Promemoria

Personuppgiftsbehandling inom ramen för omsorgsplikten enligt spellagen

Beteckning: Personuppgiftsbehandling inom ramen för omsorgsplikten enligt spellagen
Typ: Promemoria
Datum: 2022-12-07

Finansdepartementet Avdelningen för offentlig förvaltning

Promemoria

December 2022

Sammanfattning

I denna promemoria föreslås att spellagens (2018:1138) bestämmelser om tillåten behandling av personuppgifter ska kompletteras med en bestämmelse om att det är tillåtet att behandla personuppgifter inom ramen för en licenshavares arbete med omsorgsplikten enligt 14 kap. 1 § i samma lag. Det föreslås även att en licenshavare ska ges möjlighet att granska och analysera uppgifter om en spelares hälsa och ekonomi, för att kunna vidta spelansvarsåtgärder och motverka sådant överdrivet spelande som avses i 14 kap. 1 § spellagen. Förslagen syftar till att stärka konsumentskyddet på spelområdet. Lagändringarna föreslås träda i kraft den 1 januari 2024.

1 Förslag till lag om ändring i spellagen (2018:1138)

Härigenom föreskrivs att 17 kap. 5 § spellagen (2018:1138) ska ha följande lydelse.

Lydelse enligt lagrådsremissen Föreslagen lydelse Åtgärder för att säkerställa en sund och säker spelmarknad

17 kap.

5 § En licenshavare får behandla personuppgifter om det är nödvändigt för att enligt denna lag och föreskrifter som har meddelats i anslutning till lagen 1. kontrollera spelarens identitet och ålder, 2. upprätta spelkonton och fullgöra licenshavarens skyldigheter gentemot spelaren i fråga om spelkonton, 3. kontrollera att spelaren följer de villkor och regler som gäller för varje spel, 4. granska spelet i syfte att upptäcka fusk, bedrägeri och annan brottslig verksamhet, 5. kontrollera och rapportera avvikande spelmönster och misstankar om manipulation av resultat inom sport med avseende på vadhållning, 6. granska och analysera uppgift- 6. granska och analysera uppgifter från upprättade spelarprofiler er från upprättade spelarprofiler och varje spelares spelbeteende för och varje spelares spelbeteende , såatt kunna vidta spelansvarsåtgärd- dana uppgifter om hälsa som spelaer, ren själv lämnar till licenshavaren och uppgifter om spelarens ekonomi för att kunna vidta spelansvarsåtgärder och motverka sådant överdrivet spelande som avses i 14 kap. 1 § , 7. genomföra självavstängning av spelare samt hantera uppgifter från spelmyndigheten avseende det nationella självavstängningsregistret, och 8. kontrollera och rapportera om spelaren deltagit i vadhållning i strid med idrottens regelverk om matchfixning.

Denna lag träder i kraft den 1 januari 2024.

2 Bakgrund

2.1 Den omreglerade spelmarknaden

Den svenska spelmarknaden omreglerades den 1 januari 2019 när den nya spellagen (2018:1138) trädde i kraft efter förslag i propositionen En omreglerad spelmarknad (prop. 2017/18:220). Syftet med omregleringen var bl.a. att återta kontrollen över spelmarknaden, stärka kanaliseringen till erbjudanden från ansvarsfulla, tillförlitliga och kontrollerbara aktörer och skydda svenska konsumenter från olicensierat spel (prop. 2017/18:220 s. 82, 86, 89 – 91, 208 och 211). Den nya spelregleringen bygger på ett licenssystem, där alla som agerar på den svenska spelmarknaden ska ha en licens och aktörer utan licens ska stängas ute. Regleringen är tillämplig på allt spel som tillhandahålls i Sverige, även spel över internet som riktas till den svenska marknaden (3 kap. 3 § jämförd med 1 kap. 2 § spellagen). Spelverksamhet ska enligt den nya regleringen vara lämplig ur allmän synpunkt samt bedrivas på ett sunt och säkert sätt, under offentlig kontroll. Det ställs krav på ett starkt konsumentskydd och en hög säkerhet på spelen. De negativa konsekvenserna av spelande ska begränsas och en licenshavare har en långtgående skyldighet att skydda spelarna mot överdrivet spelande (se 3 kap. 1 § och 14 kap. 1 § spellagen).

2.2 Omsorgsplikten enligt spellagen

Aktörer med svensk spellicens måste uppfylla högt ställda krav på spelverksamheten. Enligt 14 kap. 1 § spellagen ska en licenshavare säkerställa att sociala och hälsomässiga hänsyn iakttas i spelverksamheten för att skydda spelare mot överdrivet spelande, och hjälpa dem att minska sitt spelande när det finns anledning till det (den s.k. omsorgsplikten). I omsorgsplikten ingår att motverka överdrivet spelande genom fortlöpande kontroll av spelbeteende. Licenshavare ska i en handlingsplan redovisa hur omsorgsplikten ska fullgöras. Omsorgsplikten syftar till att skydda spelarnas liv, hälsa och ekonomi samt indirekt även de anhöriga till spelarna (prop. 2017/18:220 s. 149). Regeringen har bemyndigat Spelinspektionen att meddela föreskrifter om handlingsplanen och vilka åtgärder licenshavaren behöver vidta för att uppfylla kraven i 14 kap. 1 § spellagen (21 kap. 13 § 1 spellagen och 16 kap. 10 § 2 och 4 spelförordningen [2018:1475]). Omsorgsplikten är en av de viktigaste bestämmelserna för att minska skadeverkningarna från spel (prop. 2021/22:242 s. 53 och 54). Spelinspektionen har tagit fram en vägledning om omsorgsplikten i syfte att ge stöd till licenshavarna vid genomförandet av bestämmelsen. Vägledningen har tagits fram i samråd med bl.a. spelbranschen, Folkhälsomyndigheten och organisationer som erbjuder stöd till spelare och anhöriga. Vägledningen är inte uttömmande, utan ska ses som ett stöd i det kontinuerliga arbetet med omsorgsplikten. I vägledningen anges bl.a. hur en fortlöpande kontroll av spelbeteende bör gå till och hur licenshavarna bör agera när de upptäcker riskfyllt spelande.

2.3 Behov av personuppgiftsbehandling inom ramen för omsorgsplikten

För att licenshavarna ska kunna motverka problemspelande är det viktigt att de, förutom att följa utvecklingen av spelarnas spelbeteende, även kan hämta in eller på annat sätt behandla uppgifter om en spelares ekonomiska förutsättningar och beakta spelarens hälsotillstånd för att kunna vidta nödvändiga åtgärder för att motverka överdrivet spelande. Spelinspektionen har i en skrivelse till regeringen framfört att det i dagsläget är oklart i vilken utsträckning en licenshavare får behandla personuppgifter inom ramen för licenshavarens arbete med omsorgsplikten (Fi2021/03091). Spelinspektionen anser sig därför inte kunna ställa sådana krav på licenshavarnas arbete med omsorgsplikten som myndigheten anser vara motiverat. Den nuvarande regleringen medför att det endast är spelarens angivna gränser och spelbeteende som avgör vilka åtgärder som måste vidtas (17 kap. 5 § 6 spellagen). Om spelaren uppger att han eller hon har spelproblem eller om det framgår att spelaren spelar för lånade pengar, är det därför enligt myndigheten tveksamt om uppgifterna kan användas som grund för krav på spelansvarsåtgärder.

2.4 Gällande personuppgiftsreglering

Sedan den 25 maj 2018 utgör Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning, grunden för generell personuppgiftsbehandling inom EU. Det huvudsakliga syftet med förordningen är bl.a. att säkerställa en enhetlig skyddsnivå över hela unionen och att undvika avvikelser som hindrar den fria rörligheten av personuppgifter inom den inre marknaden. Förordningen är direkt tillämplig i alla EU:s medlemsstater men förutsätter och möjliggör samtidigt kompletterande och specificerande nationella bestämmelser av olika slag. EU:s dataskyddsförordning reglerar bl.a. grundläggande principer för behandling av personuppgifter, den registrerades rättigheter, personuppgiftsansvar, tillsyn över personuppgiftsbehandling och rätten för enskilda att få tillgång till rättsmedel och sanktioner mot ansvariga som inte lever upp till förordningens krav. Utöver förordningen gäller sedan den 25 maj 2018 även lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen). Bestämmelserna i EU:s dataskyddsförordning och dataskyddslagen gäller även vid behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten (1 kap. 2 § dataskyddslagen).

3 En rätt för licenshavare att behandla personuppgifter inom ramen för omsorgsplikten

Förslag: En licenshavare ska ha rätt att behandla personuppgifter från upprättade spelarprofiler och varje spelares spelbeteende inom ramen för sitt arbete med att motverka överdrivet spelande. En licenshavare ska även få behandla sådana uppgifter om hälsa som spelaren själv lämnar till licenshavaren och uppgifter om spelarens ekonomi för att kunna vidta spelansvarsåtgärder och motverka överdrivet spelande.

Skälen för förslaget

Inom ramen för en licenshavares arbete med omsorgsplikten får vissa personuppgifter behandlas Licenshavarna är personuppgiftsansvariga för den behandling av personuppgifter som de utför för att fullgöra sina skyldigheter enligt spellagen. En licenshavare får behandla personuppgifter bl.a. om det är nödvändigt för att enligt spellagen och föreskrifter som har meddelats i anslutning till lagen granska och analysera uppgifter från upprättade spelarprofiler och varje spelares spelbeteende för att kunna vidta spelansvarsåtgärder (17 kap. 2 § och 5 § 6 spellagen). Av förarbetena framgår att en licenshavare inte får erbjuda spel till en spelare förrän en spelarprofil har upprättats. I spelarprofilen ska spelaren sätta gränser för sitt eget spelande vad gäller tid och pengar. Licenshavarens kontroll ska omfatta att övervaka att spelarna inte överskrider sina satta gränser. Det har därför ansetts att rätten till behandling av personuppgifter för ändamålet att granska och analysera uppgifter från spelarprofiler och varje spelares spelbeteende bör framgå av spellagen (prop. 2017/18:220 s. 184). Licenshavarnas möjligheter att behandla personuppgifter i detta syfte har således begränsats till att granska och analysera och har kopplats till spelarprofilen.

Det finns ett behov av att komplettera bestämmelsen om tillåten personuppgiftsbehandling Som Statskontoret skriver i sin utvärdering av omregleringen av spelmarknaden krävs det att licenshavarna har en god kännedom om sina kunder för att uppfylla det spelansvar som de har enligt spellagen (Statskontorets rapport 2022:5 s. 178). Behandling av personuppgifter är därför av central betydelse för möjligheterna att ta spelansvar och motverka problemspelande. Det är bl.a. viktigt att licenshavarna, för att kunna motverka problemspelande, kan följa utvecklingen av spelarnas spelbeteende och vidta nödvändiga åtgärder för att motverka spelproblem (prop. 2017/18:220 s. 179). Den nuvarande möjligheten i spellagen att behandla personuppgifter är kopplad till behovet för licenshavare att kunna vidta spelansvarsåtgärder (17 kap. 5 § 6 spellagen). I omsorgsplikten ingår dock också att motverka

överdrivet spelande genom fortlöpande kontroll av spelbeteende. Det handlar således inte enbart om ett behov av att behandla uppgifter i syfte att vidta konkreta spelansvarsåtgärder. Detta innebär att det i dagsläget finns en osäkerhet kring vilka personuppgifter som licenshavarna får behandla inom ramen för sitt arbete med omsorgsplikten. Denna osäkerhet begränsar även Spelinspektionens möjligheter att ställa krav på licenshavarnas omsorgsplikt. Ett flertal licenshavare har också efterfrågat ett förtydligande från myndigheten i detta avseende. Det finns därför skäl att överväga att komplettera den aktuella bestämmelsen så att det klart framgår att personuppgiftsbehandlingen är tillåten inom ramen för arbetet med omsorgsplikten, dvs. såväl vid den fortlöpande kontrollen av spelbeteende som vid vidtagandet av konkreta spelansvarsåtgärder.

Licenshavare kan behöva behandla uppgifter om hälsa och ekonomi i arbetet med omsorgsplikten En förutsättning för att licenshavarna ska kunna göra fullständiga riskbedömningar av sina kunder, och i förlängningen vidta individuellt anpassade spelansvarsåtgärder, är att de får behandla nödvändiga och ibland känsliga personuppgifter. Behandling av sådana uppgifter är nämligen avgörande för licenshavares möjligheter att uppnå en god kännedom om sina kunder, vilket är en förutsättning för att ta spelansvar och motverka problemspelande. Det förekommer visserligen att licenshavare redan i dag behandlar personuppgifter, såsom uppgifter om en spelares ekonomi, med stöd av artikel 6.1 b i EU:s dataskyddsförordning. Den aktuella artikeln rör dock endast behandling av personuppgifter till följd av ett avtal, och förutsätter att personuppgiftsbehandlingen är nödvändig, antingen för att fullgöra avtalet med den registrerade eller för att vidta åtgärder på begäran av den registrerade innan avtalet ingås. Enligt vad Spelinspektionen framfört i sin skrivelse är det inte tydligt om licenshavare får hämta in och behandla andra uppgifter, som inte klart ingår i spelarprofilen, i arbetet med omsorgsplikten. Även Statskontoret menar att spellagen inte ger licenshavare tydligt stöd för att behandla uppgifter om spelarnas ekonomi och hälsa (Statskontorets rapport 2022:5 s. 41). Det finns därför skäl att överväga om licenshavarna, inom ramen för arbetet med omsorgsplikten, bör få behandla ytterligare personuppgifter i form av uppgifter om hälsa eller ekonomi. För att licenshavarna ska kunna vidta nödvändiga åtgärder för att motverka överdrivet spelande behöver de, förutom en möjlighet att följa utvecklingen av spelarnas spelbeteende (17 kap. 5 § 6 spellagen), även kunna hämta in eller på annat sätt behandla uppgifter om en spelares ekonomiska förutsättningar. En licenshavare kan vid kontakt med en spelare nämligen få kännedom om att denne lånat pengar för att spela eller inte har råd att betala mat och hyra, vilket är starka indikationer på att spelaren spelar över sina tillgångar. För att kunna avgöra om en spelare spelar för mer än vad denne har råd med behöver licenshavare ibland också kunna hämta in uppgifter om spelarens inkomst från t.ex. Skatteverket eller ett kreditupplysningsbolag. Licenshavaren kan också, inom ramen för sitt arbete med att motverka penningtvätt och finansiering av terrorism (18 kap. 2 § spellagen och 1 kap. 2 § 15 lagen [2017:630] om åtgärder mot penningtvätt och finansiering av terrorism), redan ha fått ta del av uppgift-

er om en spelares ekonomi. Sådana uppgifter kan även behöva behandlas inom ramen för licenshavarens arbete med omsorgsplikten. För att en licenshavare ska kunna skydda en spelares hälsa behöver licenshavaren även kunna behandla uppgifter från spelaren som tyder på att denne har problem med sitt spelande eller uppgifter om spelarens hälsotillstånd i övrigt, t.ex. att spelaren befinner sig i ett sådant tillstånd som medför en förhöjd risk för spelproblem. Spelproblem används ofta som ett samlingsbegrepp för att beskriva sociala, ekonomiska eller hälsomässiga negativa konsekvenser av spel om pengar (SOU 2020:77 s. 169 och prop. 2016/17:85 s. 10). Tillstånd som medför en förhöjd risk för spelproblem kan vara t.ex. psykisk ohälsa, social isolering, beroende av alkohol eller narkotika, impulsivitet eller suicidtankar (se t.ex. prop. 2016/17:85 s. 16, Socialstyrelsen, Behandling av spelmissbruk och spelberoende – Kunskapsstöd med nationella rekommendationer till hälso- och sjukvården och socialtjänsten, 2017, s. 10 och 11 samt Folkhälsomyndigheten, Fördjupad analys av utvecklingen av spelproblem kopplat till spridningen av covid-19 – Återrapportering av ett regeringsuppdrag, 2021, s. 6). Eftersom uppgifter om hälsa är särskilt integritetskänsliga bör licenshavare inte få behandla andra personuppgifter än sådana som är absolut nödvändiga för uppfyllande av omsorgsplikten. Om licenshavaren anser att spelarens spelbeteende, i förekommande fall tillsammans med uppgifter om dennes ekonomi eller uppgifter som spelaren själv lämnat om sin hälsa, är sådant att det finns skäl att ifrågasätta hur spelaren mår i förhållande till sitt spelande bör detta i normalfallet vara tillräckligt för att licenshavaren ska vara skyldig att vidta begränsningsåtgärder. Det finns därför inget behov för licenshavare att kunna hämta in uppgifter om spelares hälsa från någon annan källa för att fullgöra sin omsorgsplikt. Det finns således ett behov av att utvidga den aktuella bestämmelsen i 17 kap. 5 § 6 spellagen så att den även omfattar behandling av sådana uppgifter om hälsa som spelaren själv lämnar och uppgifter om spelarens ekonomi.

Den rättsliga grunden i EU:s dataskyddsförordning för personuppgiftsbehandlingen Av artikel 5.1 b i EU:s dataskyddsförordning framgår att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Även om huvudregeln är att det är den personuppgiftsansvarige som bestämmer ändamålen med behandlingen får medlemsstaterna enligt artikel 4.7 i förordningen fastställa ändamålen i sin nationella rätt. Regeringen har angett att det framstår som naturligt att i en speciallag som riktar sig mot en särskilt angiven verksamhet direkt ange för vilka ändamål personuppgifter får behandlas på det mer avgränsade område som lagen avser att täcka (prop. 2008/09:96 s. 40). För att behandling av personuppgifter ska vara förenlig med EU:s dataskyddsförordning krävs att det finns en rättslig grund för behandlingen. En sådan rättslig grund kan enligt artikel 6.1 i förordningen bl.a. vara att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (c) eller att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller utgör ett led i den personuppgiftsansvariges myndighetsutövning (e). En licenshavares arbete med om-

sorgsplikten får anses utgöra en uppgift av allmänt intresse. Behandlingen är även nödvändig för att fullgöra licenshavarens rättsliga förpliktelser enligt spellagen. I artikel 9 i EU:s dataskyddsförordning finns vidare bestämmelser om behandling av s.k. känsliga personuppgifter. Uppgift om att någon har ett spelberoende eller spelmissbruk kan anses vara en uppgift som rör hälsa och en sådan uppgift skulle således kunna vara en känslig personuppgift (prop. 2017/18:220 s. 180). Behandling av känsliga personuppgifter är som huvudregel förbjuden. Enligt artikel 9.2 i förordningen är dock behandling av sådana uppgifter tillåten efter samtycke av den registrerade (a). Detta gäller dock inte om unionsrätten eller nationell rätt föreskriver att förbudet inte kan upphävas av den registrerade. Behandling av känsliga personuppgifter får vidare ske bl.a. om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstatens nationella rätt (g). En förutsättning är att den nationella rätten står i proportion till det eftersträvade syftet, är förenlig med det väsentliga innehållet i rätten till dataskydd och att den innehåller bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Det är inte tillräckligt att behandlingen av personuppgifter är nödvändig för att utföra en uppgift av allmänt intresse för att denna rättsliga grund ska kunna användas. Enligt artikel 6.3 i EU:s dataskyddsförordning ska grunden för behandlingen även fastställas i unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Detta framgår även av 2 kap. 2 § dataskyddslagen, som tydliggör att personuppgifter får behandlas med stöd av artikel 6.1 e i förordningen, om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning.

Spellagens reglering om personuppgiftsbehandling bör kompletteras En utgångspunkt för den svenska spelregleringen är att de negativa konsekvenserna av spelande ska motverkas och att spelproblematik tas på allvar. Detta är viktigt eftersom konsekvenserna för personer som tappar kontrollen över sitt spelande kan bli allvarliga och orsaka sociala, hälsomässiga och ekonomiska skadeverkningar. Som framgår i avsnitt 2.2 avser omsorgsplikten att skydda spelarnas liv, hälsa och ekonomi samt indirekt även de anhöriga till spelarna. Spelaren ska skyddas mot överdrivet spelande och få hjälp att minska sitt spelande när det finns anledning till det. För att kunna fånga upp spelare som kan antas ha ett riskfyllt spelande ska licenshavaren övervaka spelarnas spelbeteende och göra en individuell riskbedömning. Den individuella riskbedömningen är avgörande för vilken typ av åtgärd som kan anses tillräcklig för att skydda spelaren mot överdrivet spelande (jfr prop. 2017/18:220 s. 184). Det finns således ett viktigt allmänt intresse av att kunna vidta åtgärder för att skydda spelare mot överdrivet spelande. Intresset av att skydda den enskildes hälsa bedöms i detta sammanhang vara större än behovet av skydd för den personliga integriteten. Sådan behandling av personuppgifter som är nödvändig inom ramen för licenshavarnas arbete med omsorgsplikten omfattas emellertid i dagsläget inte av något av de nuvarande tillåt-

na ändamålen som återfinns i 17 kap. 5 § spellagen. Regleringen i denna paragraf bör därför kompletteras så att det framgår att en licenshavare får behandla personuppgifter om det är nödvändigt för att granska och analysera uppgifter från upprättade spelarprofiler och varje spelares spelbeteende för att kunna motverka sådant överdrivet spelande som avses i 14 kap. 1 § spellagen. Regleringen bör även kompletteras så att en licenshavare får behandla sådana uppgifter om hälsa som spelaren själv lämnar till licenshavaren och uppgifter om spelarens ekonomi för att kunna vidta spelansvarsåtgärder och motverka sådant överdrivet spelande som avses i 14 kap. 1 § spellagen. Som framgår ovan utgör detta sådana uppgifter av allmänt intresse som avses i artikel 6 i EU:s dataskyddsförordning och genom kompletteringen av bestämmelserna kommer det att vara fastställt i nationell rätt i enlighet med artikel 6.3 i förordningen. Den aktuella ändamålsbestämmelsen bedöms utgöra en sådan lämplig åtgärd för att säkerställa den registrerades grundläggande rättigheter och intressen som krävs enligt artikel 9 i EU:s dataskyddsförordning, eftersom bestämmelsen även sätter upp gränser för vilken behandling av sådana uppgifter som är tillåten. Till detta kommer att förslaget i sig medför att det blir tydligt på vilket sätt personuppgifter alls får behandlas i licenshavarnas arbete med omsorgsplikten. Utöver detta innehåller spellagen även ett förbud mot att vid behandling av personuppgifter utföra sökningar i syfte att få fram ett urval av personer grundat på sådana personuppgifter som avses i bl.a. artikel 9.1 i förordningen (17 kap. 7 § spellagen).

Identifierade risker med personuppgiftsbehandlingen När uppgifter om ekonomi och hälsa behandlas finns dessa uppgifter tillgängliga för viss personal hos licenshavaren. Det finns därmed en risk att den personal som har tillgång till uppgifterna missbrukar dessa uppgifter eller att de används av licenshavarna på ett otillbörligt sätt, t.ex. i motsatt syfte för att förmå sårbara spelare att spela mer. Det finns också en risk att personuppgifterna sprids på ett felaktigt sätt och exponeras för personal som inte har rätt att ta del av uppgifterna. Tillgången till uppgifterna är emellertid en förutsättning för att licenshavaren ska kunna vidta nödvändiga spelansvarsåtgärder och motverka överdrivet spelande. Tillgången till personuppgifter kommer dock att begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter enligt spellagen (17 kap. 3 § spellagen). Det kommer inte heller att vara tillåtet att utföra sökningar i syfte att få fram ett urval av personer grundat på uppgifter om hälsa (17 kap. 7 § spellagen). En licenshavare ska spara uppgifter så länge som det behövs för att Spelinspektionen ska kunna utöva sin tillsyn enligt spellagen (13 kap. 3 § spelförordningen). Vid Spelinspektionens tillsyn över en licenshavares arbete med omsorgsplikten kan myndigheten få tillgång till uppgifter om en spelares ekonomiska förhållanden och hälsa. Av 17 kap. 4 § spellagen framgår att sådan behandling av personuppgifter är tillåten hos myndigheten. Detta betyder i sin tur att uppgifterna kan begäras ut hos myndigheten med stöd av offentlighetsprincipen. Dessa personuppgifter är emellertid föremål för absolut sekretess, eftersom uppgifterna rör den som har trätt i affärsförbindelse med ett spelbolag (30 kap. 23 § första stycket 2 offentlighets- och sekretesslagen [2009:400] samt 9 § första stycket offentlighets- och sekre-

tessförordningen [2009:641] och punkt 21 i bilagan till samma förordning, jfr Kammarrätten i Jönköpings dom den 4 februari 2014 i mål nr 3311-13). Åtkomsten till sådana uppgifter hos Spelinspektionen begränsas vidare så att det endast är de som behöver dem i sitt arbete som kan ta del av dem. De enda uppgifter om hälsa som licenshavarna behöver, och som därmed ska få behandlas enligt förslaget, är sådana som lämnas av spelaren själv. Detta begränsar integritetsintrånget kraftigt. Den som själv lämnar sådana uppgifter till en licenshavare kan vidare antas förutsätta att uppgifterna ska tas emot och beaktas av licenshavaren.

Personuppgiftsbehandlingen bedöms vara proportionerlig En del av de personuppgifter som omfattas av förslaget behandlas redan av licenshavarna i andra syften. Förslaget innebär att uppgifterna nu kommer att behandlas i ytterligare ett syfte, vilket i första hand kommer att påverka personer som ligger i riskzonen för spelproblem. I den senaste befolkningsundersökningen om spel bedömdes 4,3 procent av befolkningen ha någon risk för spelproblem enligt kategorierna viss risk, förhöjd risk eller spelproblem. De som tillhör den sista kategorin, dvs. spelproblem, uppgår till 0,5 procent (Swedish longitudinal gambling study, Swelogs, 2021). Det är således endast en liten andel av den totala befolkningen som bedöms påverkas av det aktuella förslaget om personuppgiftsbehandling. Det kan, som framgår ovan, i vissa fall röra sig om sådana känsliga personuppgifter som avses i artikel 9 i EU:s dataskyddsförordning. Förslaget syftar dock till att minska de negativa konsekvenserna av spelande. Konsekvenserna för personer som tappar kontrollen över sitt spelande kan bli allvarliga och orsaka sociala, hälsomässiga och ekonomiska skadeverkningar. Omsorgsplikten syftar dessutom till att, utöver att skydda spelarnas liv, hälsa och ekonomi, även skydda de anhöriga till spelarna (prop. 2017/18:220 s. 149 och prop. 2021/22:242 s. 53). Intresset av att skydda den enskildes hälsa bedöms därför i detta sammanhang vara större än behovet av skydd för den personliga integriteten. De personuppgifter som föreslås få behandlas bedöms vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (jfr artikel 5.1 c i EU:s dataskyddsförordning). Som framgår ovan bedöms det vidare i spelregleringen finnas regler som är tillräckliga för att säkerställa att uppgifterna överförs på ett säkert sätt samt för att tillgången till uppgifterna ska kunna begränsas till de personer som behöver uppgifterna för att fullgöra sina arbetsuppgifter (jfr artikel 5.1 f i EU:s dataskyddsförordning). Sammantaget innebär detta att de integritetsrisker som följer av förslaget är begränsade och inte mer omfattande än vad som är nödvändigt för att nå syftet. Förslaget får därmed anses utgöra en proportionerlig inskränkning i integritetsskyddet.

Sammanfattande bedömning I enlighet med vad som ovan anförs föreslås att en licenshavares rätt att enligt 17 kap. 5 § 6 spellagen behandla personuppgifter ska kompletteras så att det framgår att licenshavaren får behandla personuppgifter om det är nödvändigt för att granska och analysera uppgifter från upprättade spelarprofiler och varje spelares spelbeteende för att kunna motverka överdrivet

spelande. Det föreslås även att rätten att behandla personuppgifter ska kompletteras så att en licenshavare får behandla sådana uppgifter om hälsa som spelaren själv lämnar till licenshavaren och uppgifter om spelarens ekonomi för att kunna vidta spelansvarsåtgärder och motverka överdrivet spelande. De föreslagna ändringarna innebär att rätten att behandla personuppgifter fastställs direkt i spellagen och att licenshavarnas personuppgiftsbehandling i dessa avseenden kommer att vara förenlig med EU:s dataskyddsförordning. De integritetsrisker som följer av förslaget bedöms vara begränsade och inte mer omfattande än vad som är nödvändigt för att nå syftet med förslaget, dvs. att minska de negativa konsekvenserna av spelande. Mot denna bakgrund bedöms ändringarna även stå i proportion till det eftersträvade syftet. I spellagen finns vidare bestämmelser som bedöms utgöra lämpliga åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.

4 Ikraftträdande

Förslag: Lagändringarna ska träda i kraft den 1 januari 2024.

Skälen för förslaget: Eftersom de föreslagna ändringarna syftar till att skydda konsumenterna på den svenska spelmarknaden är det angeläget att de kan träda i kraft så snart som möjligt. Mot denna bakgrund och med hänsyn tagen till de återstående stegen i lagstiftningsprocessen bör lagändringarna träda i kraft den 1 januari 2024. Lagändringarna bedöms inte vara sådana att de motiverar särskilda övergångsbestämmelser.

5 Konsekvenser

5.1 Konsekvenser för aktörerna på den svenska spelmarknaden

Syftet med den föreslagna regleringen är att stärka konsumentskyddet på spelområdet genom att förbättra förutsättningarna för licenshavarnas arbete med att förhindra att personer med spelproblem, eller personer som ligger i riskzonen för problemspelande, lockas att spela. Målet för spelpolitiken är en sund och säker spelmarknad under offentlig kontroll som värnar intäkterna till det allmänna och som ger goda förutsättningar för allmännyttig ideell verksamhet att erhålla finansiering genom intäkter från spel. De negativa konsekvenserna av spelande ska minskas och det ska råda hög säkerhet i spelen. Spel om pengar ska omfattas av ett starkt konsumentskydd och inte kunna missbrukas för kriminell verksamhet (prop. 2018/19:1, bet. 2018/19:KrU1, rskr. 2018/19:94). Förslaget bedöms kunna öka konsumentskyddet, samtidigt som det minskar risken för

att spelproblem uppstår. Förslaget bedöms inte stå i strid med någon del av det spelpolitiska målet. Förslaget berör de företag som har licens enligt spellagen. För närvarande har 58 aktörer licens för kommersiellt onlinespel och 45 aktörer licens för vadhållning. Förslaget innebär endast utökade möjligheter att behandla personuppgifter och medför inte några nya uppgifter för licenshavarna. Förslaget bedöms inte påverka konkurrensförhållandena på den svenska marknaden, t.ex. mellan licenshavare av olika storlek, eller innebära några administrativa kostnader av betydelse. Ingen licenshavare bedöms på grund av det aktuella förslaget behöva omvärdera sitt deltagande i marknaden. Förslaget bedöms inte heller medföra något behov av särskilda informationsinsatser. Om inte de föreslagna ändringarna görs kommer licenshavarna inte heller fortsättningsvis ha rätt att behandla personuppgifter om spelares ekonomi och hälsa inom ramen för sitt arbete med omsorgsplikten. Att licenshavarna inte har en sådan rätt försvårar deras arbete med att minska risken för spelproblem. Detta skulle inte överensstämma med det spelpolitiska målet.

5.2 Konsekvenser för staten

Spelinspektionen har tillsynsansvaret över att spellagen följs. Förslaget bedöms inte medföra några nya uppgifter för myndigheten eller några direkta ekonomiska konsekvenser för myndigheten. Förslaget bedöms inte heller påverka det allmänna i övrigt.

5.3 Övriga konsekvenser

Förslaget bedöms inte medföra några andra konsekvenser än vad som angetts i avsnitt 5.1 och 5.2. Förslaget bedöms således exempelvis inte ha någon betydelse för den kommunala självstyrelsen, brottsligheten eller det brottsförebyggande arbetet, för den offentliga servicen i olika delar av landet eller för möjligheten att nå de integrationspolitiska målen. Förslaget bedöms inte heller medföra några effekter för sysselsättningen, miljön eller samhället i övrigt. Andelen med problemspelande är högre för män än för kvinnor (Swelogs 2021). Förslaget kan därför antas beröra män i högre grad än kvinnor. Förslaget bedöms dock inte påverka jämställdheten mellan kvinnor och män.

5.4 Förslaget är förenligt med EU-rätten och behöver inte anmälas till Europeiska kommissionen

Förslag till tekniska föreskrifter ska enligt Europaparlamentets och rådets direktiv (EU) 2015/1535 av den 9 september 2015 om ett informationsförfarande beträffande tekniska föreskrifter och beträffande föreskrifter för 14 informationssamhällets tjänster (anmälningsdirektivet) anmälas till Euro-

peiska kommissionen. Tekniska föreskrifter är enligt artikel 1.1 (f) i anmälningsdirektivet bl.a. krav på varors egenskaper eller provning, begränsningar av varuanvändning, bestämmelser om återvinning av varor samt vissa förbudsbestämmelser. Tekniska föreskrifter kan även vara regler för etablering av e-tjänsteleverantörer eller leverans av e-tjänster. Det aktuella förslaget innebär endast att det i spellagen införs ändamålsbestämmelser för licenshavares möjligheter att behandla personuppgifter inom ramen för det sedan tidigare lagstadgade arbetet med att vidta spelansvarsåtgärder och motverka överdrivet spelande. Förslaget medför således inte några krav på produkter och informationssamhällets tjänster. Någon anmälningsplikt enligt anmälningsdirektivet bedöms därför inte aktualiseras. Av artikel 2.2 (h) i Europaparlamentets och rådets direktiv 2006/123/EG av den 12 december 2006 om tjänster på den inre marknaden (det s.k. tjänstedirektivet) omfattas tjänster på spelområdet inte av direktivets tillämpningsområde. Mot denna bakgrund bedöms det aktuella förslaget inte behöva anmälas till Europeiska kommissionen. Av avsnitt 3 framgår att förslaget bedöms vara förenligt med EU:s dataskyddsförordning. Även i övrigt bedöms förslaget vara förenligt med det EU-rättsliga regelverket.

6 Författningskommentar

Förslaget till lag om ändring i spellagen (2018:1138)

17 kap.

5 § En licenshavare får behandla personuppgifter om det är nödvändigt för att enligt denna lag och föreskrifter som har meddelats i anslutning till lagen 1. kontrollera spelarens identitet och ålder, 2. upprätta spelkonton och fullgöra licenshavarens skyldigheter gentemot spelaren i fråga om spelkonton, 3. kontrollera att spelaren följer de villkor och regler som gäller för varje spel, 4. granska spelet i syfte att upptäcka fusk, bedrägeri och annan brottslig verksamhet, 5. kontrollera och rapportera avvikande spelmönster och misstankar om manipulation av resultat inom sport med avseende på vadhållning, 6. granska och analysera uppgifter från upprättade spelarprofiler och varje spelares spelbeteende , sådana uppgifter om hälsa som spelaren själv lämnar till licenshavaren och uppgifter om spelarens ekonomi för att kunna vidta spelansvarsåtgärder och motverka sådant överdrivet spelande som avses i 14 kap. 1 § , 7. genomföra självavstängning av spelare samt hantera uppgifter från spelmyndigheten avseende det nationella självavstängningsregistret, och 8. kontrollera och rapportera om spelaren deltagit i vadhållning i strid med idrottens regelverk om matchfixning.

I paragrafen anges särskilda ändamål för vilka en licenshavare får behandla personuppgifter enligt spellagen. Övervägandena finns i avsnitt 3. Ändringarna i sjätte punkten kompletterar den nuvarande rätten för licenshavare att behandla personuppgifter för att granska och analysera uppgifter från upprättade spelarprofiler och varje spelares spelbeteende för att 15

kunna vidta spelansvarsåtgärder (prop. 2017/18:220 s. 184 och 334). För det första innebär ändringarna att licenshavare även får behandla sådana uppgifter för att kunna motverka sådant överdrivet spelande som avses i 14 kap. 1 § (samma prop. s. 322). För det andra innebär ändringarna att licenshavare får behandla personuppgifter om det är nödvändigt för att enligt spellagen och föreskrifter som har meddelats i anslutning till lagen granska och analysera dels sådana uppgifter om hälsa som spelaren själv lämnar till licenshavaren, dels uppgifter om spelarens ekonomi. Sådan behandling ska syfta till att kunna vidta spelansvarsåtgärder och motverka överdrivet spelande. Uppgifter om hälsa som spelaren själv lämnar till licenshavaren kan bestå av uppgifter som tyder på att spelaren har problem med sitt spelande eller uppgifter om spelarens hälsotillstånd i övrigt, t.ex. att spelaren befinner sig i ett sådant tillstånd som medför en förhöjd risk för spelproblem. Tillstånd som medför en förhöjd risk för spelproblem kan vara t.ex. psykisk ohälsa, social isolering, beroende av alkohol eller narkotika, impulsivitet eller suicidtankar. Uppgifter om spelarens ekonomi kan t.ex. utgöras av inhämtade uppgifter om spelarens inkomst, uppgifter som kommer fram inom ramen för licenshavarens arbete med att motverka penningtvätt och finansiering av terrorism eller uppgifter om att spelaren lånat pengar för att spela eller inte har råd att betala mat och hyra. Sådana uppgifter kan komma från spelaren själv, men även från exempelvis andra berörda myndigheter som arbetar med att motverka penningtvätt och finansiering av terrorism. Kravet på att det ska vara nödvändigt att behandla personuppgifterna innebär att endast sådana uppgifter som behövs för ändamålet får behandlas. I syfte att minska den interna exponeringen av personuppgifter ska tillgången till dessa enligt 3 § begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter enligt lagen (se prop. 2017/18:220 s. 332 och 333). Enligt 7 § är det inte heller tillåtet att utföra sökningar i syfte att få fram ett urval av personer grundat på uppgifter om hälsa.