Åtgärder mot matchfixning och olicensierad spelverksamhet
Integritetsskyddsmyndigheten (IMY) har granskat förslagen i promemorian huvudsakligen utifrån myndighetens uppgift att arbeta för att människors grundläggande fri- och rättigheter skyddas i samband med behandling av personuppgifter.
Utifrån denna utgångspunkt lämnar IMY följande synpunkter.
Överföring av personuppgifter till internationella organisationer
De förslag som lämnas i promemorian innebär ett krav för licenshavare med licens för vadhållning att ha rutiner för att upptäcka och motverka gärningar som omfattas av regleringen om spelfusk (avsnitt 7.4). Detta innefattar krav på utlämnande av information om misstänkt manipulation av sporthändelser med avseende på vadhållning till internationella organisationer. Detta innebär enligt IMY att personuppgifter kan komma att överföras på ett sådant sätt att kapitel V i dataskyddsförordningen blir tillämpligt. Av kapitel V i dataskyddförordningen framgår under vilka förutsättningar personuppgifter får föras över till tredje länder eller internationella organisationer. Det framgår inte av promemorian om förslaget i denna del har analyserats med beaktande av de krav som ställs upp i kapitel V i dataskyddsförordningen. Detta behöver analyseras närmare innan IMY kan tillstyrka förslaget i denna del.
Även brottsmisstankar är uppgifter om lagöverträdelser
IMY delar inte bedömningen att någon särskild anpassning till artikel 10 i dataskyddsförordningen inte är nödvändig eftersom det av promemorian framgår att det går att identifiera en enskild person som misstänks ha begått en brottslig handling (avsnitt 10.7.1). IMYS:s uppfattning att även misstankar om brott under vissa förutsättningar omfattas av artikel 10 framgår av IMY:s Rättsliga ställningstagande (IMYRS 2021:1) – omfattning av begreppet ”lagöverträdelser som innefattar brott” i artikel 10 i dataskyddsförordningen.
IMY anser att det inom ramen för den fortsatta beredningen behöver analyseras om ytterligare bestämmelser behöver införas i spelförordningen för att de olika aktörer som berörs av informationsutbytet ska ha rättslig grund att behandla sådana uppgifter som avses i stycket ovan.
Konsekvensbedömning avseende dataskydd
IMY delar inte bedömningen att förslagen inte leder till en sådan hög risk för fysiska personers rättigheter och friheter som avses i artikel 35 i dataskyddsförordningen (avsnitt 10). Av artikel 35.3 framgår att en konsekvensbedömning ska göras om det är fråga om sådan behandling av personuppgifter som avses i artikel 10 i dataskyddsförordningen. Om det inte är möjligt att inom ramen för lagstiftningsarbetet genomföra en konsekvensbedömning enligt artikel 35.10 i dataskyddsförordningen, exempelvis om man inte har de tekniska förutsättningarna helt klara för sig, kvarstår fortfarande skyldigheten för den personuppgiftsansvariga.
Bemyndigande till Spelinspektionen
I promemorian lämnas inga förslag som reglerar informationsdelningen om misstänkt matchfixning mellan Spelinspektionen, spelbolag med licens för vadhållning, Riksidrottsförbundet och specialidrottsförbunden. Det föreslås istället att informationsdelningen ska regleras av Spelinspektionen genom föreskrifter (avsnitt 11.2). IMY anser att IMY bör ges tillfälle att lämna synpunkter på Spelinspektionens förslag till föreskrifter innan sådana beslutas. Skälet till det är att den behandling av personuppgifter som ska regleras kan komma att innefatta integritetskänsliga personuppgifter och det finns en risk att uppgifterna kan komma att exponeras för obehöriga.
Detta yttrande har beslutats av enhetschefen Catarina Fernquist efter föredragning av juristen Sandra Arvidsson. Vid den slutliga handläggningen har även juristen Ulrika Bergström medverkat.
Catharina Fernquist, 2022-01-13 (Det här är en elektronisk signatur)