Rekommendationer 1/2025 om Wadas världsantidopningskod från 2027

Rekommendationer 1/2025 om Wadas världsantidopningskod från 2027 Sammanfattning

I en skrivelse av den 2 oktober 2024 begärde Europeiska kommissionen (genom generaldirektoratet för utbildning, ungdom, idrott och kultur) att EDPB, i enlighet med artikel 70.1 e i dataskyddsförordningen, skulle granska den aktuella uppdateringen av världsantidopningskoden (koden) och dess kompletterande internationella standarder (standarderna) för att bedöma deras förenlighet med dataskyddsförordningen. År 2023 påbörjade Världsantidopningsbyrån (Wada) en översyn av koden och dess standarder som ska vara slutförd senast i december 2025 och träda i kraft i januari 2027. Syftet med koden är en harmonisering av antidopningsstrategier, regler och föreskrifter på internationell nivå, och den kompletteras med åtta internationella standarder för att främja samstämmighet mellan de antidopningsprogram som främst genomförs av de nationella antidopningsorganisationerna. De åtta internationella standarderna avser skydd av personuppgifter, utbildning, underrättelser och utredningar, laboratorier, resultathantering, testning, medicinsk dispens och efterlevnad.

Europeiska dataskyddsstyrelsen (EDPB) och dess föregångare, arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter (artikel 29-gruppen), har länge noggrant följt Wadas verksamhet vid tidigare översyner av versioner av koden och dess

standarder. Artikel 29-gruppen antog år 2008 och 2009 två yttranden om vissa bestämmelser i koden och dess internationella standarder. Gruppen skickade sedan, år 2013, en skrivelse till Wada med ett antal synpunkter på och farhågor rörande uppdateringen av dessa dokument. Slutligen lämnade EDPB år 2019 över sina synpunkter på (den då pågående) översynen av koden och dess standarder i en skrivelse till ordförandeskapet för Europeiska unionens råd .

EDPB erinrar om att medlemsstaterna har införlivat reglerna i koden och dess standarder i sin nationella rättsordning, utifrån sina respektive nationella strukturer och sätt att organisera idrotten. Medlemsstaterna har tillträtt Unescos internationella antidopningskonvention från

2005 och Europarådets konvention mot dopning och måste därför följa de åtaganden som följer av att ha ratificerat dessa konventioner.

I generaladvokatens förslag till avgörande i mål C-115/22 klargjordes det att kodens ändamålsenliga verkan säkerställs genom Unescos internationella antidopningskonvention från 2005, även om koden är ett privaträttsligt instrument. Enligt artikel 4 i konventionen utgör bestämmelserna i koden inte en del av konventionen och har inte direkt effekt i den nationella rättsordningen. Genom samma bestämmelse har emellertid de medlemsstater som är parter i konventionen förbundit sig att iaktta principerna i koden. Det åtagandet tar sig olika uttryck i medlemsstaternas rättssystem eftersom koden, såsom anges i en studie som 2017 genomfördes för Europeiska kommissionens räkning , är rättsligt bindande i vissa medlemsstater men inte i andra.

Under alla omständigheter påminner EDPB om att medlemsstaterna, när de på grundval av principerna i koden antar nationella antidopningsåtgärder genom lagstiftning, reglering, politik eller administrativ praxis, måste säkerställa att åtgärderna är förenliga med EESlagstiftningen, även dataskyddsförordningen. Om bestämmelserna i koden och dess internationella standarder inte är förenliga med dataskyddsförordningen kan medlemsstaterna alltså inte genomföra dem som de är i form av nationella antidopningsåtgärder utan att åsidosätta sina skyldigheter enligt EU-/EES-lagstiftningen och därmed negativt påverka skyddet av personuppgifter för fysiska personer i EES .

Antidopningsprogrammen genomförs dessutom först och främst av de nationella antidopningsorganisationerna, som också har tillträtt koden. Dessa organisationer måste genomföra de antidopningsåtgärder som medlemsstaterna har beslutat om i enlighet med sina åtaganden enligt den internationella antidopningskonventionen och infria Wadas förväntningar. EDPB betonar i detta avseende att organisationerna, när de genomför åtgärderna, ansvarar för behandlingen av personuppgifter enligt dataskyddsförordningen i egenskap av personuppgiftsansvariga samtidigt som de i egenskap av administrativa myndigheter inte får tillämpa dessa nationella antidopningsregler när de kan strida mot bestämmelser i dataskyddsförordningen som har direkt effekt . När medlemsstaterna genomför nationell lagstiftning, reglering, politik eller administrativ praxis i antidopningssyfte bör de därför noggrant utvärdera om de bestämmelser i koden och dess internationella

standarder som innebär att personuppgifter behandlas är förenliga med dataskyddsförordningen, så att de nationella antidopningsorganisationerna inte överträder EES-lagstiftningen och inte heller riskerar att de behöriga dataskyddsmyndigheterna vidtar korrigerande åtgärder och sanktioner mot dem.

I sina rekommendationer delar EDPB vissa av kommissionens farhågor avseende de viktigaste aspekter av den pågående översynen av koden och dess standarder som inte är i linje med dataskyddsförordningen och därmed inverkar negativt på medlemsstaternas skyldighet att säkerställa en konsekvent och hög skyddsnivå för fysiska personers rättigheter och friheter inom EES, särskilt när det gäller deras rätt till integritet och skydd av personuppgifter. EDPB kommer, i enlighet med kommissionens begäran, att fokusera på de viktigaste frågorna och de nya begrepp som Wada har infört i den internationella standarden för dataskydd (dataskyddsstandarden) och hänvisa till sin skrivelse från 2019 när det gäller aspekter som rör dess tidigare slutsatser. Alla relevanta bestämmelser i de andra standarder som kompletterar koden tas inte upp här, men det bör ändå anses att rekommendationerna avser även dem eftersom EDPB:s anmärkningar fortfarande kan vara tillämpliga på dem.

EDPB välkomnar de ändringar och framsteg som gjorts i koden och dess internationella standarder och konstaterar att man framgångsrikt har åtgärdat vissa av de problem som EDPB tog upp i sin skrivelse av den 9 oktober 2019, såsom en striktare tidsfrist för anmälan av säkerhetsincidenter och ett krav på att en konsekvensbedömning avseende dataskydd ska genomföras innan någon behandling utförs på grund av den nyligen införda principen om inbyggt integritetsskydd .

EDPB välkomnar tillägget av de internationella standarderna för underrättelse- och utredningsverksamhet (underrättelsestandarden), som en av Wadas övergripande standarder, eftersom behandlingar av personuppgifter i utredningssyfte är en central verksamhet för de nationella antidopningsorganisationerna.

EDPB konstaterar dock att man vid översynen av koden och dess standarder tyvärr inte har tagit hänsyn till vissa grundläggande problem. I synnerhet tvivlar EDPB fortfarande på att dataskyddsförordningen följs när det gäller den rättsliga grund för samtycke som föreskrivs i dataskyddsstandarden; samtycke måste nämligen ges frivilligt i enlighet med artiklarna 5.1 a, 6.1 a, 7 och 9.2 a i dataskyddsförordningen, men vägran att lämna samtycke eller ett återkallande av samtycket kan anses vara försvårande eller utgöra ett resultat som är negativt för den registrerade.

Utöver detta konstaterar EDPB att det fortfarande är otydligt vilka ändamålen är för en del behandlingar. Enligt principen om ändamålsbegränsning i artikel 5.1 b i dataskyddsförordningen får personuppgifter endast behandlas för särskilda, uttryckligt

angivna och berättigade ändamål. Följden blir således att de motsvarande lagringstiderna för personuppgifter saknar en tydlig motivering.

EDPB konstaterar att det fortfarande är oklart vilka roller Wada och de nationella antidopningsorganisationerna har när det gäller databehandling, i synnerhet i databasen i administrations- och förvaltningssystemet för antidopning (antidopningsdatabasen). Detta påverkar inte bara fördelningen och hanteringen av ansvaret när det gäller dataskydd utan även öppenheten, ansvarsskyldigheten och de registrerades möjligheter att effektivt utöva sina rättigheter.

Det bör också uttryckligen klargöras att koden är rättsligt bindande för de organ som har tillträtt den. Vidareutnyttjandet av prover och personuppgifter, däribland hälsouppgifter, bör dessutom omfattas av lämpliga skyddsåtgärder så att de registrerades rättigheter och friheter skyddas. Syftet med analyser av biologiska prover bör också beskrivas mer ingående.

De skyddsåtgärder som föreskrivs för all uppgiftsbehandling inom ramen för koden bör vara likvärdiga den standard som krävs genom rätten till dataskydd enligt artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna och enligt dataskyddsförordningen. EDPB förstår att koden omfattar internationella dataflöden, men om nationella tillämpliga bestämmelser erbjuder en lägre dataskyddsnivå bör de inte få undergräva de skyddsåtgärder som föreskrivs i koden och standarderna.

EDPB uppmanar Europeiska kommissionen att uppmuntra Wada att införliva EDPB:s återkoppling i koden och därmed göra den till en global standard för databehandling i överensstämmelse med högsta möjliga skyddsnivå för alla berörda personers grundläggande rättigheter och friheter.

Europeiska dataskyddsstyrelsen har antagit följande rekommendationer

med beaktande av artikel 70.1 e i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (dataskyddsförordningen),

med beaktande av EES-avtalet, särskilt bilaga XI och protokoll 37, ändrat genom gemensamma EES-kommitténs beslut nr 154/2018 av den 6 juli 2018 ,

med beaktande av artiklarna 12 och 22 i arbetsordningen, och av följande skäl:

HÄRIGENOM REKOMMENDERAS FÖLJANDE.

1. Kodens tillämpningsområde och rättsligt bindande karaktär

1. EDPB anser att de farhågor som den uttryckte i sin skrivelse från 2019 om kodens tillämpningsområde kvarstår, särskilt vad gäller de nationella antidopningsorganisationernas utrymme för skönsmässig bedömning när det gäller att låta även motionsidrottare omfattas av antidopningsreglerna och därmed av kodens tillämpningsområde . EDPB upprepar därför, mot bakgrund av principerna om proportionalitet, nödvändighet och uppgiftsminimering, att en utvidgning av tillämpningsområdet för koden och dess internationella standarder till motionsidrottare (dvs. de som idrottar på fritiden men inte tävlar i formella sammanhang) skulle utgöra ett oproportionerligt ingrepp i de berörda personernas rätt till integritet och skydd av personuppgifter.

2. Enligt avsnitten 1.0 och 4.0 innehåller dataskyddsstandarden dessutom bara en minimiuppsättning gemensamma regler som de nationella antidopningsorganisationerna och andra berörda parter måste följa när personuppgifter behandlas enligt koden. Avsnitt 4.1 i samma standard klargör i denna fråga att alla nationella antidopningsorganisationer måste följa denna internationella standard, även när dess krav går längre än kraven i den dataskyddslagstiftning och/eller integritetslagstiftning som är tillämplig för organisationerna. Avsnitt 4.2 i samma standard anger också att de nationella antidopningsorganisationerna ska se till att deras uppgiftsbehandling är förenlig med den dataskydds- och integritetslagstiftning eller tillämpliga lagstiftning om behandling av personuppgifter som de omfattas av, även om den ställer högre krav än vad standarden gör. EDPB välkomnar dessa bestämmelser eftersom de antyder att sådana skyddsåtgärder har företräde i de fall då dataskydds- och integritetslagstiftning saknas eller erbjuder en lägre skyddsnivå för de berörda personernas rättigheter och friheter när det gäller deras personuppgifter, och att åtgärderna inte heller kommer att undergräva tillämpningen av dataskydds- och integritetslagstiftning eller annan lagstiftning som reglerar behandlingen och som föreskriver en högre skyddsnivå för personuppgifter, såsom dataskyddsförordningen.

3. EDPB betonar dock att det inte alltid är lätt att avgöra om kraven i dataskyddsstandarden går utöver kraven i tillämplig nationell lagstiftning eller ej. Såsom EDPB nämnt i sin tidigare korrespondens värnar den verkligen om att skyddet av integritet och personuppgifter ska främjas i samband med antidopningsverksamhet, som är fallet i standarden. EDPB undrar dock om det ur ett strikt rättsligt perspektiv kommer att vara möjligt att tillämpa dataskyddsstandardens avsnitt 4.1 och 4.2, särskilt när genomförandet av bestämmelserna i standarden skulle innebära att de nationella antidopningsorganisationerna överträder sina skyldigheter enligt tillämplig lagstiftning. Likaså ifrågasätter EDPB ändamålsenligheten i avsnitt 4.2 där tillämpningen av de högre skyddsåtgärder som föreskrivs i dataskydds- eller integritetslagstiftningen, eller annan lagstiftning som reglerar behandlingen av personuppgifter, skulle kunna leda till att de nationella antidopningsorganisationerna riskerar att drabbas av de konsekvenser som fastställs i avsnitt 24.1.12 i koden för underlåtenhet att följa koden och/eller dess internationella standarder. Om medlemsstaterna eller de nationella antidopningsorganisationerna själva får välja vilken förordning som är tillämplig kan det dessutom leda till att idrottare och andra berörda personer inte behandlas jämlikt.

4. EDPB konstaterar också att koden och dataskyddsstandarden tyvärr anger flera undantag från de skyddsåtgärder som ska skydda rätten till integritet och dataskydd och att de i praktiken gör det möjligt att tillämpa lägre standarder för integritet och dataskydd. Detta gäller till exempel lagringstider, avsnitten 11.4 och 11.5 i dataskyddsstandarden och dess bilaga A, och principen om ändamålsbegränsning, avsnitt 6.2 i dataskyddsstandarden. EDPB rekommenderar att eventuella avvikelser från de skyddsåtgärder som föreskrivs i dataskyddsstandarden begränsas till vad som är nödvändigt för särskilda och viktiga mål av allmänt intresse och att undantagens tillämpningsområde snävas av. Då kan de nationella antidopningsorganisationerna enbart åberopa undantag om de står i proportion till det eftersträvade målet och sker med respekt för själva andemeningen i rätten till integritet och dataskydd samt vidta lämpliga och specifika åtgärder för att skydda de berörda personernas grundläggande rättigheter och intressen.

2. Förtydliga den personuppgiftsansvariges och personuppgiftsbiträdets roller och ansvarsområden

5. I den senaste versionen av koden och standarderna är det fortfarande oklart vilka roller den personuppgiftsansvarige och personuppgiftsbiträdet har när det gäller särskilda behandlingstyper, något som EDPB konstaterade i sin skrivelse från 2019 , och mot bakgrund av artikel 29-gruppens andra yttrande 4/2009 . Denna fråga är avgörande eftersom den påverkar fördelning och hanteringen av ansvaret när det gäller dataskydd, vilket är särskilt relevant för enheter utanför EES som agerar som personuppgiftsansvariga inom EES eller de som samlar in uppgifter från enskilda personer inom EES .

6. EDPB förstår att de register över databehandling som de nationella antidopningsorganisationerna enligt avsnitt 5.2 i dataskyddsstandarden måste föra för antidopningsverksamhet inom kodens tillämpningsområde kan ses som en enklare version av de register över behandlingar som krävs enligt artikel 30 i dataskyddsförordningen. Till skillnad från artikel 30.1 b i dataskyddsförordningen, som kräver att det särskilda ändamålet dokumenteras, kräver dataskyddsstandarden emellertid endast att det övergripande ändamålet med behandlingen dokumenteras och det anges därmed kanske inte tillräckligt tydligt. EDPB rekommenderar därför att avsnitt 5.2 i dataskyddsstandarden ändras så att detta åtgärdas.

7. I kommentaren till avsnitt 5.2 a anger dataskyddsstandarden att de nationella antidopningsorganisationerna är skyldiga att föra register över sina behandlingar. När det gäller den antidopningsdatabas som Wada förvaltar ska Wada dessutom upprätthålla och ge tillgång till dokumentation om databehandlingar som görs i denna databas. Det framgår emellertid inte tillräckligt tydligt exakt vilka roller de nationella antidopningsorganisationerna respektive Wada har (dvs. personuppgiftsansvarig, gemensamt personuppgiftsansvariga, personuppgiftsbiträde) i förhållande till databasen och vid varje behandling som görs i den.

8. Mot bakgrund av ovanstående rekommenderar EDPB att dataskyddsstandarden ska innehålla ett krav på att organisationer som omfattas av koden ska ange vilken roll de har, motsvarande rollerna i dataskyddsförordningen vid varje behandling, och i synnerhet när det gäller antidopningsdatabasen och då ange om de verkar i egenskap av personuppgiftsansvarig, personuppgiftsbiträde eller gemensamt personuppgiftsansvariga.

9. De register som de nationella antidopningsorganisationerna ska föra enligt avsnitt 5.2 i dataskyddsstandarden omfattar för närvarande inte heller alla dataflöden, exempelvis eventuella internationella överföringar. För att uppfylla kraven i artikel 30.1 a, e och f i dataskyddsförordningen måste registren innehålla motsvarande lagringsperioder, vem som är personuppgiftsansvarig för varje behandling och information om alla eventuella internationella överföringar. EDPB rekommenderar att registren i dataskyddsstandardens avsnitt 5.2 ändras så att detta åtgärdas och att det säkerställs att de omfattar all uppgiftsbehandling, även sådan som kan föreskrivas i andra standarder från Wada.

3. Ange lämpliga rättsliga grunder

10. EDPB hyser också tvivel om huruvida vissa av de rättsliga grunder för behandling som föreskrivs i avsnitt 7.0 i dataskyddsstandarden kan anses vara giltiga.

11. För det första understryker EDPB att samtycke enligt beskrivningen i avsnitt 7.2 i dataskyddsstandarden inte kan betraktas som ”frivilligt” i enlighet med artiklarna 6.1 a, 7 och 9.2 a i dataskyddsförordningen och ifrågasätter därför om de nationella antidopningsorganisationerna kan använda samtycke som en giltig rättslig grund för behandlingen av personuppgifter. Samtycke kan endast vara en lämplig rättslig grund om den registrerade verkligen ges ett val att godta eller förkasta de erbjudna villkoren utan att på något sätt missgynnas av valet. EDPB noterar att enskilda personer kan drabbas av negativa konsekvenser enligt avsnitt 7.2 a i dataskyddsstandarden om de vägrar att samtycka till att deras personuppgifter behandlas, vilket inte är förenligt med kraven för samtycke i dataskyddsförordningen. EDPB noterar också att det inte räcker att enskilda personer bara informeras om sådana negativa konsekvenser, vilket föreslås i avsnitt 7.2 a i dataskyddsstandarden, för att samtycket ska vara giltigt.

12. I detta avseende betonar EDPB att samtycke måste uppfylla fler krav än de som nämns i dataskyddsstandarden, bland annat vad gäller att säkerställa att de registrerade lika enkelt kan dra tillbaka sitt samtycke som att ge det. EDPB rekommenderar därför att koden och dataskyddsstandarden inte ska använda samtycke som rättslig grund, såvida inte det uppfyller kraven i artikel 7 i dataskyddsförordningen.

13. För det andra ifrågasätter EDPB behovet av att använda grundläggande intressen som en giltig rättslig grund, såsom beskrivs i avsnitt 7.1 i dataskyddsstandarden. Begreppet grundläggande intresse tolkas på ett mycket restriktivt sätt och har en mycket begränsad räckvidd enligt dataskyddsförordningen. Det kan endast användas i begränsade och särskilda fall, till exempel för att skydda en persons liv i en nödsituation. EDPB är därför tveksam till att de mål som eftersträvas med koden kan omfattas av denna rättsliga grund. Det kan hända att personuppgifter får behandlas på grund av grundläggande intresse under mycket specifika omständigheter. Detta motsvarar dock inte och är inte i linje med EDPB:s tolkning av avsnitt 7.1 i dataskyddsstandarden, som har ett mycket bredare tillämpningsområde och exempelvis avser sådan databehandling som föreskrivs i den internationella standarden för resultathantering (standarden för resultathantering), som anger att de nationella antidopningsorganisationerna och idrottaren ska informeras om de medicinska utlåtandena.

14. EDPB rekommenderar därför att avsnitt 7.1 i dataskyddsstandarden ses över i sin helhet, och att man för hela koden överväger huruvida begreppet ”grundläggande intresse” kan användas och betraktas som en giltig rättslig grund. En annan lösning är att begränsa användningen av grundläggande intresse som rättslig grund i enlighet med vad som anges i skäl 46 i dataskyddsförordningen (dvs. endast om behandlingen inte uppenbart kan ha en annan rättslig grund).

15. Mot bakgrund av ovanstående anser EDPB att de nationella antidopningsorganisationerna bör använda sig av andra rättsliga grunder, exempelvis de som anges i avsnitt 7.1 a i dataskyddsstandarden, när samtycke och grundläggande intresse som rättsliga grunder inte uppfyller kraven i dataskyddsförordningen.

4. Säkerställ att uppgifterna behandlas för särskilda, uttryckligt angivna och berättigade ändamål

16. EDPB konstaterar att den fastställda förteckningen över antidopningsverksamhet i avsnitten 3.1, 4.1 och 6.1 i dataskyddsstandarden anger en mängd olika typer av verksamhet, från testning till utbildning, som ändamål för behandlingen av personuppgifter.

17. Avsnitt 6.1 i dataskyddsstandarden har ändrats i sin helhet så att behandlingen av personuppgifter nu begränsas till ett enda ändamål (dvs. kampen mot dopning), och den anger att endast relevanta och proportionerliga personuppgifter får behandlas. I kommentaren till detta avsnitt står det att de nationella antidopningsorganisationerna måste läsa koden och dess standarder noga för att avgöra vilka personuppgifter som krävs. Det står även att dataskyddsstandarden i många fall kommer att ange vilka personuppgifter som de nationella antidopningsorganisationerna ska samla in.

18. För att dataskyddsåtgärderna i dataskyddsstandarden ska bli ännu starkare rekommenderar EDPB att fler principer uttryckligen införs, dels för att de nationella antidopningsorganisationerna ska kunna behandla personuppgifter i enlighet med ett särskilt, uttryckligt angivet och berättigat ändamål, dels för att säkerställa att de personuppgifter som ska behandlas är adekvata, relevanta och begränsade till vad som är nödvändigt för ändamålet. EDPB rekommenderar att detta löses genom ett krav på att de nationella antidopningsorganisationerna måste genomföra tekniska och organisatoriska åtgärder för att säkerställa uppgiftsminimering.

19. EDPB uppskattar visserligen att den ovan nämnda principen om ändamålsbegränsning uttryckligen anges men konstaterar att avsnitt 6.2 i dataskyddsstandarden verkar utvidga tillämpningsområdet för behandlingen, för att den ska vara ett effektivt verktyg i kampen mot dopning, utöver vad som beskrivs i koden, vilket kan vara problematiskt med avseende på de standarder för dataskydd som koden strävar efter att upprätthålla. EDPB rekommenderar att avsnitt 6.2 i dataskyddsstandarden ses över och att behandlingar som görs av andra skäl än de som anges i koden begränsas till vad som krävs för att uppnå ett särskilt, uttryckligt angivet och berättigat ändamål. Dessutom rekommenderar EDPB att man i avsnitt 6.2 i samma standard anger att genomförandet av riskbedömningar avseende dataskydd samt riskreducerande åtgärder är strikta krav som ska uppfyllas före behandlingen (dvs. ska genomföras i stället för får genomföras).

20. Enligt avsnitt 6.3 i koden kan biologiska prover, analysdata och information avseende dopningskontroller komma att vidareanvändas i antidopningsforskningen samt för kvalitetssäkring, kvalitetsförbättring, metodförbättring och metodutveckling eller för att fastställa referenspopulationer. Vidareanvändningen av proverna i antidopningsforskning kräver förvisso idrottsutövarens samtycke, men detta föreskrivs inte för vidareanvändningen av analysdata eller av information avseende dopningskontroller för kvalitetssäkring och andra relaterade ändamål. Enligt definitionen i koden tycks antidopningsforskningen omfatta olika typer av forskning, däribland vetenskapliga undersökningar. I detta avseende påminner EDPB om att det bara är vidarebehandling för ”vetenskaplig forskning” som förutsätts vara förenlig med det ursprungliga syftet med uppgiftsinsamlingen, och när det rör sig om en sådan kan de nationella antidopningsorganisationerna förlita sig på den rättsliga grunden för den ursprungliga behandlingen – på vissa villkor och förutsatt att det finns lämpliga skyddsåtgärder för de berörda personernas rättigheter och friheter, i enlighet med artikel 89.1 i dataskyddsförordningen .

21. EDPB betonar därför att analysdata och andra personuppgifter endast får genomgå ytterligare behandling för (icke-vetenskaplig) antidopningsforskning, kvalitetssäkring eller andra relaterade förenliga ändamål om sådan ytterligare behandling har en giltig rättslig grund enligt dataskyddsförordningen . Eftersom behandlingen av hälsouppgifter kommer att förekomma ofta i detta sammanhang måste dessutom de nationella antidopningsorganisationerna fortfarande bedöma vilket undantag från förbudet mot behandling av särskilda kategorier av personuppgifter som kan vara tillämpligt enligt artikel 9.2 i dataskyddsförordningen.

22. Prover, analysdata och information avseende dopningskontroller kan enligt avsnitt 6.3 i koden vidareanvändas i antidopningsforskningen samt för kvalitetssäkring och andra relaterade ändamål, men artikel 6.2 i koden anger en mängd andra ändamål för vilka prover, analysdata och information avseende dopningskontroller ska analyseras och en del av dem är inte tydligt definierade. EDPB rekommenderar att dessa ändamål anges mer exakt, särskilt de som rör DNA-profilering eller genomisk profilering och de som omfattas av uttrycket andra berättigade antidopningsändamål. Dessutom betonar EDPB att genetiska uppgifter i biologiska prover är särskilt känsliga, inte bara med tanke på den inneboende risken för att de idrottare som lämnade provet identifieras trots att de har avidentifierats, eftersom vissa genetiska profiler har en unik karaktär, utan också med tanke på att de innehåller information, inbegripet hälsouppgifter, om deras biologiska släktingar.

23. Avsnitt 6.3 i koden anger också att prover och tillhörande analysdata eller information avseende dopningskontroller som ska vidareanvändas först ska behandlas på ett sätt som förhindrar att uppgifterna kan spåras tillbaka till en viss idrottare. Detta innebär dock inte att prover och andra personuppgifter som används i forsknings- eller kvalitetssäkringssyfte faktiskt måste pseudonymiseras eller avidentifieras, vilket man antar i dokumentet från Wada där de viktigaste ändringarna av koden sammanfattas . Den internationella standarden för laboratorier (laboratoriestandarden) kräver tvärtom enbart att direkta identifierare från prover och analysdata avlägsnas eller oåterkalleligen ändras innan de vidareanvänds för dessa ändamål. Det är inte heller tydligt om samma sak gäller även för information om dopningskontroller, eftersom den inte tas upp alls i laboratoriestandarden . EDPB rekommenderar att avsnitt 6.3 i koden ses över så att lämpliga skyddsåtgärder för de berörda personernas rättigheter och friheter vidtas när prover, analysdata eller andra personuppgifter (även hälsouppgifter eller andra kategorier av uppgifter som rör kontroller i syfte att bekämpa dopning) vidareutnyttjas för forskningsändamål (eller andra förenliga ändamål), i synnerhet för att säkerställa att principen om uppgiftsminimering uppfylls. Dessutom vill EDPB gärna se att det tydliggörs att dessa åtgärder bör omfatta pseudonymisering eller anonymisering, förutsatt att ändamålen då kan uppfyllas .

24. EDPB välkomnar också införandet av avsnitten 19.4 och 19.6 i koden, som föreskriver att etiska normer och praxis ska uppfyllas respektive förhindrar att personuppgifter används ytterligare mot den person som lämnade provet.

25. Avsnitt 4.3.2 i underrättelsestandarden anger att de nationella antidopningsorganisationerna ska använda råinformation och/eller antidopningsunderrättelser som underlag och vägledning i sin antidopningsverksamhet. EDPB anser att definitionerna av råinformation och antidopningsunderrättelser är alltför breda. Alla utredningar och inspektioner avseende dopningsanvändning är mycket känsliga, och EDPB anser därför att all behandling av personuppgifter för de ändamål som omfattas av underrättelsestandarden sannolikt kommer att leda till höga risker för de berörda personerna. EDPB rekommenderar därför att underrättelsestandarden ändras så att tillämpningsområdet för, och den information som kan användas i, behandlingar för utrednings- och underrättelseändamål tydligt begränsas.

26. Utöver vad som anförts ovan rekommenderar EDPB att de utredningsrelaterade ändamålen för behandlingen av uppgifter anges tydligt. Avsnitt 5.2 i underrättelsestandarden lämnar stort utrymme för andra, ospecificerade ändamål att behandla personuppgifter genom att använda formuleringar av typen ”inbegriper, men är inte begränsat till”. All annan ytterligare behandling av personuppgifter för andra ändamål bör endast tillåtas under förutsättning att förenligheten med sådana ändamål fastställs i enlighet med artikel 6.4 i dataskyddsförordningen och att den har en giltig rättslig grund . EDPB rekommenderar därför att underrättelsestandarden ändras och anpassas till avsnitt 6.2 i dataskyddsstandarden. Ett liknande påpekande kan göras för avsnitt 5.3.5 i underrättelsestandarden, där personuppgifter omfattas av den uppmuntran som ges de nationella antidopningsorganisationerna att utnyttja alla tillgängliga utredningsresurser och utredningsbefogenheter. EDPB anser att detta endast bör gälla om behandlingen är nödvändig, och endast för de ändamål som eftersträvas i underrättelsestandarden.

5. Kräv fler skyddsåtgärder när personuppgifter ska delas med tredje part

27. I avsnitten 9.1 och 9.2 anger dataskyddsstandarden vissa krav när de nationella antidopningsorganisationerna ska dela personuppgifter med andra personer, som enligt standarden definieras som fysiska personer, organisationer eller andra enheter. EDPB anser att denna definition är alltför bred och rekommenderar att den avgränsas tydligare. EDPB rekommenderar också att det i dessa avsnitt anges under vilka omständigheter, för vilka specifika ändamål och på vilka villkor det är tillåtet att dela personuppgifter med andra ”personer”.

28. För att stärka skyddet av personuppgifter rekommenderar EDPB även att dataskyddsstandarden kräver fler åtgärder när sådana uppgifter ska delas, i syfte att säkerställa att - mottagarna inte behandlar personuppgifterna annat än för de särskilda, uttryckligt angivna och berättigade antidopningsändamål som motiverar delningen och som måste finnas angivna i koden; i detta avseende rekommenderar EDPB att man förtydligar begreppet ”obligatorisk rättslig process”, som anges i avsnitt 9.1.c i dataskyddsstandarden som en möjlig omständighet för att denna delning ska kunna äga rum, - de nationella antidopningsorganisationerna endast delar de personuppgifter som är adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka sådana uppgifter behöver delas, - mottagarna inte lagrar personuppgifterna längre än vad som krävs för de ändamål för vilka de delas och att uppgifterna raderas eller anonymiseras (på ett sådant sätt att den registrerade inte kan eller inte längre kan identifieras) när de inte längre behövs, - mottagarna av de delade personuppgifterna har infört lämpliga säkerhetsåtgärder som säkerställer integriteten och konfidentialiteten hos de mottagna personuppgifterna.

29. Avsnitt 9.3 i dataskyddsstandarden innehåller krav på att säkerställa att personuppgifter endast delas med tredje part om det sker på ett ansvarsfullt sätt, vilket inbegriper genomförandet av tekniska och organisatoriska säkerhetsåtgärder. EDPB rekommenderar att ett till krav införs i detta avsnitt som föreskriver att avtal eller rättsakter i enlighet med artikel 28 i dataskyddsförordningen måste ligga till grund för behandlingen om och när behandlingen av uppgifter utförs av tredjepartsombud som agerar som personuppgiftsbiträden för de nationella antidopningsorganisationernas räkning. Enligt villkoren i avtalet eller rättsakten måste tredjepartsombuden agera enligt dokumenterade instruktioner från de nationella antidopningsorganisationerna och bistå dem så att de kan säkerställa att dataskyddsstandarden och dataskyddsförordningen efterlevs, inbegripet men inte begränsat till att garantera säkerheten för personuppgifterna och besvara begäranden om utövande av den registrerades rättigheter samt när det gäller skyldigheter i samband med personuppgiftsincidenter.

30. När en behandling som utförs av tredjepartsombud innebär att personuppgifter överförs internationellt bör skyddsåtgärder införas som är likvärdiga dem som föreskrivs i kapitel V i dataskyddsförordningen .

31. När det gäller överföringar från EES-baserade nationella antidopningsorganisationer till antidopningsdatabasen förnyade Europeiska kommissionen i januari 2024 Kanadas status som hållande en adekvat skyddsnivå enligt dataskyddsförordningen, och bekräftade att den skyddsnivå som Pipeda säkerställer är tillräckligt hög. EDPB anser därför att överföringar som sker på denna grund fortfarande är giltiga. Om överföringar däremot skulle göras direkt mellan nationella antidopningsorganisationer och inte omfattas av beslutet om Kanadas adekvata skyddsnivå bör dessa kategorier av överföringar beskrivas i koden och den exporterande nationella antidopningsorganisationen bör säkerställa att kapitel V i dataskyddsförordningen och EDPB:s tillämpliga riktlinjer följs .

32. Delningen av antidopningsunderrättelser enligt avsnitt 4.2 i underrättelsestandarden bör ha en lämplig rättslig grund enligt artikel 6 i dataskyddsförordningen när det gäller skyldigheten att dela personuppgifter. Om delningen innebär att personuppgifter överförs internationellt rekommenderar EDPB att det säkerställs att man följer reglerna i kapitel V i dataskyddsförordningen för att säkerställa att den skyddsnivå för fysiska personer som garanteras genom förordningen inte undergrävs . Med tanke på standardernas tillämpningsområde och den organiserade idrottens internationella karaktär rekommenderar EDPB starkt att underrättelsestandarden anger särskilda och tydligt definierade regler för underrättelser och inspektion, även vad gäller delning och internationell överföring av personuppgifter.

6. Offentliggörande av antidopningsbrott

33. När det gäller obligatoriskt offentliggörande av överträdelser av antidopningsregler välkomnar EDPB de föreslagna ändringarna av avsnitt 14.3.2 i koden, där det klargörs att det obligatoriska offentliggörandet endast gäller slutliga beslut (när professionella idrottare eller andra personer har överträtt antidopningsreglerna) . Vad gäller undantagen från den allmänna princip som anges i avsnitt 14.3.4 i koden, som kräver idrottarens eller de andra berörda personernas samtycke innan man efter en utfrågning eller ett överklagande offentliggör avgöranden som fastställer att de inte har överträtt antidopningsregeln, gjort något fel eller varit försumliga, upprepar EDPB att samtycke till behandling av personuppgifter måste uppfylla kraven i dataskyddsförordningen och då särskilt att det ska ges frivilligt.

34. När det gäller den nyligen införda bestämmelse som innebär att de nationella antidopningsorganisationerna inte behöver idrottarens eller den andra personens samtycke om deras identitet redan är offentlig eller om påföljder redan har ålagts ställer EDPB sig frågande till huruvida detta undantag tar tillräcklig hänsyn till att offentliggörandet kan ligga i den berörda idrottarens eller personens intresse.

35. EDPB välkomnar avsnitt 14.3.7 i koden, som fastställer att det inte krävs något offentliggörande om den idrottare eller andra person som har överträtt antidopningsreglerna antingen är underårig, en person som har beviljats skydd eller en motionsidrottare, och att ett skönsmässigt offentliggörande ska stå i proportion till fakta och omständigheter i fallet när sådana personer är inblandade.

36. För att säkerställa en korrekt avvägning mellan de skäl som motiverar en viss grad av insyn när det gäller överträdelser av antidopningsreglerna och behovet av att skydda den berörda personens grundläggande rättigheter och intressen rekommenderar EDPB dock att det förtydligas att de faktorer som i detta avseende ska beaktas bland annat är hur allvarlig överträdelsen av antidopningsregeln är, antalet överträdelser, huruvida ärendet redan har uppmärksammats i medierna, den berörda registrerades särskilda situation och huruvida sanktionen får konsekvenser när det gäller tävlingsresultat och idrottarnas rankning. Samma kriterier bör vägleda de nationella antidopningsorganisationernas beslut i de andra fall av skönsmässigt offentliggörande som regleras i avsnitt 14.3.1 i koden.

7. Ange särskilda lagringstider och begränsa dem till vad som är nödvändigt för uppnåendet av varje enskilt ändamål

37. EDPB välkomnar att dataskyddsstandarden anger en bortre gräns för de nationella antidopningsorganisationernas lagringstider. Principen om lagringsminimering enligt artikel 5.1 e i dataskyddsförordningen innebär att lagringen av uppgifter måste ha ett nära samband med behandlingens särskilda och berättigade ändamål. I bilaga A till dataskyddsstandarden anges dock inget tydligt samband mellan den fastställda lagringstiden för varje dataset och ett särskilt, uttryckligt angivet och berättigat behandlingsändamål. EDPB rekommenderar därför att de moduler som förtecknas i bilaga A anger vilka särskilda, uttryckligt angivna och berättigade ändamål med behandlingen som motsvarar varje berört dataset.

38. I motsats till vad som står i avsnitt 11.2 i dataskyddsstandarden bör de nationella antidopningsorganisationerna alltid fastställa en lagringstid för behandlingen av personuppgifter i enlighet med artikel 5.1 e i dataskyddsförordningen. EDPB rekommenderar därför att man i detta avsnitt stryker formuleringen om att det ska göras när så är möjligt.

39. EDPB välkomnar att avsnitt 11.3 i dataskyddsstandarden säkerställer att personuppgifter raderas, förstörs eller anonymiseras när de inte längre behövs. Eftersom de berörda uppgifterna på antidopningsområdet till största delen är känsliga krävs det riskreducerande åtgärder som säkerställer att individens grundläggande fri- och rättigheter respekteras. Enligt tredje meningen i dataskyddsstandardens avsnitt 11.3 krävs det starkare skäl till att lagra känsliga uppgifter när ingen lagringstid har fastställts för dem i bilaga A till dataskyddsstandarden , men de definieras inte i avsnittet. EDPB rekommenderar att man tydligt fastställer regler, rättsliga grunder och riskreducerande åtgärder för lagringen av känsliga uppgifter när ingen lagringstid anges i bilaga A till dataskyddsstandarden.

40. EDPB noterar att avsnitten 11.5 och 11.6 i dataskyddsstandarden tillåter att uppgifterna lagras längre än de fastställda lagringsperioderna. De exceptionella omständigheter som nämns i avsnitt 11.5 c i dataskyddsstandarden avser pågående eller rimligen förväntade överträdelser av antidopningsreglerna, utredningar eller andra rättsliga förfaranden. EDPB noterar att det är oklart vad som avses med rimligen förväntade överträdelser av antidopningsreglerna, och rekommenderar att det förtydligas. Undantagsfallen i avsnitt 11.5 a i dataskyddsstandarden avser bland annat fall när tillämpliga lagar tillåter längre lagringstider än bilaga A till dataskyddsstandarden. Eftersom tanken är att koden ska vara en gemensam minimistandard för behandlingen av personuppgifter för antidopningsändamål bör ingen annan lagstiftning som föreskriver längre lagringstider tillämpas.

41. Enligt bilaga A till dataskyddsstandarden ska de fastställda lagringsperioderna inte hindra den nationella antidopningsorganisationen från att föra register under längre perioder om personuppgifterna har tagits bort. EDPB rekommenderar att det tydligt ska framgå att detta avser anonymiserade uppgifter. Vad gäller den viktiga anmärkningen III rekommenderar EDPB att man använder ordet ”måste” i stället för ”bör”, så att ofullständiga uppgifter avlägsnas och uppgifternas kvalitet därmed säkerställs i enlighet med principerna om uppgifternas riktighet och integritet enligt artikel 5.1 d och f i dataskyddsförordningen.

42. Generellt sett anser EDPB att lagringsperioden på tio år är mycket lång eftersom personuppgifter kan omfatta geolokaliseringar och till och med uppgifter om underåriga. EDPB rekommenderar att man diskuterar och motiverar den övergripande längsta lagringstiden på tio år närmare så att de registrerades intressen avvägs på ett bra sätt mot de nationella antidopningsorganisationernas intressen.

43. Uppgifterna i modul 2 omfattar idrottares adresser för regelbundna aktiviteter, nattlogi och kontaktuppgifter. Eftersom detta kan betecknas som profilering bör lagringstiden vara mycket kortare än tio år. Sådana uppgifter bör endast lagras när personuppgifterna inte längre är relevanta för platsangivelserna. Dessutom kräver avsnitt 4.10.13.1 i den internationella testningsstandarden inte längre att idrottarna ska lämna in information om sina regelbundna aktiviteter, utan bara om var de tränar och relevanta tidsramar. EDPB välkomnar denna ändring men rekommenderar att den införs i bilaga A till dataskyddsstandarden.

44. Modul 3 för uppgifter om medicinsk dispens omfattar hälsouppgifter. Lagringstiden för ytterligare medicinska uppgifter är tolv månader efter att tiden löpt ut, vilket förefaller rimligt, men intygen om medicinsk dispens och blanketterna om avslag sparas i tio år eftersom de kan vara relevanta för nya tester eller andra utredningar. I synnerhet när det gäller blanketterna om avslag föreslår EDPB att Wada ser över lagringsperioden med avseende på det angivna ändamålet och begränsar den till vad som är absolut nödvändigt.

45. I modul 7 i bilaga A till dataskyddsstandarden fastställs en lagringsperiod på tio år för poster i utredningsregister efter en avslutad utredning. EDPB ifrågasätter proportionaliteten i att föra sådana register i tio år, särskilt med tanke på att inte alla utredningar visar att antidopningsreglerna har överträtts. I sådana fall är det antagligen oproportionerligt med en lagringstid på tio år som standard.

46. Enligt modul 8 i bilaga A till dataskyddsstandarden sparas uppgifter om kurser och utbildningsdatum tills alla andra tillhörande registerposter har raderats eller personen inte längre är aktiv. Denna definition av en lagringsperiod är alltför vag och bör anges mer i detalj. Detta bör också göras för att säkerställa att de berörda personerna kan förstå tidsplanen för uppgiftsbehandlingen.

47. Mot bakgrund av ovanstående rekommenderar EDPB att lagringsperioderna ses över, särskilt med avseende på hur nödvändig varje uppgift anses vara för det ändamål som motiverar varje behandling.

8. Tillhandahåll fler riktlinjer för att förbättra organisationernas genomförande av principen om inbyggt dataskydd

48. EDPB välkomnar genomförandet av konceptet inbyggt integritetsskydd i dataskyddsstandarden och uppskattar att standarden uttryckligen anger exempel i form av fler säkerhetskontroller och åtgärder för uppgiftsminimering. De aspekter som anges i dataskyddsstandardens avsnitt 5.1 leder dock inte helt till att kraven i artikel 25.1 i dataskyddsförordningen uppfylls. Begreppet inbyggt integritetsskydd enligt dataskyddsförordningen kräver att de nationella antidopningsorganisationerna, som agerar som personuppgiftsansvariga, införlivar dataskyddsåtgärder i utformningen av sina system och förfaranden. EDPB noterar att dataskyddsstandarden inte innehåller några krav på att genomföra detta koncept. EDPB rekommenderar därför att det i dataskyddsstandarden införs särskilda krav på nationella antidopningsorganisationer att genomföra tekniska och organisatoriska åtgärder till stöd för konceptet inbyggt integritetsskydd. Denna rekommendation kan också gälla databehandlingar som beskrivs i andra standarder, till exempel när laboratorieresultat ska delas genom antidopningsdatabasen i enlighet med standarden för resultathantering.

9. Behandling av särskilda kategorier av personuppgifter

49. EDPB noterar att den behandling av personuppgifter som föreskrivs i koden och dataskyddsstandarden medför omfattande behandling av det som i dokumentet kallas för känsliga personuppgifter. EDPB konstaterar att definitionen av känsliga personuppgifter i dataskyddsstandarden i viss mån är densamma som definitionen av särskilda kategorier av personuppgifter enligt artikel 9 i dataskyddsförordningen. EDPB rekommenderar att definitionen av känsliga personuppgifter ändras så att den motsvarar artikel 9 i dataskyddsförordningen. EDPB upprepar också att behandling av personuppgifter som rör fällande domar i brottmål samt överträdelser endast bör utföras på strikta villkor, i enlighet med vad artikel 10 i dataskyddsförordningen kräver.

50. EDPB välkomnar kravet i dataskyddsstandardens avsnitt 5.3 på särskilda skyddsåtgärder eller förfaranden som följer tillämplig integritets- och dataskyddslagstiftning vid behandlingen av känsliga personuppgifter. I detta avseende konstaterar EDPB att behandling av särskilda kategorier av personuppgifter i allmänhet är förbjuden enligt dataskyddsförordningen, såvida inte något av undantagen enligt artikel 9.2 i dataskyddsförordningen är tillämpligt .

51. EDPB noterar dock att formuleringen i avsnitt 5.3 i dataskyddsstandarden är ganska allmänt hållen; den anger att känslig information ska behandlas i enlighet med eventuella särskilda skyddsåtgärder eller förfaranden i dataskyddsstandarden och tillämplig integritets- och dataskyddslagstiftning utan att ange exakt vilka skyddsåtgärder som måste införas. De ytterligare begränsningar som nämns beskrivs inte i dataskyddsstandarden, och exempelvis avsnitt 10.3 och 11.3 verkar inte ange några ytterligare skyddsåtgärder för att säkerställa säkerheten hos eller en begränsad lagringstid av sådana uppgifter. I dataskyddsstandardens avsnitt 7.3 anges att den berörda personens uttryckliga samtycke ska inhämtas när känsliga personuppgifter behandlas med samtycke som grund. EDPB noterar att uttryckligt samtycke i detta sammanhang ligger i linje med artikel 9.2 a i dataskyddsförordningen, och upprepar sin farhåga att samtycke kanske inte utgör en lämplig rättslig grund för behandling av personuppgifter (inbegripet särskilda kategorier av personuppgifter) inom ramen för koden och dataskyddsstandarden .

52. EDPB rekommenderar därför att dataskyddsstandarden ändras, med tanke på den planerade uppgiftsbehandlingens känsliga karaktär, och anger vilka typer av skyddsåtgärder som kan bidra till att skydda de särskilda kategorierna av personuppgifter i enlighet med artiklarna 9.2, 25.1 och 32 i dataskyddsförordningen.

10. Klargör vilken roll den person som utsetts till ansvarig för efterlevnaden av all tillämplig integritets- och dataskyddslagstiftning ska ha

53. EDPB noterar kravet i dataskyddsstandardens avsnitt 4.4 på att antidopningsorganisationerna ska utse en person som är ansvarig för efterlevnaden av denna internationella standard och alla tillämpliga integritets- och dataskyddslagar. De ska se till att kontaktuppgifterna för den person som utsetts till detta görs lätt tillgängliga för enskilda personer i enlighet med artikel 8.

54. EDPB välkomnar införandet av ett krav på att man inom de nationella antidopningsorganisationerna ska utse en person som ansvarar för efterlevnaden av dataskydd, men det är oklart i vilken utsträckning rollen för den person som avses i avsnitt 4.4 i dataskyddsstandarden motsvarar dataskyddsombudets roll enligt artiklarna 38–39 i dataskyddsförordningen.

55. Dataskyddsstandardens avsnitt 4.4 anger att den utsedda personen ska vara ansvarig för efterlevnaden av all tillämplig integritets- och dataskyddslagstiftning. Enligt principen om ansvarsskyldighet enligt artikel 5.2 i dataskyddsförordningen är det dock tydligt att den personuppgiftsansvarige (i detta fall den nationella antidopningsorganisationen själv) ska vara ansvarig för och kunna påvisa efterlevnad. Dataskyddsombud som utsetts i enlighet med dataskyddsförordningen bör kunna utföra sina uppgifter oberoende och utan instruktioner från den personuppgiftsansvarige om utförandet av dessa uppgifter. De kan därför inte hållas ansvariga för efterlevnaden av dataskyddsförordningen på samma sätt som personuppgiftsansvariga, men det kan den utsedda personen enligt avsnitt 4.4 i dataskyddsstandarden. Slutligen konstaterar EDPB att det inte tydligt framgår i avsnitt 4.4 inför vem den utsedda personen ska vara ansvarig.

56. EDPB konstaterar och välkomnar att kravet i avsnitt 4.4 i dataskyddsstandarden på att kontaktuppgifterna för den utsedda personen ska göras tillgängliga för enskilda personer överensstämmer med kravet i artikel 37.7 i dataskyddsförordningen när det gäller offentliggörande av dataskyddsombudets kontaktuppgifter.

57. Trots det som står i dataskyddsstandardens avsnitt 4.4 är nationella antidopningsorganisationer som omfattas av dataskyddsförordningen skyldiga att känna till att det är de som måste avgöra när det är obligatoriskt att utse ett dataskyddsombud enligt kriterierna i artikel 38.1 i dataskyddsförordningen. Den sistnämnda föreskriver att ett dataskyddsombud ska utses vid särskilda omständigheter som omfattas av förordningens tillämpningsområde, men nationella antidopningsorganisationer som inte omfattas av dataskyddsförordningen kan ändå vilja utse en likvärdig person för att säkerställa att tillämpliga lagar och andra författningar om dataskydd följs och att kraven i dataskyddsstandarden uppfylls. Den person/grupp som utses till ansvarig bör få tillräckliga befogenheter, resurser och sakkunskap för att verkligen kunna utöva tillsyn över de metoder som tillämpas för integritetsskydd, hantera dataskyddsrisker och fungera som en primär kontaktpunkt för integritetsrelaterade frågor. Ansvarsområdena omfattar övervakning av efterlevnaden, hantering av integritetsprogram, genomförande av bedömningar och samordning med relevanta intressenter och tillsynsmyndigheter i tillämpliga fall.

58. EDPB rekommenderar därför att det klargörs huruvida den person som utses enligt avsnitt 4.4 i dataskyddsstandarden är tänkt att ha en roll som är likvärdig dataskyddsombudets roll enligt dataskyddsförordningen och, om så är fallet, att rollerna görs likvärdiga i fråga om utseendeförfarandet, befattningen och uppgifterna. Om detta inte klargörs anser EDPB att avsnitt 4.4 kan göra det svårt för de nationella antidopningsorganisationer som omfattas av dataskyddsförordningen att fullgöra sina skyldigheter som personuppgiftsansvariga enligt artiklarna 37–39 i samma förordning.

11. Se till att de registrerades rättigheter verkligen säkerställs

59. EDPB välkomnar bestämmelserna i avsnitt 8 i dataskyddsstandarden som avser information till enskilda personer. EDPB rekommenderar att den informationen särskilt ska hänvisa till insamlingen av råinformation och antidopningsunderrättelser i enlighet med vad som anges i underrättelsestandarden.

60. EDPB välkomnar bestämmelserna i avsnitt 12 i dataskyddsstandarden, som anger att enskilda personer har rätt att få tillgång till sina personuppgifter och information om hur de behandlas av de nationella antidopningsorganisationerna, och att de nationella antidopningsorganisationerna måste uppfylla vissa angivna krav för att kunna utöva sådana dataskyddsrättigheter. EDPB konstaterar dock också att de väsentliga kraven i avsnitten 12.1 c, 12.2, 12.3 och 12.4 i dataskyddsstandarden är oförenliga med de registrerades rättigheter enligt dataskyddsförordningen.

61. I synnerhet innehåller avsnitt 12.1 c i den internationella standarden för skydd av integritet och personuppgifter ett undantag från rätten att erhålla en kopia av personuppgifterna när detta uppenbart strider mot antidopningssystemets integritet eller en antidopningsorganisations möjlighet att planera eller utföra oannonserade tester eller att utreda och fastställa överträdelser av antidopningsreglerna eller andra rättsliga anspråk. Såsom EDPB framhållit i sin tidigare korrespondens är undantaget formulerat i mycket vaga termer och vid första anblicken tycks det inte vara förenligt med dataskyddsförordningen.

62. I dataskyddsstandardens avsnitt 12.2 anges dessutom att de nationella antidopningsorganisationerna måste besvara en registrerad persons begäran om att få tillgång till uppgifterna, såvida inte detta medför en oproportionerlig börda för organisationerna. I avsnitt 12.3 fastställs det att enskilda, vars begäran om att få tillgång till sina personuppgifter avslås av de nationella antidopningsorganisationerna, ska informeras om skälen till avslaget så snart det är praktiskt möjligt. EDPB noterar att detta liknar avsnitt 12.4 i dataskyddsstandarden, som anger att personuppgifter inte måste rättas eller ändras om det är omöjligt eller förenat med en oproportionerlig arbetsinsats. Mot bakgrund av ovanstående, och eftersom enskilda personers och de nationella antidopningsorganisationernas intressen inte tycks vara korrekt avvägda mot varandra, ifrågasätter EDPB om dataskyddsstandarden verkligen säkerställer enskilda personers rättigheter när det gäller deras personuppgifter.

63. EDPB upprepar därför att eventuella begränsningar av dataskyddsrättigheterna endast är tillåtna om de uppfyller villkoren i artikel 23 i dataskyddsförordningen, enligt vilken medlemsstaterna har möjlighet att införa lagstiftningsåtgärder som syftar till att begränsa tillämpningsområdet av sådana rättigheter om en sådan begränsning sker med respekt för andemeningen i de enskildas grundläggande rättigheter och friheter och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle.

64. EDPB rekommenderar således en översyn av avsnitt 12 i dataskyddsstandarden som leder till att artiklarna 12–15 i dataskyddsförordningen, eventuella riktlinjer från EDPB samt de villkor som fastställs i artikel 23 i dataskyddsförordningen återspeglas när det gäller eventuella tänkbara begränsningar av de registrerades rättigheter.

65. Slutligen upprepar EDPB att koden bör föreskriva en rätt till rättsmedel och en rätt till ersättning om enskilda lider skada till följd av en behandling som är oförenlig med dataskyddsstandarden .