detta fall målet om en dopningsfri idrott (se artikel 6.3 i dataskyddsförordningen). Bestämmelser om att personuppgifter får behandlas för vissa ändamål utgör ett fastställande av uppgiften av allmänt intresse (jfr prop. 2017/18:105 s. 113 och prop. 2017/18:171 s. 83). Genom bestämmelser om att personuppgifter får behandlas i idrottens antidopningsarbete för vissa ändamål kan därmed uppgiften av allmänt intresse anses fastställd i den föreslagna lagen. Allmänt om utformningen av ändamålsbestämmelserna Som har utvecklats i avsnitt 7.3.1 bör lagen, så långt som det går, möjliggöra att personuppgifter kan behandlas för att utföra antidopningsarbete i Sverige i enlighet med världsantidopningskoden och de tillhörande internationella standarderna. De tillåtna ändamålen för behandlingen av personuppgifter bör preciseras så noga som möjligt. En allt för vagt hållen ändamålsbestämmelse riskerar nämligen att sätta integritetsskyddet ur spel. Regeringen anser därför att det inte är lämpligt att, som WADA och i viss mån även RF m.fl. föreslår, utforma ändamålsbestämmelsen på ett sådant sätt att personuppgifter får behandlas om det är nödvändigt för att utföra arbete i enlighet med världsantidopningskoden och dess internationella standarder. Integritetsskyddsmyndigheten menar att de ändamål som utredningen föreslår inte är tillräckligt preciserade. Enligt myndigheten är det inte möjligt att avgöra vilken behandling som kan utföras under respektive punkt. Det går inte heller att bedöma vilka aktörer som kan utföra behandlingen. Regeringen har, i avsnitt 4.1, 4.2 och 4.4.1, redogjort för bestämmelserna i världsantidopningskoden och de tillhörande internationella standarderna samt för de aktörer som kan behandla personuppgifter i antidopningsarbetet. Vi beskriver även i kommande avsnitt vilken behandling av personuppgifter som kan komma att utföras för respektive ändamål och av vem. Det ligger dock i sakens natur att det inte är möjligt att i detta lagstiftningsarbete i varje detalj redogöra för den behandling av personuppgifter som kan förekomma i det omfattande och gränsöverskridande antidopningsarbetet inom idrotten. Regeringen har övervägt att i den föreslagna lagen ange vilka aktörer som får behandla personuppgifter för respektive ändamål. Då flera aktörer kan behöva behandla personuppgifter för varje ändamål skulle det snarare göra lagen mer svåröverskådlig än tydligare. Ett exempel är att Antidoping Sverige AB (Antidoping Sverige), andra signatärer (t.ex. andra länders nationella antidopningsorganisationer, internationella specialidrottsförbund och storevenemangsorganisationer), serviceföretag etablerade i och utanför Sverige samt föreningar och förbund som är anknutna till RF eller ett internationellt specialidrottsförbund kan behöva behandla personuppgifter för ändamål som rör dopningskontroller. Det måste också antas att de aktörer som är mest berörda av antidopningsarbetet, t.ex. idrottsutövare som tävlar på högre nivåer, ofta har god kännedom om innebörden av regelverket och de inblandade aktörerna. Enligt regeringens mening är därför de ändamålsbestämmelser som föreslås i det följande tillräckligt preciserade och förutsebara för dem som omfattas av dem. Behandlingen ska vara nödvändig för att utföra vissa uppgifter Den rättsliga grunden för behandling av personuppgifter i idrottens antidopningsarbete är alltså att sådan behandling är nödvändig för att utföra en uppgift av allmänt intresse. Regeringen instämmer därför i utredningens förslag att de tillåtna ändamålen för behandling av personuppgifter bör avgränsas till sådan behandling som är nödvändig för att utföra vissa uppgifter i antidopningsarbetet. Kravet på att behandlingen ska vara nödvändig innebär inte att behandlingen ska vara oundgänglig. Metoden för att utföra uppgiften måste dock vara ändamålsenlig, effektiv och proportionerlig och får därmed inte medföra ett onödigt intrång i enskildas privatliv. Regeringen redogör i det följande för de ändamål för vilka personuppgifter bör få behandlas i idrottens antidopningsarbete med stöd av den föreslagna lagen. Lagrådet har uttalat att personuppgiftsbehandling för planering, uppföljning och utvärdering av verksamhet är en sådan integrerad del av själva verksamheten att den inte behöver regleras särskilt (se t.ex. prop. 2004/05:164 s. 179 och prop. 2009/10:85 s. 116). Någon särskild bestämmelse om att sådan behandling är tillåten behövs därför inte i den nya lagen. Regleringen är proportionell mot det mål som eftersträvas Av artikel 6.3 i dataskyddsförordningen framgår att nationell rätt som kompletterar förordningen ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Detta motsvarar det krav som Europakonventionen ställer på lagstiftaren i en rättsstat. Det finns även ett krav på proportionalitetsbedömning vid undantag från förbudet mot behandling av känsliga personuppgifter med stöd av artikel 9.2 g i dataskyddsförordningen. Det antidopningsarbete som utförs på grund av världsantidopningskoden och de tillhörande internationella standarderna bidrar till att motverka dopning inom idrotten och målet om dopningsfri idrott. Som vi har utvecklat i avsnitt 6.2 är intresset av en dopningsfri idrott inte bara ett allmänt intresse, utan även ett viktigt allmänt intresse. Idrottens antidopningsarbete är till sin natur integritetskänsligt. Personuppgifter kan behandlas bl.a. för att utföra oannonserade dopningskontroller av idrottsutövare och för att skapa biologiska pass, dvs. medicinska profiler som innehåller resultaten av en idrottsutövares urin- och blodvärden under en period. Personuppgifter kan även behandlas för att handlägga bestraffningsärenden mot idrottsutövare. Vidare kan uppgifter behandlas i en slags underrättelseverksamhet i syfte att upptäcka dopningsförseelser. Sverige har dock, i likhet med ett stort antal andra stater, ratificerat Europarådets konvention mot dopning och Unescos konvention mot dopning inom idrotten. Det finns alltså internationellt en bred samsyn om vikten av att samordna insatserna mot dopning mellan länderna. Vidare finns en konsensus om att följa principerna i världsantidopningskoden (jfr artikel 4 i Unescos konvention mot dopning inom idrotten). Världsantidopningskoden och de tillhörande internationella standarderna är också det regelverk som stora delar av den organiserade idrotten, i såväl Sverige som internationellt, i praktiken har att rätta sig efter. Om t.ex. Antidoping Sverige inte skulle följa koden skulle bolaget, och i förlängningen svensk idrott, riskera att drabbas av negativa konsekvenser. Ytterst kan t.o.m. Sverige förlora rätten att anordna internationella evenemang eller svenska idrottsutövare uteslutas från att delta i sådana evenemang. Intresset av att antidopningsarbete kan utföras i enlighet med världsantidopningskoden och de internationella standarderna väger därför enligt regeringens mening tungt (jfr Europadomstolens resonemang i målen 48151/11 och 77769/13, Fédération Nationale des Associations et Syndicats de Sportifs [FNASS] m.fl. mot Frankrike). En förutsättning för att detta arbete ska kunna utföras är att personuppgifter kan behandlas för de ändamål som anges i den föreslagna lagen. Mot intresset av att personuppgifter kan behandlas i idrottens antidopningsarbete ska ställas de risker för intrång i den personliga integriteten som behandlingen innebär. I antidopningsarbetet behandlas bl.a. känsliga personuppgifter om framför allt hälsa. Som exempel kan uppgifter i medicinska underlag behandlas vid handläggningen av ärenden om medicinsk dispens. Vidare kan uppgifter om medicinintag behandlas i samband med dopningskontroller. Uppgifterna kan behandlas av flera aktörer i flera led och även över nationsgränser. Detta ökar risken för att uppgifterna kan komma att användas i ovidkommande syften eller för att någon aktör genom en personuppgiftsincident förlorar kontrollen över uppgifterna. I Sverige bedrivs antidopningsarbetet av privaträttsliga organ. Integritetsskyddsmyndigheten efterfrågar fördjupade analyser av riskerna med detta förhållande och lyfter särskilt rättighetsaspekter vid handläggningen av dopningsförseelser. Aktörerna i idrottens antidopningsarbete omfattas, till skillnad från t.ex. myndigheter, inte av någon verksamhetsreglerande författning som anger ramarna för verksamheten. Detta ökar riskerna för intrång i den personliga integriteten. Aktörerna i idrottens antidopningsarbete styrs dock till stor del av bestämmelserna i världsantidopningskoden, som har implementerats i svensk idrotts interna regelverk. Koden innehåller bl.a. relativt detaljerade bestämmelser om handläggningen av dopningsförseelser. Den misstänkte har bl.a. rätt att anlita ombud, rätt till muntlig förhandling, rätt till ett motiverat beslut och rätt att överklaga beslut (se artiklarna 8 och 13 i koden samt 8.2-4 och 13 i Idrottens antidopingreglemente). Dessa bestämmelser bedöms minska riskerna för intrång i enskildas fri- och rättigheter. Den föreslagna lagen innehåller dessutom flera skyddsåtgärder för att minska riskerna för enskilda. De föreslagna ändamålsbestämmelserna är viktiga för att begränsa risken för att personuppgifterna används för ovidkommande syften. Ändamålen är alla knutna till behandling som är nödvändig för att utföra specifika uppgifter i antidopningsarbetet. Ändamålsbestämmelsen anger därmed ramarna för den behandling som är tillåten med stöd av den föreslagna lagen. Vidare föreslås ett antal ytterligare skyddsåtgärder, t.ex. gallringsbestämmelser (se avsnitt 10.2 och 10.3) och tillgångsbegränsningar (se avsnitt 11.2), som bedöms minska riskerna för intrång i den personliga integriteten ytterligare. Sammantaget bedömer regeringen att intresset av att personuppgifter kan behandlas i idrottens antidopningsarbete tillsammans med de skyddsåtgärder som föreslås väger upp de nackdelar som kan uppstå för den enskilde genom behandlingen av personuppgifter i antidopningsarbetet. Kravet på konsekvensbedömning i vissa fall Den personuppgiftsansvarige ska enligt artikel 35.1 i dataskyddsförordningen i vissa fall göra en konsekvensbedömning avseende dataskydd före behandlingen av personuppgifter. Av samma artikel framgår att en sådan bedömning ska göras om en typ av behandling, särskilt med användning av ny teknik samt med beaktande av dess art, omfattning, sammanhang och ändamål, sannolikt leder till en hög risk för fysiska personers rättigheter och friheter. Den personuppgiftsansvarige ska enligt artikel 36.1 i samma förordning samråda med tillsynsmyndigheten före behandling om konsekvensbedömningen visar att behandlingen skulle leda till en hög risk. Det gäller dock inte om den som är personuppgiftsansvarig vidtar åtgärder för att minska risken. Enligt artikel 35.7 i dataskyddsförordningen ska en konsekvensbedömning åtminstone innehålla - en systematisk beskrivning av den planerade behandlingen och behandlingens syften, - en bedömning av behovet av och proportionaliteten hos behandlingen i förhållande till syftena, - en bedömning av riskerna för de registrerades rättigheter och friheter, och - de åtgärder som planeras för att hantera riskerna. Av artikel 35.10 i dataskyddsförordningen följer dock att en konsekvensbedömning i regel inte behöver göras om behandlingen av personuppgifter sker med stöd av artikel 6.1 c eller e i förordningen och den rättsliga grunden reglerar den specifika behandlingsåtgärden eller serien av åtgärder i fråga, om en konsekvensbedömning redan har genomförts som en del av en allmän konsekvensbedömning i samband med antagandet av denna rättsliga grund. Integritetsskyddsmyndigheten lyfter frågan om konsekvensbedömning i detta lagstiftningsärende. Regeringen gör inom ramen för detta ärende överväganden om proportionalitet, risker för de registrerade och skyddsåtgärder. Den föreslagna lagen anger ramarna för den personuppgiftsbehandling som får utföras i antidopningsarbetet med stöd av lagen. De aktörer som omfattas av lagen har dock ett visst utrymme att välja hur behandlingsåtgärden ska utföras, t.ex. vilken teknik som ska användas vid behandlingen av personuppgifter. Det finns därmed inte förutsättningar att i det här lagstiftningsärendet göra en generell konsekvensbedömning avseende dataskydd för personuppgiftsbehandling i idrottens antidopningsarbete. Det ankommer i stället på den personuppgiftsansvarige att, om det krävs i ett enskilt fall, göra en konsekvensbedömning avseende dataskydd. 8.2.2 Ändamål som rör medicinsk dispens Regeringens förslag: Personuppgifter ska få behandlas i idrottens antidopningsarbete om det är nödvändigt för att handlägga ärenden om medicinsk dispens och för att begära överprövning av och överklaga beslut om sådan dispens. Utredningens förslag stämmer delvis överens med regeringens. Utredningen föreslår dock att personuppgifter ska få behandlas för att handlägga "ansökningar" om medicinsk dispens, i stället för "ärenden". Förslaget omfattar inte uttryckligen behandling för att begära överprövning av och överklaga beslut om medicinsk dispens. Remissinstanserna: Ingen instans har yttrat sig särskilt i denna del. Integritetsskyddsmyndigheten framför dock generell kritik mot förslaget till ändamålsbestämmelse, se avsnitt 8.2.1. Skälen för regeringens förslag: Idrottsutövare som av medicinska skäl måste använda dopningsklassade läkemedel eller metoder kan få medicinsk dispens från dopningsreglerna. Bestämmelser om sådan dispens finns i artikel 4.4 i världsantidopningskoden och i den internationella standarden för medicinsk dispens, se avsnitt 4.4.1. För svensk idrotts del finns också bestämmelser i artikel 4.4 i Idrottens antidopingreglemente och Föreskrift för medicinsk dispens. För att medicinsk dispens ska beviljas måste idrottsutövaren kunna visa att han eller hon har behov av den förbjudna substansen eller metoden. En dispensansökan ska därför, förutom bl.a. namn och kontaktuppgifter, innehålla ett utförligt medicinskt underlag. En ansökan om medicinsk dispens kan, beroende på omständigheterna i det enskilda fallet, handläggas av olika organ. Idrottsutövare som inte tävlar på internationell nivå ska ansöka hos sin nationella antidopningsorganisation. I Sverige handlägger alltså Antidoping Sverige ansökningar om medicinsk dispens. Ansökan prövas av Dispenskommittén inom Antidoping Sverige. Om Dispenskommittén avslår ansökan får idrottsutövaren överklaga beslutet till Dopingnämnden inom RF. Idrottsutövare som är på internationell nivå ska i stället ansöka om medicinsk dispens hos sitt internationella specialidrottsförbund. Internationella specialidrottsförbund som är etablerade i Sverige och är signatärer av världsantidopningskoden handlägger alltså ansökningar om medicinsk dispens i Sverige. Om det internationella specialidrottsförbundet beviljar ansökan får den nationella antidopningsorganisationen, för Sveriges del Antidoping Sverige, hänskjuta frågan till WADA för prövning. Om en idrottsutövare redan har beviljats en nationell dispens kan dispensen erkännas av det internationella specialidrottsförbundet. Erkännandet kan ske antingen automatiskt eller efter prövning. Om en begäran om erkännande avslås får idrottsutövaren eller den nationella antidopningsorganisationen hänskjuta frågan till WADA för prövning. I vissa fall ska idrottsutövare också ansöka om eller begära erkännande av medicinsk dispens hos en storevenemangsorganisation. Ett sådant beslut får överklagas av idrottsutövaren till ett organ som organisationen har bestämt. Det organ som ansvarar för dispenshandläggningen kan ta hjälp av ett serviceföretag för att handlägga ansökan. Vidare har WADA alltid rätt att överpröva beslut angående medicinsk dispens. Idrottsutövaren eller den nationella antidopningsorganisationen får i vissa fall överklaga det internationella specialidrottsförbundets beslut om medicinsk dispens till Idrottens internationella skiljedomstol (CAS). Vidare får idrottsutövaren, den nationella antidopningsorganisationen och det internationella specialidrottsförbundet under vissa förhållanden överklaga WADA:s beslut till CAS. Alla beslut om att bevilja eller avslå en ansökan om medicinsk dispens eller om att erkänna eller inte erkänna en redan beviljad dispens ska göras tillgängliga för WADA och andra relevanta signatärer via WADA:s databas Anti-Doping Administration & Management System (ADAMS). Vid en beviljad dispens ska informationen omfatta bl.a. den tillåtna substansen eller metoden, dosering och dispensens giltighetstid. Vidare ska ansökningsblanketten och relevant klinisk information göras tillgänglig, dock endast för åtkomst av WADA, den nationella antidopningsorganisationen, det internationella specialidrottsförbundet och storevenemangsorganisationer som anordnar tävlingar som idrottsutövaren deltar i. Varje medicinsk dispens har en specificerad varaktighet och upphör automatiskt vid tidsperiodens slut. En medicinsk dispens kan dock dras tillbaka innan datumet för upphörande om idrottsutövaren inte uppfyller kraven eller villkoren för dispensen. En ansökan om medicinsk dispens ska behandlas konfidentiellt. Information som lämnas av en idrottsutövare vid en ansökan om medicinsk dispens får användas endast för att pröva ansökan och utreda en misstänkt dopningsförseelse. Antidoping Sverige, vilket inkluderar Dispenskommittén, och Dopingnämnden inom RF behöver därmed kunna behandla personuppgifter för att handlägga ansökningar om medicinsk dispens och ompröva beviljade medicinska dispenser. Detsamma gäller internationella specialidrottsförbund som är etablerade i Sverige och är signatärer av världsantidopningskoden, t.ex. Internationella Orienteringsförbundet. Även serviceföretag som är etablerade i Sverige, f.n. International Doping Tests Management AB (IDTM), kan behöva behandla personuppgifter för att utföra delegerade uppgifter som rör medicinsk dispens. När det gäller signatärer av koden som inte är etablerade i Sverige, t.ex. andra länders nationella antidopningsorganisationer, andra internationella specialidrottsförbund och storevenemangsorganisationer, samt serviceföretag som inte är etablerade i Sverige är den föreslagna lagen endast tillämplig om de behandlar personuppgifter i Sverige. Enligt regeringens mening bör personuppgifter få behandlas i idrottens antidopningsarbete om det är nödvändigt för att handlägga ärenden om medicinsk dispens. Det blir därmed tydligt att personuppgifter får behandlas för att handlägga ansökningar om medicinsk dispens, men även ärenden om omprövning av beviljade dispenser. Under bestämmelsen faller alla åtgärder som behöver vidtas i ett ärende, t.ex. mottagande av uppgifter, diarieföring, kommunicering, protokollföring, sökning efter relevant praxis, upprättande av beslut och expediering. Även den behandling som sker när information om beslutet lämnas ut till WADA och andra signatärer omfattas. Som framgått har en nationell antidopningsorganisation, för Sveriges del Antidoping Sverige, i vissa fall rätt att begära överprövning av ett annat organs beslut angående medicinsk dispens. Vidare kan en nationell antidopningsorganisation eller ett internationellt specialidrottsförbund under vissa förhållanden ha rätt att överklaga ett annat organs beslut. Det är tveksamt om en sådan åtgärd faller in under handläggning av ärenden om medicinsk dispens. Regeringen anser därför att det bör förtydligas att personuppgifter även ska få behandlas i idrottens antidopningsarbete om det är nödvändigt för att begära överprövning av eller överklaga beslut om medicinsk dispens. 8.2.3 Ändamål som rör vistelserapportering Regeringens förslag: Personuppgifter ska få behandlas i idrottens antidopningsarbete om det är nödvändigt för att planera, samordna och administrera vistelserapporteringar. Utredningens förslag stämmer i sak överens med regeringens. Remissinstanserna: Ingen instans har yttrat sig särskilt i denna del. Integritetsskyddsmyndigheten framför dock generell kritik mot förslaget till ändamålsbestämmelse, se avsnitt 8.2.1. Skälen för regeringens förslag: Vissa idrottsutövare och lag är skyldiga att vistelserapportera, vilket syftar till att möjliggöra effektiva och oanmälda dopningskontroller av dem. Bestämmelser om vistelserapportering finns i artikel 5.5 i världsantidopningskoden och den internationella standarden för dopningskontroll och utredning, se avsnitt 4.4.1. För svensk idrotts del finns det även bestämmelser i artikel 5.5 i Idrottens antidopingreglemente och i artikel 2 i Föreskrifter för nationell antidopingverksamhet. Vidare beslutar Antidoping Sverige om kriterier för vilka idrottsutövare och föreningar som ska ingå i de nationella kontrollpoolerna. Nationella antidopningsorganisationer och internationella specialidrottsförbund ska besluta om vilka idrottsutövare som ska vistelserapportera. De ska även fatta beslut om idrottsutövarna ska ingå i en registrerad kontrollpool eller en annan kontrollpool. Olika krav på vistelserapportering gäller beroende på vilken kontrollpool som idrottsutövaren tillhör. Vidare får storevenemangsorganisationer, när det gäller idrottsutövare som inte ingår i en registrerad kontrollpool, anta evenemangsspecifika regler om att idrottsutövare eller relevanta tredje parter ska vistelserapportera. De nationella antidopningsorganisationerna och internationella specialidrottsförbunden ska i WADA:s databas ADAMS tillhandahålla en lista med namnen på de idrottsutövare som ingår i deras respektive registrerade kontrollpool. Idrottsutövare ska informeras innan de tas in i och tas bort från en registrerad kontrollpool. Idrottsutövare som ingår i en registrerad kontrollpool ska kvartalsvis lämna vistelserapporter med bl.a. kontaktuppgifter, uppgifter om var de övernattar, arbetar och tränar samt vistelseuppgifter för en 60-minutersperiod varje dag. Vistelserapporterna ska lämnas i ADAMS. De ska göras tillgängliga för WADA och andra signatärer som har behörighet att utföra dopningskontroller av idrottsutövaren. Vidare får serviceföretag som ska utföra en dopningskontroll tillfällig tillgång till uppgifterna. Det organ som samlar in vistelserapporterna ska granska dem för att säkerställa att de lämnats korrekt. Vistelserapporterna ska hanteras strikt konfidentiellt och får endast användas för vissa syften, bl.a. för att planera, koordinera och genomföra dopningskontroller, ge information som är relevant för idrottsutövarens biologiska pass samt utreda en potentiell dopningsförseelse. De nationella antidopningsorganisationerna och internationella specialidrottsförbunden ska samordna valet av vilka idrottsutövare som ska ingå i kontrollpoolerna och insamlingen av vistelserapporter. De får även delegera hela eller delar av ansvaret för vistelserapporteringen till bl.a. serviceföretag. Antidoping Sverige beslutar vilka idrottsutövare som ska ingå i den nationella registrerade kontrollpoolen. Bolaget fastställer även vilka idrottsutövare som ska ingå i den s.k. Kontrollpoolen. Den sistnämnda kontrollpoolen inkluderar både idrottsutövare och lag. I dag vistelserapporterar omkring 300 idrottsutövare och ett 70-tal lag i Sverige. Idrottsutövare som ingår i Kontrollpoolen ska kvartalsvis lämna vistelserapporter med bl.a. kontaktuppgifter samt uppgifter om var de övernattar, regelbundna aktiviteter och planerade tävlingar. Rapporterna ska lämnas i ADAMS. Lag som ingår i Kontrollpoolen ska lämna uppgifter om var laget är samlat för träning eller annan aktivitet utanför träning vid minst tre tillfällen per vecka. Däremot lämnas inte uppgifter om enskilda idrottsutövare. Rapporteringen sker inte i ADAMS, utan i ett internt system hos Antidoping Sverige. En sådan kollektiv rapportering bedöms vara tillåten enligt artikel 4.8.10.2 i den internationella standarden för dopningskontroll och utredning. Nationella specialidrottsförbund som är anknutna till RF ska rapportera till Antidoping Sverige vilka idrottsutövare som har ålagts av ett internationellt specialidrottsförbund att ingå i en internationell registrerad kontrollpool. De ska även, som underlag för upprättande av förteckning över idrottsutövare i de nationella kontrollpoolerna, på begäran av Antidoping Sverige lämna person- och adressuppgifter till idrottsutövarna (se artikel 2.4 i Föreskrifter för nationell antidopingverksamhet). Internationella olympiska kommittén (IOK) kan, i sina interna regler för ett olympiskt spel, ålägga nationella olympiska kommittéer att lämna vistelserapporter för idrottsutövare i sin trupp. SOK kan därmed lämna vistelserapporter om svenska idrottsutövare till IOK. Internationella specialidrottsförbund som är etablerade i Sverige och signatärer av världsantidopningskoden kan också hantera frågor om vistelserapportering här. Exempelvis har Internationella Orienteringsförbundet tidigare haft en registrerad kontrollpool, men har i dag en kontrollpool för lag. Antidoping Sverige behöver alltså behandla personuppgifter för att välja ut vilka idrottsutövare som ska vistelserapportera och samordna vistelserapporteringen med andra organ. Bolaget måste också behandla personuppgifter för att tillhandahålla en lista över idrottsutövarna i den registrerade kontrollpoolen i ADAMS och i övrigt administrera vistelserapporteringarna i enlighet med världsantidopningskoden och de internationella standarderna. Detsamma kan gälla internationella specialidrottsförbund som är etablerade i Sverige och är signatärer av världsantidopningskoden. De nationella specialidrottsförbunden måste behandla personuppgifter för att bistå Antidoping Sverige, och ev. även det internationella specialidrottsförbundet, i arbetet med vistelserapporteringar. SOK kan behöva behandla personuppgifter för att bistå IOK i arbetet med vistelserapporteringar. Vidare kan serviceföretag som är etablerade i Sverige, för närvarande IDTM, behöva behandla personuppgifter för att utföra delegerade uppgifter som rör vistelserapportering. När det gäller signatärer av koden som inte är etablerade i Sverige, t.ex. andra länders nationella antidopningsorganisationer, andra internationella specialidrottsförbund, och storevenemangsorganisationer, samt serviceföretag som inte är etablerade i Sverige är den föreslagna lagen endast tillämplig om de behandlar personuppgifter i Sverige. Regeringen anser därför att personuppgifter ska få behandlas i idrottens antidopningsarbete om det är nödvändigt för att planera, samordna och administrera vistelserapporteringar. Vi har av tydlighetsskäl valt begreppet "samordna" i stället för "koordinera". Detta innebär dock inte någon skillnad i sak i förhållande till utredningens förslag. 8.2.4 Ändamål som rör dopningskontroller Regeringens förslag: Personuppgifter ska få behandlas i idrottens antidopningsarbete om det är nödvändigt för att planera, samordna och genomföra dopningskontroller. Utredningens förslag stämmer i sak överens med regeringens. Remissinstanserna: Ingen instans har yttrat sig särskilt i denna del. Integritetsskyddsmyndigheten framför dock generell kritik mot förslaget till ändamålsbestämmelse, se avsnitt 8.2.1. Skälen för regeringens beslut: Dopningskontroller utgör en central del av idrottens antidopningsarbete. Utförliga bestämmelser om sådana kontroller finns i artikel 5.1-5.4 i världsantidopningskoden och i den internationella standarden för dopningskontroll och utredning, se avsnitt 4.4.1. När det gäller svensk idrott finns även bestämmelser i artikel 5.1-5.4 i Idrottens antidopingreglemente. Antidoping Sverige har som nationell antidopningsorganisation rätt att utföra dopningskontroller i och utanför Sverige. Bolaget utför en stor del av kontrollerna i Sverige. Andra nationella antidopningsorganisationer, internationella specialidrottsförbund och storevenemangsorganisationer som är signatärer av världsantidopningskoden får dock också göra dopningskontroller i Sverige. Även serviceföretag kan utföra kontroller på uppdrag av Antidoping Sverige eller andra signatärer av koden. Antidoping Sverige och övriga organ som har rätt att utföra dopningskontroller ska upprätta en dopningskontrollplan, som ska innehålla bl.a. en prioritering mellan idrotter/idrottsgrenar, idrottsutövare och typer av kontroller. Planen ska på begäran lämnas till WADA. Aktörerna som utför dopningskontroller ska även samordna arbetet med varandra, genom att bl.a. dela information i WADA:s databas ADAMS. Vid planering och samordning av dopningskontrollerna kan uppgifter hämtas från vistelserapporter eller listor över aktiva idrottsutövare. Föreningar och förbund som är anknutna till RF är skyldiga att på begäran till Antidoping Sverige lämna ut t.ex. deltagarlistor för tävlingar där dopningskontroller kan komma att ske. Föreningar och förbund som är etablerade i Sverige och som är anknutna till ett internationellt specialidrottsförbund som är signatär av världsantidopningskoden kan ha motsvarande skyldigheter i förhållande till det internationella specialidrottsförbundet. SOK lämnar listor med namn på idrottsutövare som kan kvalificera sig till olympiska spelen till Antidoping Sverige för att underlätta dopningskontroller av dem. Motsvarande kan gälla Sveriges Paralympiska Kommitté (SPK). Vid dopningskontrollen ska blod- eller urinprov tas från idrottsutövaren. En dopningskontroll ska i regel ske utan förvarning. Idrottsutövaren ska underrättas och informeras i samband med kontrollen. Alla försök att underrätta idrottsutövaren ska dokumenteras. Idrottsutövaren ska underteckna ett formulär för att bekräfta och acceptera underrättelsen. Vid kontrollen ska dopningskontrollfunktionären registrera information om bl.a. idrottsutövarens namn, födelsedatum, kontaktuppgifter samt eventuella mediciner som har tagits under de senaste sju dagarna. Provet ska analyseras av ett laboratorium som har godkänts av WADA i syfte att bl.a. upptäcka förbjudna substanser eller metoder. I Sverige finns ett sådant laboratorium, Dopinglaboratoriet vid Karolinska Universitetssjukhuset. Vidare kan en passhanteringsenhet (Athlete Passport Management Unit) analysera provet i förhållande till uppgifterna i idrottsutövarens biologiska pass för att hitta eventuella avvikelser. När det gäller dopningsprover tagna av Antidoping Sverige görs analysen av en passhanteringsenhet i Norge. Antidoping Sverige behöver alltså behandla personuppgifter för att planera, samordna och genomföra dopningskontroller. Detsamma gäller internationella specialidrottsförbund som är etablerade i Sverige och är signatärer av världsantidopningskoden. Föreningar och förbund kan behöva lämna ut personuppgifter till Antidoping Sverige eller ett internationellt specialidrottsförbund som är signatär av koden för ändamålen. Även SOK och SPK kan behöva lämna ut personuppgifter till Antidoping Sverige för ändamålen. Vidare kan signatärer av koden som inte är etablerade i Sverige behöva behandla personuppgifter för att utföra dopningskontroller här. Även serviceföretag som är etablerade i och utanför Sverige kan behöva behandla personuppgifter för att utföra dopningskontroller efter delegation av signatärer av koden. Mot denna bakgrund bör personuppgifter enligt regeringens mening få behandlas i idrottens antidopningsarbete om det är nödvändigt för att planera, samordna och genomföra dopningskontroller. Vi har valt begreppet "samordna" i stället för "koordinera". Detta innebär inte någon skillnad i sak i förhållande till utredningens förslag. Vidare har regeringen valt uttrycket "genomföra" i stället för "handlägga" då det senare begreppet kan föra tankarna till mer traditionell ärendehandläggning som utmynnar i ett uttryckligt beslut. Inte heller detta innebär någon skillnad i sak i förhållande till utredningens förslag. Som har framgått i avsnitt 7.3.1 och 7.4.2 ska den föreslagna lagen inte omfatta den behandling av personuppgifter som utförs av Dopinglaboratoriet vid Karolinska Universitetssjukhuset eller andra av WADA godkända dopningslaboratorier. Inom ändamålet att genomföra dopningskontroller ryms dock den behandling som sker vid utlämnande av uppgifter från en dopningskontroll till ett dopningslaboratorium och vid mottagande av resultatet från laboratoriet. Den föreslagna lagen omfattar inte heller den behandling av personuppgifter som utförs av passhanteringsenheten i Norge. Däremot omfattas behandlingen som sker vid utlämnande av uppgifter till och mottagande av svar från passhanteringsenheten. 8.2.5 Ändamål som rör ärenden om dopningsförseelser Regeringens förslag: Personuppgifter ska få behandlas i idrottens antidopningsarbete om det är nödvändigt för att handlägga, tillhandahålla information i och överklaga beslut i ärenden om dopningsförseelser. Utredningens förslag stämmer i huvudsak överens med regeringens. Utredningens förslag omfattar dock inte uttryckligen behandling för att tillhandahålla information i och överklaga beslut i ärenden om dopningsförseelser. Remissinstanserna: Ingen instans har yttrat sig särskilt i denna del. Integritetsskyddsmyndigheten framför dock generell kritik mot förslaget till ändamålsbestämmelse, se avsnitt 8.2.1. Skälen för regeringens förslag: Idrottsutövare eller andra personer som misstänks för en dopningsförseelse kan efter ett bestraffningsförfarande bli föremål för sanktioner, t.ex. diskvalificering, avstängning eller ekonomiska sanktioner. Bestämmelser om den s.k. resultathanteringen finns i artiklarna 7, 8, 13 och 14.1-3 i världsantidopningskoden och i den internationella standarden för resultathantering, se avsnitt 4.4.1. När det gäller svensk idrott finns motsvarande bestämmelser i artiklarna 7, 8, 13 och 14.1-3 i Idrottens antidopingreglemente och Föreskrift för resultathantering. Det organ som initierade och styrde provtagningen ska som huvudregel ansvara för resultathanteringen. Om ingen provtagning har skett ska det organ som först underrättar den misstänkte och som avser att följa upp misstanken vara ansvarig. Det organ som ansvarar för resultathanteringen ska utreda information som ger rimlig anledning att misstänka att en dopningsförseelse kan ha begåtts. Det ansvariga organet ska efter en initial utredning underrätta idrottsutövaren om den misstänka dopningsförseelsen. Organet ska respektive får i vissa fall besluta om interimistisk avstängning, dock under förutsättning att den misstänkte får möjlighet till en förhandling. När den misstänkte har lämnat en förklaring eller tiden för att lämna en sådan löpt ut ska det ansvariga organet skriftligen anklaga den misstänkte för dopningsförseelse. Om den misstänkte erkänner förseelsen och godkänner de konsekvenser som föreslagits ska det ansvariga organet meddela beslut. Detsamma gäller om den misstänkte ska anses ha erkänt förseelsen och godkänt konsekvenserna. I annat fall ska det ansvariga organet hänskjuta ärendet till en opartisk och operationellt självständig panel för prövning. Vissa ärenden kan prövas direkt av CAS. Beslut som meddelas under handläggningen av ett ärende om dopningsförseelse får i regel överklagas. Överklagande får göras av bl.a. den som beslutet rör, den nationella antidopningsorganisationen, det internationella specialidrottsförbundet och WADA. Beslut som meddelas i ärendet, underrättelsen till den misstänkte och viss annan information ska rapporteras i ADAMS och lämnas till bl.a. den nationella antidopningsorganisationen, det internationella specialidrottsförbundet och WADA. Beslut i ärendet ska även i vissa fall publiceras på internet (se avsnitt 8.7). Uppgifterna ska hanteras konfidentiellt till dess att publicering skett. Antidoping Sverige handlägger ärenden om dopningsförseelser i Sverige. Bolaget anmäler dopningsförseelser till Dopingnämnden inom RF. Antidoping Sveriges beslut får överklagas till Dopingnämnden. Dopingnämndens beslut överklagas till Riksidrottsnämnden inom RF. I vissa fall får överklagande i stället ske direkt till CAS. Riksidrottsnämndens beslut får i vissa fall överklagas till CAS. Vidare kan internationella specialidrottsförbund som är etablerade i Sverige och är signatärer av världsantidopningskoden handlägga ärenden om dopningsförseelser här. Exempelvis har Internationella Orienteringsförbundet hanterat enstaka ärenden under de senaste åren. Under handläggningen av ärenden om dopningsförseelser behöver personuppgifter behandlas. Personuppgifterna kan ha samlats in t.ex. i samband med en dopningskontroll, ett ärende om medicinsk dispens, vistelserapportering eller underrättelseverksamhet. Uppgifter kan även hämtas in under handläggningen av ett ärende. Vidare kan uppgifter lämnas in av den enskilde. Regeringen instämmer i utredningens bedömning att behandling av personuppgifter bör få ske för ändamålet att handlägga ärenden om dopningsförseelser. Under bestämmelsen faller alla åtgärder som behöver vidtas i ett ärende, t.ex. mottagande av uppgifter, diarieföring, kommunicering, protokollföring, sökning efter relevant praxis, upprättande av beslut och expediering. Även behandling av personuppgifter som sker vid den inledande utredningen av den misstänkta dopningsförseelsen omfattas. Vidare omfattas den behandling som sker när information om beslutet lämnas ut till WADA och andra signatärer. Integritetsskyddsmyndigheten menar att ändamålen måste preciseras och ger som exempel att det av ändamålsbestämmelsen inte framgår vilka aktörer som kan handlägga ärenden om dopningsförseelser eller att det kan leda till ett bestraffningsförfarande och beslut om avstängning. Som framgått kan Antidoping Sverige, Dopingnämnden och Riksidrottsstyrelsen handlägga ärenden om dopningsförseelser. Detsamma gäller internationella specialidrottsförbund som är etablerade i Sverige och är signatärer av världsantidopningskoden. Vidare kan serviceföretag som är etablerade i Sverige utföra delegerade uppgifter som rör resultathantering. När det gäller signatärer av världsantidopningskoden som inte är etablerade i Sverige, t.ex. andra nationella antidopningsorganisationer och andra internationella specialidrottsförbund, samt serviceföretag som inte är etablerade i Sverige är den föreslagna lagen endast tillämplig om de behandlar personuppgifter i Sverige. Det förekommer ändamålsbestämmelser som avser handläggning av ärenden i flera andra registerförfattningar, bl.a. 6 § domstolsdatalagen (2015:728) och 11 § utlänningsdatalagen (2016:27). Begreppet handläggning omfattar bl.a. beslutsfattande. Det saknas enligt regeringen anledning att i lagen förtydliga att handläggning av dopningsförseelser kan omfatta ett bestraffningsförfarande och beslut om avstängning. Föreningar och förbund som är anknutna till RF är skyldiga att på begäran av bl.a. Antidoping Sverige, Dopingnämnden och Riksidrottsnämnden lämna uppgifter och avge yttranden i ärenden om dopningsförseelser (se 8 kap. 5 § 6 och 11 kap. 3 a § 8 i RF:s stadgar). Vidare kan föreningar och förbund i Sverige som är anknutna till internationella specialidrottsförbund som är signatärer av världsantidopningskoden ha motsvarande skyldigheter i förhållande till sitt internationella specialidrottsförbund. Föreningar och förbund kan således behöva behandla personuppgifter för att tillhandahålla information i ärenden om dopningsförseelser. Det är tveksamt om en sådan åtgärd faller in under ändamålet handläggning av ärenden om dopningsförseelser. Regeringen anser därför att det bör förtydligas att personuppgifter även ska få behandlas i idrottens antidopningsarbete om det är nödvändigt för att tillhandahålla information i ärenden om dopningsförseelser. Enligt världsantidopningskoden har en nationell antidopningsorganisation, för Sveriges del Antidoping Sverige, och ett internationellt specialidrottsförbund i vissa fall rätt att överklaga ett annat organs beslut i ärenden om dopningsförseelser. Det framgår inte klart av utredningens förslag att personuppgifter får behandlas i ett sådant fall. Regeringen anser därför att det bör förtydligas att personuppgifter även ska få behandlas i idrottens antidopningsarbete om det är nödvändigt för att överklaga beslut i ärenden om dopningsförseelser. 8.2.6 Ändamål som rör underrättelsearbete Regeringens förslag: Personuppgifter ska få behandlas i idrottens antidopningsarbete om det är nödvändigt för att inhämta, bearbeta, analysera och delge information som gäller möjliga dopningsförseelser. Endast Antidoping Sverige AB och internationella specialidrottsförbund som är etablerade i Sverige och är signatärer av världsantidopningskoden ska få behandla personuppgifter enligt första stycket. Andra organ som lagen är tillämplig på ska dock få behandla personuppgifter om det är nödvändigt för att tillhandahålla Antidoping Sverige AB eller ett internationellt specialidrottsförbund som är signatär av världsantidopningskoden information som behövs i deras verksamhet enligt första stycket. Utredningens förslag stämmer delvis överens med regeringens. Utredningen föreslår dock att endast den dåvarande nationella antidopningsorganisationen RF ska få behandla personuppgifter för ändamål som rör underrättelsearbetet och att andra organ som lagen är tillämplig på endast ska få behandla personuppgifter för att tillhandahålla information som RF behöver i sin underrättelseverksamhet. Remissinstanserna: De flesta instanser tillstyrker eller har inga synpunkter på förslaget. Integritetsskyddsmyndigheten framför dock generell kritik mot förslaget till ändamålsbestämmelse, se avsnitt 8.2.1. Världsantidopningsbyrån (WADA) menar att behandling av personuppgifter i underrättelsearbetet inte bör begränsas till RF då även andra aktörer som omfattas av världsantidopningskoden är skyldiga att bedriva sådant arbete. Skälen för regeringens förslag: Antidoping Sverige, internationella specialidrottsförbund och andra signatärer som utför dopningskontroller ska även bedriva en slags underrättelseverksamhet i syfte att motverka och upptäcka dopningsförseelser. Bestämmelser om detta finns i artikel 5.7 i världsantidopningskoden och artikel 11 i den internationella standarden för dopningskontroll och utredning, se avsnitt 4.4.1. Signatärerna ska säkerställa att de kan få tag i eller ta emot information från alla tillgängliga källor, bl.a. idrottsutövare, allmänheten och nationella specialidrottsförbund. Organen ska se till att de i samband med mottagandet kan bedöma informationens relevans och riktighet. De bör också sammanställa och analysera informationen för att identifiera mönster, trender och förhållanden som kan hjälpa dem att utveckla effektiva antidopningsstrategier eller i ett särskilt fall bedöma om det finns anledning att utreda om en dopningsförseelse har begåtts. Informationen ska användas för att utarbeta dopningskontrollplaner, fastställa när riktade dopningskontroller ska genomföras och skapa filer med information som underlag för utredning av dopningsförseelser. Organen ska också anta policyer och förfaranden för att dela information med andra antidopningsorganisationer, rättsväsendet och vissa andra myndigheter. De ska vidare anta policyer och förfaranden för att säkerställa att informationen behandlas säkert och konfidentiellt. Antidoping Sverige utför ett underrättelsearbete med stöd av världsantidopningskoden och dess internationella standarder samt interna dokument. Bolaget tar emot, analyserar och bearbetar tips som kommer in via e-post eller hemsidan dopingtips.se. Det förekommer även att tips lämnas via muntliga källor. Tips kan gälla t.ex. misstankar om att en lagkamrat eller föreningsmedlem använder dopningsmedel. Antidoping Sverige hämtar också in information från öppna källor på internet, såsom tidningsartiklar och sociala medier. Vidare hämtas brottmålsdomar in. Regeringen ansluter sig till utredningens förslag att personuppgifter ska få behandlas i idrottens antidopningsarbete om det är nödvändigt för att samla in, bearbeta, analysera och delge information som rör möjliga dopningsförseelser. Regeringen har valt begreppet "dopningsförseelser" (jfr 8 § första stycket 4 i lagförslaget) i stället för "förseelser mot världsantidopningskoden". Detta innebär inte någon skillnad i sak i förhållande till utredningens förslag. Underrättelsearbetet i antidopningsverksamheten har stora likheter med det underrättelsearbete som utförs inom polisen. Arbetet får, som utredningen konstaterar, anses vara särskilt integritetskänsligt och det är viktigt att den föreslagna lagen inte öppnar upp för mer behandling än vad som är nödvändigt för att antidopningsarbetet enligt världsantidopningskoden ska kunna utföras. I Sverige utför alltså Antidoping Sverige i sin egenskap av nationell antidopningsorganisation ett underrättelsearbete i enlighet med världsantidopningskoden och de internationella standarderna. Vidare kan internationella specialidrottsförbund som är etablerade i Sverige och är signatärer av koden utföra ett motsvarande arbete här. I sitt remissvar framhåller WADA att även andra aktörer som omfattas av koden kan vara skyldiga att utföra ett sådant arbete. Signatärer som inte är etablerade i Sverige, t.ex. andra länders nationella antidopningsorganisationer och andra internationella specialidrottsförbund, kan förvisso också vara skyldiga att bedriva ett underrättelsearbete. Den föreslagna lagen är dock endast tillämplig när dessa aktörer behandlar personuppgifter i Sverige. Det framgår inte av utredningens betänkande att några andra signatärer än Antidoping Sverige och internationella specialidrottsförbund som är etablerade i Sverige bedriver underrättelsearbete här. Enligt regeringen bör den aktuella ändamålsbestämmelsen därför begränsas till att vara tillämplig för Antidoping Sverige samt internationella specialidrottsförbund som är etablerade i Sverige och är signatärer av koden. Som utredningen konstaterar bör dock även andra organ som omfattas av lagen, t.ex. föreningar och förbund som är anknutna till RF, få behandla personuppgifter om det är nödvändigt för att tillhandahålla information som Antidoping Sverige behöver i underrättelsearbetet. Det är nämligen ofta på föreningsnivå som dopning avslöjas. Det är således viktigt att sådan information kan lämnas till Antidoping Sverige. Nationella specialidrottsförbund som är anknutna till RF är dock även skyldiga att lämna information om möjliga dopningsförseelser till sitt internationella specialidrottsförbund (se artikel 20.3.8 i koden, 11 kap. 4 § 7 och 13 kap. 6 § i RF:s stadgar samt artikel 18.7 i Idrottens antidopingreglemente). Detsamma kan gälla förbund i Sverige som inte är anslutna till RF men till ett internationellt specialidrottsförbund som är signatär av koden. Lagen bör därför även möjliggöra att personuppgifter kan behandlas om det är nödvändigt för att tillhandahålla information som sådana internationella specialidrottsförbund behöver i underrättelsearbetet. Då underrättelsearbetet är särskilt integritetskänsligt bör det vara kringgärdat av skyddsåtgärder. En sådan skyddsåtgärd kan bestå av en särskild gallringsbestämmelse (se avsnitt 10.2 och 10.3). En annan kan utgöras av en åtkomstregel som innebär att endast personal som har behov av uppgifterna får behandla dessa (se avsnitt 11.2). Vidare kommer en bestämmelse som tar sikte på lagöverträdelser att få särskild relevans när det gäller personuppgiftsbehandling i underrättelsearbetet (se avsnitt 8.6). Det är också, på samma sätt som vid annan behandling enligt lagen, viktigt att behandling av personuppgifter som sker i detta arbete utförs på ett sätt som beaktar dataskyddsförordningens grundläggande principer om bl.a. uppgiftsminimering. 8.2.7 Ändamål som rör utbildning och forskning Regeringens bedömning: Det behövs ingen bestämmelse om att personuppgifter ska få behandlas i idrottens antidopningsarbete för ändamål som rör utbildning och forskning. Utredningens bedömning: Utredningen har inte uttryckligen gjort någon sådan bedömning. Remissinstanserna: Sveriges Riksidrottsförbund (RF) m.fl. framför att personuppgifter bör få behandlas för att planera, koordinera och administrera utbildning samt för forskningsändamål. Även Världsantidopningsbyrån (WADA) lyfter frågan om behandling av personuppgifter för ändamål som rör utbildning och forskning. Skälen för regeringens bedömning: Antidoping Sverige och andra signatärer ska bedriva utbildningsverksamhet för att motverka dopning inom idrotten. Bestämmelser om detta finns i artikel 18 i världsantidopningskoden och den internationella standarden för utbildning, se avsnitt 4.4.1. Signatärerna ska ta fram en utbildningsplan och fastställa en utbildningspool, dvs. en lista med målgrupper för utbildningen. Utbildningspoolen ska åtminstone omfatta idrottsutövare som ingår i signatärens registrerade kontrollpool och idrottsutövare som återvänder efter en sanktion. Utbildningsprogrammen ska innehålla vissa utpekade ämnen, t.ex. idrottsutövares rättigheter och skyldigheter enligt världsantidopningskoden. Utbildningen kan levereras genom bl.a. fysiska utbildningstillfällen, e-utbildning, broschyrer och hemsidor. Signatärerna ska även samarbeta med varandra för att samordna utbildningsinsatserna. Enligt RF m.fl. bör det framgå av ändamålsbestämmelsen att personuppgifter får behandlas för att planera, koordinera och administrera utbildning. RF förklarar i ett yttrande till regeringen att personuppgifter behöver behandlas i huvudsak för att upprätta deltagarlistor och registrera genomgången utbildning. Enligt regeringens mening framstår det inte som nödvändigt att behandla personuppgifter för att fastställa en utbildningsplan, en utbildningspool eller ett utbildningsprogram. Det finns såvitt framgår av världsantidopningskoden eller de internationella standarderna ingen skyldighet för idrottsutövare att genomgå utbildning. Om idrottsutövaren har en genuin valmöjlighet att delta i utbildning och kan avstå från att delta utan problem bör eventuell behandling av personuppgifter för att genomföra ett utbildningstillfälle kunna ske med stöd av samtycke som rättslig grund. Detsamma gäller registrering av genomgången utbildning. Regeringen finner därför inte skäl att i den föreslagna lagen ange att behandling av personuppgifter får ske för ändamål som rör utbildning. Enligt artikel 19 i världsantidopningskoden ska signatärerna uppmuntra och främja antidopningsforskning. De ska även vidta alla rimliga åtgärder för att säkerställa att forskningsresultat används för att främja mål som är förenliga med principerna i koden. Forskningsresultaten ska, i den mån det är möjligt med hänsyn till immateriella rättigheter, tillhandahållas WADA och, om det är lämpligt, andra intressenter. Det kan konstateras att personuppgifter redan i dag under vissa förhållanden får behandlas för forskningsändamål (se prop. 2017/18:298, bet. 2018/19:UbU5, rskr. 2018/19:44). Det har inte framkommit något skäl att i den föreslagna lagen reglera att behandling av personuppgifter får ske för ändamål som rör forskning. 8.3 Uppgiftsutlämnande och finalitetsprincipen Regeringens förslag: Personuppgifter ska även få behandlas om det är nödvändigt för att tillhandahålla Polismyndigheten, Åklagarmyndigheten eller Tullverket information som behövs i myndigheternas brottsbekämpande verksamhet. Lagen ska innehålla en bestämmelse om att personuppgifter som behandlas enligt ändamålsbestämmelserna i lagen får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Utredningens förslag stämmer delvis överens med regeringens. Utredningen bedömer dock att finalitetsprincipen inte behöver regleras i lagen. Remissinstanserna: De flesta instanser tillstyrker eller har inga synpunkter på förslaget. Tullverket välkomnar förslaget. Polismyndigheten invänder inte mot förslaget men anser att bestämmelsen är obehövlig då ett utlämnande är förenligt med de ursprungliga insamlingsändamålen. Världsantidopningsbyrån (WADA) menar att begränsningen till svenska myndigheter riskerar att försvåra utredningsarbetet, som ofta inkluderar ett gränsöverskridande brottsbekämpande samarbete. Vidare påpekar WADA att den internationella standarden för skydd av privatlivet och personuppgifter tillåter att information lämnas även till andra typer av myndigheter, vilket kan vara nödvändigt för att utreda vissa dopningsförseelser. Sveriges Riksidrottsförbund (RF) m.fl. anser att det kan förtydligas i lagen och förarbetena att ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i dataskyddsförordningen inte ska anses vara oförenlig med ändamålen i den föreslagna lagen. Skälen för regeringens förslag Primära ändamål och finalitetsprincipen I vissa registerförfattningar delas ändamålen in i primära och sekundära sådana. Bestämmelser om primära ändamål reglerar den behandling av personuppgifter som behövs i det berörda organets egen verksamhet. De sekundära ändamålen tar i stället sikte på bl.a. när uppgifter som behandlas för något av de primära ändamålen får lämnas ut till andra. Aktörerna i idrottens antidopningsarbete lämnar inte sällan ut uppgifter till andra aktörer i detta arbete. Mottagarna är bl.a. WADA, andra signatärer av koden eller serviceföretag. Som har framgått omfattas utlämnande av uppgifter till andra aktörer inom ramen för idrottens antidopningsarbete av den föreslagna lagens primära bestämmelser. Sådan behandling får alltså ske i den mån det är tillåtet enligt ändamålsbestämmelsen i 8 §. Se dock även avsnitt 8.4 om överföring av uppgifter till tredje land. Det förekommer även att personuppgifter lämnas ut till aktörer utanför idrottens antidopningsarbete. Antidoping Sverige kan i vissa fall lämna ut uppgifter till Polismyndigheten. Det gäller uppgifter som har lämnats in till bolaget som tips om misstänkta dopningsförseelser men som rör personer som inte är aktiva medlemmar i en förening som är anknuten till RF, t.ex. motionärer som tränar på gym. Antidoping Sverige kan även lämna ut uppgifter till Tullverket om försök till smuggling i syfte att hindra att dopningsmedel förs in i landet. Vidare kan, efter begäran, uppgifter lämnas ut till Åklagarmyndigheten för att användas i en förundersökning om dopningsbrott. Uppgiftsutlämnandet till Polismyndigheten, Åklagarmyndigheten och Tullverket omfattas inte av den föreslagna lagens primära ändamålsbestämmelser. Utlämnandet skulle dock kunna ske med stöd av finalitetsprincipen om mottagarens ändamål inte är oförenliga med utlämnarens ursprungliga ändamål. Mot bakgrund av de omständigheter som utredningen lyfter bedömer regeringen, till skillnad från Polismyndigheten, att det åtminstone inte är självklart att personuppgifter som behandlas i idrottens antidopningsarbete kan lämnas ut till de brottsbekämpande myndigheterna med stöd av finalitetsprincipen. Om ett sådant uppgiftsutlämnande ska vara möjligt bör därför en annan lösning övervägas. Sekundärt ändamål Personuppgifter får alltså som huvudregel inte senare behandlas på ett sätt som är oförenligt med insamlingsändamålen (se artikel 5.1 b i dataskyddsförordningen). Det är dock under vissa förhållanden tillåtet att vidarebehandla personuppgifter även om det nya ändamålet är oförenligt med insamlingsändamålet. I skäl 50 till dataskyddsförordningen anges bl.a. att om behandlingen grundar sig på medlemsstaternas nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa i synnerhet viktiga mål av allmänt intresse bör den personuppgiftsansvarige tillåtas att behandla personuppgifterna ytterligare, oavsett om detta är förenligt med ändamålen eller inte. Vidare framgår av skäl 50 att om den personuppgiftsansvarige anmäler brott eller hot mot den allmänna säkerheten och överför personuppgifter till en behörig myndighet, ska detta betraktas som att den personuppgiftsansvarige agerar i ett berättigat intresse. Att det i vissa fall är tillåtet att vidarebehandla personuppgifter även om det nya ändamålet är oförenligt med insamlingsändamålet får även stöd av en motsatstolkning av artikel 6.4 i dataskyddsförordningen. I artikeln anges nämligen att om en behandling för andra ändamål än det ändamål för vilket personuppgifterna samlades in inte grundar sig på den registrerades samtycke eller på unionsrätten eller medlemsstaternas nationella rätt, som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda de mål som avses i artikel 23.1, ska den personuppgiftsansvarige beakta vissa omständigheter för att fastställa huruvida behandling för andra ändamål är förenlig med det ursprungliga ändamålet. Bland de mål som anges i artikel 23.1 nämns förebyggande, förhindrande, utredning, avslöjande och lagföring av brott. Det finns ett stort samhälleligt intresse av att bekämpa dopning, även utanför idrotten. Staten har ett folkhälsopolitiskt målområde om levnadsvanor som omfattar ett mål om ett samhälle fritt från narkotika och dopning. Regeringen beslutade i mars 2021 en proposition om en förnyad strategi för politiken avseende alkohol, narkotika, dopning, tobak och nikotin samt spel om pengar (den s.k. ANDTS-politiken) för 2021-2025 (se prop. 2020/21:132). Riksdagen avslog dock regeringens förslag och tillkännagav för regeringen vad utskottet anför om ett förslag till en ny ANDTS-strategi (se bet. 2020/21:SoU25, rskr. 2020/21:375). Den som brukar, innehar eller på vissa andra sätt hanterar dopningsmedel kan enligt lagen (1991:1969) om förbud mot vissa dopningsmedel (dopningslagen) dömas för dopningsbrott till fängelse i högst två år. Vid ringa brott döms till böter eller fängelse i högst sex månader. Om brottet är att anse som grovt döms för grovt dopningsbrott till fängelse i lägst sex månader och högst sex år. Vidare kan den som smugglar in ett preparat som omfattas av dopningslagen dömas för brott enligt lagen (2000:1225) om straff för smuggling till böter eller fängelse. Redan i förarbetena till dopningslagen konstaterades att dopning, som tidigare främst förekommit bland idrottsutövare på elitnivå, spritt sig till idrottsutövare och kroppsbyggare på motionsnivå (se prop. 1990/91:199 s. 5). Att dopning är ett problem även utanför idrottsrörelsen har sedan dess konstaterats vid flera tillfällen (se t.ex. SOU 2011:10 s. 95 f.). I världsantidopningskodens internationella standarder förutsätts att information om dopningsrelaterad brottslighet lämnas ut från idrotten till rättsvårdande myndigheter. Enligt artikel 11.4.2 i den internationella standarden för dopningskontroll och utredning ska signatärerna utveckla och införa policyer och procedurer för att, när det är lämpligt och förenligt med tillämplig lag, dela underrättelseinformation med bl.a. rättsvårdande myndigheter. Vidare anges i artikel 8.3 c i den internationella standarden för skydd av privatlivet och personuppgifter att personuppgifter får lämnas ut till rättsvårdande myndigheter och vissa andra myndigheter om det är nödvändigt för att upptäcka, utreda och lagföra brott och de lämnade uppgifterna är relevanta och inte på något annat rimligt sätt kan hämtas in av myndigheterna. Som framgår av utredningen är det i andra länder vanligt förekommande med ett tätt samarbete mellan den nationella antidopningsorganisationen och rättsvårdande myndigheter. Regeringen bedömer mot denna bakgrund att det finns ett starkt allmänt intresse av att personuppgifter som behandlas i idrottens antidopningsarbete även får behandlas för att tillhandahålla information som behövs i brottsbekämpande verksamhet hos Polismyndigheten, Åklagarmyndigheten eller Tullverket. Det bör därför införas en sådan möjlighet i den föreslagna lagen. Det är dock inte fråga om någon uppgiftsskyldighet. Se vidare om sekretessfrågorna i avsnitt 12. WADA menar att begränsningen till svenska myndigheter riskerar att försvåra utredningsarbetet, som ofta inkluderar ett gränsöverskridande samarbete. Vidare påtalar WADA att uppgifter kan behöva lämnas även till andra myndigheter, bl.a. sådana myndigheter som ansvarar för regleringen av olika yrkesgrupper, t.ex. för att utreda dopningsförseelser som involverar läkare. När det gäller Antidoping Sverige, som står för huvuddelen av antidopningsarbetet i Sverige, har det dock inte framkommit att uppgifter i dag lämnas ut till någon annan myndighet än Polismyndigheten, Åklagarmyndigheten eller Tullverket. Internationella Orienteringsförbundet har uppgett att de hittills inte har lämnat ut uppgifter till myndigheter. Beträffande andra länders nationella antidopningsorganisationer, internationella specialidrottsförbund som inte är etablerade i Sverige och storevenemangsorganisationer är lagen endast tillämplig när dessa behandlar personuppgifter i Sverige. Det är svårt att se att dessa organ, inom ramen för sådan behandling som sker i Sverige, behöver lämna uppgifter till andra myndigheter. Regeringen finner därför inte skäl att utvidga bestämmelsen till att omfatta ytterligare myndigheter. Reglering av finalitetsprincipen Som har framgått ska personuppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Enligt finalitetsprincipen får uppgifterna inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Detta kommer till uttryck i artikel 5.1 b dataskyddsförordningen. Av samma artikel framgår att ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 inte ska anses vara oförenlig med de ursprungliga ändamålen. Bestämmelserna i dataskyddsförordningen är direkt tillämpliga vid den behandling av personuppgifter som omfattas av den föreslagna lagen. Registerförfattningar innehåller dock ofta en uttrycklig hänvisning till finalitetsprincipen. Regeringen bedömer att även den föreslagna lagen av tydlighetsskäl bör innehålla en bestämmelse om att det är tillåtet att behandla personuppgifter för andra ändamål än de som uttryckligen anges i lagen, så länge som behandlingen inte är oförenlig med insamlingsändamålen. Vi anser dock, till skillnad från RF m.fl., att det inte finns skäl att i lagen också upplysa om att ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 inte ska anses vara oförenlig med de ursprungliga ändamålen. Regeringen ser i likhet med utredningen inte skäl att införa några begränsningar av tillämpningen av finalitetsprincipen. 8.4 Personuppgifter kan överföras till tredjeland Regeringens bedömning: Personuppgifter kan överföras till tredjeland i den utsträckning som bestämmelserna i dataskyddsförordningen tillåter. Några särskilda bestämmelser om detta behöver inte tas in i den föreslagna lagen. Utredningens bedömning stämmer i huvudsak överens med regeringens. Remissinstanserna: Världsantidopningsbyrån (WADA), som är den enda remissinstansen som har yttrat sig över bedömningen, framhåller att antidopningsarbetet är globalt och gränsöverskridande med ett flertal involverade aktörer, och att det bör förtydligas i lagen att överföring till tredjeland får ske med stöd av undantaget för viktiga skäl som rör allmänintresset. Skälen för regeringens bedömning: I idrottens antidopningsarbete förs personuppgifter regelbundet in i WADA:s databas ADAMS. Uppgifterna kan sedan nås av andra aktörer i antidopningsarbetet som har getts behörighet till det. Databasen ADAMS, och även WADA:s huvudkontor, är belägna i Kanada. Genom att föra in uppgifter i ADAMS sker alltså en överföring av personuppgifter till ett land utanför EU/EES, dvs. ett tredjeland. Inom ramen för idrottens antidopningsarbete kan personuppgifter även lämnas ut till andra aktörer på andra sätt än via ADAMS. Mottagarna kan vara t.ex. internationella specialidrottsförbund eller storevenemangsorganisationer som är etablerade i tredjeland. Kapitel V i dataskyddsförordningen innehåller bestämmelser om i vilka fall personuppgifter får överföras till tredjeländer eller internationella organisationer. Alla bestämmelser i kapitlet ska enligt artikel 44 i förordningen tillämpas för att säkerställa att den nivå på skyddet av fysiska personer som säkerställs genom dataskyddsförordningen inte undergrävs. Personuppgifter får enligt artikel 45 i dataskyddsförordningen föras över till ett tredjeland om EU-kommissionen har beslutat att landet säkerställer en adekvat skyddsnivå för uppgifterna. För tillfället finns det beslut om att 13 länder säkerställer en adekvat skyddsnivå, bl.a. Kanada. När det gäller Kanada säkerställer landet en adekvat skyddsnivå under förutsättning att landets lagstiftning för skydd av personuppgifter i privat sektor är tillämplig på mottagarens personuppgiftsbehandling, vilket är fallet för WADA. Personuppgifter kan således överföras via ADAMS till WADA i Kanada med stöd av artikel 45. Om det inte finns något beslut om adekvat skyddsnivå får personuppgifter enligt artikel 46 i dataskyddsförordningen föras över till tredjeland efter att lämpliga skyddsåtgärder har vidtagits. För att överföringen ska vara tillåten krävs också att lagstadgade rättigheter för registrerade och effektiva rättsmedel för registrerade finns tillgängliga. Om det inte finns något beslut om adekvat skyddsnivå och inte heller lämpliga skyddsåtgärder får en överföring eller uppsättning av överföringar till tredjeland ske endast om något av undantagen i artikel 49.1 i dataskyddsförordningen är för handen. Ett sådant undantag är enligt artikel 49.1 d att överföringen är nödvändig av viktiga skäl som rör allmänintresset. Allmänintresset måste dessutom enligt artikel 49.4 vara erkänt i unionsrätten eller den nationella rätt som den som är personuppgiftsansvarig omfattas av. I skäl 112 till dataskyddsförordningen pekas utbyten av uppgifter för att minska eller undanröja dopning ut som ett exempel på uppgiftsöverföringar som är nödvändiga med hänsyn till viktiga allmänintressen. Det står därmed klart att personuppgifter kan föras över till tredjeland i idrotten antidopningsarbete med stöd av undantaget i artikel 49.1 d. Europeiska dataskyddsstyrelsen har gett ut riktlinjer om undantagen i artikel 49 i dataskyddsförordningen. I riktlinjerna uttalas att undantagen ska tolkas på sådant sätt att de inte blir regel utan begränsas till specifika situationer. När överföringar görs inom rutinverksamhet rekommenderar därför Europeiska dataskyddsstyrelsen starkt alla dataexportörer att vidta lämpliga skyddsåtgärder i enlighet med artikel 46 i stället för att förlita sig på undantaget enligt artikel 49.1 d (se Riktlinjer 2/2018 för undantagen i artikel 49 enligt förordning 2016/679 s. 4 f. och 11). Bestämmelserna i kapitel V i dataskyddsförordningen är direkt tillämpliga. En överföring av personuppgifter till tredjeland i idrottens antidopningsarbete får således inte stå i strid med dessa bestämmelser. Mot bakgrund av det tydliga ställningstagandet i skäl 112 finns det ett utrymme att överföra personuppgifter till tredjeland i idrottens antidopningsarbete, även om det inte finns något beslut om adekvat skyddsnivå enligt artikel 45 eller lämpliga skyddsåtgärder enligt artikel 46 i dataskyddsförordningen. Den som avser att överföra uppgifter till tredjeland måste dock alltid måste göra en bedömning i det enskilda fallet om överföringen är tillåten. Förutsättningarna för att överföra personuppgifter till tredjeland regleras i de direkt tillämpliga bestämmelserna i dataskyddsförordningen. Det saknas därmed skäl att föra in särskilda bestämmelser om detta i den föreslagna lagen. Vi ser inte heller, till skillnad från WADA, anledning att ange i lagen att personuppgifter kan överföras till tredjeland med stöd av undantaget i artikel 49.1 d i dataskyddsförordningen. 8.5 Känsliga personuppgifter Regeringens förslag: Endast sådana känsliga personuppgifter som rör hälsa, genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person ska få behandlas med stöd av artikel 9.2 g i dataskyddsförordningen. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: De flesta instanser har inte yttrat sig särskilt i denna del. Integritetskyddsmyndigheten anser att det bör framgå av bestämmelsen att behandlingen ska vara nödvändig för ett viktigt allmänt intresse, alternativt att den preciseras så att den endast omfattar behandling som är nödvändig för ett viktigt allmänt intresse. Myndigheten efterfrågar även en närmare utredning av vilken behandling av känsliga personuppgifter som det är nödvändigt och proportionellt att de olika aktörerna utför för respektive ändamål. Sveriges Riksidrottsförbund (RF), Sveriges Olympiska Kommitté (SOK), Svenska Fotbollförbundet och Svenska Friidrottsförbundet framför att det bör förtydligas i lag och förarbeten att behandling av känsliga personuppgifter även kan ske med stöd av andra undantag i artikel 9.2 i dataskyddsförordningen. Världsantidopningsbyrån (WADA) utgår från att behandling av känsliga personuppgifter även kan ske med stöd av andra undantag i artikel 9.2. Skälen för regeringens förslag: Dataskyddsförordningen innehåller ett principiellt förbud mot att behandla känsliga personuppgifter. Med känsliga personuppgifter avses enligt artikel 9.1 i förordningen sådana uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening. Vidare avses genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning. I artikel 9.2 i dataskyddsförordningen finns det ett antal undantag från förbudet att behandla känsliga personuppgifter. Känsliga personuppgifter får enligt undantaget i artikel 9.2 g behandlas om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse. För att undantaget ska vara tillämpligt krävs dessutom att behandlingen sker på grundval nationell rätt, som ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. I 3 kap. 3 § dataskyddslagen finns en generell bestämmelse om i vilka fall känsliga personuppgifter får behandlas med stöd av artikel 9.2 g i dataskyddsförordningen. Bestämmelsen gäller dock endast myndigheter och andra som träffas av offentlighetsprincipen och alltså inte de aktörer som omfattas av den föreslagna lagen. I idrottens antidopningsarbete behandlas känsliga personuppgifter om hälsa. Med uppgifter om hälsa avses enligt artikel 4.15 i dataskyddsförordningen sådana uppgifter som rör en fysisk persons fysiska eller psykiska hälsa, inbegripet tillhandahållande av hälso- och sjukvårdstjänster, vilka ger information om dennes hälsostatus. Hälsouppgifter omfattar alla aspekter av en persons hälsa, till exempel uppgifter som kommer från tester eller undersökningar samt uppgifter om sjukdomshistoria och funktionsnedsättning (se skäl 35 till dataskyddsförordningen). Även känsliga personuppgifter i form av genetiska och biometriska uppgifter kan behandlas i antidopningsarbetet. Med genetiska uppgifter avses enligt artikel 4.13 i dataskyddsförordningen alla personuppgifter som rör nedärvda eller förvärvade genetiska kännetecken för en fysisk person, vilka ger unik information om denna fysiska persons fysiologi eller hälsa och vilka framför allt härrör från en analys av ett biologiskt prov från den fysiska personen i fråga. Det handlar framför allt om information som kan tas fram vid dna-analyser, men även motsvarande information som tas fram genom andra analyser omfattas (se prop. 2017/18:232 s. 150). Med biometriska uppgifter avses enligt artikel 4.14 i dataskyddsförordningen personuppgifter som erhållits genom en särskild teknisk behandling som rör en fysisk persons fysiska, fysiologiska eller beteendemässiga kännetecken och som möjliggör eller bekräftar identifieringen av denna fysiska person, såsom ansiktsbilder eller fingeravtrycksuppgifter. Biometriska uppgifter framkommer således vid mätning av fysiska karaktärsdrag hos den som ska identifieras. Vid identifieringen kan t.ex. blodkärl och dna användas (se prop. 2017/18:269 s. 153). Som har framgått i avsnitt 6.2 kan behandling av personuppgifter i idrottens antidopningsarbete stödjas främst på undantaget i artikel 9.2 g i dataskyddsförordningen. Det kan förvisso inte uteslutas att behandling av känsliga personuppgifter i något fall kan stödjas på t.ex. undantaget om samtycke i artikel 9.2 a. Det saknas dock skäl att särskilt ange det i lagen. Det kan alltså i vissa fall vara nödvändigt att behandla känsliga personuppgifter i idrottens antidopningsarbete med hänsyn till det viktiga allmänna intresset av en dopningsfri idrott. Antidoping Sverige, Dopingnämnden inom RF och internationella specialidrottsförbund som är etablerade i Sverige och är signatärer av världsantidopningskoden kan behöva behandla känsliga personuppgifter om hälsa vid handläggningen av ärenden om medicinsk dispens. Det kan också vara nödvändigt att Antidoping Sverige och andra organ som utför dopningskontroller i Sverige behandlar känsliga personuppgifter vid genomförandet av kontrollerna. Det kan handla om t.ex. att samla in uppgifter om medicinering i samband med provtagningen eller behandling av uppgifter i analysresultat. Dessutom kan Antidoping Sverige, Dopingnämnden och Riksidrottsnämnden inom RF samt internationella specialidrottsförbund som är etablerade i Sverige och är signatärer av koden behöva behandla känsliga personuppgifter vid handläggningen av ärenden om dopningsförseelser. Det kan gälla t.ex. uppgifter som kommer från analysresultat eller ärenden om medicinsk dispens. Antidoping Sverige och internationella specialidrottsförbund som är etablerade i Sverige och är signatärer av koden kan också behöva behandla känsliga uppgifter om hälsa, t.ex. om bruk av mediciner, i underrättelsearbetet. Detsamma gäller andra organ, t.ex. föreningar och förbund, vid tillhandahållande av information i underrättelseverksamheten. Vidare kan serviceföretag behöva behandla känsliga personuppgifter vid utförandet av delegerade uppgifter som rör t.ex. ärenden om medicinsk dispens och dopningskontroller. För att känsliga personuppgifter ska få behandlas i idrottens antidopningsarbete krävs det att den nationella rätten innehåller lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Som har framgått kan flera organ behandla känsliga personuppgifter i idrottens antidopningsarbete. Uppgifterna behandlas ibland i flera led. I vissa fall måste känsliga personuppgifter dessutom registreras i WADA:s databas ADAMS och lämnas ut till andra signatärer i enlighet med världsantidopningskoden och de internationella standarderna. Det sagda kan innebära risker för den personliga integriteten. Den föreslagna lagen innehåller ändamålsbestämmelser som anger ramarna för den personuppgiftsbehandling som får utföras i antidopningsarbetet med stöd av lagen. Dessa bestämmelser bedöms minska risken för intrång i den personliga integriteten. Vidare föreslås ett antal ytterligare skyddsåtgärder, t.ex. gallringsbestämmelser (se avsnitt 10.2 och 10.3) och åtkomstbegränsningar (se avsnitt 11.2), som minskar risken ytterligare. Enligt regeringens mening är det inte nödvändigt att behandla andra känsliga personuppgifter än hälsouppgifter, genetiska uppgifter och biometriska uppgifter i idrottens antidopningsarbete med hänsyn till intresset av en dopningsfri idrott. Som en ytterligare skyddsåtgärd bör det därför införas en bestämmelse som inskränker möjligheten att behandla känsliga personuppgifter i antidopningsarbetet till dessa tre kategorier av uppgifter. Det blir därmed tydligt för tillämparen vilka typer av känsliga personuppgifter som överhuvudtaget får behandlas i antidopningsarbetet med stöd av artikel 9.2 g i dataskyddsförordningen. Antidoping Sverige och de andra organen i antidopningsarbetet kan visserligen inte alltid påverka vilka uppgifter som lämnas till dem, t.ex. som tips i underrättelsearbetet. För det fall att någon lämnar in sådana känsliga personuppgifter som inte får behandlas enligt den föreslagna bestämmelsen måste de som huvudregel raderas. Om uppgifterna lämnas in av den enskilde själv, t.ex. inom ramen för en ansökan om medicinsk dispens, kan det dock vara möjligt att behandla uppgifterna med stöd av den enskildes samtycke. Enligt utredningens förslag till bestämmelse får inga andra känsliga personuppgifter som avses i artikel 9.1 dataskyddsförordningen än sådana som rör hälsa, genetiska uppgifter och biometriska uppgifter behandlas med stöd av artikel 9.2 g i förordningen. Regeringen anser till skillnad från Integritetsskyddsmyndigheten att det inte behöver framgå av bestämmelsen att behandlingen ska vara nödvändig för ett viktigt allmänt intresse, eftersom det framgår redan av artikel 9.2 g som är direkt tillämplig. Det framstår inte heller som lämpligt att i lagen närmare precisera i vilka fall behandling av känsliga personuppgifter är nödvändigt för ett viktigt allmänt intresse. Det får i stället avgöras utifrån omständigheterna i det enskilda fallet. Vi ansluter oss därför till utredningens förslag. Sammanfattningsvis gör regeringen bedömningen att den föreslagna lagen innehåller tillräckliga skyddsåtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. 8.6 Behandling av personuppgifter som rör lagöverträdelser Regeringens förslag: Personuppgifter som rör lagöverträdelser ska få behandlas i idrottens antidopningsarbete för ändamål som rör ärenden om dopningsförseelser. De ska också få behandlas för ändamål som rör underrättelsearbete av Antidoping Sverige och internationella specialidrottsförbund som är etablerade i Sverige och signatärer av världsantidopningskoden. Utredningens förslag stämmer delvis överens med regeringens. I utredningens förslag anges dock att uppgifterna endast ska få behandlas i underrättelsearbetet av den dåvarande nationella antidopningsorganisationen RF. Remissinstanserna: Endast Integritetsskyddsmyndigheten har yttrat sig särskilt i denna del. Myndigheten anser att en uppgift om en dopningsförseelse enligt idrottens interna regler samtidigt kan utgöra en personuppgift som rör en lagöverträdelse som innefattar brott, t.ex. om uppgiften kvalificerats till att utgöra en brottslig gärning. Vidare påtalar myndigheten att även brottsmisstankar bör omfattas av artikel 10 i dataskyddsförordningen. Skälen för regeringens förslag: Uppgifter som rör lagöverträdelser anses inte som känsliga personuppgifter i dataskyddsförordningens mening men anses ändå vara en kategori av personuppgifter som förtjänar särskilt skydd. Enligt artikel 10 i dataskyddsförordningen får behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder endast utföras under kontroll av en myndighet. Behandling av sådana uppgifter får också ske om behandlingen tillåts enligt unionsrätten eller nationell rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får dock endast föras under kontroll av en myndighet. En uppgift om att en idrottsutövare har gjort sig skyldig till en dopningsförseelse enligt idrottens interna regler rör inte en fällande dom i brottsmål. Utredningen anser, till skillnad från Integritetsskyddsmyndigheten, att en sådan uppgift inte heller kan röra en lagöverträdelse som innefattar brott. En dopningsförseelse enligt idrottens regelverk är inte synonymt med t.ex. ett dopningsbrott enligt lagen (1991:1969) om förbud mot vissa dopningsmedel. För att en dopningsförseelse enligt världsantidopningskoden ska anses föreligga krävs t.ex., till skillnad från vad som gäller för dopningsbrott, inte att förseelsen har skett uppsåtligen. En uppgift om att en idrottsutövare har gjort sig skyldig till en dopningsförseelse enligt idrottens regelverk kan därmed enligt regeringens mening i sig inte anses innefatta ett påstående om brott eller misstanke om brott. Uppgifter om lagöverträdelser kan dock komma att behandlas i idrottens antidopningsarbete vid prövningen av om en dopningsförseelse har begåtts, t.ex. skulle en fällande dom i brottmål kunna åberopas som bevisning i ärendet. Uppgifter som rör lagöverträdelser kan även komma att behandlas inom ramen för den underrättelseverksamhet som numera bedrivs av Antidoping Sverige, men även internationella specialidrottsförbund som är etablerade i Sverige och är signatärer av världsantidopningskoden. Som utredningen redogör för kan det röra sig om behandling av uppgifter från fällande brottmålsdomar avseende aktiva idrottsutövare. Vidare kan uppgifter om lagöverträdelser lämnas in som tips. Integritetsskyddsmyndigheten framhåller att även misstankar om brott bör omfattas av artikel 10 i dataskyddsförordningen. Frågan har varit föremål för diskussion (se prop. 2017/18:105 s. 98 f.). Regeringen finner inte skäl att behandla frågan ytterligare inom ramen för detta lagstiftningsärende. För att uppgifter om lagöverträdelser ska få behandlas i idrottens antidopningsarbete krävs alltså enligt artikel 10 i dataskyddsförordningen att behandlingen har stöd i nationell rätt. Det finns bestämmelser om när andra än myndigheter får behandla sådana uppgifter i 3 kap. 8 § dataskyddslagen, 5 § förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning och Datainspektionens (numera Integritetsskyddsmyndigheten) föreskrifter (DIFS 2018:2) om behandling av personuppgifter som rör lagöverträdelser. Vidare får Integritetsskyddsmyndigheten enligt 6 § förordningen med kompletterande bestämmelser till EU:s dataskyddsförordning i enskilda fall besluta om att andra än myndigheter får behandla uppgifter om lagöverträdelser. Det saknas dock stöd för behandling i idrottens antidopningsarbete. Det bör därför införas en bestämmelse i den föreslagna lagen om att sådana uppgifter får behandlas. Den föreslagna lagen ska enligt artikel 10 i dataskyddsförordningen även innehålla lämpliga skyddsåtgärder för de registrerades rättigheter och friheter. Som har framgått kommer den föreslagna lagen att innehålla skyddsåtgärder i form av bestämmelser om bl.a. tillåtna ändamål, gallring och tillgångsbegränsning. Det har inte framkommit att det skulle vara nödvändigt att behandla personuppgifter om lagöverträdelser för något annat ändamål än de som rör handläggning av dopningsärenden och underrättelsearbete. Som utredningen har funnit bör möjligheten att behandla uppgifter om lagöverträdelser därför begränsas till dessa ändamål. En sådan begränsning, tillsammans med de skyddsåtgärder som i övrigt föreslås i lagen, uppfyller enligt regeringen kravet på lämpliga skyddsåtgärder. 8.7 Publicering av uppgifter om dopningsförseelser Regeringens bedömning: I Sverige sker publiceringen på internet av uppgifter om dopningsavstängda idrottsutövare i regel på en webbplats som är skyddad enligt yttrandefrihetsgrundlagen. Det mesta talar för att publiceringen inte träffas av delegationsbestämmelsen i 1 kap. 20 § yttrandefrihetsgrundlagen. Det saknas därför utrymme för bestämmelser i lag om förbud mot publicering av uppgifter om dopningsförseelser. Utredningens bedömning överensstämmer i huvudsak med regeringens. Utredningen bedömer att möjligheten att ingripa mot publiceringen med stöd av dataskyddsförordningen är mycket begränsad. Vidare uppmanar utredningen den dåvarande nationella antidopningsorganisationen RF att överväga en ny ordning genom vilken aktuella uppgifter kan göras tillgängliga för dem som har ett berättigat intresse av dem. Remissinstanserna: Majoriteten av remissinstanserna har inte yttrat sig särskilt i denna del. Integritetsskyddsmyndigheten efterfrågar en fördjupad analys av tillämpningen av yttrandefrihetsgrundlagen vid publicering av personuppgifter på internet. Sveriges Riksidrottsförbund (RF) upplyser att förbundet har för avsikt att överväga en ny ordning i syfte att endast göra uppgifter om dopningsförseelser tillgängliga för dem som har ett berättigat intresse av dem. Skälen för regeringens bedömning: I artikel 14.3 i världsantidopningskoden regleras offentlig publicering av uppgifter om dopningsförseelser. Det organ som ansvarar för resultathanteringen får offentligt publicera uppgifter om bl.a. den misstänktes identitet, förbjuden substans eller metod och förseelsens art redan innan beslut i ärendet har meddelats. Vid ett fällande beslut ska det ansvariga organet offentligt publicera beslutet, inklusive uppgifter om berörd idrott, den regel som har överträtts, namnet på den som har begått dopningsförseelsen, förbjuden substans eller metod och vilka konsekvenser som ålagts. Ett friande beslut får endast publiceras med den enskildes samtycke. Publiceringen måste ske genom åtminstone publicering av uppgifterna på det ansvariga organets hemsida under den längsta tiden en månad eller den tid som avstängningen löper. Publicering behöver dock inte ske om beslutet avser underåriga och skyddsvärda personer samt motionsidrottsutövare. Med skyddsvärd person avses bl.a. en person som av andra skäl än ålder saknar rättshandlingsförmåga enligt nationell rätt. I Sverige är det främst Antidoping Sverige som ansvarar för resultathantering och alltså är skyldigt att offentligt publicera bestraffningsbeslut. Vidare kan internationella specialidrottsförbund som är etablerade i Sverige och signatärer av koden vara skyldiga att offentligt publicera bestraffningsbeslut här. När det gäller Antidoping Sverige finns en bestämmelse som motsvarar regleringen i artikel 14.3 i världsantidopningskoden i artikel 14.3 i Idrottens antidopingreglemente. Vidare framgår av artikel 3 i Föreskrifter för nationell antidopingverksamhet att bestämmelserna om obligatorisk offentlig publicering av bestraffningsbeslut gäller för idrottsutövare som tävlar på internationell och nationell nivå. När det gäller skyddsvärda personer får offentlig publicering ske. Publiceringen ska dock begränsas till namn på den bestraffade, förenings- och förbundstillhörighet, beslutande organ samt påföljd. Vidare anges att för underåriga och motionsidrottsutövare sker ingen offentlig publicering av bestraffningsbeslut. Uppgifter om bestraffningar enligt Idrottens antidopingreglemente publiceras på RF:s hemsida idrottenskungorelser.se. Listan över bestraffningar omfattar för närvarande ett trettiotal idrottsutövare. Av listan framgår uppgifter om namn på den bestraffade, förenings- och förbundstillhörighet, beslutande organ samt påföljd. I ett tiotal fall finns det även en länk till en sammanfattning av avstängningsbeslutet. Samtliga uppgifter om en idrottsutövare tas bort från listan när avstängningstiden har gått ut. Av artikel 15.1 i världsantidopningskoden följer att ett beslut om avstängning blir bindande för alla signatärer inom alla idrotter. Den offentliga publiceringen innebär att en signatär kan kontrollera om t.ex. en tävlande är avstängd av något annat organ. Ett annat motiv till den offentliga rapporteringen är att den anses ha en preventiv verkan. Artikel 29-gruppen kritiserade världsantidopningskodens krav på offentliggörande av uppgifter om dopningsförseelser för att vara alltför ingripande. Enligt gruppen kan syftena bakom publiceringen nås på ett mindre ingripande sätt (se Second opinion 4/2009 on the World Anti-Doping Agency [WADA] International Standard for the Protection of Privacy and Personal Information, on related provisions of the WADA Code and on other privacy issues in the context of the fight against doping in sport by WADA and [national] anti-doping organizations, WP162, s. 16 f.). I den av Europeiska kommissionen utgivna utvärderingen av antidopningsarbetet i medlemsstaterna påtalas att den offentliga publiceringen kan stå i strid med principerna om nödvändighet och proportionalitet, principen om uppgiftsminimering samt den enskildes rättigheter, t.ex. rätten till radering. Det gäller särskilt vid publicering i öppna kanaler som internet. I utvärderingen lyfts därför alternativet att dela uppgifterna i slutna databaser (se Anti-Doping & Data Protection, An evaluation of the anti-doping laws and practices in the EU Member States in light of the General Data Protection Regulation, 2017, s. 119 f.). Som utredningen konstaterar är publiceringen på internet av uppgifter problematisk ur ett integritetsperspektiv. En sådan publicering skulle kunna leda till konsekvenser för den enskilde även utanför idrotten, t.ex. i det civila arbetslivet. Sedan utredningen lämnade sitt betänkande har dock världsantidopningskoden och även svensk idrotts interna regelverk ändrats på sådant sätt att publicering inte längre sker beträffande motionsidrottsutövare, vilket är positivt ur ett integritetsperspektiv. RF:s hemsida för kungörelser har ett utgivningsbevis från Myndigheten för press, radio och tv. Av 1 kap. 4 § yttrandefrihetsgrundlagen (YGL) framgår att denna grundlags föreskrifter om sändningar av program är tillämpliga när information ur en databas tillhandahålls allmänheten på visst sätt, t.ex. om det finns utgivningsbevis för verksamheten. Ett utgivningsbevis ger ett frivilligt grundlagsskydd för yttrandefriheten som motsvarar det som massmedieföretag har för sina publiceringar på internet. Av 1 kap. 5 § YGL framgår att utgivningsbevis ska utfärdas bl.a. om verksamheten är ordnad enligt 1 kap. 4 § i samma grundlag och överföringarna utgår från Sverige samt om en utgivare har utsetts. Det ställs däremot inte något krav på att verksamheten ska ha ett visst innehåll eller syfte. Grundlagsskyddet förutsätter alltså endast att de formella kriterierna är uppfyllda. Enligt 1 kap. 6 § YGL gäller utgivningsbeviset i tio år med möjlighet till förlängning. RF:s utgivningsbevis beviljades i mars 2014 och gäller alltså till mars 2024. RF:s hemsida för kungörelser är alltså grundlagsskyddad enligt yttrandefrihetsgrundlagen. I 1 kap. 7 § dataskyddslagen tydliggörs att yttrandefrihetsgrundlagen har företräde framför dataskyddsförordningen. Det innebär att möjligheterna att med stöd av personuppgiftsregleringen ingripa mot publicering som sker med stöd av ett utgivningsbevis är begränsade. Enligt 1 kap. 20 § YGL hindrar dock inte denna grundlag att det i lag meddelas föreskrifter om förbud mot offentliggörande av vissa personuppgifter som är särskilt integritetskänsliga, bl.a. om hälsa. Det förutsätter dock att personuppgifterna ingår i en uppgiftssamling som har ordnats så att det är möjligt att söka efter eller sammanställa dessa. Det måste också med hänsyn till verksamheten och de former under vilka uppgiftssamlingen hålls tillgänglig finnas särskilda risker för otillbörliga intrång i enskildas personliga integritet. När det gäller den sistnämnda förutsättningen har dock regeringen föreslagit att grundlagen ska ändras på sådant sätt att det i stället ska krävas att det med hänsyn till uppgiftssamlingens karaktär står klart att det finns särskilda risker för otillbörliga intrång i enskildas personliga integritet (se prop. 2021/22:59). Bestämmelsen i 1 kap. 20 § YGL förutsätter inte att föreskrifter i vanlig lag ska införas senare genom särskild lagstiftning utan medger tvärtom tillämpning av redan befintlig nationell eller EU-rättslig lagstiftning. I den mån befintliga regler om behandling av personuppgifter är tillämpliga på en viss behandling gäller alltså dessa. För närvarande innebär det att dataskyddsförordningen och kompletterande nationell lagstiftning blir tillämplig. Listan över bestraffningar enligt Idrottens antidopingreglemente på hemsidan idrottenskungorelser.se har inte försetts med särskilda sökfält. Det är dock möjligt att göra en fritextsökning på hemsidan efter uppgifter som omfattas av listan. Det är exempelvis möjligt att söka på ett visst dopningspreparat för att hitta idrottsutövare som har fällts för att ha använt preparatet. Vidare är det möjligt att genom att söka på en idrottsutövares namn få veta att han eller hon har fällts för att brukat ett visst dopningspreparat. Listan över bestraffningar omfattar ett trettiotal personer och det är endast för ett tiotal av dessa som uppgiftssamlingen innehåller sökbara uppgifter om brukade dopningspreparat. Enligt regeringens mening talar det mesta för att publiceringen av bestraffningar enligt Idrottens antidopingreglemente inte omfattas av delegationsbestämmelsen i 1 kap. 20 YGL, särskilt med hänsyn till att en betydande marginal ska tillämpas i fråga om vad som faller inom det grundlagsskyddande området. Det saknas därför stöd för bestämmelser i lag om förbud mot publicering av uppgifter om dopningsförseelser. Det kan konstateras att Antidoping Sverige och RF, trots utredningens bedömning och vad som anges i RF:s remissvar, inte har infört någon ny ordning på området. 8.8 Personnummer och samordningsnummer Regeringens bedömning: Särskilda bestämmelser om behandling av personnummer och samordningsnummer bör inte föras in i lagen. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans har yttrat sig särskilt i denna del. Skälen för regeringens bedömning: Personnummer och samordningsnummer anses inte som känsliga personuppgifter i dataskyddsförordningens mening. Medlemsstaterna får dock enligt artikel 87 i dataskyddsförordningen införa särskilda villkor för behandlingen av sådana uppgifter. Villkoren ska i sådana fall säkerställa att identifikationsuppgifterna bara får användas med iakttagande av lämpliga skyddsåtgärder för de registrerades fri- och rättigheter. Av 3 kap. 10 § dataskyddslagen följer att personnummer och samordningsnummer får behandlas dels om den registrerade har lämnat sitt samtycke, dels om det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Det ska alltså i det senare fallet göras en intresseavvägning mellan behovet av behandlingen och de integritetsrisker som den innebär. Regeringen delar utredningens bedömning att den generella regleringen i dataskyddslagen är tillräcklig och att det därmed saknas behov av särskilda bestämmelser om behandling av personnummer och samordningsnummer i den föreslagna lagen. 9 Enskildas rättigheter Regeringens bedömning: Lagen bör inte innehålla några undantag från den registrerades rättigheter enligt artiklarna 13-18 och 21 i dataskyddsförordningen. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Endast Världsantidopningsbyrån (WADA) har yttrat sig särskilt i denna del. Enligt WADA kan det enligt den internationella standarden för skydd av privatlivet och personuppgifter krävas ytterligare undantag från den registrerades rättigheter. I detta sammanhang har WADA särskilt lyft att den registrerade inte ska få tillgång till information om när testning ska genomföras eller om underrättelsearbetet. Vidare anser WADA att det bör framgå av lagen att behandling får fortsätta trots invändning enligt artikel 21.1 i dataskyddsförordningen. Bakgrund I kapitel III i dataskyddsförordningen finns bestämmelser om den registrerades rättigheter. Bestämmelserna reglerar - den personuppgiftsansvariges skyldighet att självmant tillhandahålla den registrerade information om behandlingen av personuppgifter (artiklarna 13 och 14), - den registrerades rätt att på begäran få tillgång till de personuppgifter som behandlas och viss särskilt angiven information (artikel 15), - den registrerades rätt att på begäran få felaktiga personuppgifter rättade (artikel 16), - den registrerades rätt att under vissa omständigheter få sina personuppgifter raderade (artikel 17), - den registrerades rätt att under vissa förutsättningar kräva att behandlingen begränsas (artikel 18), - den registrerades rätt att få åtkomst till sina personuppgifter i syfte att föra över dem till en annan leverantör av elektroniska tjänster, s.k. dataportabilitet, om behandlingen grundar sig på den registrerades samtycke eller avtal med denne (artikel 20), - den registrerades rätt att göra invändningar mot behandling av personuppgifter som grundar sig på artikel 6.1 e eller f (artikel 21), och - den registrerades rätt att motsätta sig automatiskt individuellt beslutsfattande (artikel 22). I anslutning till dessa rättigheter finns även bestämmelser om hur och när information ska lämnas (artikel 12) och bestämmelser om anmälningsskyldighet om rättelse, radering eller begränsning av behandling sker (artikel 19). Bestämmelserna i dataskyddsförordningen om den registrerades rättigheter är direkt tillämpliga. Enligt artikel 23 i förordningen får dock medlemsstaterna i nationell rätt begränsa tillämpningsområdet för den enskildes rättigheter om det sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna samt utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa vissa särskilt angivna mål. En begränsande lagstiftningsåtgärd ska dock innehålla specifika bestämmelser i vissa avseenden, bl.a. om skyddsåtgärder. I 5 kap. dataskyddslagen finns nationella generella begränsningar av artiklarna 13-15 i dataskyddsförordningen om information och rätt att få tillgång till personuppgifter. I artikel 7 och 11 i den till världsantidopningskoden tillhörande standarden för skydd av privatlivet och personuppgifter finns vissa bestämmelser om enskildas rätt att få del av information samt om rättelse och radering. Dessa bestämmelser är också tillämpliga i idrottens antidopningsarbete. Nedan behandlas frågan om det behövs särskilda bestämmelser i den föreslagna lagen som begränsar enskildas rättigheter enligt dataskyddsförordningen. Rätten till dataportabilitet behandlas dock inte, då den inte är tillämplig vid den personuppgiftsbehandling som sker enligt vår föreslagna lag eftersom den behandlingen inte grundar sig på samtycke eller avtal. Inte heller automatiskt beslutsfattande behandlas, då det inte bedöms förekomma i idrottens antidopningsarbete. Skälen för regeringens bedömning Rätt till information och tillgång till personuppgifter Den personuppgiftsansvarige är enligt artiklarna 13 och 14 i dataskyddsförordningen skyldig att självmant tillhandahålla den registrerade information om behandlingen av personuppgifter. Den registrerade har dessutom enligt artikel 15 i samma förordning rätt till registerutdrag, dvs. rätt att på begäran få tillgång till de personuppgifter som behandlas och viss särskilt angiven information. Rätten till information och registerutdrag gäller dock enligt 5 kap. 1 § dataskyddslagen inte sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt författning eller enligt beslut som har meddelats med stöd av författning. Om den personuppgiftsansvarige inte är en myndighet gäller undantaget även för uppgifter som hos en myndighet skulle ha varit sekretessbelagda enligt offentlighets- och sekretesslagen (2009:400) (OSL). En privaträttslig aktör får med andra ord i motsvarande fall som avses i offentlighets- och sekretesslagen vägra att lämna ut uppgifter till den registrerade. Bestämmelsen i 5 kap. 1 § dataskyddslagen bör enligt förarbetena tolkas och tillämpas på ett likartat sätt som sin motsvarighet i 27 § i den tidigare gällande personuppgiftslagen (1998:204) (se prop. 2017/18:105 s. 202). I förarbetena till 27 § personuppgiftslagen konstateras att det även på den privata sidan kan finnas behov av bestämmelser som gör det möjligt att i vissa fall vägra att lämna information till den registrerade. Som exempel anges att enskilda kan ha ett befogat intresse av att kunna hemlighålla personanknuten information som har samlats in inför en domstolsprocess, om det kan antas att ett utlämnande av informationen skulle försämra den enskildes ställning som part i rättegången. Vidare nämns att det i försäkringsverksamhet kan registreras uppgifter om att en person misstänks för försäkringsbedrägeri eller annan brottslig verksamhet. Det anges också att internationella organisationer kan ha sammanställningar av uppgifter om personer som misstänks ha gjort sig skyldiga till brott mot de mänskliga rättigheterna. Regeringens uppfattning var att dessa uppgifter inte bör behöva lämnas ut medan utredning pågår (se prop. 1997/98:44 s. 84). Datalagskommittén, som dock föreslog att särskilda föreskrifter om undantag från informationsskyldigheten skulle meddelas, ansåg att undantag bör medges i situationer liknande dem som avses i t.ex. nuvarande 18 kap. 1-4 §§, 19 kap. 9 § och 35 kap. 21 § OSL (se SOU 1997:39 s. 399). Som WADA framhåller kan aktörer inom idrottens antidopningsarbete i vissa fall ha berättigade intressen av att vägra ett utlämnande av information till den enskilde. Det kan t.ex. gälla uppgifter hänförliga till planerade dopningskontroller eller underrättelsearbetet. Aktörerna inom idrottens antidopningsarbete är inte myndigheter utan privaträttsliga subjekt. För att de ska kunna vägra ett utlämnande med stöd av 5 kap. 1 § dataskyddslagen krävs att det finns bestämmelser i offentlighets- och sekretesslagen som hade hindrat utlämnandet om organet varit en myndighet. Enligt regeringens mening kan en jämförelse göras med bestämmelserna om sekretess till skydd främst för intresset av att förebygga eller beivra brott i 18 kap. 1-3 §§ OSL. Dessa bestämmelser bör kunna användas i antidopningsarbetet för att i motsvarande fall vägra ett utlämnande av information till enskilda. Då bestämmelserna i dataskyddslagen om begränsningar avseende artiklarna 13-15 i dataskyddsförordningen kan tillämpas även i idrottens antidopningsarbete saknas behov av särskilda bestämmelser om begränsning av rättigheterna i den föreslagna lagen. Rätten till rättelse och radering av personuppgifter Enligt artikel 16 i dataskyddsförordningen har den registrerade rätt att få felaktiga personuppgifter rättade. Det har inte framkommit skäl att inskränka denna rätt. Av artikel 17 i dataskyddsförordningen framgår att den registrerade under vissa förhållanden har rätt att få sina personuppgifter raderade. Detta gäller dock inte bl.a. om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse. Som har framgått kan behandling av personuppgifter i idrottens antidopningsarbete stödjas på den rättsliga grunden att den är nödvändig för att utföra en uppgift av allmänt intresse. Det saknas därmed behov av att införa en särskild bestämmelse om begränsning av rätten till radering i den föreslagna lagen. Rätten att göra invändningar mot och begära begränsningar av behandling av personuppgifter Enligt artikel 21.1 i dataskyddsförordningen har den registrerade rätt att göra invändningar mot behandling av personuppgifter avseende honom eller henne. Denna rätt gäller bl.a. vid behandling som grundar sig på den rättsliga grunden uppgift av allmänt intresse (artikel 6.1 e). Rätten att göra invändningar innebär att den registrerade har en möjlighet att få till stånd en överprövning av behandlingens tillåtlighet. Överprövningen innebär att den personuppgiftsansvarige måste kunna visa avgörande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter (se artikel 21.1). Om det saknas berättigade skäl har den registrerade rätt att få personuppgifterna raderade (se artikel 17.1 c). Rätten att göra invändningar mot behandling av personuppgifter gäller alltså när personuppgifter behandlas i idrottens antidopningsarbete med stöd av den rättsliga grunden uppgift av allmänt intresse. Det huvudsakliga skälet för att begränsa denna rätt är att ett effektivt antidopningsarbete inom idrotten förutsätter att personuppgifter kan behandlas, oberoende av idrottsutövarens inställning. En invändning mot behandling behöver dock inte alltid gälla hela behandlingen utan kan avse en begränsad del av denna, t.ex. långvarig lagring eller publicering av en viss uppgift. I sådana fall finns det inte lika starka skäl för att inskränka rätten att invända mot behandlingen. Rätten att göra invändningar mot personuppgiftsbehandling fyller en viktig funktion ur rättssäkerhetssynpunkt. Det gäller inte minst när behandlingen, som i detta fall, utförs av privaträttsliga aktörer som inte har författningsstöd för sin verksamhet. I den av Europeiska kommissionen utgivna utvärderingen av antidopningsarbetet i medlemsstaterna rekommenderas också att en nationell lagstiftning tillåter idrottsutövare att invända mot behandlingen av deras personuppgifter, särskilt om den rättsliga grunden för behandlingen är uppgift av allmänt intresse (se Anti-Doping & Data Protection, An evaluation of the anti-doping laws and practices in the EU Member States in light of the General Data Protection Regulation, 2017, s. 21). Även om det är av stor vikt att idrottens antidopningsarbete kan utföras på ett effektivt sätt anser regeringen, i likhet med utredningen, att det inte är en nödvändig och proportionell åtgärd att begränsa enskildas rätt att invända mot behandlingen av personuppgifter. Det föreslås därför inte någon sådan begränsning i den föreslagna lagen. Som utredningen framhåller kan aktörerna i idrottens antidopningsarbete normalt sett påvisa sådana avgörande berättigade skäl för sin behandling som kan anses väga tyngre än den registrerades intressen. Den registrerade har enligt artikel 18.1 i dataskyddsförordningen rätt att under vissa förutsättningar kräva att behandlingen begränsas. Med begränsning av behandling avses enligt artikel 4.3 i samma förordning en markering av lagrade personuppgifter med syftet att begränsa behandlingen av dessa i framtiden. Det har inte framkommit något skäl att inskränka den registrerades rättigheter att begära begränsning av behandlingen av personuppgifter. Ett fall då den registrerade har rätt att kräva att behandlingen begränsas är om den registrerade har invänt mot behandling i enlighet med artikel 21.1 i väntan på kontroll av huruvida den personuppgiftsansvariges berättigade skäl väger tyngre än den registrerades berättigade skäl (se artikel 18.1 d). Av artikel 18.2 i dataskyddsförordningen följer att om behandlingen har begränsats får personuppgifterna, med undantag för lagring, endast behandlas under vissa förhållanden, bl.a. för skäl som rör ett viktigt allmänintresse för unionen eller för en medlemsstat. Som framgått är intresset av en dopningsfri idrott ett viktigt allmänt intresse (se avsnitt 6.2). Behandlingen av personuppgifter i idrottens antidopningsarbete bör därför åtminstone i vissa fall kunna fortsätta, trots en invändning mot behandling enligt artikel 21.1. Det har inte framkommit skäl att, som WADA önskar, i lagen reglera att behandling alltid får fortsätta trots en invändning. 10 Längsta tid som personuppgifter får behandlas 10.1 Allmänt om lagring av personuppgifter Lagring är en form av behandling av personuppgifter enligt artikel 4.2 i dataskyddsförordningen. Enligt huvudregeln i artikel 5.1 e i samma förordning får personuppgifter inte förvaras i en form som möjliggör identifiering under längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna behandlas. När en personuppgift inte längre behöver behandlas för de ursprungliga ändamålen ska den alltså raderas eller avidentifieras. Personuppgifter får dock i enlighet med artikel 89.1 i dataskyddsförordningen lagras under en längre period i den mån uppgifterna enbart behandlas för arkivändamål av allmänt intresse eller för vetenskapliga och historiska forskningsändamål eller statistiska ändamål. Artikel 10 i den till världsantidopningskoden tillhörande internationella standarden för skydd av privatlivet och personuppgifter (ISPPPI) innehåller bestämmelser om bevarande av personuppgifter som ska tillämpas i idrottens antidopningsarbete. Signatärerna ska ansluta sig till de bevarandefrister som framgår av annex A till ISPPPI och, om någon sådan frist inte anges i annex A, om möjligt fastställa tydliga frister i enlighet med principerna i artikeln (artikel 10.1). Det krävs i regel starkare skäl för att bevara känsliga personuppgifter än andra uppgifter (artikel 10.2). Signatärerna ska säkerställa att personuppgifter bara bevaras när det är relevant för att uppfylla skyldigheterna enligt koden och de internationella standarderna eller tillämplig lag, och därefter ska uppgifterna raderas, förstöras eller anonymiseras (artikel 10.3). Signatärerna ska införa särskilda rutiner för bevarande och gallring av personuppgifter (artikel 10.4). Olika bevarandefrister får tillämpas för olika typer av personuppgifter (artikel 10.5). I annex A till ISPPPI anges bevarandefrister för olika kategorier av personuppgifter, bl.a. - intyg om medicinsk dispens och beslut om avslag av ansökan om dispens: 10 år, - ansökningar om medicinsk dispens och bifogad medicinsk information: 12 månader efter att den medicinska dispensen upphör att gälla, - vistelserapporter: 12 månader efter utgången av det kvartal som rapporten avser, - dopningskontrollformulär: 10 år, - provresultat: 10 år, - beslut och dokumentation om dopningsförseelser: den längre tiden av 10 år eller sanktionens varaktighet, och - resultat och vistelseinformation i det biologiska passet: 10 år. Bevarandefristerna kan under vissa förhållanden förlängas, t.ex. vid en pågående eller rimligen förväntad dopningsförseelse. Antidoping Sverige AB (Antidoping Sverige) har antagit en lagringspolicy som i stora delar motsvarar annex A till ISPPPI. 10.2 En generell begränsning av tiden som personuppgifter får behandlas Regeringens förslag: Personuppgifter ska inte få behandlas under längre tid än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Endast Integritetsskyddsmyndigheten har yttrat sig särskilt över förslaget. Myndigheten påpekar att bestämmelsen inte tillför något skydd för enskildas integritet jämfört med vad som redan gäller enligt dataskyddsförordningen. Enligt myndigheten behöver lagstiftaren fastställa mer preciserade gallringsregler som tillförsäkrar att behandlingen blir proportionerlig i förhållande till det integritetsintrång som behandlingen kan innebära och att behandlingen inte kommer i konflikt med dataskyddsförordningens grundläggande principer. Skälen för regeringens förslag: Bevarandetiden för vissa kategorier av personuppgifter enligt annex A till ISPPPI kan bli relativt lång, vilket motiveras av bl.a. att preskriptionstiden för en dopningsförseelse enligt artikel 17 i världsantidopningskoden är tio år. Artikel 29-gruppen var, i förhållande till det tidigare gällande dataskyddsdirektivet, kritiska mot de långa bevarandetiderna för vissa kategorier av personuppgifter i idrottens antidopningsarbete (se Second opinion 4/2009 on the World Anti-Doping Agency [WADA] International Standard for the Protection of Privacy and Personal Information, on related provisions of the WADA Code and on other privacy issues in the context of the fight against doping in sport by WADA and [national] anti-doping organizations, WP162, s. 15 f.). I den av Europeiska kommissionen utgivna utvärderingen av antidopningsarbetet i medlemsstaterna ifrågasätts om de bevarandetider som framgår av annex A till ISPPPI är förenliga med dataskyddsförordningens krav på uppgiftsminimering. Medlemsstaterna rekommenderas även att, per ändamål och typ av uppgifter, specificera hur länge personuppgifter får bevaras och under vilka förhållanden (se Anti-Doping & Data Protection, An evaluation of the anti-doping laws and practices in the EU Member States in light of the General Data Protection Regulation, 2017, s. 98 och 119). Europeiska dataskyddsstyrelsen har i ett brev den 9 oktober 2019 påmint om Artikel 29-gruppens tidigare synpunkter. Europeiska dataskyddsstyrelsen har då särskilt anmärkt på att det i den tidigare gällande versionen av annex A till ISPPPI angavs att vissa personuppgifter fick bevaras på obestämd tid (ref: OUT2019-0035). Det kan dock noteras att bevarandefristerna i den nu gällande versionen av annex A har preciserats. I kommissionens utvärdering anges att samtliga nationella antidopningsorganisationer inom EU verkar följa de gallringsbestämmelser som framgår av annex A i ISPPPI (se a.a. s. 98). Det får, som utredningen konstaterar, anses tveksamt om det är lämpligt att ett enskilt land inskränker de tider för längsta bevarande som WADA har beslutat om och som följs av andra länder inom EU. Regeringen delar därför utredningens bedömning att den föreslagna lagen inte bör innehålla en detaljreglering som innebär kortare bevarandetider. Personuppgifter får dock naturligtvis, i linje med artikel 5.1 e i dataskyddsförordningen, inte behandlas under längre tid än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Regeringen anser därför i likhet med utredningen att det bör införas en generell bestämmelse med denna innebörd i den föreslagna lagen. En bestämmelse om längsta tid för behandling utgör ett sådant specifikt krav på personuppgiftsbehandlingen som är tillåtet enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Genom bestämmelsen tydliggörs att personuppgifter aldrig får bevaras längre än nödvändigt med hänsyn till ändamålet med behandlingen. Till detta kommer att signatärerna av världsantidopningskoden aldrig får behandla personuppgifter längre än tiden som anges i annex A till ISPPPI. Som Integritetsskyddsmyndigheten påpekar utgör en sådan bestämmelse förvisso en dubbelreglering i förhållande till dataskyddsförordningen. Enligt regeringens mening fyller dock regleringen en pedagogisk funktion då den påminner aktörerna i idrottens antidopningsarbete om att det i varje enskilt fall måste göras en bedömning av om ett bevarande är nödvändigt. Bestämmelsen motverkar således att uppgifter slentrianmässigt bevaras under hela den tid som anges i annex A i ISPPPI. Vi anser därför att en sådan bestämmelse i tillräcklig utsträckning bidrar till att skydda den enskildes personliga integritet. 10.3 En särskild begränsning av tiden som personuppgifter får behandlas i underrättelsearbetet Regeringens förslag: Personuppgifter ska inte få behandlas i underrättelsearbetet längre än tre år efter utgången av det kalenderår då uppgifterna behandlades första gången. Om en ny uppgift om samma persons anknytning till dopningsverksamhet behandlas före utgången av tidsfristen, får de personuppgifter som redan finns om personen fortsätta att behandlas så länge någon av uppgifterna får behandlas. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: De flesta instanser tillstyrker eller har inte några synpunkter på förslaget. Integritetsskyddsmyndigheten, som förvisso är positiv till att gallringsregler fastställs, anser att det krävs närmare analyser utifrån proportionalitet och dataskyddsförordningens grundläggande principer. Sveriges Riksidrottsförbund, Sveriges Olympiska Kommitté, Svenska fotbollförbundet, Svenska Friidrottsförbundet och Världsantidopningsbyrån (WADA) motsätter sig förslaget med hänvisning till att det skulle begränsa det underrättelsearbete som ska utföras enligt världsantidopningskoden. De anser även att det är oklart vad som avses med "första gången" uppgifter behandlas. Skälen för regeringens förslag: ISPPPI innehåller inte någon särskild bestämmelse om hur länge personuppgifter får behandlas i det underrättelsearbete som utförs inom ramen för idrottens antidopningsarbete. Som framgår av avsnitt 8.6.2 är det främst Antidoping Sverige som, i egenskap av nationell antidopningsorganisation för svensk idrott, utför ett underrättelsearbete i Sverige i enlighet med världsantidopningskoden och den internationella standarden för dopningskontroll och utredning. Av bolagets lagringspolicy framgår att inkommen underrättelseinformation får lagras i tre år från det att informationen registrerats. Om ny information inkommer med koppling eller anknytning till redan registrerad person får samtlig information fortsätta att behandlas i ytterligare tre år. Som regeringen framhåller i avsnitt 8.6.2 är behandlingen av personuppgifter i underrättelsearbetet särskilt känslig ur integritetshänseende. Vi anser därför i likhet med utredningen att den föreslagna lagen bör innehålla en uttrycklig bestämmelse om den längsta tid som personuppgifter får behandlas i detta arbete. Beträffande sådant underrättelsearbete som har samband med brott som utförs av Polismyndigheten och Säkerhetspolisen följer av 4 kap. 7 § andra stycket lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område att personuppgifter inte får behandlas längre än tre år efter utgången av det kalenderår då registreringen avseende personen gjordes. För särskilt allvarlig brottslighet gäller dock en längre gallringsfrist om fem år. Om en ny registrering beträffande personens anknytning till brottslig verksamhet görs före utgången av de tidsfristerna, får de personuppgifter som redan finns om personen fortsätta att behandlas så länge någon av uppgifterna får behandlas. Liknande bestämmelser gäller för underrättelseverksamheten vid Tullverket, Kustbevakningen och Skatteverket (se 4 kap. 8 § andra stycket lagen [2018:1694] om Tullverkets behandling av personuppgifter inom brottsdatalagens område, 4 kap. 7 § lagen [2018:1695] om Kustbevakningens behandling av personuppgifter inom brottsdatalagens område och 4 kap. 7 § lagen [2018:1696] om Skatteverkets behandling av personuppgifter inom brottsdatalagens område). De angivna bestämmelserna gäller dock enbart personuppgifter som behandlas automatiserat. Om informationen överförs från elektronisk form till pappersform och därefter inte finns kvar elektroniskt är således bestämmelserna inte tillämpliga. Regeringen vill så långt som möjligt inte försvåra det antidopningsarbete som utförs inom idrotten. Behovet av att behandla personuppgifter i underrättelseverksamheten inom ramen för idrottens antidopningsarbete kan dock inte anses väga tyngre än behovet att behandla personuppgifter i sådant underrättelsearbete som har samband med brott och som utförs av de brottsbekämpande myndigheterna. En längsta gallringsfrist som motsvarar den kortare av dem som gäller för Polismyndighetens m.fl. underrättelseverksamhet framstår som en rimlig avvägning mellan behovet av att kunna bedriva ett effektivt underrättelsearbete och skyddet av den enskildes integritet. Vidare bör det vägas in att den generella bestämmelsen om längsta tid för bevarande som föreslås i föregående avsnitt naturligtvis är tillämplig även för nu aktuella uppgifter. Vi delar även utredningens bedömning att gallringsfristen, med hänsyn till skyddet av den enskildes personliga integritet, bör gälla för all typ av behandling av personuppgifter i underrättelsearbetet som omfattas av lagen och alltså inte endast för automatiserad behandling. Förslaget innebär att personuppgifter som huvudregel inte får behandlas i underrättelsearbetet längre än tre år efter utgången av det kalenderår då uppgifterna behandlades första gången. Vad som avses med behandling definieras i 4.2 i dataskyddsförordningen. Med första behandling avses den första hanteringen av en personuppgift i underrättelsearbetet. I regel bör den första behandlingen ske genom insamling eller registrering av personuppgifterna. Den tid som personuppgifter får behandlas i underrättelseverksamheten kan förlängas om en ny registrering avseende personen i fråga görs, dock endast om uppgiften avser samma persons anknytning till dopningsverksamhet. En uppgift som rör adressändring eller liknande som inte har betydelse för anknytningen till dopningsverksamhet ska således inte påverka hur fristen beräknas. 11 Ytterligare åtgärder för att skydda personer vid behandling av personuppgifter 11.1 Allmänt om skyddsåtgärder Dataskyddsförordningen innehåller ett stort antal bestämmelser som ska värna enskildas rättigheter vid behandling av personuppgifter. Som exempel kan nämnas den grundläggande principen om uppgiftsminimering i artikel 5.1 c som innebär att de personuppgifter som behandlas ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Ytterligare ett exempel är den grundläggande principen om integritet och konfidentialitet i artikel 5.1 f som går ut på att den personuppgiftsansvarige med användning av lämpliga tekniska eller organisatoriska åtgärder ska vidta åtgärder som säkerställer lämplig säkerhet för personuppgifterna. Den personuppgiftsansvarige ska vidare enligt artikel 24 i dataskyddsförordningen genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och visa att behandlingen utförs i enlighet med förordningen. Denne ska även enligt artikel 25 i förordningen vidta lämpliga åtgärder för bl.a. integrering av nödvändiga skyddsåtgärder i behandlingen. Dessutom följer av artikel 32 att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken i samband med personuppgiftsbehandlingen. Bestämmelserna i dataskyddsförordningen är direkt tillämpliga. I artikel 9 i den till världsantidopningskoden tillhörande internationella standarden för skydd av privatlivet och personuppgifter finns dessutom bestämmelser om att behandling av personuppgifter ska omgärdas av skyddsåtgärder. I dataskyddsförordningen det finns krav på att en nationell reglering som tillåter viss behandling av personuppgifter ska innehålla lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Ett sådant krav finns t.ex. för att känsliga personuppgifter ska få behandlas med stöd av artikel 9.2 g i förordningen. Motsvarande krav gäller enligt artikel 10 för nationell lagstiftning som tillåter behandling av uppgifter om lagöverträdelser utan kontroll av en myndighet. Även i artikel 87 som behandlar personnummer och samordningsnummer finns ett krav på lämpliga skyddsåtgärder. Olika skyddsåtgärder är alltså inte bara något som kan framgå av nationell rätt, utan även något som i vissa fall måste fastställas i nationell rätt. Vilka specifika skyddsåtgärder som bör användas anges sällan i dataskyddsförordningen. I skäl 78 till förordningen anges ett antal skyddsåtgärder som främst är organisatoriska till sin natur. Sådana åtgärder kan bl.a. bestå av att uppgiftsbehandlingen minimeras, att öppenhet om personuppgifternas syfte och behandling iakttas, att den registrerade får möjlighet att övervaka uppgiftsbehandlingen och att den personuppgiftsansvarige får möjlighet att skapa och förbättra säkerhetsanordningar. Utöver sådana skyddsåtgärder som nämns direkt i förordningen finns det i svensk rätt andra former av skyddsåtgärder, exempelvis ändamålsbestämmelser, tillgångsbegränsningar, sökbegränsningar och sekretessbestämmelser. Registerförfattningar innehåller regelmässigt uttryckliga bestämmelser om det som bedömts vara lämpliga skyddsåtgärder. Regeringen har i tidigare avsnitt föreslagit att olika former av skyddsåtgärder förs in i lagen om behandling av personuppgifter i idrottens antidopningsarbete. I avsnitt 8 föreslås skyddsåtgärder i form av ändamålsbestämmelser samt begränsningar av möjligheten att behandla känsliga personuppgifter och uppgifter om lagöverträdelser m.m. I avsnitt 10 behandlas skyddsåtgärden gallring och i avsnitt 12 frågor om sekretess. I detta avsnitt kommer vi att diskutera några ytterligare möjliga åtgärder för att säkerställa enskildas grundläggande rättigheter och intressen. 11.2 Tillgången till personuppgifter Regeringens förslag: Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Endast Integritetsskyddsmyndigheten har yttrat sig särskilt i denna del. Myndigheten menar att förslaget inte tillför något skydd jämfört med vad som redan gäller enligt dataskyddsförordningen. Enligt myndigheten bör en eventuell bestämmelse om tillgång till personuppgifter ges ett mer konkret innehåll som har avvägts mot det intrång som behandlingen kan innebära för den enskilde. Skälen för regeringens förslag: Dataskyddsförordningen innehåller inte någon uttrycklig bestämmelse som begränsar tillgången till personuppgifter. Som har framgått gäller dock de grundläggande principerna om uppgiftsminimering i artikel 5.1 c samt om integritet och konfidentialitet i artikel 5.1 f. Den personuppgiftsansvarige ska också enligt artikel 24 och 32 vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa att behandlingen utförs enligt dataskyddsförordningen och med en lämplig säkerhetsnivå. Vidare är den personuppgiftsansvarige enligt artikel 25.2 skyldig att vidta åtgärder för att säkerställa att endast personuppgifter som är nödvändiga för varje specifikt ändamål med behandlingen behandlas. Denna skyldighet gäller bl.a. personuppgifternas tillgänglighet. Åtgärderna ska framför allt säkerställa att personuppgifter som huvudregel inte görs tillgängliga för ett obegränsat antal fysiska personer utan den enskildes medverkan. I idrottens antidopningsarbete behandlas stora mängder personuppgifter, även känsliga sådana. För att minska risken för obefogade intrång i den personliga integriteten vid behandlingen av uppgifterna anser regeringen, i likhet med utredningen, att det bör införas en bestämmelse som uttryckligen begränsar kretsen av personer som har tillgång till personuppgifter. Som Integritetsskyddsmyndigheten påpekar kan skyldigheten att begränsa tillgången till personuppgifter sägas följa redan av dataskyddsförordningen. Regeringen ansluter sig dock till utredningens resonemang att det av tydlighetsskäl är viktigt att det införs en bestämmelse om att tillgången till personuppgifter ska begränsas till det som var och en behöver för att kunna fullgöra sina arbetsuppgifter. Vi anser således att bestämmelsen bidrar till skyddet av den enskildes integritet. Motsvarande bestämmelser finns också i flera andra registerförfattningar, se t.ex. 15 § första stycket kustbevakningsdatalagen (2019:429), 2 kap. 20 § första stycket vägtrafikdatalagen (2019:369) och 6 § första stycket lagen (2015:51) om idrottsorganisationers behandling av uppgifter om tillträdesförbud. Bestämmelsen utgör en sådan specificering som enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåten i nationell rätt. Genom bestämmelsen tydliggörs att den personuppgiftsansvarige är skyldig att ta ställning till varje medarbetares och mottagares tillgång till personuppgifter utifrån vad arbetsuppgifterna kräver och begränsa tillgången i enlighet med det. Som utredningen påpekar är det en förutsättning för efterlevnaden av den föreslagna bestämmelsen att det finns bra loggningssystem och att uppföljande kontroller görs. Det är upp till varje aktör som omfattas av lagen att utforma riktlinjer och rutiner i syfte att säkerställa att den föreslagna bestämmelsen följs. 11.3 Sökbegränsning Regeringens bedömning: Lagen bör inte innehålla några begränsningar av tillåtna sökbegrepp. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans har yttrat sig särskilt i denna del. Skälen för regeringens bedömning: Dataskyddsförordningen innehåller inga bestämmelser om sökning eller användning av s.k. sökbegrepp. För att en sökning ska vara tillåten gäller dock, på samma sätt som vid annan behandling av personuppgifter, bl.a. de grundläggande principerna i artikel 5 i dataskyddsförordningen. Att söka i en databas eller textmassa och på så sätt få fram en sammanställning av personuppgifter är ofta ett värdefullt redskap i en verksamhet. Sökningar som avslöjar och sammanställer känsliga personuppgifter är dock typiskt sett förknippade med särskilda risker i integritetshänseende. Företeelsen ligger nära det som ursprungligen har motiverat förbudet mot behandling av känsliga personuppgifter, nämligen möjligheten att kartlägga personer på grundval av exempelvis etnicitet eller politiska åsikter. Det är därför enligt 3 kap. 3 § andra stycket dataskyddslagen vid behandling av känsliga personuppgifter med stöd av artikel 9.2 g i dataskyddsförordningen förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Bestämmelsen är dock endast tillämplig för myndigheter. Det finns ett liknande förbud i 2 kap. 14 § brottsdatalagen (2018:1177). Enligt de till den lagen tillhörande registerförfattningarna är det dock möjligt att utföra sökningar på känsliga personuppgifter som inte har gjorts gemensamt tillgängliga, dvs. tillgängliga för en större grupp människor. Inom idrottens antidopningsarbete förekommer det i dag sökningar som kan avslöja känsliga personuppgifter om hälsa. I utredningen anges som exempel att sökningar kan ske inom ramen för dispenshanteringen för att bl.a. ta fram underlag för beslut. Regeringen ansluter sig till utredningens bedömning att det är rimligt att aktörerna i idrottens antidopningsarbete även framöver bör kunna utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter, då det bidrar till ett effektivt antidopningsarbete. Enligt den föreslagna lagen är det endast tillåtet att behandla personuppgifter för vissa preciserade ändamål. Vidare får endast ett fåtal typer av känsliga personuppgifter behandlas, bl.a. om hälsa. Antidopningsarbetet i Sverige utförs av en förhållandevis begränsad krets personer, främst inom Antidoping Sverige AB (Antidoping Sverige). Som har framgått föreslår vi dessutom en bestämmelse om att tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Eftersom aktörerna inom idrottens antidopningsarbete inte är myndigheter finns det inte heller särskilda risker med att tillåta personalen att använda känsliga sökbegrepp, eftersom allmänheten inte med stöd av offentlighetsprincipen får möjlighet att begära att personalen ska använda dessa sökbegrepp för att sammanställa och lämna ut personuppgifter (s.k. potentiella handlingar). Utifrån dessa avvägningar gör regeringen bedömningen att det inte bör införas någon begränsning vad gäller sökbegrepp i den föreslagna lagen. 11.4 Särskild upplysning Regeringens bedömning: Lagen bör inte innehålla någon bestämmelse om att vissa uppgifter som behandlas i underrättelsearbetet ska förses med en särskild upplysning. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans har yttrat sig särskilt i denna del. Skälen för regeringens bedömning: I vissa registerförfattningar på brottsdatalagens område finns det bestämmelser om att vissa personuppgifter som behandlas i underrättelsearbete ska förses med en särskild upplysning om att personen inte är misstänkt (se t.ex. 3 kap. 4 § lagen [2018:1693] om polisens behandling av personuppgifter inom brottsdatalagens område). Dessa bestämmelser är dock endast tillämpliga för personuppgifter som har gjorts gemensamt tillgängliga, dvs. tillgängliga för en större grupp människor. Som en tumregel brukar anges att uppgifter är att anse som gemensamt tillgängliga om de är tillgängliga för fler än ett tiotal personer (se t.ex. prop. 2009/10:85 s. 335). När endast ett fåtal personer har rätt att ta del av uppgifter får risken för intrång i den personliga integriteten anses vara mindre. I brottsdatalagen finns bestämmelser om andra typer av särskilda upplysningar (se 2 kap. 3 § andra stycket samt 9 och 10 §§). Enligt registerförfattningarna på lagens område är dock även dessa bestämmelser endast tillämpliga för uppgifter som har gjorts gemensamt tillgängliga (se t.ex. 2 kap. 3 § i lagen om polisens behandling av personuppgifter inom brottsdatalagens område). Den lag som regeringen föreslår tillåter att personuppgifter behandlas i sådant underrättelsearbete som bedrivs av Antidoping Sverige och internationella specialidrottsförbund som är etablerade i Sverige och är signatärer av världsantidopningskoden, t.ex. Internationella Orienteringsförbundet. De uppgifter som behandlas inom ramen för detta arbete är tillgängliga för en ganska snäv krets personer. Till detta kommer att uppgifterna som behandlas i denna underrättelseverksamhet i regel inte bedöms vara lika integritetskänsliga som de som förekommer i den brottsbekämpande verksamheten. Det finns därför inte skäl att införa bestämmelser om att vissa uppgifter som behandlas i underrättelsearbetet ska förses med en särskild upplysning. 11.5 Dataskyddsombud Regeringens förslag: Antidoping Sverige AB, Sveriges Riksidrottsförbund samt organ som är etablerade i Sverige och utför antidopningsarbete efter delegation från en signatär av världsantidopningskoden ska utse dataskyddsombud för sin behandling av personuppgifter i antidopningsarbetet. Utredningens förslag överensstämmer i huvudsak med regeringens. Förslaget omfattar dock inte Antidoping Sverige, som bildades efter det att betänkandet lämnades. Remissinstanserna: Endast Integritetsskyddsmyndigheten har yttrat sig särskilt i denna del. Myndigheten anser att bestämmelsen behöver förtydligas då den kan tolkas som att t.ex. förbund och föreningar som är anknutna till Sveriges Riksidrottsförbund kommer att bli skyldiga att utse ett dataskyddsombud, vilket inte är utredningens avsikt. Skälen för regeringens förslag: Enligt artikel 39 i dataskyddsförordningen ingår det i dataskyddsombudets uppgifter att informera och ge råd till den personuppgiftsansvarige eller personuppgiftsbiträdet och de anställda om deras skyldigheter enligt dataskyddsförordningen och andra dataskyddsbestämmelser. Ombudet ska även bl.a. övervaka att förordningen följs och samarbeta med tillsynsmyndigheten. I artiklarna 37.5 och 38 i dataskyddsförordningen finns bestämmelser om dataskyddsombudets kvalifikationer och ställning. Enligt artikel 37.1 i dataskyddsförordningen ska den personuppgiftsansvarige och personuppgiftsbiträdet under alla omständigheter utnämna ett dataskyddsombud om - behandlingen genomförs av en myndighet eller ett offentligt organ (37.1 a), - kärnverksamheten består av behandling som, på grund av sin karaktär, sin omfattning eller sina ändamål, kräver regelbunden och systematisk övervakning av de registrerade i stor omfattning (37.1 b), eller - kärnverksamheten består behandling i stor omfattning av känsliga personuppgifter eller uppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott (37.1 c). Av artikel 37.4 i dataskyddsförordningen framgår att i andra fall än de som avses i artikel 37.1 får eller, om så krävs enligt unionsrätten eller medlemsstaternas nationella rätt, ska den personuppgiftsansvarige eller personuppgiftsbiträdet utnämna ett dataskyddsombud. Artikel 29-gruppen har antagit riktlinjer om dataskyddsombud. Riktlinjerna har godkänts av Europeiska dataskyddsstyrelsen. I riktlinjerna rekommenderas att en bedömning av huruvida en behandling sker i stor omfattning ska göras utifrån antalet registrerade, mängden uppgifter, de typer av uppgifter som behandlas, behandlingens varaktighet och den geografiska omfattningen av behandlingen. Som exempel på behandling i stor omfattning nämns behandling av bl.a. patientuppgifter på sjukhus och kunduppgifter hos bank eller försäkringsbolag. Ytterligare exempel är behandling av uppgifter av telefon- och internettjänstleverantörer. Som exempel på uppgifter som inte behandlas i stor omfattning anges patientuppgifter hos en läkare och uppgifter om lagöverträdelser hos en advokat. Enligt riktlinjerna innebär regelbunden övervakning bl.a. pågående övervakning eller övervakning i vissa intervall eller under en viss period. Systematisk övervakning innebär övervakning som sker enligt ett system, som är på förhand arrangerad, organiserad eller metodisk, som sker enligt en allmän plan för uppgiftsinsamling eller som utförs som ett led i en strategi (se Riktlinjer om dataskyddsombud, WP 243 rev.01 s. 9 f.). Antidoping Sverige är svensk nationell antidopningsorganisation enligt världsantidopningskoden och utför därmed huvuddelen av idrottens antidopningsarbete i Sverige. Antidopningsarbetet utgör bolagets kärnverksamhet. Enligt regeringens bedömning består arbetet av behandling av personuppgifter som, på grund av sin karaktär och omfattning, innebär en övervakning av enskilda som är både regelbunden och systematisk samt sker i stor omfattning. Vidare innebär Antidoping Sveriges antidopningsarbete att känsliga personuppgifter behandlas i stor omfattning. Enligt vår mening är Antidoping Sverige därmed skyldigt att utse dataskyddsombud enligt artikel 37.1 i dataskyddsförordningen. Antidoping Sverige har också utsett ett sådant ombud. Sveriges Riksidrottsförbund (RF) utför fortfarande visst antidopningsarbete, främst genom Dopingnämnden och Riksidrottsnämnden. Dopingnämnden handlägger ärenden om dopningsförseelser och överklagade ärenden om medicinsk dispens, medan Riksidrottsnämnden hanterar överklagade ärenden om dopningsförseelser. Antidopningsarbetet får anses vara en del av RF:s kärnverksamhet. Det är dock tveksamt om det antidopningsarbete som utförs av RF består av behandling av personuppgifter som är av sådan karaktär att RF av detta skäl är skyldigt att utse dataskyddsombud enligt artikel 37.1 i dataskyddsförordningen. Det arbete som utförs av RF är dock ett viktigt led i dopningskontrollarbetet, som består av behandling som kräver regelbunden och systematisk övervakning av enskilda i stor omfattning. Det talar för att RF ändå bör utse ett dataskyddsombud. RF har också utsett ett sådant ombud. Det har inte framkommit att Sveriges Olympiska Kommitté eller Sveriges Paralympiska Kommitté behandlar personuppgifter i idrottens antidopningsarbete på sådant sätt och i sådan omfattning att de på grund härav omfattas av skyldigheten enligt artikel 37.1 dataskyddsförordningen att utse dataskyddsombud. Internationella specialidrottsförbund som är etablerade i Sverige och är signatärer av världsantidopningskoden utför antidopningsarbete i Sverige. Omfattningen av detta arbete kan dock variera från förbund till förbund. Det är därför osäkert i vilken utsträckning sådana förbund är skyldiga att utse dataskyddsombud enligt artikel 37.1 i dataskyddsförordningen. Skyldigheten att utse ett sådant ombud kan också variera mellan förbunden. Det har inte framkommit att föreningar och förbund som är anknutna till RF behandlar personuppgifter i antidopningsarbetet på ett sådant sätt och i en sådan omfattning att de på grund härav omfattas av skyldigheten enligt dataskyddsförordningen att utse dataskyddsombud. Detsamma gäller andra föreningar och förbund i Sverige som är anknutna till ett internationellt specialidrottsförbund som är signatär av världsantidopningskoden. International Doping Tests Management AB (IDTM) är ett i Sverige etablerat företag som, efter delegation från signatärer av världsantidopningskoden, bl.a. utför dopningskontroller. Som utredningen funnit är det osäkert om IDTM är skyldigt att utse dataskyddsombud enligt artikel 37.1 i dataskyddsförordningen. Bolaget behandlar dock personuppgifter, även känsliga sådana, i en inte ringa omfattning i antidopningsarbetet. Detta talar för att företaget ändå bör utse dataskyddsombud. IDTM har också utsett ett sådant ombud. När det gäller signatärer och serviceföretag som inte är etablerade i Sverige tillämpas lagen endast om personuppgifterna behandlas i Sverige. Det har inte framkommit att dessa aktörer behandlar personuppgifter i Sverige i sådan skala att de av detta skäl bör omfattas av skyldigheten enligt dataskyddsförordningen att utse dataskyddsombud. Som har framgått följer det redan av dataskyddsförordningen att Antidoping Sverige ska utse dataskyddsombud. Av tydlighetsskäl bör det dock införas en bestämmelse i lagen om att Antidoping Sverige ska utse ett sådant ombud. En sådan bestämmelse bidrar till skyddet av den enskildes integritet. En bestämmelse om att dataskyddsombud ska utses är ett sådant specifikt krav på åtgärder för att säkerställa en laglig och rättvis behandling som enligt artikel 6.2 får fastställas i nationell rätt. En sådan nationell reglering förordas också i Europeiska kommissionens rapport om antidopningsarbetet (se Anti-Doping & Data Protection, An evaluation of the anti-doping laws and practices in the EU Member States in light of the General Data Protection Regulation, s. 21 och 121). Enligt regeringens uppfattning bör lagen även innehålla ett krav på att RF ska utse dataskyddsombud. Detsamma bör gälla IDTM och liknande organ som kan komma att etableras i Sverige i framtiden. Dessa aktörers behandling av personuppgifter i idrottens antidopningsarbete är av sådan ingripande karaktär att det finns anledning att i lagen införa ytterligare skyddsåtgärder för att säkerställa en laglig och rättvis behandling av personuppgifterna. När det gäller övriga aktörer i idrottens antidopningsarbete som omfattas av den föreslagna lagen saknas det tillräckliga skäl för att införa krav på att utse dataskyddsombud som går längre än dataskyddsförordningen. Inget hindrar dock att dessa organ självmant utser dataskyddsombud. Ett sådant ombud torde ofta få särskilda kunskaper om personuppgiftsfrågor och kan ge god service åt enskilda för att de ska kunna ta tillvara sin rätt. Dataskyddsombudet kan också bidra till kunskapsspridningen och kan skapa förtroende hos berörda idrottsutövare. Som Integritetsmyndigheten framhåller bör bestämmelsen förtydligas så att det blir tydligare att det är serviceföretag, eller liknande organ, som är etablerade i Sverige som omfattas av bestämmelsen. 11.6 Andra skyddsåtgärder Regeringens bedömning: Ytterligare skyddsåtgärder bör inte införas i lagen. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Majoriteten av instanserna har inte yttrat sig särskilt i denna del. Integritetsskyddsmyndigheten anser att de skyddsåtgärder som föreslås inte är tillräckliga. Som exempel på lämpliga skyddsåtgärder anger myndigheten tydliga gallringsregler, skyddsregler kring kryptering vid överföring över internet och stark autentisering vad gäller känsliga personuppgifter och lagöverträdelser. Vidare anser myndigheten att det bör framgå av lagen att den registrerade har rätt till tydlig och lättförståelig information enligt artiklarna 12-15 i dataskyddsförordningen. Förvaltningsrätten i Stockholm lyfter att det från rättssäkerhetssynpunkt och av pedagogiska skäl kan vara lämpligt att den registrerades rättigheter framgår av lagen. Domstolen menar också att det är att föredra att det av lagen framgår hur beslut hänförliga till registrerades rättigheter kan överklagas. Skälen för regeringens bedömning: Utredningen lyfter som en möjlig skyddsåtgärd att införa en bestämmelse i lagen om att den registrerade har rätt till tydlig och lättförståelig information om behandlingen av dennes personuppgifter enligt artiklarna 12-15 i dataskyddsförordningen. En närmare redogörelse för dessa bestämmelser finns i avsnitt 9. Bestämmelserna om den registrerades rättigheter i artiklarna 12-15 i dataskyddsförordningen är direkt tillämpliga. Av 5 kap. 1 och 2 §§ dataskyddslagen framgår dock att det finns vissa nationella generella undantag från artiklarna 13-15 i dataskyddsförordningen. En bestämmelse i den föreslagna lagen om att den registrerade har rätt till tydlig och lättförståelig information om personuppgiftsbehandlingen förutsätter därmed en hänvisning till den närmare regleringen i dataskyddsförordningen och dataskyddslagen. Regeringen har, till skillnad från Integritetsskyddsmyndigheten och Förvaltningsrätten i Stockholm, svårt att se att införandet av en sådan relativt komplicerad bestämmelse skulle stärka den enskildes rättigheter i någon nämnvärd utsträckning. Det är också ovanligt att registerförfattningar innehåller bestämmelser som återger eller hänvisar till den registrerades rättigheter enligt dataskyddsförordningen. Vi anser därför att det inte finns tillräckliga skäl för att låta den registrerades rättigheter enligt artiklarna 12-15 eller någon annan artikel i dataskyddsförordningen framgå av den föreslagna lagen. Förvaltningsrätten i Stockholm menar också att det bör framgå av lagen hur beslut hänförliga till den registrerades rättigheter kan överklagas. Enligt 7 kap. 2 § första stycket dataskyddslagen får beslut enligt artiklarna 12.5 och 15-21 i dataskyddsförordning som har meddelats av en myndighet i egenskap av personuppgiftsansvarig överklagas till allmän förvaltningsdomstol. Behandling av personuppgifter i idrottens antidopningsarbete utförs dock inte av myndigheter utan av privaträttsliga subjekt, varför denna bestämmelse inte gäller beslut som meddelas av dem. Av artikel 77.1 i dataskyddsförordningen följer dock att varje registrerad som anser att behandlingen av dennes personuppgifter strider mot förordningen har rätt att lämna in ett klagomål till en tillsynsmyndighet, i Sverige Integritetsskyddsmyndigheten. Myndighetens beslut får enligt 7 kap. 3 § dataskyddslagen överklagas till allmän förvaltningsdomstol. Det finns inte heller i detta fall skäl för att återge eller hänvisa till dessa bestämmelser i den föreslagna lagen. Utredningen lyfter, liksom Integritetsskyddsmyndigheten, frågan om skyddsåtgärder i form av kryptering och stark autentisering. Det följer redan av artikel 32 i dataskyddsförordningen att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken i samband med personuppgiftsbehandlingen, när det är lämpligt bl.a. kryptering av personuppgifter. Regeringen instämmer i utredningens bedömning att det är lämpligt att kryptering används när känsliga personuppgifter överförs via internet och att stark autentisering av personer, t.ex. e-legitimation, nyttjas vid inloggning i system över öppet nät för att ta del av personuppgifter. Som utredningen framhåller framstår det dock som mindre lämpligt att detaljreglera sådana tekniska åtgärder i lag. Regeringen gör således bedömningen att bestämmelser om kryptering och stark autentisering inte behöver införas i den föreslagna lagen. Som framhålls i avsnitt 10.2 och 10.3 gör regeringen bedömningen att de gallringsbestämmelser som föreslås utgör ett tillräckligt skydd för den enskildes personliga integritet. Sammanfattningsvis bedömer regeringen, till skillnad från Integritetsskyddsmyndigheten, att de skyddsåtgärder som föreslås är tillräckliga. 12 Sekretess Regeringens bedömning: Det finns inte något behov av en förändrad sekretessreglering. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Majoriteten av instanserna har inte yttrat sig särskilt i denna del. Integritetsskyddsmyndigheten efterfrågar en fördjupad analys av om 10 kap. 2 § offentlighets- och sekretesslagen (2009:400) kan ge stöd åt sådant regelmässigt utlämnande som det är frågan om i detta fall. Sveriges Riksidrottsförbund (RF) upplyser att förbundet har för avsikt att se över relevant bestämmelse i stadgarna. Skälen för regeringens bedömning Sekretess i idrottens antidopningsarbete Aktörerna i idrottens antidopningsarbete är inte myndigheter utan privaträttsliga subjekt. De omfattas därmed inte av offentlighetsprincipen som ger allmänheten och medier rätt till insyn i verksamheten. De handlingar som rör idrottens antidopningsarbete som finns hos dessa aktörer är därmed inte allmänna handlingar. Bestämmelserna i offentlighets- och sekretesslagen (2009:400) (OSL) är inte heller tillämpliga. I 1 kap. 8 § dataskyddslagen finns en bestämmelse om tystnadsplikt för dataskyddsombud, som är tillämplig även i idrottens antidopningsarbete. I övrigt saknas författningsreglering om sekretess eller tystnadsplikt för uppgifter som behandlas i idrottens antidopningsarbete. Världsantidopningskoden innehåller däremot sekretessbestämmelser. Av artikel 5.5 framgår att insamlad vistelseinformation ska behandlas strikt konfidentiellt. Enligt artikel 14.1.5 får signatärerna inte röja mottagen information om misstänkt dopning till andra än de som måste känna till den till dess informationen har offentliggjorts. Av artikel 9.3 i den internationella standarden för medicinsk dispens följer att dispensansökningar ska handläggas i enlighet med principerna för strikt medicinsk sekretess. Vidare framgår av artikel 11.2.2 i den internationella standarden för dopningskontroll och utredning att insamlad underrättelseinformation ska behandlas konfidentiellt. I koden förutsätts även att varje signatär ska införa bestämmelser om sekretess i sin egen verksamhet (se kommentaren till artikel 14.1.5). I 13 kap. 9 § i RF:s stadgar anges numera att sekretess gäller inom antidopningsverksamheten enligt Idrottens antidopingreglemente. Enligt 14 kap. 2 § 5 i stadgarna kan den som bryter mot en sekretessbestämmelse i RF:s stadgar eller reglementen ådömas bestraffning. Av artikel 14.1.6 i Idrottens antidopingreglemente följer att sekretess råder inom Antidoping Sverige AB:s (Antidoping Sverige) och RF:s antidopningsverksamhet för uppgift som avser planering av och genomförda dopningskontroller samt dopningsärenden, om det inte står klart att uppgiften kan röjas utan att verksamheten eller den som personuppgiften gäller lider men. Vidare gäller sekretess för andra uppgifter inom antidopningsverksamheten om det kan antas att verksamheten eller den som uppgiften rör lider men om uppgiften röjs. Av samma artikel framgår att sekretessen inte utgör hinder för Antidoping Sverige att lämna information till berört specialidrottsförbund, förening, internationellt specialidrottsförbund och WADA. För sådan information gäller motsvarande sekretess hos det mottagande organet. Vidare anges att Antidoping Sverige får besluta att lämna information till Polismyndigheten, Åklagarmyndigheten och Tullverket. Sekretessregleringen motsvarar den som gällde enligt 13 kap. 8 § i RF:s stadgar i sin tidigare lydelse. I artikel 14.1.5 i Idrottens antidopingreglemente finns även en bestämmelse som motsvarar artikel 14.1.5 i världsantidopningskoden. Regeringen ansluter sig till utredningens bedömning att idrottens interna regler om sekretess, tillsammans med den föreslagna lagen, är tillräckliga för att säkerställa skyddet av uppgifter som rör enskilda i idrottens antidopningsarbete. Reglerna bedöms också tillräckliga för att skydda uppgifter om planerade dopningskontroller och underrättelseinformation. Utlämnande av uppgifter som rör antidopningsarbetet Ibland lämnas uppgifter ut från aktörer i idrottens antidopningsarbete till myndigheter som omfattas av offentlighets- och sekretesslagen. Ett exempel är när Antidoping Sverige lämnar ut uppgifter till Dopinglaboratoriet vid Karolinska Universitetssjukhuset. Ett sådant utlämnande kan vara tillåtet enligt den föreslagna ändamålsbestämmelsen för att planera, samordna och genomföra dopningskontroller (se avsnitt 8.2.4). Även Antidoping Sveriges mottagande av personuppgifter från Dopinglaboratoriet kan omfattas av det ändamålet. Utredningen konstaterar att det kan ifrågasättas om ett sådant utlämnande av en uppgift från en dopningskontroll från Antidoping Sverige till Dopinglaboratoriet är tillåtet enligt artikel 14.1.6 i Idrottens antidopingreglemente. Det är dock upp till Antidoping Sverige och RF att säkerställa att svensk idrotts interna regelverk tillåter ett utlämnande till Dopinglaboratoriet. Inom Dopinglaboratoriets verksamhet råder enligt 25 kap. 1 § OSL sekretess för uppgift om enskilds hälsotillstånd eller andra personliga förhållanden. Sekretessen gäller om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. En uppgift som omfattas av sekretess får enligt 8 kap. 1 § OSL inte röjas för en enskild eller för andra myndigheter om det inte anges i lagen eller i annan lag eller förordning som lagen hänvisar till. För att ett utlämnande ska kunna ske från Dopinglaboratoriet till Antidoping Sverige eller andra organ inom idrottens antidopningsarbete krävs det alltså att det finns en tillämplig sekretessbrytande bestämmelse. 1 10 kap. 2 § OSL finns en generell sekretessbrytande bestämmelse som innebär att sekretess inte hindrar att en myndighet lämnar ut uppgifter till bl.a. en enskild om det är nödvändigt för att myndigheten ska kunna fullgöra sin verksamhet. Det är således det intresse som den utlämnande myndigheten har av att lämna uppgiften som är avgörande, inte vilket intresse som den mottagande myndigheten har av att få uppgiften. Bestämmelsen ska tillämpas restriktivt. I sitt yttrande över förslaget till motsvarande bestämmelse i den tidigare gällande sekretesslagen (1980:100) underströk Lagrådet att ett utlämnande av sekretessbelagda uppgifter måste vara en nödvändig förutsättning för att myndigheten ska kunna fullgöra ett visst åliggande. Endast en bedömning att effektiviteten blir nedsatt genom en föreskriven sekretess får alltså inte leda till att sekretessen åsidosätts (se prop. 1979/80:2 del A s. 465). Dopinglaboratoriet är ett av WADA ackrediterat dopningslaboratorium. För att laboratoriet ska kunna fullgöra sina uppgifter som dopningslaboratorium är det en nödvändig förutsättning att analysresultat avseende dopningsprov lämnas ut till det organ som har efterfrågat analysen. Dopinglaboratoriet är i dag den enda aktören i Sverige som fullgör sådana uppgifter. Även om det är fråga om ett regelmässigt uppgiftsutlämnande är det också förhållandevis begränsat till sin omfattning. Regeringen bedömer därmed, trots den restriktivitet som är påkallad, att uppgifter om analysresultat bör kunna lämnas ut från Dopinglaboratoriet till Antidoping Sverige eller andra organ som begärt analyser med stöd av den sekretessbrytande bestämmelsen i 10 kap. 2 § OSL. Det kan vidare förekomma att uppgifter som behandlas i antidopningsverksamheten lämnas ut från Antidoping Sverige till Polismyndigheten, Åklagarmyndigheten eller Tullverket. Ett sådant utlämnande kan ske med stöd av den av oss föreslagna sekundära ändamålsbestämmelsen (9 § i lagförslaget). Det är även förenligt med Antidoping Sveriges och RF:s interna sekretessbestämmelser. Regeringen ser mot denna bakgrund inte behov av att ändra sekretessregleringen för att idrottens antidopningsarbete ska kunna utföras. Vi finner inte heller skäl att införa någon särskild lagreglering för att skydda enskildas uppgifter i antidopningsarbetet. 13 Ikraftträdande- och övergångsbestämmelser Regeringens förslag: Den nya lagen ska träda i kraft den 1 augusti 2022. Utredningens förslag överensstämmer inte med regeringens. Utredningen föreslår att lagen skulle träda i kraft den 1 juli 2020. Remissinstanserna: Ingen remissinstans har yttrat sig särskilt i denna del. Skälen för regeringens förslag: Den nu föreslagna regleringen bör träda i kraft så snart som möjligt. Det föreslås därför att lagen ska träda i kraft den 1 augusti 2022. Det behövs inte några övergångsbestämmelser. 14 Konsekvenser av förslagen Regeringens bedömning: För aktörerna inom idrottens antidopningsarbete bör förslagen innebära ett visst behov av utbildning och information. Förslagen bedöms inte leda till kostnadsökningar för det allmänna. Förslagen innebär en förstärkning av skyddet för enskildas personliga integritet. Förslagen bör få positiva konsekvenser för bekämpningen av dopningsrelaterad brottslighet. Förslagen har inte någon påverkan på jämställdheten mellan män och kvinnor eller på möjligheterna att nå de integrationspolitiska målen. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen av remissinstanserna invänder mot utredningens bedömning. Skälen för regeringens bedömning: Regeringen föreslår en ny lag om behandling av personuppgifter i idrottens antidopningsarbete. Lagen utgör ett komplement till dataskyddsförordningen. Den är tillämplig när personuppgifter behandlas i idrottens antidopningsarbete, dvs. sådant antidopningsarbete som utförs inom idrotten på grund av världsantidopningskoden eller dess internationella standarder, som utförs av vissa aktörer. Den aktör som främst berörs av förslagen är Antidoping Sverige AB (Antidoping Sverige), som är den svenska nationella antidopningsorganisationen enligt världsantidopningskoden och som därmed utför huvuddelen av antidopningsarbetet i Sverige. Förslagen berör också Sveriges Riksidrottsförbund (RF) som bl.a. handlägger ärenden om dopningsförseelser. Vidare berörs Sveriges Olympiska Kommitté och Sveriges Paralympiska Kommitté i mindre mån. Förslagen påverkar även ett fåtal internationella specialidrottsförbund som är etablerade i Sverige och är signatärer av världsantidopningskoden, t.ex. Internationella Orienteringsförbundet. Vidare berör förslagen i viss mån föreningar och förbund som är anknutna till RF, f.n. 72 nationella specialidrottsförbund och omkring 20 000 lokala idrottsföreningar. Dessa föreningar och förbund behandlar dock enligt regeringens bedömning personuppgifter i idrottens antidopningsarbete endast i en mindre utsträckning. Det finns också ett fåtal nationella specialidrottsförbund och föreningar i Sverige som inte tillhör RF men ett internationellt specialidrottsförbund som är signatär av koden. Även dessa berörs av förslagen i den mån de behandlar personuppgifter i ett antidopningsarbete som utförs på grund av koden eller de internationella standarderna. Förslagen omfattar även den personuppgiftsbehandling som sker när signatärer av koden som inte är etablerade i Sverige, t.ex. andra länders nationella antidopningsorganisationer och andra internationella specialidrottsförbund, behandlar personuppgifter i Sverige i samband med att de utför dopningskontroller här. Lagen kommer också att vara tillämplig för serviceföretag som utför antidopningsarbete efter delegation från en signatär av koden. För närvarande finns det endast ett sådant företag, International Doping Tests Management AB (IDTM), som är etablerat i Sverige. Serviceföretag som är etablerade i andra länder berörs endast i den mån de behandlar personuppgifter i Sverige. Syftet med lagförslaget är att möjliggöra att personuppgifter kan behandlas i idrottens antidopningsarbete på ett ändamålsenligt sätt och att samtidigt skydda människor mot att deras personliga integritet kränks vid sådan behandling. Det antidopningsarbete som utförs enligt världsantidopningskoden har stöd i internationella konventioner som Sverige har tillträtt. I dag är det tveksamt om det finns en tillämplig rättslig grund för den behandling av personuppgifter i idrottens antidopningsarbete som sker i Sverige. Det är också tveksamt om det i dag finns något tillämpligt undantag från förbudet mot att behandla känsliga personuppgifter beträffande den behandling som sker i antidopningsarbetet i Sverige. Genom den lag som regeringen föreslår införs en rättslig grund enligt artikel 6.3 i dataskyddsförordningen för behandling av personuppgifter i idrottens antidopningsarbete. Det införs även ett undantag enligt artikel 9.2 g i dataskyddsförordningen för behandling av känsliga personuppgifter i detta arbete. Vidare införs en viss möjlighet att behandla personuppgifter om lagöverträdelser i antidopningsarbetet. Om en reglering inte skulle komma till stånd i dessa avseenden skulle det innebära tveksamhet om huruvida den behandling av personuppgifter som sker i idrottens antidopningsarbete är förenlig med dataskyddsförordningens bestämmelser. Förslagen innebär därutöver inte några förändringar i förhållande till den direkt tillämpliga dataskyddsförordningen. Förslagen innebär inte heller att några mer betydande förändringar behöver göras i det antidopningsarbete som utförs inom idrotten som en följd av världsantidopningskoden. Den föreslagna regleringen innebär främst ett förtydligande av den redan gällande dataskyddsförordningen och behovet av utbildning och information kommer därför att vara begränsat. Regleringen får även anses vara mer lättillämpad än vad som är fallet i dag när en särskild registerförfattning inte finns för behandlingen av personuppgifter i idrottens antidopningsarbete. Antidoping Sveriges antidopningsarbete finansieras genom ett riktat statligt bidrag. Det arbete som behöver utföras med anledning av förslagen bedöms rymmas inom befintligt anslag. Utredningen bedömer således att förslagen inte leder till kostnadsökningar för det allmänna. Regeringen delar den bedömningen. Inte heller för övriga aktörer inom idrottens antidopningsarbete görs bedömningen att förslagen kommer att innebära några kostnadsökningar. I dag finns endast ett privat serviceföretag etablerat i Sverige som kommer att beröras av förslagen. Regeringens bedömning är att förslagen inte kommer att påverka företagets arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt. Ett grundläggande syfte med den EU-rättsliga dataskyddsreformen är att stärka integritetsskyddet för enskilda och ge dem bättre möjligheter att kunna kontrollera hur behandlingen av personuppgifter sker. Den föreslagna lagstiftningen innebär enligt regeringens bedömning ett stärkt skydd för enskildas personliga integritet. För att idrottens antidopningsarbete ska kunna utföras krävs behandling av personuppgifter och förslagen utgör enligt regeringen en lämplig avvägning mellan behovet av en ändamålsenlig reglering för behandlingen av personuppgifter i idrottens antidopningsarbete och behovet av skydd för den enskildes personliga integritet. Den behandling av personuppgifter som tillåts begränsas till vad som är nödvändigt för att antidopningsarbetet ska kunna utföras i enlighet med världsantidopningskodens krav. Förslagen reglerar också i vilken mån känsliga personuppgifter och uppgifter om lagöverträdelser får behandlas i detta arbete. Vidare omfattar förslagen ett flertal skyddsåtgärder som har till syfte att skydda enskilda vid behandlingen av deras personuppgifter, såsom tillgångsbegränsningar, gallringsregler och krav på dataskyddsombud. Till detta kommer att förslagen i sig medför att det blir tydligt på vilket sätt personuppgifter alls får behandlas i idrottens antidopningsarbete. Med allt detta ges ett stärkt skydd för enskildas personliga integritet. Den föreslagna lagstiftningen innebär att personuppgifter som behandlas i idrottens antidopningsarbete får lämnas till Polismyndigheten, Åklagarmyndigheten eller Tullverket om det är nödvändigt för att tillhandahålla information som behövs i brottsbekämpande verksamhet. Förslagen kan därmed innebära positiva effekter för bekämpningen av dopningsrelaterad brottslighet. Några effekter på brottsligheten i sig bedöms däremot inte kunna förväntas. Regeringen bedömer att förslagen inte har någon påverkan på jämställdheten mellan män och kvinnor och att de inte heller kommer att påverka möjligheterna att nå de integrationspolitiska målen. 15 Författningskommentar Förslaget till lag om behandling av personuppgifter i idrottens antidopningsarbete Lagens syfte 1 § Syftet med denna lag är att ge aktörer i idrottens antidopningsarbete möjlighet att behandla personuppgifter på ett ändamålsenligt sätt och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. Paragrafen anger det övergripande syftet med lagen. Övervägandena finns i avsnitt 7.1. Av paragrafen framgår att syftet med lagen är dubbelt. Lagen ska dels ge aktörerna som omfattas av lagen möjlighet att i sin antidopningsverksamhet behandla personuppgifter om idrottsutövare och andra personer på ett ändamålsenligt sätt, dels skydda enskilda mot att deras personliga integritet kränks vid sådan behandling. Idrottens antidopningsarbete 2 § Med idrottens antidopningsarbete avses i denna lag sådant antidopningsarbete som utförs på grund av världsantidopningskoden (World Anti-Doping Code) eller de internationella standarder som kompletterar koden. I paragrafen definieras begreppet idrottens antidopningsarbete. Övervägandena finns i avsnitt 7.2. Med begreppet idrottens antidopningsarbete avses i lagen sådant antidopningsarbete som utförs på grund av världsantidopningskoden eller de internationella standarder som tillhör koden. Koden och standarderna har antagits av Världsantidopningsbyrån (WADA) och är styrande för antidopningsarbetet inom stora delar av den organiserade idrotten i såväl Sverige som internationellt. Världsantidopningskoden reglerar bl.a. vad som utgör en dopningsförseelse och vilka konsekvenser en sådan kan leda till. Koden innehåller vidare bestämmelser om bl.a. medicinsk dispens från dopningsreglerna, vistelserapportering, dopningskontroller, resultathantering och underrättelseverksamhet. Till koden hör för närvarande åtta internationella standarder: standarden för signatärers efterlevnad av koden, standarden för dopningslistan, standarden för medicinsk dispens, standarden för dopningskontroll och utredning, standarden för laboratorier, standarden för resultathantering, standarden för utbildning samt standarden för skydd av privatlivet och personuppgifter. Med sådant antidopningsarbete som utförs på grund av världsantidopningskoden eller de internationella standarderna avses antidopningsarbete som utförs av signatärer av koden i enlighet med regelverket. Som exempel kan en nationell antidopningsorganisation, ett internationellt specialidrottsförbund eller en storevenemangsorganisation vara signatär av koden. Signatärerna är skyldiga att följa bestämmelserna i koden och de internationella standarderna. De ska hantera frågor om t.ex. medicinsk dispens, vistelserapportering, dopningskontroller, resultathantering och underrättelseverksamhet i enlighet med koden och standarderna. Arbetet är till stor del reglerat i koden och standarderna. I vissa fall medger dock regelverket viss flexibilitet beträffande hur arbetet ska utföras. Sådant antidopningsarbete som utförs på grund av världsantidopningskoden eller de internationella standarderna kan även omfatta antidopningsarbete som utförs av andra aktörer än signatärer. Andra aktörer kan nämligen vara indirekt bundna av koden och standarderna. Som exempel är förbund och föreningar som är anknutna till Sveriges Riksidrottsförbund (RF) skyldiga att utföra antidopningsarbete i enlighet med den RF-anknutna idrottens regelverk, som genomför koden och standarderna. Motsvarande kan gälla för förbund och föreningar som är anknutna till ett internationellt specialidrottsförbund som är signatär av koden. Ytterligare exempel är att signatärer av koden kan delegera uppgifter i antidopningsarbetet till serviceföretag. Serviceföretag kan alltså genom avtal med en signatär vara skyldiga att utföra antidopningsarbete i enlighet med koden och standarderna. Hänvisningen till världsantidopningskoden och de internationella standarderna är dynamisk och avser alltså koden och standarderna i den vid varje tidpunkt gällande lydelsen. Lagens tillämpningsområde 3 § Denna lag ska tillämpas då personuppgifter behandlas i idrottens antidopningsarbete som utförs av 1. signatärer av världsantidopningskoden som är etablerade i Sverige, 2. signatärer av världsantidopningskoden som inte är etablerade i Sverige, om personuppgifterna behandlas i Sverige, 3. föreningar och förbund som är anknutna till Sveriges Riksidrottsförbund, eller 4. andra föreningar och förbund än de som anges i 3 och som är etablerade i Sverige och anknutna till ett internationellt specialidrottsförbund som är signatär av världsantidopningskoden. Paragrafen reglerar tillsammans med 4 § lagens materiella och territoriella tillämpningsområde. Övervägandena finns i avsnitt 7.3.1. Ytterligare bestämmelser om lagens tillämpningsområde finns i 5 §. I paragrafen anges att lagen ska tillämpas då personuppgifter behandlas i idrottens antidopningsarbete av vissa aktörer. Vad som avses med idrottens antidopningsarbete framgår av 2 §. Definitioner av begreppen behandling och personuppgifter finns i artikel 4 i dataskyddsförordningen. Vilka aktörer som kan vara signatärer av världsantidopningskoden framgår av artikel 23 i koden. En lista över signatärerna finns publicerad på WADA:s webbplats www.wada-ama.org. Lagen är endast tillämplig vid behandling av personuppgifter i sådant antidopningsarbete som utförs på grund av världsantidopningskoden eller de internationella standarder som kompletterar koden. Lagen är alltså inte tillämplig på antidopningsverksamhet som inte kan anses utföras på grund av koden eller de internationella standarderna. Den är inte heller tillämplig på aktörernas interna administrativa verksamhet. Med administrativ verksamhet avses t.ex. anställning och avlöning av personal, lokalfrågor, fakturahantering samt liknande administrativa göromål hos aktörerna. Enligt första punkten är lagen tillämplig då personuppgifter behandlas i det antidopningsarbete som utförs av signatärer av världsantidopningskoden som är etablerade i Sverige, dvs. i dagsläget Antidoping Sverige AB (Antidoping Sverige), RF, Sveriges Olympiska Kommitté (SOK) och Sveriges Paralympiska Kommitté (SPK). Vidare omfattas internationella specialidrottsförbund som är etablerade i Sverige och är signatärer av världsantidopningskoden. Antidoping Sverige är nationell antidopningsorganisation för svensk idrott. Antidoping Sverige är etablerat i Sverige och utför större delen av idrottens antidopningsarbete i Sverige. Lagen är tillämplig för sådant antidopningsarbete som utförs av Antidoping Sveriges styrelse och bolagets kansli. Den är även tillämplig då personuppgifter behandlas i verksamheten vid Dispenskommittén inom Antidoping Sverige. Vidare kan lagen gälla då personuppgifter behandlas i samband med en dopningskontroll som utförs av dopningskontrollfunktionärer som har uppdragsavtal med Antidoping Sverige. RF utför framför allt antidopningsarbete inom ramen för instanserna Dopingnämnden och Riksidrottsnämnden, som bl.a. handlägger ärenden om dopningsförseelser. RF är etablerat i Sverige och bedriver sin verksamhet här. SOK utför visst antidopningsarbete, främst i anslutning till de olympiska spelen. Även SPK utför visst begränsat antidopningsarbete. Kommittéerna är etablerade och bedriver sin verksamhet i Sverige. Det finns ett fåtal internationella specialidrottsförbund som är etablerade i Sverige och är signatärer av världsantidopningskoden t.ex. Internationella Orienteringsförbundet. De internationella specialidrottsförbunden utför antidopningsarbete inom sin respektive idrott. Av andra punkten framgår att lagen även är tillämplig när personuppgifter behandlas i antidopningsarbete som utförs av en signatär av världsantidopningskoden som inte är etablerad i Sverige, om uppgifterna behandlas här. Lagen är därmed tillämplig när t.ex. andra länders nationella antidopningsorganisationer, andra internationella specialidrottsförbund eller storevenemangsorganisationer som är signatärer av koden utför dopningskontroller i Sverige. Vidare framgår av tredje punkten att lagen ska tillämpas då personuppgifter behandlas i antidopningsarbetet som utförs av föreningar och förbund som är anknutna till RF. Dessa organisationer är inte signatärer av världsantidopningskoden men är genom sin anknytning till RF indirekt bundna av koden. Sådant antidopningsarbete som utförs av nationella specialidrottsförbund, specialidrottsdistriktsförbund, RF-SISU distrikt och idrottsföreningar omfattas alltså av lagen. RF:s medlemsorganisationer är alla etablerade i Sverige och bedriver sin verksamhet här. Enligt fjärde punkten är lagen också tillämplig när personuppgifter behandlas i det antidopningsarbete som utförs av föreningar och förbund som är etablerade i Sverige och som inte tillhör RF men däremot ett internationellt specialidrottsförbund som är signatär av världsantidopningskoden. Dessa organisationer kan, på samma sätt som de organisationer som är anknutna till RF, vara indirekt bundna av koden. Sådant antidopningsarbete som utförs av t.ex. Svenska Bodybuilding- och Fitnessförbundet omfattas således av lagen. För de aktörer som omfattas av punkterna 1, 3 och 4 är lagen tillämplig oavsett var personuppgiftsbehandlingen utförs. I dessa avseenden gäller alltså den s.k. etableringsprincipen. För de organisationer som avses i punkten 2 är lagen endast tillämplig när personuppgiftsbehandlingen utförs i Sverige. Se författningskommentaren till 4 § angående begreppet etablerad. 4 § Denna lag ska även tillämpas då personuppgifter behandlas i idrottens antidopningsarbete som, efter delegation från en signatär av världsantidopningskoden, utförs av 1. organ som är etablerade i Sverige, eller 2. organ som inte är etablerade i Sverige, om personuppgifterna behandlas i Sverige. Paragrafen, som kompletterar 3 §, behandlar lagens materiella och territoriella tillämpningsområde. Övervägandena finns i avsnitt 7.3.1. Bestämmelsen reglerar i vilken utsträckning som lagen är tillämplig för behandling av personuppgifter i idrottens antidopningsarbete som ett organ utför efter delegation av en signatär av världsantidopningskoden. Enligt första punken är lagen tillämplig då personuppgifter behandlas i sådant antidopningsarbete som utförs av ett organ som är etablerat i Sverige efter delegation av en signatär av världsantidopningskoden. Ett organ anses etablerat i Sverige om det har ett verksamhetsställe här i landet. Med begreppet verksamhetsställe avses detsamma som i dataskyddsförordningen (jfr skäl 22). Ett organ bör således anses ha ett verksamhetsställe i Sverige om det bedriver en faktisk och reell verksamhet med hjälp av en stabil struktur här i landet. Bestämmelsen i första punkten träffar behandling av personuppgifter i sådant antidopningsarbete som utförs International Doping Tests & Management AB (IDTM), som har säte i Sverige, efter delegation av Antidoping Sverige eller en annan signatär av världsantidopningskoden. Liknande serviceföretag kan komma att dyka upp i Sverige framöver. Bestämmelsen i 4 § träffar däremot inte behandling som utförs av laboratorier, t.ex. Dopinglaboratoriet vid Karolinska Universitetssjukhuset. Enligt världsantidopningskoden får dopningsprov endast analyseras av laboratorier som har godkänts av WADA. Antidoping Sverige eller andra signatärer får alltså inte själva analysera dopningsprov. Signatärerna kan därmed inte delegera uppgiften att analysera dopningsprov till laboratorier. Bestämmelsen träffar inte heller behandling som utförs av passhanteringsenheter (s.k. APMU). Enligt den internationella standarden för resultathantering ska en passhanteringsenhet ansvara för hanteringen av idrottsutövares biologiska pass i WADA:s databas ADAMS för den ansvariga signatärens räkning. Signatärerna kan därmed inte delegera uppgifter som rör biologiska pass som ska utföras av en passhanteringsenhet. För de organ som omfattas av första punken är lagen tillämplig oavsett om behandlingen av personuppgifter sker i Sverige eller utomlands. Enligt andra punkten är lagen vidare tillämplig när personuppgifter behandlas i Sverige i sådant antidopningsarbete som utförs av ett organ som inte är etablerat i Sverige efter delegation av en signatär av världsantidopningskoden. Lagen ska således tillämpas när ett serviceföretag som inte är etablerat i Sverige behandlar personuppgifter i Sverige i antidopningsarbete som utförs efter delegation av Antidoping Sverige eller annan signatär av koden. 5 § Denna lag gäller endast om behandlingen av personuppgifter är helt eller delvis automatiserad eller om personuppgifterna ingår i eller kommer att ingå i ett register. Paragrafen begränsar lagens tillämpningsområde till viss behandling av personuppgifter. Övervägandena finns i avsnitt 7.3.2. Bestämmelserna i lagen ska endast tillämpas på behandling av personuppgifter som är helt eller delvis automatiserad eller på behandling av personuppgifter som ingår i eller kommer att ingå i ett register. Vad som avses med register framgår av artikel 4.6 i dataskyddsförordningen. Bestämmelsen har motsvarande innebörd som den i artikel 2.1 i dataskyddsförordningen. Helt manuell behandling av personuppgifter som inte ingår eller kommer att ingå i ett register faller därmed utanför lagens tillämpningsområde. Förhållandet till annan reglering 6 § Denna lag kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), i lagen benämnd EU:s dataskyddsförordning. Paragrafen klargör att lagen innehåller kompletterande bestämmelser till dataskyddsförordningen. Övervägandena finns i avsnitt 7.4. Dataskyddsförordningen är direkt tillämplig i varje medlemsstat. I vissa avseenden förutsätter eller tillåter dataskyddsförordningen att det införs bestämmelser som kompletterar förordningen. Denna lag innehåller sådana kompletterande bestämmelser som gäller vid behandlingen av personuppgifter i idrottens antidopningsarbete som utförs av de aktörer som anges i 3 och 4 §§. Hänvisningen till dataskyddsförordningen är dynamisk, dvs. den avser förordningen i den vid varje tidpunkt gällande lydelsen. 7 § Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag. Paragrafen upplyser om hur lagen förhåller sig till dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen. Övervägandena finns i avsnitt 7.4. Av paragrafen framgår att dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller för behandling av personuppgifter i idrottens antidopningsarbete. En förutsättning är dock att inte annat följer av denna lag. I dataskyddslagen finns kompletterande bestämmelser till EU:s dataskyddsförordning som gäller på ett generellt plan. Av 1 kap. 6 § dataskyddslagen följer att den lagen är subsidiär till annan lagstiftning. Ändamål med behandlingen 8 § Personuppgifter får behandlas i idrottens antidopningsarbete om det är nödvändigt för att 1. handlägga ärenden om medicinsk dispens samt begära överprövning av och överklaga beslut om sådan dispens, 2. planera, samordna och administrera vistelserapporteringar, 3. planera, samordna och genomföra dopningskontroller, 4. handlägga, tillhandahålla information i och överklaga beslut i ärenden om dopningsförseelser, och 5. inhämta, bearbeta, analysera och delge information som gäller möjliga dopningsförseelser. Endast Antidoping Sverige AB och internationella specialidrottsförbund som är etablerade i Sverige och är signatärer av världsantidopningskoden får behandla personuppgifter enligt första stycket 5. Andra organ som denna lag är tillämplig på får dock behandla personuppgifter om det är nödvändigt för att tillhandahålla Antidoping Sverige AB eller ett internationellt specialidrottsförbund som är signatär av världsantidopningskoden information som behövs i deras verksamhet enligt första stycket 5. Paragrafen reglerar de ändamål för vilka personuppgifter får behandlas enligt lagen. Övervägandena finns i avsnitt 8.2. I första stycket anges de ändamål för vilka personuppgifter får samlas in och vidarebehandlas i idrottens antidopningsarbete enligt lagen. Genom ändamålen anges den yttre ramen för den behandling av personuppgifter som är tillåten enligt lagen. En viss behandling av personuppgifter kan ske för mer än ett ändamål. Personuppgifter får behandlas bara om det är nödvändigt för något av de angivna ändamålen (se dock 9 och 10 §§). Kravet på att behandlingen ska vara nödvändig innebär inte att behandlingen ska vara oundgänglig. Metoden för att utföra uppgiften måste vara ändamålsenlig, effektiv och proportionerlig och får därmed inte medföra ett onödigt intrång i enskildas privatliv. Personuppgifter får även behandlas för planering, uppföljning och utvärdering av antidopningsverksamheten, vilket inte behöver regleras särskilt (se t.ex. prop. 2004/05:164 s. 179 och prop. 2014/15:63 s. 63). Enligt första stycket första punkten får personuppgifter behandlas för att handlägga ärenden om medicinsk dispens från dopningsreglerna. Med medicinsk dispens avses dispens som tillåter en idrottsutövare som har medicinska skäl att använda en förbjuden substans eller metod. Med handläggning avses alla åtgärder som behöver vidtas i enlighet med bestämmelserna i världsantidopningskoden och den internationella standarden för medicinsk dispens från att ett ärende inleds till att det avslutas, t.ex. mottagande av uppgifter, diarieföring, kommunicering, protokollföring, sökning efter relevant praxis, upprättande av beslut och expediering. Även den behandling som sker när information om beslutet lämnas ut till WADA och andra signatärer enligt bestämmelserna i koden och den internationella standarden omfattas. Vidare får personuppgifter behandlas för att begära överprövning av och överklaga andra organs beslut om medicinsk dispens i enlighet med koden och den internationella standarden. Ett exempel är att Antidoping Sverige i vissa fall har rätt att begära överprövning av ett internationellt specialidrottsförbunds beslut om medicinsk dispens som rör en svensk idrottsutövare. Av första stycket andra punkten framgår att personuppgifter får behandlas för att planera, samordna och administrera vistelserapporteringar. Med vistelserapportering avses information om vistelse som lämnas av idrottsutövare eller idrottslag som har ålagts att lämna sådan information av en signatär av världsantidopningskoden. Punkten omfattar sådan behandling av personuppgifter som sker för att välja ut vilka idrottsutövare eller lag som ska lämna vistelserapporter samt för att samordna valet av idrottsutövare och insamlingen av rapporter med andra signatärer av koden. Vidare omfattas behandling för att granska att vistelserapporterna uppfyller kraven i den internationella standarden för dopningskontroll och utredning. Även behandling för att via ADAMS tillhandahålla en lista över idrottsutövarna i den registrerade kontrollpoolen omfattas. Enligt första stycket tredje punkten får personuppgifter behandlas för att planera, samordna och genomföra dopningskontroller. Med dopningskontroll avses insamling och hantering av dopningsprov. Bestämmelsen omfattar behandling för att planera dopningskontroller och samordna sådana kontroller med andra signatärer av världsantidopningskoden, inklusive utlämnande av uppgifter till andra signatärer. Sådan behandling som rör uppgifter i vistelserapporter i samband med planering och samordning av dopningskontroller faller också in under bestämmelsen. Vidare omfattas den behandling som sker i samband med provtagningen. Bestämmelsen täcker även in den behandling som sker vid utlämnande av uppgifter från en dopningskontroll till ett dopningslaboratorium och vid mottagande av resultatet från laboratoriet. Den behandling som utförs av laboratoriet omfattas dock inte. Bestämmelsen omfattar även den behandling som sker vid utlämnande av uppgifter till och mottagande av svar från en passhanteringsenhet. Den behandling som utförs av passhanteringsenheter omfattas inte av lagen (se författningskommentaren till 4 §). I första stycket fjärde punkten anges att personuppgifter får behandlas för att handlägga ärenden om dopningsförseelser. Med dopningsförseelser avses sådana omständigheter och beteenden som utgör dopningsförseelser (anti-doping rule-violations) enligt världsantidopningskoden. Med handläggning avses alla åtgärder som behöver vidtas i enlighet med bestämmelserna i världsantidopningskoden och den internationella standarden för resultathantering från att ett ärende inleds till att det avslutas, t.ex. mottagande av uppgifter, diarieföring, kommunicering, protokollföring, sökning efter relevant praxis, upprättande av beslut och expediering. Vidare omfattas den behandling som sker vid utredning av en dopningsförseelse. Även den behandling som äger rum när beslut och annan information lämnas ut till andra aktörer i idrottens antidopningsarbete enligt bestämmelserna i världsantidopningskoden och tillhörande internationella standarder omfattas av bestämmelsen. Personuppgifter får också behandlas för att tillhandahålla information i ärenden om dopningsförseelser. Vidare får personuppgifter behandlas för att överklaga andra organs beslut i ärenden om dopningsförseelser i enlighet med koden och den internationella standarden för resultathantering. Enligt första stycket femte punkten får personuppgifter behandlas för att inhämta, bearbeta, analysera och delge information som gäller möjliga dopningsförseelser. Punkten reglerar Antidoping Sveriges underrättelseverksamhet. Den reglerar även underrättelseverksamhet som bedrivs av internationella specialidrottsförbund som är etablerade i Sverige och är signatärer av världsantidopningskoden, t.ex. Internationella Orienteringsförbundet (se andra stycket). Bestämmelsen omfattar insamling, bearbetning och analys av information i syfte att förhindra eller upptäcka dopningsförseelser enligt världsantidopningskoden när det ännu inte finns sådana misstankar om att en konkret förseelse har begåtts att en utredning eller ett ärende om dopningsförseelse inletts. För det fall den information som inhämtas utmynnar i att någon blir konkret misstänkt för dopning kan en utredning inledas. Uppgifterna behandlas då enligt ändamålet i fjärde punkten. Med att delge information avses utlämnande av uppgifter till andra aktörer inom idrottens antidopningsarbete enligt bestämmelserna i världsantidopningskoden och tillhörande internationella standarder. I andra stycket slås det fast att det bara är Antidoping Sverige och internationella specialidrottsförbund som är etablerade i Sverige och är signatärer av världsantidopningskoden som får behandla personuppgifter i ett sådant underrättelsearbete som avses i första stycket femte punkten. Andra organ som omfattas av lagen, t.ex. nationella specialidrottsförbund och föreningar som är anknutna till RF, får dock behandla personuppgifter om det är nödvändigt för att tillhandahålla information som Antidoping Sverige eller internationella specialidrottsförbund som är signatärer av världsantidopningskoden behöver i sin underrättelseverksamhet. 9 § Personuppgifter som behandlas enligt 8 § får även behandlas om det är nödvändigt för att tillhandahålla Polismyndigheten, Åklagarmyndigheten eller Tullverket information som behövs i myndigheternas brottsbekämpande verksamhet. Paragrafen anger att de uppgifter som behandlas enligt 8 § även får behandlas för andra ändamål. Övervägandena finns i avsnitt 8.3. Enligt bestämmelsen får uppgifter som behandlas inom idrottens antidopningsarbete behandlas även för att lämna ut information som behövs i brottsbekämpande verksamhet hos Polismyndigheten, Åklagarmyndigheten eller Tullverket. Bestämmelsen gör det möjligt för aktörerna i antidopningsarbetet att lämna ut uppgifter om misstänkta dopningsrelaterade brott till de myndigheter som bekämpar den aktuella brottsligheten. Någon skyldighet att lämna ut uppgifter finns dock inte. 10 § Personuppgifter som behandlas enligt 8 § får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Paragrafen anger att de uppgifter som behandlas enligt 8 § även får behandlas för andra ändamål, under förutsättning att behandlingen inte är oförenlig med insamlingsändamålen. Övervägandena finns i avsnitt 8.3. Bestämmelsen, som är ett uttryck för den s.k. finalitetsprincipen, är utformad i nära anslutning till artikel 5.1 b i dataskyddsförordningen och bör tolkas på samma sätt. Det innebär bl.a. att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i förordningen inte ska anses vara oförenlig med insamlingsändamålen. Det innebär också att de omständigheter som anges i artikel 6.4 a-e i förordningen ska beaktas vid bedömningen av om behandlingen är förenlig med insamlingsändamålen. Behandling av känsliga personuppgifter 11 § Inga andra personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) än uppgifter om hälsa, genetiska uppgifter eller biometriska uppgifter för att entydigt identifiera en fysisk person får behandlas med stöd av artikel 9.2 g i samma förordning. Paragrafen reglerar vilka känsliga personuppgifter som får behandlas i idrottens antidopningsarbete med stöd av undantaget i artikel 9.2 g i dataskyddsförordningen. Övervägandena finns i avsnitt 8.5. Vad som utgör särskilda kategorier av personuppgifter, i lagen kallade känsliga personuppgifter, framgår av artikel 9.1 i dataskyddsförordningen. Paragrafen innebär att endast känsliga personuppgifter i form av uppgifter om hälsa, genetiska uppgifter och angivna biometriska uppgifter får behandlas i idrottens antidopningsarbete med stöd av undantaget för viktigt allmänt intresse i artikel 9.2 g i dataskyddsförordningen. Behandling av personuppgifter om lagöverträdelser 12 § Personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning får behandlas endast för de ändamål som anges i 8 § första stycket 4 och 5. Paragrafen anger att personuppgifter om lagöverträdelser får behandlas i idrottens antidopningsarbete för vissa ändamål. Övervägandena finns i avsnitt 8.6. De personuppgifter som avses i artikel 10 är personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder. Begreppet därmed sammanhängande säkerhetsåtgärder torde vara likvärdigt med straffprocessuella tvångsmedel. Av paragrafen framgår att aktuella personuppgifter får behandlas endast för ändamålen att handlägga, tillhandahålla information i och överklaga beslut i ärenden om dopningsförseelser samt att inhämta, bearbeta, analysera och delge information som gäller möjliga dopningsförseelser. Tillgången till personuppgifter 13 § Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Paragrafen reglerar tillgången till personuppgifter. Övervägandena finns i avsnitt 11.2. Bestämmelsen innebär ett uttryckligt krav på aktörerna i idrottens antidopningsarbete att se till att tillgången till personuppgifter begränsas till dem som behöver personuppgifterna för att kunna fullgöra sina arbetsuppgifter. I och med begränsningen förstärks skyddet för den personliga integriteten genom att uppgifterna sprids till en så liten krets som möjligt. Som exempel kan tillgången till personuppgifter begränsas genom loggningssystem och uppföljande kontroller av vilken tillgång till uppgifter som medarbetarna haft. Dataskyddsombud 14 § Antidoping Sverige AB, Sveriges Riksidrottsförbund och sådana organ som avses i 4 § 1 ska utse dataskyddsombud för sin behandling av personuppgifter i idrottens antidopningsarbete. I paragrafen finns en bestämmelse om dataskyddsombud. Övervägandena finns i avsnitt 11.5. Av paragrafen framgår att Antidoping Sverige ska utse dataskyddsombud för sin behandling av personuppgifter i antidopningsarbetet. Även RF ska utse ett sådant ombud. Kravet omfattar inte de föreningar och förbund som är anknutna till RF. Vidare ska sådana organ som avses i 4 § 1 utse dataskyddsombud. Bestämmelsen träffar i dagsläget serviceföretaget IDTM, men kan i framtiden omfatta fler aktörer. Bestämmelser om dataskyddsombud samt om ombudets ställning och uppgifter finns i artiklarna 37-39 i dataskyddsförordningen. Längsta tid som personuppgifter får behandlas 15 § Personuppgifter får inte behandlas under längre tid än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Paragrafen reglerar tillsammans med 16 § hur länge personuppgifter får behandlas för ändamål inom lagens tillämpningsområde. Övervägandena finns i avsnitt 10.2. Av bestämmelsen framgår att personuppgifter inte får behandlas under längre tid än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Det som avses är ändamålet i det enskilda fallet. Bestämmelsen har till syfte att motverka ett slentrianmässigt bevarande av uppgifter i antidopningsarbetet. Behovet av att fortsätta behandla personuppgifter måste därmed prövas kontinuerligt. Om det är tillräckligt att behandla avidentifierade personuppgifter, dvs. uppgifter som inte går att koppla samman med en person, är det inte längre tillåtet att behandla personuppgifterna. Signatärerna av världsantidopningskoden får dessutom aldrig behandla personuppgifter längre än den tid som anges i den till världsantidopningskoden hörande internationella standarden för skydd av privatlivet och personuppgifter. 16 § Personuppgifter som behandlas för ändamål som anges i 8 § första stycket 5 får inte behandlas längre än tre år efter utgången av det kalenderår då uppgifterna behandlades första gången. Om en ny uppgift om samma persons anknytning till dopningsverksamhet behandlas före utgången av tidsfristen, får de personuppgifter som redan finns om personen fortsätta att behandlas så länge någon av uppgifterna får behandlas. Paragrafen reglerar tillsammans med 15 § hur länge personuppgifter får behandlas i underrättelseverksamheten. Övervägandena finns i avsnitt 10.3. Bestämmelsen är tillämplig för Antidoping Sveriges behandling av personuppgifter i underrättelseverksamheten. Den är även tillämplig när internationella specialidrottsförbund som är etablerade i Sverige och är signatärer av världsantidopningskoden, t.ex. Internationella Orienteringsförbundet, behandlar personuppgifter i sådan verksamhet. Av bestämmelsen framgår att personuppgifter inte får behandlas i underrättelseverksamheten under längre tid än tre år. Fristen räknas från utgången av det kalenderår då uppgifterna behandlades för första gången. Med första behandling avses den första hanteringen av en personuppgift i underrättelsearbetet. I regel bör den första behandlingen ske genom insamling eller registrering av personuppgifterna i t.ex. ett informationshanteringssystem för underrättelseinformation. Den tid som personuppgifter får behandlas i underrättelseverksamheten kan förlängas om en ny registrering avseende personen i fråga görs, dock endast om uppgiften avser samma persons anknytning till dopningsverksamhet. En uppgift som rör adressändring eller liknande som inte har betydelse för anknytningen till dopningsverksamhet ska således inte påverka hur fristen beräknas. Om en ny uppgift beträffande samma person behandlas före utgången av tidsfristen, får de personuppgifter som redan finns om personen fortsätta att behandlas så länge någon av uppgifterna får behandlas. Sammanfattning av betänkandet Stärkt integritet i idrottens antidopningsarbete (SOU 2019:24) Uppdraget Vi har haft i uppdrag att utreda frågor om personuppgiftsbehandling i antidopningsarbetet inom idrotten. Syftet med uppdraget har varit att säkerställa att EU:s s.k. dataskyddsförordning följs. I uppdraget har ingått att undersöka vilka konsekvenser dataskyddsförordningen medför i fråga om personuppgiftsbehandlingen vid antidopningsarbetet inom idrotten och att analysera behovet av särskilda bestämmelser för denna behandling. Vi har vidare haft i uppdrag att bedöma om det finns behov av författningsreglerade bestämmelser om sekretess och tystnadsplikt. En ny lag om dataskydd i idrottens antidopningsarbete Dataskyddsförordningen är tillämplig sedan den 25 maj 2018. Förordningen utgör numera den generella regleringen för behandling av personuppgifter inom EU och är direkt tillämplig i Sverige. Dataskyddsförordningen både förutsätter och tillåter nationella bestämmelser som kompletterar delar av förordningen genom specificeringar eller undantag. Behandling av personuppgifter är en förutsättning för att idrottens antidopningsarbete ska kunna utföras. En stor del av de personuppgifter som behandlas i antidopningsarbetet avser känsliga uppgifter om främst idrottsutövares hälsa. För att personuppgifter över huvud taget ska få behandlas i antidopningsarbetet krävs dock att det finns en rättslig grund för behandlingen i dataskyddsförordningen. Vi har funnit att personuppgiftsbehandlingen kan stödjas på den rättsliga grunden att den är nödvändig för att utföra en uppgift av allmänt intresse (artikel 6.1 e i dataskyddsförordningen). För att den rättsliga grunden ska kunna användas behöver det dock införas en nationell reglering. Vi har också funnit att behandling av känsliga personuppgifter i antidopningsarbetet kan stödjas på undantaget för ett viktigt allmänt intresse i artikel 9.2 g i dataskyddsförordningen. Även för att det undantaget ska kunna användas är det nödvändigt att det införs en nationell reglering som säkerställer den registrerades grundläggande intressen i antidopningsarbetet. Av bl.a. dessa skäl föreslår vi att en författning med bestämmelser om behandling av personuppgifter i idrottens antidopningsarbete ska införas. Vi föreslår att författningen ska ha lagform och heta lagen om dataskydd i idrottens antidopningsarbete. Lagens syfte ska vara dels att möjliggöra att personuppgifter kan behandlas inom idrottens antidopningsarbete på ett ändamålsenligt sätt, dels att skydda fysiska personer mot att deras personliga integritet kränks vid sådan behandling. Idrottens antidopningsarbete Antidopningsarbetet inom idrotten styrs av den världsantidopningskod (World Anti-Doping Code) som har antagits av Världsantidopningsbyrån (WADA). Världsantidopningskoden syftar till att tillförsäkra alla idrottsutövare deras grundläggande rätt att delta i en idrott fri från dopning och på så sätt främja god hälsa och rättvisa för idrottsutövare. Ett ytterligare syfte med världsantidopningskoden är att harmonisera antidopningsarbetet inom idrotten på internationell och nationell nivå. Det är i första hand de organ som har undertecknat världsantidopningskoden, alltså signatärer av koden, som är bundna av koden. Som exempel kan en nationell antidopningsorganisation (NADO), ett internationellt specialidrottsförbund eller en tävlingsarrangör vara signatär av koden. Men även andra än signatärer kan utföra antidopningsarbete på grund av koden. Världsantidopningskoden innehåller regler som signatärerna av koden är skyldiga att följa. Den reglerar t.ex. vad som utgör en dopningsförseelse. Koden innehåller vidare bestämmelser om bl.a. dopningskontroller, vistelserapporteringar, resultathantering och utredning av dopningsförseelser. Till världsantidopningskoden hör ett antal internationella standarder, för närvarande sex stycken, som är obligatoriska att tillämpa för signatärerna av koden. En internationell standard avser medicinsk dispens från dopningsreglerna, en annan standard avser dopningskontroller och utredning. Ytterligare en standard avser skyddet av privatlivet och personuppgifter. I den senare standarden anges att den inte är tillämplig för det fall den bryter mot inhemsk lagstiftning. Sverige har genom att ratificera Europarådets konvention mot dopning med dess tilläggsprotokoll samt Unescos konvention mot dopning inom idrotten påtagit sig ett ansvar för att bekämpa dopning inom idrotten. Sverige har också lämnat sitt godkännande till det antidopningsarbete som utförs enligt världsantidopningskoden. Vidare har Sverige förbundit sig till principerna i koden. I den föreslagna lagen definieras idrottens antidopningsarbete som sådant antidopningsarbete som utförs på grund av världsantidopningskoden eller de internationella standarder som kompletterar koden. Lagens tillämpningsområde Vi föreslår att lagen om dataskydd i idrottens antidopningsarbete ska vara tillämplig för all den personuppgiftsbehandling som sker i Sverige i sådant antidopningsarbete som utförs på grund av världsantidopningskoden och de internationella standarder som tillhör koden. För sådana aktörer i antidopningsarbetet som är etablerade i Sverige ska lagen vara tillämplig oavsett var personuppgiftsbehandlingen utförs. Antidopningsarbetet inom idrotten utförs i Sverige främst av Sveriges Riksidrottsförbund (RF) som är en ideell förening och samlande organisation för merparten av föreningsidrotten i Sverige. RF har 71 nationella specialidrottsförbund som medlemmar. Basen utgörs av ca 3,1 miljoner medlemmar och ca 20 000 lokala idrottsföreningar, anslutna till respektive specialidrottsförbund. Dessa lokalföreningar är på regional nivå anslutna till specialdistriktsidrottsförbund och distriktsidrottsförbund. RF är signatär av världsantidopningskoden och svensk idrotts nationella antidopningsorganisation (NADO) i enlighet med koden. Således är RF enligt världsantidopningskoden skyldigt att utföra antidopningsarbete inom idrotten i Sverige. RF erhåller också hela det statliga anslaget för insatser mot dopning. Antidopningsarbetet inom RF leds och koordineras av den oberoende Dopingkommissionen, som väljs av RF-stämman. Det operativa arbetet utförs dock av Antidopingavdelningen inom RF, under benämningen Svensk Antidoping. Arbetet vid avdelningen kan delas in i fem olika områden; dispenshandläggning, vistelserapportering, dopningskontroller, resultathantering samt underrättelsearbete. RF:s antidopningsarbete bedrivs dock enligt RF:s stadgar i alla organisationsled inom organisationen. Vi har därför funnit att lagen ska vara tillämplig för all den personuppgiftsbehandling som i antidopningsarbetet utförs på grund av världsantidopningskoden av RF samt de föreningar och förbund som är anknutna till RF. Det finns därutöver ett mindre antal föreningar och specialidrottsförbund i Sverige som inte är anknutna till RF, men som är anknutna till ett internationellt specialidrottsförbund som är signatär av världsantidopningskoden. Som exempel kan nämnas Svenska Bodybuilding och Fitnessförbundet och anknutna föreningar. Även dessa föreslås omfattas av lagen i den mån de behandlar personuppgifter i ett antidopningsarbete som utförs i enlighet med världsantidopningskoden. Antidopningsarbete kan utföras i Sverige även av utländska aktörer. Våra förslag omfattar även den personuppgiftsbehandling som sker när andra signatärer av världsantidopningskoden än RF, såsom internationella specialidrottsförbund och andra länders nationella antidopningsorganisationer, behandlar personuppgifter i Sverige i samband med att de utför dopningskontroller här i enlighet med världsantidopningskoden. Lagen föreslås vidare vara tillämplig för organ som utför antidopningsarbete på uppdrag av en signatär av världsantidopningskoden. För närvarande finns det ett privat serviceföretag, International Doping Tests & Management AB IDTM, som är etablerat i Sverige och som utför bl.a. dopningstester i enlighet med världsantidopningskodens regler på uppdrag av signatärer av koden. Det finns därutöver ett fåtal företag som internationellt utför antidopningsarbete på uppdrag av en signatär av världsantidopningskoden och som därmed kan omfattas av våra förslag i den mån de behandlar personuppgifter i Sverige. Lagen ska endast gälla om behandlingen av personuppgifter är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgänglig för sökning eller sammanställning enligt särskilda kriterier. Förhållandet till annan reglering Den föreslagna lagen kompletterar de direkt tillämpliga bestämmelserna i dataskyddsförordningen. Dessutom gäller den s.k. dataskyddslagen (2018:218), som innehåller generella kompletterande bestämmelser till dataskyddsförordningen, om inte annat följer av den föreslagna lagen. Lagen har, tillsammans med dataskyddsförordningen och dataskyddslagen, företräde framför idrottsrörelsens interna bestämmelser om personuppgiftsbehandling. Den föreslagna lagen ska inte gälla då personuppgifter behandlas hos Dopinglaboratoriet vid Karolinska Universitetssjukhuset med stöd av patientdatalagen (2008:355). Personuppgiftsansvar Enligt vår bedömning är varje organ som omfattas av lagen personuppgiftsansvarig för den behandling av personuppgifter som organet utför i idrottens antidopningsarbete. Vi föreslår att detta av tydlighetsskäl anges i lagen. Ändamålsbestämmelser Personuppgifter får enligt den förslagna lagen endast samlas in och i övrigt behandlas i idrottens antidopningsarbete om det är nödvändigt för vissa i lagen närmare angivna ändamål. Förslagen täcker in de ändamål för vilka personuppgifter behöver samlas in och behandlas för att arbetet enligt världsantidopningskoden och de tillhörande standarderna ska kunna utföras. Ändamålsbestämmelserna är fakultativa i den meningen att de reglerar vad aktörerna i antidopningsarbetet får göra. Syftet med ändamålsbestämmelserna är alltså att ange en yttersta ram för när personuppgifter får samlas in och fortsättningsvis behandlas med stöd av lagen om dataskydd i idrottens antidopningsarbete och dataskyddsförordningen. De angivna ändamålen är vidare uttömmande i den meningen att de olika aktörerna som omfattas av lagen inte själva får besluta om ytterligare ändamål för vilket eller vilka personuppgifter ska samlas in i verksamheten. I idrottens antidopningsarbete lämnas uppgifter ut till andra aktörer via WADA:s databas ADAMS eller något annat av WADA godkänt system. Utlämnandet sker inom ramen för antidopningsarbetet och följer av världsantidopningskoden. Mottagarna är andra signatärer av världsantidopningskoden eller serviceföretag som utför sitt arbete på uppdrag av en signatär och i enlighet med koden. Utlämnandet sker därmed som en del av samma globala antidopningsarbete och äger normalt rum i varje signatärs verksamhet. Det utlämnande av information som sker inom ramen för idrottens antidopningsarbete omfattas av lagens primära ändamålsbestämmelser. Det förekommer i mindre omfattning att personuppgifter lämnas ut från aktörerna inom antidopningsarbetet till brottsbekämpande myndigheter. Enligt lagförslaget får personuppgifter även behandlas om det är nödvändigt för att tillhandahålla information som behövs i brottsbekämpande verksamhet hos Polismyndigheten, Åklagarmyndigheten eller Tullverket. Den föreslagna bestämmelsen öppnar en möjlighet för aktörerna i antidopningsarbetet att lämna ut uppgifter om misstänkta dopningsrelaterade brott till de myndigheter som bekämpar den aktuella brottsligheten. Överföring av personuppgifter till tredjeland kan inom idrottens antidopningsarbete ske med stöd av bestämmelserna i dataskyddsförordningen. Några särskilda bestämmelser härom behöver därför inte tas in i den förslagna lagen. Känsliga personuppgifter och uppgifter om lagöverträdelser Dataskyddsförordningen innehåller i artikel 9.1 ett principiellt förbud mot att behandla vissa särskilda kategorier av personuppgifter, s.k. känsliga personuppgifter. Från förbudet finns dock ett antal undantag. Om den registrerade uttryckligen har lämnat sitt samtycke till behandling av sådana personuppgifter för ett eller flera specifika ändamål så får uppgifterna behandlas (9.2 a). Vidare får känsliga personuppgifter behandlas bl.a. om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse som har sin grund i unionslagstiftningen eller i en medlemsstats nationella lagstiftning (9.2 g). Enligt våra förslag får i idrottens antidopningsarbete endast sådana känsliga personuppgifter som rör hälsa, genetiska uppgifter eller biometriska uppgifter för att entydigt identifiera en fysisk person behandlas med stöd av artikel 9.2 g i dataskyddsförordningen. I artikel 10 i dataskyddsförordningen finns särskilda bestämmelser om behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott. Uppgifter om att en idrottsutövare har gjort sig skyldig till en dopningsförseelse enligt idrottens interna regler rör inte en fällande dom i brottmål. Enligt vår bedömning rör de inte heller en lagöverträdelse som innefattar brott i den mening som avses i artikel 10 i dataskyddsförordningen. Sådana personuppgifter kan dock ändå komma att behandlas inom antidopningsarbetet. Enligt våra förslag får personuppgifter som rör lagöverträdelser behandlas för att handlägga dopningsärenden. De får också behandlas i det underrättelsearbete som bedrivs av RF enligt världsantidopningskoden. Publicering av uppgifter om dopningsförseelser Världsantidopningskoden föreskriver att uppgifter om dopningsavstängda idrottsutövare ska offentliggöras. För RF:s del sker offentliggörandet genom publicering på internet. Vi har funnit att denna publicering är problematisk ur ett integritetsperspektiv. Eftersom publiceringen sker med stöd av ett utgivningsbevis och därmed under skydd av yttrandefrihetsgrundlagen är dock möjligheterna att ingripa mot den med stöd av dataskyddsförordningen mycket begränsade. Enligt vår mening bör RF överväga en ny ordning genom vilken aktuella uppgifter kan göras tillgängliga för dem som har ett berättigat intresse av dem. Enskildas rättigheter Vi har inte funnit att det är en nödvändig eller proportionell åtgärd att i den föreslagna lagen begränsa enskildas rätt att invända mot behandlingen av personuppgifter. Inte heller i övrigt har vi funnit skäl att göra några undantag från den registrerades rättigheter enligt dataskyddsförordningen. Längsta tid för behandling Hur länge personuppgifter som längst får behandlas i idrottens antidopningsarbete för olika ändamål framgår av en till världsantidopningskoden tillhörande internationell standard. Enligt vår bedömning bör lagen inte innehålla någon detaljreglering som inskränker de tider för längsta bevarande som WADA har beslutat om och som följs av andra länder. Vi föreslår dock att det i lagen förs in en generell bestämmelse som anger att personuppgifter inte får behandlas under längre tid än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Den föreslagna bestämmelsen har till syfte att motverka ett slentrianmässigt bevarande. Den internationells standarden innehåller inga bestämmelser om hur länge personuppgifter får behandlas i ett underrättelsearbete. Behandlingen av personuppgifter i detta arbete är dock särskilt känslig ur integritetshänseende. Vi föreslår därför en bestämmelse som anger att personuppgifter inte får behandlas i ett underrättelsearbete längre än tre år efter utgången av det kalenderår då uppgifterna behandlades första gången. Om en ny uppgift beträffande samma persons anknytning till dopningsverksamhet behandlas före utgången av tidsfristen, får de personuppgifter som redan finns om personen fortsätta att behandlas så länge någon av uppgifterna får behandlas. Ytterligare skyddsåtgärder Vi har analyserat huruvida lagen bör innehålla ytterligare bestämmelser som syftar till att säkerställa enskildas grundläggande rättigheter och intressen i idrottens antidopningsarbete. I avsnitt 11 diskuteras sådana möjliga skyddsåtgärder. Vi föreslår här en bestämmelse som anger att tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Vidare föreslår vi att RF och andra organ som är etablerade i Sverige och som utför antidopningsarbete på uppdrag av en signatär av världsantidopningskoden ska utse dataskyddsombud för sin behandling av personuppgifter i antidopningsarbetet. Sekretess Enligt vår mening föreligger det inte något behov av en förändrad sekretessreglering. Vi har dock funnit att det finns anledning för RF att se över 13 kap. 8 § i RF:s stadgar. Konsekvenser Våra förslag innebär ett stärkt skydd för enskildas personliga integritet i idrottens antidopningsarbete. Förslagen kan vidare få positiva konsekvenser för bekämpningen av dopningsrelaterad brottslighet. Enligt vår bedömning kommer förslagen att innebära visst behov av utbildning och information. De bedöms dock inte leda till några kostnadsökningar för det allmänna. Ikraftträdande Den nya lagen föreslås träda i kraft den 1 juli 2020. Betänkandets lagförslag Förslag till lag om dataskydd i idrottens antidopningsarbete Härigenom föreskrivs följande. Syftet med lagen 1 § Syftet med denna lag är att möjliggöra att personuppgifter kan behandlas inom idrottens antidopningsarbete på ett ändamålsenligt sätt och att skydda fysiska personer mot att deras personliga integritet kränks vid sådan behandling. Idrottens antidopningsarbete 2 § Med idrottens antidopningsarbete avses i denna lag sådant antidopningsarbete som utförs på grund av världsantidopningskoden (World Anti-Doping Code) eller de internationella standarder som kompletterar koden. Lagens tillämpningsområde 3 § Denna lag ska tillämpas då personuppgifter behandlas i idrottens antidopningsarbete som utförs av 1. Sveriges Riksidrottsförbund samt föreningar och förbund som är anknutna till Sveriges Riksidrottsförbund, 2. andra föreningar och förbund i Sverige som är anknutna till ett internationellt specialidrottsförbund som är signatär av världsantidopningskoden, samt 3. annan signatär av världsantidopningskoden än Sveriges Riksidrottsförbund, om personuppgifterna behandlas i Sverige. 4 § Utöver vad som följer av 3 § ska denna lag tillämpas då personuppgifter behandlas i idrottens antidopningsarbete som utförs på uppdrag av en signatär av världsantidopningskoden av 1. organ som är etablerat i Sverige, samt 2. organ som inte är etablerat i Sverige, om personuppgifterna behandlas i Sverige. 5 § Denna lag gäller endast om behandlingen av personuppgifter är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgänglig för sökning eller sammanställning enligt särskilda kriterier. Förhållandet till annan reglering 6 § Denna lag kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), i lagen benämnd EU:s dataskyddsförordning. 7 § Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag. 8 § Denna lag gäller inte då personuppgifter behandlas hos Dopinglaboratoriet vid Karolinska Universitetssjukhuset med stöd av patientdatalagen (2008:355). Personuppgiftsansvar 9 § Varje organ som anges i 3 och 4 §§ är personuppgiftsansvarigför den behandling av personuppgifter som organet utför i idrottens antidopningsarbete. Ändamål 10 § Personuppgifter får behandlas i idrottens antidopningsarbete om det är nödvändigt för att 1. handlägga ansökningar om medicinsk dispens, 2. planera, koordinera och administrera vistelserapporteringar, 3. planera, koordinera och handlägga dopningskontroller, 4. handlägga ärenden om dopningsförseelser, och 5. inhämta, bearbeta, analysera och delge information som gäller möjliga förseelser mot världsantidopningskoden. Endast Sveriges Riksidrottsförbund får behandla personuppgifter enligt första stycket 5. Andra organ som denna lag är tillämplig på får dock behandla personuppgifter om det är nödvändigt för att tillhandahålla information som Sveriges Riksidrottsförbund behöver i sin verksamhet enligt första stycket 5. 11 § Personuppgifter som behandlas enligt 10 § får även behandlas om det är nödvändigt för att tillhandahålla information som behövs i brottsbekämpande verksamhet hos Polismyndigheten, Åklagarmyndigheten eller Tullverket. Känsliga personuppgifter 12 § Inga andra personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) än sådana som rör hälsa, genetiska uppgifter eller biometriska uppgifter för att entydigt identifiera en fysisk person får behandlas med stöd av artikel 9.2 g i samma förordning. Uppgifter om lagöverträdelser 13 § Personuppgifter som avses i artikel 10 i EU:s dataskyddsförordning får behandlas endast för de ändamål som anges i 10 § förstastycket 4 och 5. Tillgång till personuppgifter 14 § Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Dataskyddsombud 15 § Sveriges Riksidrottsförbund samt andra organ som är etablerade i Sverige och utför antidopningsarbete på uppdrag av en signatär av världsantidopningskoden ska utse dataskyddsombud för sin behandling av personuppgifter i idrottens antidopningsarbete. Längsta tid som personuppgifter får behandlas 16 § Personuppgifter får inte behandlas under längre tid än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. 17 § Personuppgifter som behandlas för ändamål som anges i 10 §första stycket 5 får inte behandlas längre än tre år efter utgången av det kalenderår då uppgifterna behandlades första gången. Om en ny uppgift beträffande samma persons anknytning till dopningsverksamhet behandlas före utgången av tidsfristen, får de personuppgifter som redan finns om personen fortsätta att behandlas så länge någon av uppgifterna får behandlas. Denna lag träder i kraft den 1 juli 2020. Förteckning över remissinstanserna Efter remiss har yttrande över betänkandet Stärkt integritet i idrottens antidopningsarbete (SOU 2019:24) inkommit från Domstolsverket, Folkhälsomyndigheten, Förvaltningsrätten i Göteborg, Förvaltningsrätten i Stockholm, Gymnastik- och idrottshögskolan, Integritetsskyddsmyndigheten (tidigare Datainspektionen), International Doping Tests & Management AB, Justitiekanslern, Kammarrätten i Stockholm, Lunds universitet, Polismyndigheten, Riksdagens ombudsmän, Socialstyrelsen, Svenska Fotbollförbundet, Svenska Friidrottsförbundet, Sveriges Advokatsamfund, Sveriges Olympiska Kommitté, Sveriges Riksidrottsförbund, Tullverket och Åklagarmyndigheten, Yttrande har också inkommit från Världsantidopningsbyrån. Karolinska Universitetslaboratoriet, Dopinglaboratoriet, har getts tillfälle att lämna synpunkter men inte avhörts. Lagrådets yttrande Utdrag ur protokoll vid sammanträde 2022-01-25 Närvarande: F.d. justitieråden Leif Thorsson och Anna-Karin Lundin samt justitierådet Malin Bonthron Stärkt integritet i idrottens antidopningsarbete Enligt en lagrådsremiss den 13 januari 2022 har regeringen (Kulturdepartementet) beslutat inhämta Lagrådets yttrande över förslag till lag om behandling av personuppgifter i idrottens antidopningsarbete. Förslaget har inför Lagrådet föredragits av rättssakkunniga Lovisa Danielsson. Lagrådet lämnar förslaget utan erinran. Justitiedepartementet Utdrag ur protokoll vid regeringssammanträde den 24 februari 2022 Närvarande: statsminister Andersson, ordförande, och statsråden Johansson, Hallengren, Hultqvist, Damberg, Ygeman, Linde, Ekström, Strandhäll, Dahlgren, Hallberg, Nordmark, Sätherberg, Gustafsdotter, Axelsson Kihlblom, Elger, Farmanbar, Danielsson. Föredragande: statsrådet Ygeman Regeringen beslutar proposition Stärkt integritet i idrottens antidopningsarbete