SOU 2002:18
Personlig integritet i arbetslivet
Till statsrådet Mona Sahlin
Genom beslut den 23 september 1999 bemyndigade regeringen statsrådet Mona Sahlin att tillkalla en särskild utredare med uppgift att se över behovet av lagstiftning eller andra åtgärder för att stärka skyddet av den enskildes personliga integritet i arbetslivet.
Den 20 december 1999 förordnades f.d. kammarrättspresidenten Reidunn Laurén att vara särskild utredare.
Till sakkunniga förordnades fr.o.m. den 5 april 2000 kanslirådet Bo Barrefelt, datarådet Marie Bjernelius Lundahl, f.d. generaldirektören Jan Freese, hovrättsassessorn Tore Gissin (t.o.m. den 9 maj 2000), professorn Peter Seipel (t.o.m. den 26 september 2000), generaldirektören Lena Svenaeus och chefsjuristen Sören Öman, fr.o.m. den 10 maj 2000 hovrättsassessorn Susanne Kjaersgaard Olsson och överläkaren Leif Aringer samt fr.o.m. den 27 september 2000 numera professorn Cecilia Magnusson Sjöberg. Till expert förordnades fr.o.m. den 10 maj 2000 IT-specialisten Ragnar Lönn.
Som sekreterare förordnades fr.o.m. den 14 mars 2000 hovrättsassessorn Monica Nebelius och fr.o.m. den 15 mars 2000 hovrättsassessorn Mats Persson.
En referensgrupp med företrädare för arbetsmarknadens parter har knutits till utredningen.
Utredningen har antagit namnet Integritetsutredningen. Utredningen överlämnar härmed betänkandet (SOU 2002:18) Personlig integritet i arbetslivet. Uppdraget är därmed slutfört. I arbetet har samtliga sakkunniga och experten deltagit. Sören Öman har dessutom i betydande utsträckning bistått utredningen med såväl tänkbara förslag som faktagranskning av materialet.
Till betänkandet fogas ett särskilt yttrande.
Stockholm i mars 2002
Reidunn Laurén
/Monica Nebelius Mats Persson
5
Innehåll
Sammanfattning ................................................................15
Summary ..........................................................................25
Förkortningar .....................................................................35
Författningsförslag .............................................................37
Förslag till Lag om skydd för personlig integritet i arbetslivet ......37
1 Utredningsuppdraget och dess genomförande................43
2 Bakgrund .................................................................49
2.1 Integriteten i ett förändrat arbetsliv........................................49 2.2 Behovet av en särskild integritetsskyddande lag i arbetslivet ................................................................................52 2.2.1 Bakgrund ..................................................................52 2.2.2 Nuvarande rättsliga skydd för den personliga integriteten ...............................................................53 2.2.3 Finns det behov av en integritetsskyddande lag i arbetslivet?........................................................56
3 Lagens syfte...............................................................59
3.1 Bakgrund ................................................................................59
3.2 Överväganden och förslag .......................................................60 3.3 Förhållandet till dataskyddsdirektivet ....................................62
Innehåll SOU 2002:18
6
4 Lagens tillämpningsområde .........................................65
4.1 Överväganden och förslag....................................................... 65
4.2 Förhållandet till andra författningar....................................... 66 4.2.1 Förhållandet till PUL ........................................... 66 4.2.1.1 Allmänt.................................................................. 66 4.2.1.2 Relevans-, finalitets- och proportionalitetsprinciperna................................ 67 4.2.2 Förhållandet till tryck- och yttrandefriheten samt till offentlighetsprincipen............................ 70 4.2.3 Förhållandet till andra författningar m.m. .......... 71 4.3 Vissa begrepp som används i LIA........................................... 72 4.3.1 Behandling............................................................. 72 4.3.2 Personuppgift/dokumenterad personuppgift..... 73 4.3.3 Samtycke ............................................................... 73 4.3.4 Arbetsgivare, arbetstagare och arbetssökande.... 74 4.4 Ett förstärkt integritetsskydd för arbetssökande........................................................ 75 4.4.1 Allmänt.................................................................. 75 4.4.2 Ett förbud mot muntliga frågor?......................... 75
4.5 Offentliganställda och privatanställda.................................... 76
5 Arbetstagarnas användning av informationsteknik...........81
5.1 Inledning ............................................................................... 81
5.2 Privata elektroniska uppgifter och loggning.......................... 82 5.3 Tekniska utgångspunkter........................................................ 83 5.3.1 Från stordatorer till integrerade informations- och kommunikationssystem........ 83 5.3.2 Några viktigare begrepp och funktioner............. 85 5.3.2.1 Persondatorer........................................................ 85 5.3.2.2 Lokala nätverk....................................................... 86 5.3.2.3 Fjärrnätverk........................................................... 87 5.3.2.4 Internet.................................................................. 87 5.3.2.5 Filserver................................................................. 88 5.3.2.6 Brandvägg.............................................................. 89 5.3.2.7 Proxyserver ........................................................... 89 5.3.2.8 E-postserver .......................................................... 89
Innehåll
7
5.3.2.9 Behörighetskontroller...........................................90 5.3.2.10 Systemadministratör .............................................91 5.3.2.11 Säkerhetskopiering................................................91 5.3.2.12 Telefoni ..................................................................91 5.3.2.13 Passerkontroller.....................................................92 5.3.2.14 Lokaliseringsuppgifter ..........................................92 5.3.2.15 Särskilt om loggning..............................................93 5.3.2.16 Filtrering ................................................................94 5.3.3 Sammanfattande kommentarer.............................95 5.4 Arbetstagares privata elektroniska uppgifter..........................96 5.4.1 Inledning................................................................96 5.4.1.1 Förutsättningar för en arbetstagares rätt att använda arbetsgivarens IT-verktyg för privata ändamål......................................................97 5.4.1.2 Förutsättningar för arbetsgivarens rätt att kontrollera en arbetstagares privata elektroniska uppgifter ...........................................99 5.4.1.3 Särskilda förutsättningar i offentlig verksamhet...........................................................100 5.4.1.4 Utredningens definition av privata elektroniska uppgifter .........................................101 5.4.1.5 Föremålet för integritetsskyddet .......................102 5.4.2 Den rättsliga regleringen.....................................103 5.4.2.1 Arbetsgivarens arbetsledningsrätt......................104 5.4.2.2 Europakonventionen...........................................106 5.4.2.3 Regeringsformen 2 kap. 6 § ................................107 5.4.2.4 Inskränkningar i enskildas skydd enligt RF ......109 5.4.2.5 Straffrättsliga bestämmelser................................110 5.4.2.6 PUL......................................................................115 5.4.2.7 Offentlighetsprincipen........................................120 5.4.2.8 God offentlighetsstruktur ..................................121 5.4.2.9 Meddelar- och anskaffarfrihet enligt tryckfrihetsförordningen m.m. ..........................122 5.4.2.10 Sammanfattning av det rättsliga skyddet ...........123 5.4.3 Behovet av ytterligare reglering..........................123 5.4.4 Överväganden och förslag ..................................124 5.4.4.1 Förbud för arbetsgivare att ta del av arbetstagares privata elektroniska uppgifter......125 5.4.4.2 Endast avsiktliga intrång omfattas .....................126 5.4.4.3 Rutiner för att undvika oavsiktliga intrång........126
Innehåll SOU 2002:18
8
5.4.4.4 Samtycke ............................................................. 127 5.4.4.5 Undantag om det är nödvändigt för arbetsgivarens verksamhet ................................. 128 5.4.4.6 Nödvändighetskravet ......................................... 128 5.4.4.7 Vid fara för informationssäkerheten ................. 129 5.4.4.8 Vid skälig misstanke om brott ........................... 129 5.4.4.9 Vid skälig misstanke om illojalitet..................... 130 5.4.5 Förhållandet till andra författningar.................. 131 5.4.5.1 Regeringsformen och Europakonventionen..... 131 5.4.5.2 Tryckfrihetsförordningen och
yttrandefrihetsgrundlagen.................................. 132
5.4.5.3 Brottsbalken........................................................ 132 5.4.5.4 PUL ..................................................................... 133 5.4.6 Förhållandet till dataskyddsdirektivet............... 133 5.5 Loggning ................................................................................ 134 5.5.1 Den rättsliga regleringen.................................... 135 5.5.1.1 Arbetsgivarens arbetsledningsrätt ..................... 135 5.5.1.2 PUL ..................................................................... 135 5.5.1.3 Arbetarskyddsstyrelsens föreskrifter om arbete vid bildskärm ........................................... 139 5.5.2 Behovet av ytterligare rättslig reglering ............ 140 5.5.2.1 Arbetstagares intresse av integritetsskydd........ 141 5.5.2.2 Arbetsgivarens intresse av att logga arbetstagares aktiviteter...................................... 142 5.5.3 Överväganden och förslag.................................. 143
6 Personuppgifter om hälsa och droganvändning.............147
6.1 Inledning ................................................................................ 147 6.1.1 Vad avses med personuppgifter om hälsa och personuppgifter om droganvändning? .............. 149 6.2 Medicinska utgångspunkter .................................................. 150 6.2.1 Hälsoundersökningar av medicinska skäl och säkerhetsskäl ....................................................... 150 6.2.2 Narkotikatester................................................... 151 6.2.3 Alkoholtester ...................................................... 152 6.2.4 Dopningstester ................................................... 154 6.2.5 SWEDAC:s kvalitetssäkringssystem................. 154 6.2.6 Betänkandet om Medicinska undersökningar i arbetslivet .......................................................... 156
Innehåll
9
6.3 Den rättsliga regleringen........................................................158 6.3.1 Regler för arbetsgivarens behandling av personuppgifter om hälsa eller droganvändning...................................................158 6.3.1.1 PUL......................................................................158 6.3.2 Arbetstagarens skyldighet att genomgå hälsoundersökningar och drogkontroll .............162 6.3.2.1 Europakonventionen...........................................162 6.3.2.2 Regeringsformen .................................................163 6.3.2.3 LOA .....................................................................164 6.3.2.4 Anställningsförordningen...................................166 6.3.2.5 Lagen om fullmaktsanställning...........................166 6.3.2.6 Arbetsmiljölagen .................................................167 6.3.2.7 Lagstiftning inom vissa yrkesområden med speciella riskförhållanden....................................168 6.3.3 ALNA ..................................................................168 6.3.4 ILO:s riktlinjer ....................................................168 6.3.5 Europarådets rekommendation om skydd för personuppgifter som används för anställningsändamål.............................................169 6.3.6 Praxis....................................................................169 6.3.7 Arbetsgivarens arbetsledningsrätt......................174
6.4 Behovet av ett utökat rättsligt integritetsskydd i arbetslivet................................................................................176 6.4.1 Avvägningen mellan arbetsgivarens och arbetstagarens intressen ......................................177 6.4.1.1 Arbetstagarens rätt till integritet vid behandling av personuppgifter om hälsa eller droganvändning...................................................177 6.4.1.2 Arbetsgivarens intressen av att kontrollera och övervaka ........................................................178 6.4.1.3 Balansen mellan arbetstagarens och arbetsgivarens intressen ......................................179 6.5 Överväganden och förslag .....................................................182 6.5.1 Inledning..............................................................182 6.5.2 Behandling av personuppgifter om hälsa eller droganvändning...................................................184 6.5.2.1 Nödvändighetskravet..........................................185
Innehåll SOU 2002:18
10
6.5.2.2 Bedömning av om arbetstagaren eller arbetssökanden är lämpad för att utföra arbetsuppgifterna i arbetsgivarens verksamhet. ......................................................... 186 6.5.2.3 Arbetstagarens förmåner.................................... 187 6.5.3 Förhållandet till PUL och dataskyddsdirektivet m.m. ................................. 187 6.5.4 Hälsoundersökningar och drogtester................ 188 6.5.4.1 Inledning ............................................................. 188 6.5.4.2 Arbetstagarens skyldighet att underkasta sig hälsoundersökningar och drogtester................. 189 6.5.4.3 Genomförandet av hälsoundersökningar.......... 195 6.5.4.4 Genomförandet av drogtester .............................. 196
7 Personlighetstester....................................................199
7.1 Inledning ................................................................................ 199 7.2 Överväganden och förslag..................................................... 201
8 Personuppgifter om lagöverträdelser ...........................203
8.1 Den rättsliga regleringen....................................................... 203 8.1.1 Dataskyddsdirektivet.......................................... 203 8.1.2 PUL ..................................................................... 204 8.1.3 Belastningsregisterförfattningarna .................... 205 8.1.4 Säkerhetsskyddsförfattningarna ........................ 206 8.1.5 Sekretesslagen ..................................................... 206 8.1.6 Lagen om registerkontroll av personal inom förskoleverksamhet, skola och barnomsorg ..... 207 8.1.7 ILO:s riktlinjer ................................................... 208 8.2 Överväganden och förslag..................................................... 209 8.2.1 Intresseavvägningen mellan arbetsgivare och arbetstagare ......................................................... 210 8.2.2 Nödvändighetskravet ......................................... 210 8.2.3 Säkerhetsaspekter ............................................... 211 8.2.4 Registerkontroll.................................................. 213 8.3 Förhållandet till PUL och dataskyddsdirektivet ................. 215
Innehåll
11
9 Sättet för inhämtande av uppgifter .............................217
9.1 Överväganden och förslag .....................................................217
10 Förvaring av personuppgifter......................................221
10.1 Överväganden och förslag .....................................................221
11 Informationsskyldighet och rättelse ............................223
11.1 Informationsskyldighet .........................................................223 11.1.1 PUL......................................................................223 11.2 Rättelse ..............................................................................224 11.2.1 PUL......................................................................224 11.3 Överväganden och förslag .....................................................226
12 Tystnadsplikt ...........................................................229
12.1 Den rättsliga regleringen........................................................229 12.1.1 PUL......................................................................229 12.1.2 Sekretesslagen m.m. ............................................230 12.1.3 Arbetsmiljölagen .................................................232 12.2 Överväganden och förslag .....................................................232
13 Det fackliga inflytandet .............................................237
13.1 Överväganden.........................................................................237 13.1.1 Inledning..............................................................237 13.1.2 En tvingande lag som inte kan frångås genom avtal ......................................................................238 13.2 Förslag ..............................................................................240 13.2.1 Arbetsgivares förhandlingsskyldighet................240 13.2.2 Rättegången i tvister............................................241 13.2.3 Sammanfattning...................................................242
14 Tillsyn 243
14.1 Inledning ..............................................................................243 14.1.1 Datainspektionen ................................................243
Innehåll SOU 2002:18
12
14.1.2 Arbetsmiljöverket............................................... 244 14.1.3 Arbetstagarorganisationerna.............................. 244 14.2 Överväganden och förslag..................................................... 245
15 Sanktioner 247
15.1 Skadestånd ............................................................................. 247 15.1.1 Den rättsliga regleringen.................................... 247 15.1.1.1 Skadeståndslagen ................................................ 247 15.1.1.2 PUL ..................................................................... 249 15.1.2 Överväganden och förslag.................................. 249 15.1.3 Förhållandet till andra bestämmelser ................ 251 15.1.3.1 Skadeståndslagen ................................................ 251 15.1.3.2 PUL ..................................................................... 251 15.2 Straff ............................................................................. 252 15.2.1 Den rättsliga regleringen.................................... 252 15.2.1.1 PUL ..................................................................... 252 15.2.2 Behovet av ytterligare reglering......................... 252 15.2.3 Överväganden och förslag.................................. 254 15.2.4 Förhållandet till PUL ......................................... 254
16 Konsekvenser av förslagen .........................................255
16.1 Inledning ............................................................................. 255 16.2 Ekonomiska konsekvenser.................................................... 255
16.3 Övriga konsekvenser ............................................................. 256
17 Författningskommentar..............................................257
Förslag till lag om skydd för personlig integritet i arbetslivet..... 257
Särskilt yttrande...............................................................269
Bilagor:
Bilaga 1 Kommittédirektiv................................................275
Bilaga 2 Personuppgiftslagen ...........................................283
Innehåll
13
Bilaga 3 ILO:s riktlinjer ...................................................325
Bilaga 4 Viss utländsk rätt ...............................................331
15
Sammanfattning
De senaste årens snabba utveckling på såväl informationsteknikens som medicinens område har medfört dramatiskt ökade möjligheter för arbetsgivare att på olika sätt kontrollera arbetstagare. Riskerna för intrång i arbetstagarnas personliga integritet har därmed blivit avsevärt större. Detta har också föranlett de fackliga organisationerna att efterlysa ett förstärkt skydd för den personliga integriteten för arbetstagare och arbetssökande.
Vid genomgången av gällande rätt har konstaterats att det inte finns någon samlad reglering till skydd för den personliga integriteten i arbetslivet. Inte heller finns det någon lagstiftning i detta avseende som har utformats med hänsyn till den tekniska och medicinska utvecklingen.
Utredningen har i enlighet med sina direktiv inriktat arbetet framför allt på frågor kring risker för kränkningar av arbetstagarnas personliga integritet i samband med dels användningen av informationsteknik i arbetslivet, dels arbetsgivarens kontroller av arbetstagarnas hälsa eller droganvändning. Dessutom har utredningen tagit upp andra situationer där arbetstagarnas personliga integritet kan anses allvarligt hotad. Behovet av skydd för arbetssökande har särskilt uppmärksammats och i utredningens arbete har såväl arbetssökande som tidigare arbetstagare i förekommande fall jämställts med arbetstagare.
Enligt vad utredningen funnit saknas det ett godtagbart, rättsligt bindande skydd för arbetstagares personliga integritet. Såväl internationellt som nationellt råder det dock bred enighet om att respekten för enskildas privatliv och skyddet för den personliga integriteten är en mänsklig rättighet som staten har en skyldighet att garantera. En sådan garanti kan bara ställas ut genom lagstiftning.
Utredningen föreslår därför en lag om skydd för personlig integritet i arbetslivet (LIA).
Sammanfattning SOU 2002:18
16
Förslaget till lag om skydd för personlig integritet i arbetslivet
Utredningen skall enligt direktiven se över behovet av lagstiftning eller andra åtgärder för att stärka skyddet av den enskildes personliga integritet i arbetslivet. De situationer som ingår i översynen utgörs av kontroller och andra åtgärder, varigenom arbetsgivaren avser att skaffa sig information i olika avseenden om arbetstagare eller arbetssökande. Risker för intrång i den personliga integriteten uppkommer då i samband med att uppgifter om enskilda samlas in eller behandlas på annat sätt. Utredningen har därför inriktat sitt arbete på att försöka begränsa arbetsgivarens rätt att behandla personuppgifter i de situationer där den personliga integriteten kan anses allvarligt hotad.
Personuppgiftslagen (PUL), som gäller all behandling som sker automatiserat eller i registerform, är den lag som för närvarande ger det bästa integritetsskyddet vid behandling av personuppgifter. Utredningen har funnit att det är naturligt och i praktiken även ofrånkomligt att LIA tar sin utgångspunkt i PUL.
Genom PUL har det s.k. dataskyddsdirektivet1 införts i svensk lagstiftning. Att LIA nu tar sin utgångspunkt i PUL medför därför bl.a. att de grundläggande principer om relevans och finalitet, som varit styrande för utformningen av dataskyddsdirektivet och PUL, kommer att gälla även för LIA.
Dessa principer, som alltså genomsyrar hela lagförslaget, innebär i korthet – att de personuppgifter som samlas in måste vara adekvata och relevanta i förhållande till ändamålen med behandlingen, – att ändamålen måste vara särskilda, uttryckligt angivna och berättigade, och – att personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlats in.
I förhållande till PUL är LIA en speciallag, vilket innebär att bestämmelserna i LIA i förekommande fall tar över vad som föreskrivs i PUL. LIA begränsas dock inte till att utveckla och precisera de regler av särskilt intresse för arbetslivet som finns i PUL utan lagförslaget har ett något bredare anslag.
Vid arbetsgivarens behandling av arbetstagares personuppgifter finns det risker för integritetskränkningar även om behandlingen
1 Europaparlamentets och rådets direktiv 95/46/EG om skydd för enskilda personer med avseende på behandlingen av personuppgifter och om det fria flödet av sådana uppgifter.
SOU 2002:18 Sammanfattning
17
sker helt manuellt. Utredningen föreslår därför att LIA skall tillämpas även vid helt manuell behandling av personuppgifter. Det innebär att behandling av alla dokumenterade personuppgifter, alltså även skriftliga anteckningar på lösa papperslappar, omfattas.
LIA omfattar även sättet för genomförande av olika åtgärder som kan innebära kränkningar av den personliga integriteten. Det föreslås t.ex. att personuppgifter i första hand skall inhämtas från arbetstagaren själv. Bara om detta inte är möjligt får arbetsgivaren efter samtycke från arbetstagaren inhämta uppgifter från någon annan källa. Vidare anges hur hälsoundersökningar, drogtester och personlighetstester skall genomföras för att så långt som möjligt skydda arbetstagarnas personliga integritet.
LIA föreslås gälla för både den offentliga och den privata sektorn av arbetsmarknaden och lagförslaget syftar till att stärka inte bara arbetstagarnas integritetsskydd utan även skyddet för arbetssökande och tidigare arbetstagare.2
Omfattningen av det skydd som LIA erbjuder för den personliga integriteten i arbetslivet framgår genom kombinationen av de olika bestämmelser som utredningen föreslår.
Användningen av informationsteknik i arbetslivet
Den ökade användningen av informationsteknik i arbetslivet har medfört större risker än tidigare för intrång i arbetstagarnas personliga integritet och riskerna har även fått en något annan karaktär än tidigare. Den tekniska utrustningen i dag ger arbetsgivaren stora möjligheter till kontroller och dessa kan även lätt utföras utan att den arbetstagare som blir kontrollerad vet om det.
Användningen av informationsteknik orsakar risker för arbetstagarnas personliga integritet framför allt i två typsituationer. Den ena, som också fått stor uppmärksamhet bl.a. i massmedia, rör frågan om vilken rätt en arbetsgivare har att ta del av privat e-post eller andra privata uppgifter som finns elektroniskt tillgängliga. Den andra situationen rör arbetsgivarens användning av loggningsfunktioner som automatiserat samlar in uppgifter om arbetstagarnas beteenden och aktiviteter.
2 Med arbetstagare avses i det följande i förekommande fall även arbetssökande och tidigare arbetstagare.
Sammanfattning SOU 2002:18
18
Privat e-post och andra elektroniska uppgifter
Utredningen konstaterar inledningsvis att arbetsgivaren har rätt att bestämma över användningen av sin tekniska utrustning. Det är alltså arbetsgivaren som avgör om och i vilken utsträckning som en arbetstagare får använda utrustningen för privat bruk. Riktlinjer och policies för privat användning av e-post och Internet finns numera på de flesta större företag och myndigheter och torde i regel medge de anställda att i begränsad omfattning använda arbetsgivarens dator för privat bruk. På arbetsmarknaden i övrigt förefaller dock frågan om privat användning av e-post och Internet i stor utsträckning ha lämnats oreglerad.
En arbetstagares privata användning av arbetsgivarens dator medför att privata elektroniska uppgifter kan komma att lagras hos arbetsgivaren. Uppgifterna finns som regel i form av skickade och mottagna e-postmeddelanden men också i form av andra typer av filer, t.ex. text- eller bildfiler. Utredningens genomgång av gällande rätt visar att arbetsgivaren har stora möjligheter att göra kontroller som innebär att arbetsgivaren tar del av sådana uppgifter. Enligt vedertagen praxis i arbetslivet får kontrollerna dock inte strida mot lag, god sed eller annars vara otillbörliga. Eftersom en åtgärd som innebär att arbetsgivaren tar del av privata elektroniska uppgifter utgör en behandling av personuppgifter enligt PUL måste även den lagens bestämmelser följas.
LIA innehåller en bestämmelse som avser att precisera och begränsa arbetsgivarens rätt att ta del av sådana privata elektroniska uppgifter. Att tillförsäkra arbetstagarna ett absolut integritetsskydd för privat e-post eller andra privata elektroniska uppgifter genom en generell lagstiftning för hela arbetslivet har däremot visat sig ogörligt. En sådan reglering skulle medföra alltför stora negativa och svåröverskådliga konsekvenser för arbetsgivarna och därmed för hela samhället.
I LIA föreslås som en utgångspunkt ett förbud för arbetsgivaren att ta del av en arbetstagares privata e-post eller andra privata elektroniska uppgifter. För att arbetsgivaren skall kunna använda sina IT-verktyg på ett rationellt sätt gäller förbudet bara avsiktliga intrång, dvs. arbetsgivaren måste vara medveten om att uppgifterna är arbetstagarens privata. En arbetstagare skall också kunna samtycka till att arbetsgivaren tar del av sådana uppgifter. Vidare föreslås undantag från förbudet när det är nödvändigt för
SOU 2002:18 Sammanfattning
19
arbetsgivarens verksamhet att arbetsgivaren tar del av privata elektroniska uppgifter. Vilka dessa situationer är har inte uttryckligen angetts, däremot har de exemplifierats på ett sätt som förutsätter en restriktiv tillämpning av möjligheten till undantag från förbudet. Som exempel anges att det särskilt skall beaktas om det finns fara för informationssäkerheten eller om det finns skälig misstanke att arbetstagaren har gjort sig skyldig till brott vid användningen av arbetsgivarens utrustning eller till sådant illojalt beteende som kan utgöra saklig grund för uppsägning eller föranleda skadeståndsskyldighet.
Den föreslagna bestämmelsen gäller oavsett om arbetstagaren har haft arbetsgivarens tillstånd att använda arbetsgivarens dator för privat e-post eller andra privata elektroniska uppgifter.
Loggning
Vid praktiskt taget all användning av informationsteknik sker loggning av de aktiviteter som förekommer vid användningen. De s.k. elektroniska spår som samlas in på detta sätt kan ofta knytas till en enskild individ och innehåller då information om den enskildes åtgärder och beteenden i olika avseenden. Uppgifterna kan gälla relativt harmlösa förhållanden, t.ex. den tidpunkt när en arbetstagare loggade in sin PC mot nätverket. Med mer avancerad teknik kan dock arbetsgivaren registrera en arbetstagares samtliga åtgärder vid användning av vissa IT-verktyg, vilket förekommer bl.a. vid prestationsmätning i teletjänstverksamhet. Vidare kan med användning av s.k. GPS-teknik registreras en arbetstagares fysiska vistelseort, vilket förekommer t.ex. i transportbranschen. En arbetsgivare har således relativt omfattande möjligheter att använda loggning för att kontrollera arbetstagare. Möjligheterna begränsas dock genom att kontrollerna inte får strida mot lag, god sed eller annars vara otillbörliga.
Sådan loggning som innebär att insamlade uppgifter kan knytas till vissa enskilda arbetstagare utgör behandling av personuppgifter enligt PUL. Vid bedömningen av det integritetsskydd som PUL erbjuder har utredningen funnit att den lagen får anses ge ett tillfredsställande skydd för arbetstagares personliga integritet vid loggning. Den omständigheten, tillsammans med det förhållandet att loggning som företeelse knappast går att reglera i en generell bestämmelse, har medfört att utredningen avstår från att föreslå någon bestämmelse som materiellt reglerar loggning. Däremot
Sammanfattning SOU 2002:18
20
finns det anledning att lyfta fram och tydliggöra det integritetsskydd som PUL innebär. Utredningen föreslår därför att det i LIA tas in en hänvisning till PUL:s bestämmelser.
Personuppgifter om hälsa eller droganvändning
Personuppgifter om hälsa eller droganvändning är känsliga uppgifter och det krävs därför att sådana uppgifter behandlas med stor restriktivitet. Av utredningens genomgång av gällande rätt framgår att det inte finns något heltäckande godtagbart integritetsskydd för arbetstagare i detta avseende.
Med hänsyn till uppgifternas känsliga natur föreslår utredningen som huvudregel ett förbud för arbetsgivaren att behandla personuppgifter om arbetstagares hälsa eller droganvändning. Regeln ger inte något utrymme för samtycke av arbetstagaren. Undantag föreslås dock om det är nödvändigt att arbetsgivaren får behandla personuppgifter om en arbetstagares hälsa eller droganvändning för att bedöma om arbetstagaren är lämpad för att utföra arbetsuppgifter i arbetsgivarens verksamhet.
Undantaget är avsett att tillämpas när det är nödvändigt för säkerheten för arbetstagaren själv, andra anställda, verksamheten eller allmänheten. Men även i andra fall när det bedöms nödvändigt för att bedöma om arbetstagaren är lämpad för att utföra arbetsuppgifter, t.ex. vid alkohol- eller droganvändning som inverkar påtagligt negativt på arbetstagarens arbetsförmåga eller på arbetsmiljön för övriga anställda. Arbetsgivaren får också behandla personuppgifter om en arbetstagares hälsotillstånd för att kunna bedöma om arbetstagaren har de fysiska förutsättningar, exempelvis beträffande syn eller hörsel, som krävs för arbetsuppgifterna.
Vidare får undantag från förbudet även göras för att arbetsgivaren skall kunna bedöma en arbetstagares rätt till sådana förmåner som inte följer av lag, under förutsättning att arbetstagaren själv har begärt detta.
Genomförandet av hälsoundersökningar och drogtester
LIA innehåller bestämmelser som avser att garantera arbetstagarna att hälsoundersökningar och drogtester utförs med tillförlitliga metoder. Hälsoundersökningar och drogtester får sålunda enligt LIA bara utföras av personal inom hälso- och sjukvården eller under överinseende av sådan personal.
SOU 2002:18 Sammanfattning
21
Beträffande drogtester ställs det dessutom krav på att prov skall analyseras av ett laboratorium som är ackrediterat enligt lagen om teknisk kontroll. Detta gäller alla slags prov som kan ligga till grund för en analys av droganvändning, med undantag för utandningsprov. För att minska risken för att falska positiva resultat godtas som slutresultat föreslår utredningen vidare att prov som visar positivt resultat skall genomgå två analyssteg.
Under utredningens arbete har det framförts önskemål från företrädare för de offentliga arbetsgivarna om utökade möjligheter för dessa arbetsgivare att beordra hälsoundersökningar och drogtester. Utredningen har förståelse för att det kan finnas ett sådant behov men har funnit att direktiven inte ger utredningen möjlighet att överväga något förslag i detta avseende.
Från företrädare för de fackliga organisationerna har framförts kravet att en bestämmelse motsvarande 30 § lagen om offentlig anställning skall införas inom den privata sektorn av arbetsmarknaden. Även här kan det ifrågasättas om det ligger inom ramen för utredningens direktiv att föreslå sådana beordrade hälsoundersökningar. Med hänsyn till detta men även till den omständigheten att denna fråga inte har tagits upp vid centrala förhandlingar, i vart fall inte på senare tid, anser utredningen att förhandlingsvägen bör prövas i första hand innan några lagstiftningsåtgärder aktualiseras.
Personuppgifter om lagöverträdelser
Personuppgifter om lagöverträdelser är i regel synnerligen känsliga och behandlingen av sådana uppgifter innebär en uppenbar risk för kränkningar av den personliga integriteten. Det är dessutom ett allmänt intresse att en person som har avtjänat sitt straff skall kunna gå vidare utan att diskrimineras eller särbehandlas till följd av tidigare brottslighet.
Utredningen föreslår därför ett förbud för arbetsgivare att behandla personuppgifter om lagöverträdelser som avser arbetstagare. Undantag från förbudet föreslås endast för det fall att behandlingen är nödvändig för att bedöma en arbetstagares tillförlitlighet med hänsyn till säkerheten för det allmänna eller för arbetsgivarens verksamhet, vari innefattas även säkerheten för övriga anställda och för arbetsplatsen. Tillämpningen av undantaget bör enligt förslaget ske med stor restriktivitet.
Sammanfattning SOU 2002:18
22
Det förekommer inte sällan att arbetsgivaren kräver utdrag ur belastningsregistret som villkor för en anställning. Registret omgärdas visserligen av sträng sekretess, men en enskild har alltid rätt att få uppgifter om sig själv ur registret. Enligt upplysningar av Rikspolisstyrelsen har ansökningar av enskilda om registerutdrag ökat kraftigt på senare tid, vilket är en indikation på att det har blivit allt vanligare att arbetsgivare begär att få registerutdrag.
Den föreslagna bestämmelsen innebär att en arbetsgivare inte längre mer eller mindre rutinmässigt skall kunna ställa krav på registerutdrag för en anställning. Bestämmelsen i LIA kompletteras vidare av motsvarande regel i 21 § PUL som förbjuder alla utom myndigheter att behandla personuppgifter om lagöverträdelser automatiserat eller i registerform.
Varken enligt LIA eller PUL kan en arbetstagare samtycka till behandling av personuppgifter om lagöverträdelser.
Personlighetstester
Personlighetstester används numera i stor omfattning under anställningsförfaranden. Testerna, som bl.a. syftar till att avspegla den testades personlighet och förutsättningar i olika avseenden, kan medföra risker för kränkningar av den personliga integriteten. De tester som för närvarande finns på marknaden är dessutom av skiftande kvalitet och testanvändarnas kompetens kan variera.
I LIA föreslås därför en bestämmelse som anger att behandling av personuppgifter som hämtas in genom ett personlighetstest bara får göras med samtycke av arbetstagaren. Detta betyder att arbetstagaren behåller kontrollen över de uppgifter som framkommer vid testet. För att ytterligare minska risken för kränkningar av den personliga integriteten föreslås även att arbetsgivaren skall se till att personlighetstester bara utförs på ett betryggande sätt med tillförlitliga testinstrument och av personer med adekvat utbildning.
För närvarande pågår inom Stiftelsen för tillämpad psykologi ett kvalitetssäkringsarbete angående tillförlitligheten av testinstrument och testanvändare. Utredningen, som förutsätter att detta arbete kommer att avslutas med förslag och rekommendationer inom den närmaste tiden, anser att resultatet av arbetet bör avvaktas innan den föreslagna bestämmelsen träder i kraft.
SOU 2002:18 Sammanfattning
23
Övriga bestämmelser
De materiella bestämmelserna i LIA kompletteras av bestämmelser som säkerställer att arbetstagaren får insyn i och kontroll över behandlingen av personuppgifter som rör honom eller henne. Härmed avses den tidigare nämnda bestämmelsen att arbetsgivaren vid behandling av personuppgifter om hälsa, droganvändning eller lagöverträdelser är skyldig att i första hand hämta in sådana personuppgifter från arbetstagaren. Vidare avses de föreslagna bestämmelserna om – förvaring av personuppgifter, – arbetsgivarens skyldighet att informera arbetstagaren om pågående behandling av personuppgifter – arbetsgivarens skyldighet att rätta eller utplåna felaktiga, ofullständiga eller irrelevanta uppgifter, samt – tystnadsplikt för den som i privat verksamhet behandlar eller har behandlat personuppgifter.
Överträdelser av lagen sanktioneras genom straff och skadestånd. Straffansvar gäller dock inte vid helt manuell behandling.
Det fackliga inflytandet
Arbetsmarknadens parter har centrala uppgifter när det gäller all lagstiftning som rör arbetslivet och utredningen framhåller att parternas ansvar och engagemang behövs för att LIA skall kunna ge arbetstagare och arbetssökande det avsedda integritetsskyddet. Effektiviteten av LIA bygger i hög grad på ett fackligt engagemang, såväl centralt som lokalt.
Utredningen har med utformningen av LIA avsett att främja samarbetet mellan arbetsmarknadens parter när det gäller skyddet för den personliga integriteten i arbetslivet. Den föreslagna lagen innehåller därför flera regler där det inte är på förhand alldeles givet hur de skall tillämpas på en arbetsplats. Avsikten är då att parterna med lagen som grund skall kunna träffa kollektivavtal med bestämmelser som preciserar vad som skall gälla enligt lagen med hänsyn till förhållanden inom skilda branscher eller lokala förhållanden på olika arbetsplatser.
För att parterna skall kunna träffa sådana preciserande kollektivavtal krävs det ingen särskild bestämmelse i LIA. Avtalen får nämligen inte stå i strid med lagen utan bara precisera den. Vid tvist om vad lagen innebär i ett visst fall kan sådana kollektivavtal förutsättas få stor betydelse.
Sammanfattning SOU 2002:18
24
I LIA erinras även om arbetsgivarens primära förhandlingsskyldighet enligt MBL samt om att lagen om rättsgången i arbetstvister gäller för tvister som rör lagen, varvid organisation kan företräda medlem.
25
Summary
Rapid developments in recent years both in information technology and in the field of medicine have substantially enhanced employers’ possibilities of checking up on employees in different ways. The risk of intrusion on employees’ personal integrity has consequently increased considerably. This has caused the trade union organisations to call for stronger protection of the personal integrity of employees and job applicants.
In connection with a survey of the applicable legislation it was established that there are no cohesive rules for protection of personal integrity in working life. Nor has any legislation been formulated in this respect taking into consideration technical and medical advances.
In accordance with its terms of reference, the committee has focused primarily on issues relating to the risk of violations of employees’ personal integrity in connection with the use of information technology in working life on the one hand and, on the other, employers’ monitoring of employees’ health or use of drugs. In addition, the committee discussed other situations in which the personal integrity of employees may be considered to be seriously at risk. Particular attention has been given to the need for protection of job applicants and for the purposes of this inquiry job applicants and previous employees are placed on an equal footing with employees.
The committee found that there is no acceptable, legally binding protection of the personal integrity of employees. However, at both international and national levels there is broad agreement that respect for individuals’ private lives and protection of personal integrity are human rights which states are under an obligation to guarantee. A guarantee of this nature can only be given through legislation.
Summary SOU 2002:18
26
The committee therefore proposes the introduction of an act of law on protection of personal integrity in working life (LIA).
Draft law on protection of personal integrity in working life
The committee was instructed under its terms of reference to look into the need for legislation or other measures to strengthen protection of individuals’ personal integrity in working life. The situations covered by the review include checks and other measures taken by employers in order to obtain different types of information about an employee or job applicant. In this context a danger of intrusion on personal integrity arises when information about individual employees is collected or processed in some other way. The committee therefore concentrated on trying to limit employers’ rights to process personal data in situations where an employee’s personal integrity may be considered to be seriously at risk.
The Personal Data Act, which applies to all automatic processing and registration, currently provides the best protection in connection with the processing of personal data. The committee found it natural and in practice inevitable that the draft law be based on the Personal Data Act.
Through the Personal Data Act, the EC Directive on the protection of individuals has been introduced into Swedish legislation1. The fact that the draft law will now be based on the Personal Data Act means that the basic principles of relevance and finality that governed the formulation of the EC Directive on the protection of individuals and the Personal Data Act will also apply to the protection of personal integrity act.
These principles which permeate the draft law, mean in short that – the personal data collected must be adequate and relevant in relation to the purposes for which they are processed, – the purposes must be specified, explicit and legitimate, and – personal data may not be processed for purposes that are incompatible with the intentions for which they are collected.
In relation to the Personal Data Act, the draft law envisages a special act which means that where appropriate its provisions will
1 The Directive 95/46/EC of the European Parliament and of the Council on protection of individuals with regard to the processing of personal data and on the free movement of such data.
Summary
27
take over the provisions set out in the Personal Data Act. However, this law will not be limited to developing and specifying the rules in the Personal Data Act of special interest to working life. It will have somewhat broader scope.
In connection with employers’ processing of personal data relating to employees, there is a danger of violations of integrity even if the data is processed entirely manually. The committee therefore proposes that the law shall also apply to entirely manual processing of personal data. This means that processing of all documented personal data, including written notes on loose pieces of paper, shall be covered.
The draft law also covers methods for carrying out different measures that may involve violations of personal integrity. It is proposed, for example, that personal data primarily be collected from the employee him/herself. Only in cases where this is not possible may an employer, with the employee’s consent, collect information from some other source. Furthermore, in order to protect employees’ personal integrity as far as possible, the draft law specifies the way in which medical examinations, drug tests and personality tests may be carried out.
It is proposed that the law on protection of personal integrity in working life apply to both the public and private sectors of the labour market. Its aim is to strengthen not just the protection of employees’ integrity but also protection of the integrity of job applicants and previous employees.2
The scope of protection of personal integrity in working life provided by the draft law is evident from the combination of the different provisions proposed by the committee.
Use of information technology in working life
The increased use of information technology in working life involves greater risks than previously of intrusion on employees’ personal integrity and compared with the situation previously, the risks are of a somewhat different nature. Technical equipment available today gives employers greater chances of carrying out checks and this can easily be done without the employee in question being aware that he/she is being monitored.
2 Where applicable, employee also refers to job applicants and previous employees in this summary.
Summary SOU 2002:18
28
The use of information technology involves risks to the personal integrity of employees, above all in two types of situation. One situation which has been given much attention, inter alia, in the media, concerns whether an employer has the right to read private e-mails or other private information that is available electronically. The other situation concerns the employer's use of logging functions that automatically collect data on employees’ behaviour and activities.
Private e-mail and other electronic data
The committee begins by establishing that employers have the right to preside over the use of their technical equipment. Thus, the employer determines whether and to what extent an employee may use the equipment for private purposes. Most large companies and public authorities now have guidelines and policies for private use of e-mail and the Internet and as a rule seem to allow their employees to use the employer’s computer for private purposes to a limited extent. However, the private use of these facilities appears to be largely unregulated in the rest of the labour market.
Use of the employer’s computer by an employee means that private electronic data may be stored in that computer. As a rule data is in the form of sent and received e-mail messages but may also be in the form of other types of files, for example text or image files. The committee’s review of the applicable legislation shows that employers have extensive possibilities of carrying out checks by accessing these data. However, in accordance with established practice in working life, these checks may not contravene laws, good practice or be improper otherwise. Since a measure that involves an employer’s reading private electronic data constitutes the processing of personal data under the Personal Data Act, the provisions of that Act must also be observed.
The draft law includes a provision intended to define and limit the employer’s right to read this type of private electronic data. However, it has proved impossible to guarantee an absolute protection of employees’ integrity with regard to private e-mails or other private electronic data by means of general legislation applicable to all areas of working life. Regulation of this nature would have far too negative and unpredictable consequences for employers and hence for the whole of society.
Summary
29
As a point of departure, the draft law proposes the introduction of a prohibition against the employer’s reading employees’ private e-mail or other private electronic data. To ensure that the employer can use his IT tools in a rational way, the prohibition refers only to deliberate intrusion, that is to say the employer must be aware that it is the employee’s private data. An employee shall also be able to consent to the employer’s reading such data. Furthermore, exemptions from the prohibition are proposed when it is necessary for the employer’s operations that he/she read private electronic data. The situations to which this applies have not been defined, on the other hand they have been exemplified in a manner that presupposes a restrictive application of the possibility of granting exemptions to the prohibition. As an example it is stated that special heed shall be paid to whether the security of information is in jeopardy or whether the employee on reasonable grounds may be suspected of being guilty of an offence in connection with use of the employer’s equipment or of such disloyal behaviour that there are impartial grounds for dismissal or cause for contractual liability for damages.
The proposed provision applies irrespective of whether or not the employee had the employer’s permission to use his computer for private e-mails or other private electronic tasks.
Logging
In practically all use of information technology, the activities initiated are logged. The so-called electronic traces collected in this way can often be linked to an individual and contain information about the individual’s actions and behaviour in different respects. The data may concern relatively harmless circumstances, for example the time an employee logged his/her PC into the network. However, using more advanced technology the employer can register all the measures taken by an employee when he/she uses certain IT tools, which is the case, inter alia, in connection with measurement of performance in telecommunication services operations. Furthermore, by using so-called GPS technology, an employee’s physical whereabouts can be registered, which occurs, inter alia, in the transport sector. Thus, employers have relatively extensive possibilities of using logging to monitor employees. However, these possibilities are restricted in that monitoring must not contravene laws, good practice or be otherwise improper.
Summary SOU 2002:18
30
Logging activities in which collected data can be linked to certain individual employees constitutes processing of personal data under the Personal Data Act. In its assessment of the protection of personal integrity provided by the Personal Data Act, the committee found that the Act must be considered to provide satisfactory protection of the personal integrity of employees in connection with logging. Due to this circumstance, together with the fact that it is hardly possible to regulate the phenomenon of logging under a general provision, the committee does not wish to propose any provision tangibly regulating logging. On the other hand, there is reason to emphasise and clarify the protection of integrity provided by the Personal Data Act. The committee therefore proposes that reference to the provisions of the Personal Data Act be included in the protection of personal integrity act.
Personal data on health or the use of drugs
Personal data on health or the use of drugs is sensitive information and such information must therefore be handled very restrictively. From the review of relevant legislation in the report, it can be seen that there is no acceptable and comprehensive protection of personal integrity for employees in this respect.
Bearing in mind the sensitive character of this information, the committee proposes as a general rule a prohibition on employers’ processing personal data on the health of or use of drugs by employees. This regulation makes no provision for the consent of the employee. Exemptions are proposed, however, if it is necessary for an employer to process personal data on an employee’s health or drug use in order to ascertain whether the employee is capable of carrying out tasks required by the job.
This exemption is intended to be applied when it is necessary for the security of the employee him/herself, of other employees, the workplace or the general public. But also in other cases involving the use of alcohol or drugs with clear negative effects on the capacity of the employee to work or on the working environment of other personnel, where it is considered necessary to assess whether the employee is capable of undertaking his/her tasks. The employer is also entitled to process personal data on an employee’s state of health to be able to assess whether the employee has the physical capacity, regarding, for example, sight or hearing, required for the job.
Summary
31
Exemptions from the prohibition may also be made for the employer to be able to assess an employee’s right to benefits, providing, for other benefits than legal, that the employee him/herself has requested this.
Implementation of medical examinations and drug tests
The draft law contains provisions aimed at guaranteeing employees that medical examinations and drug tests will be undertaken using reliable methods. Thus under the draft law, medical examinations and drug tests may only be carried out by staff within the health and medical services or under the supervision of such staff.
With regard to drug tests, the draft law also stipulates that tests should be analysed by a laboratory authorised under the Technical Conformity Assessment Act. This applies to all kinds of tests that may be used as the basis for an analysis of drug use, with the exception of breathalyser tests. To reduce the risk of a false positive outcome being accepted as the final result, the committee further proposes that tests showing positive results shall undergo a two-stage analysis.
During the course of the committee's work, the wish has been expressed by representatives of employers in the public sector for extended possibilities for these employers to require medical examinations and drug tests. The committee understands that there may be a need for this, but has found that its terms of reference do not allow it to consider such a proposal in this regard.
From representatives of trade union organisations the wish has been expressed for a provision equivalent to Section 30 of the Public Employment Act to be introduced into the private sector of the labour market. Here too, it is questionable whether it is within the realm of the committee's terms of reference to propose such medical examinations by order. In view of this, and also of the fact that the matter in question has not been brought up for discussion at central negotiations, not recently at least, the committee considers that negotiation should be tried first before legislative methods are considered.
Personal data on criminal offences
As a rule, personal data on criminal offences is particularly sensitive and the processing of such information implies an obvious risk of violation of personal integrity. In addition, it is in the public
Summary SOU 2002:18
32
interest that a person who has served his/her sentence should be able to go on with his/her life, without being discriminated against or treated differently as a result of previous criminality.
The committee thus proposes a provision prohibiting the processing by employers of personal data on employees' criminal offences. Exemptions from the law are only proposed for cases in which processing is necessary in order to ascertain an employee's reliability with regard to public security or the security of the employer's operations, which also includes security for other employees and for the work place. Application of this exemption should be extremely restrictive, according to the proposal.
It is by no means uncommon for an employer to request extracts from criminal records as a condition for employment. These records are naturally surrounded by strict confidentiality but an individual citizen is always entitled to information on him/herself in the register. According to information from the National Police Board, the number of applications for extracts of records by individual citizens has grown considerably in recent years, which indicates that it has become increasingly common for employers to request extracts from records.
Employers today have practically unlimited opportunities to process entirely manually personal data on criminal offences. The proposed provision means that this opportunity will disappear. An employer will thus no longer be able to demand extracts from records, more or less as a matter of routine, as a condition of employment. The provisions in the draft law will also be supplemented by the equivalent provision in Section 21 of the Personal Data Act, which prohibits the automatic processing, or registration of personal data on criminal offences by any one, apart from authorities.
An employee may not consent to processing of personal data on criminal offences neither according to the draft law nor the Personal Data Act.
Personality tests
Personality tests are currently commonly used during the recruitment process. These tests, which aim, inter alia, to reflect the personality and abilities of the person being tested in certain situations can also lead to risks of violations of personal integrity.
Summary
33
Tests currently on the market are also of shifting quality and the qualifications of test users may vary.
The draft law therefore proposes a provision stipulating that the processing of personal data collected through personality tests may only be carried out with the consent of the employee. This means that the employee maintains control over the information resulting from the test. In order further to reduce the risk for violations of personal integrity, it is also proposed that employers should ensure that personality tests are only undertaken in a satisfactory manner, using reliable test instruments and performed by persons with adequate training.
At the moment, a project on quality assurance and assessment regarding the reliability of test instruments and users is being undertaken at the Swedish foundation Stiftelsen för tillämpad psykologi (applied psychology foundation). The committee, which expects the project to conclude with its proposals and recommendations shortly, considers that the proposed provisions should not enter into force before the results of this work are published.
Other provisions
The material provisions of the draft law are supplemented by provisions ensuring that the employee has access to and control of the processing of personal data involving him/herself. This refers to the provision previously mentioned, stipulating that when processing personal data on health or criminal offences, the employer must primarily obtain such data from the employee him/herself. This also refers to the provisions on – the storage of personal data, – the employer's obligation to inform the employee of ongoing personal data processing – the obligation of the employer to correct or delete incorrect, incomplete or irrelevant information, and – professional secrecy for those processing or having processed personal data in the private sector.
Infringements of the law will incur sanctions and damages. Criminal liability does not apply to entirely manual processing however.
Summary SOU 2002:18
34
Trade union influence
The social partners have a central function in all legislation referring to working life, and the committee emphasises that the responsibility and commitment of both these partners will be necessary for the draft law to provide employees and job applicants with the protection of integrity that is intended. The efficiency of the law will be significantly dependent on trade union commitment, both at the central level and locally.
In formulating the law, the committee has intended to promote cooperation between the social partners as regards the protection of personal integrity in working life. The draft law therefore contains several provisions whose application at workplaces is not categorically determined beforehand. The intention is that using the law as a basis, the parties should be able to conclude collective agreements containing provisions that define the jurisdiction of the law and that take conditions within individual industries or local conditions at various workplaces into account.
For the parties to be able to sign such explicit collective agreements, there is no need for special provisions in the law. Thus, an agreement may not contradict the law, but only define it. In disputes on interpretation of the law, such collective agreements may be expected, in certain cases, to be extremely important.
The law points out once again, the primary negotiation obligation of employers in accordance with the Act on Codetermination at Work and the fact that the Labour Disputes (Judicial Procedure) Act applies to disputes on interpretations of the law, where members may be represented by their organisations.
35
Förkortningar
AD Arbetsdomstolen BrB Brottsbalken DI Datainspektionen ILO International Labour Organization JO Justitieombudsmannen LIA Lagen om skydd för personlig integritet i arbetslivet LOA Lagen (1994:260) om offentlig anställning LRA Lagen (1974:371) om rättegången i arbetstvister MBL Lagen (1976:580) om medbestämmande i arbetslivet prop. proposition PUL Personuppgiftslagen (1998:204) RB Rättegångsbalken RF Regeringsformen RÅ Regeringsrättens årsbok SWEDAC Styrelsen för ackreditering och teknisk kontroll TF Tryckfrihetsförordningen YGL Yttrandefrihetsgrundlagen
37
Författningsförslag
Förslag till
Lag om skydd för personlig integritet i arbetslivet
Härigenom föreskrivs följande.
Syftet med lagen
1 § Syftet med denna lag är att med utgångspunkt i personuppgiftslagen (1998:204) stärka skyddet för den personliga integriteten i arbetslivet.
Lagens tillämpningsområde
2 § Lagen tillämpas på arbetsgivares dokumenterade behandling av arbetstagares och arbetssökandes personuppgifter. Med arbetstagare förstås i förekommande fall även tidigare arbetstagare.
Vid all behandling av personuppgifter som omfattas av denna lag tillämpas även 7–9 §§personuppgiftslagen.
Om det i en annan lag än personuppgiftslagen eller i en förordning finns bestämmelser som avviker från denna lag, skall de bestämmelserna gälla.
Privat e-post och andra privata elektroniska uppgifter
3 § En arbetsgivare får inte avsiktligt ta del av en arbetstagares privata e-post eller andra privata elektroniska uppgifter.
Författningsförslag SOU 2002:18
38
Första stycket gäller inte om arbetstagaren har lämnat sitt samtycke till åtgärden.
Första stycket gäller inte heller om åtgärden är nödvändig för arbetsgivarens verksamhet. Vid bedömningen härav skall särskilt beaktas om det föreligger fara för informationssäkerheten eller om det finns skälig misstanke att arbetstagaren har gjort sig skyldig till brott vid användning av arbetsgivarens elektroniska utrustning eller till sådant illojalt beteende som kan utgöra saklig grund för uppsägning eller föranleda skadeståndsskyldighet.
Loggning
4 § I fråga om behandling av personuppgifter om arbetstagare som har samlats in helt eller delvis automatiserat (loggning) gäller vad som föreskrivs i personuppgiftslagen.
Personuppgifter om hälsa och droganvändning
5 § En arbetsgivare får inte behandla personuppgifter om en arbetstagares eller en arbetssökandes hälsa eller droganvändning.
Första stycket gäller inte om behandlingen är nödvändig för att bedöma om arbetstagaren eller arbetssökanden är lämpad för att utföra arbetsuppgifter i arbetsgivarens verksamhet eller för att bedöma arbetstagarens rätt till förmåner om arbetstagaren har begärt detta.
Hälsoundersökningar och drogtester
Genomförandet av hälsoundersökningar
6 § En arbetsgivare skall tillse att hälsoundersökningar avseende arbetstagare eller arbetssökande bara genomförs av personal inom hälso- och sjukvården eller under överinseende av sådan personal.
SOU 2002:18 Författningsförslag
39
Genomförandet av drogtester
7 § En arbetsgivare skall tillse att drogtester avseende arbetstagare eller arbetssökande bara genomförs med metoder som är tillförlitliga.
Arbetsgivaren skall därvid tillse att andra prover än utandningsprov bara tas av personal inom hälso- och sjukvården eller under överinseende av sådan personal samt att proven analyseras av ett laboratorium som är ackrediterat enligt lagen (1992:1119) om teknisk kontroll.
Personlighetstester
8 § En arbetsgivare får inte behandla personuppgifter om en arbetstagare eller en arbetssökande som har hämtats in genom ett personlighetstest annat än med samtycke.
Arbetsgivaren skall tillse att personlighetstester bara genomförs på ett betryggande sätt med testinstrument som är tillförlitliga och av personer med adekvat utbildning.
Personuppgifter om lagöverträdelser m.m.
9 § En arbetsgivare får inte behandla personuppgifter om lagöverträdelser avseende arbetstagare eller arbetssökande som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden.
Första stycket gäller inte om behandlingen är nödvändig för att bedöma arbetstagarens eller arbetssökandens tillförlitlighet med hänsyn till säkerheten för det allmänna eller för arbetsgivarens verksamhet.
Om behandlingen sker helt eller delvis automatiserat eller i registerform skall även 21 § personuppgiftslagen gälla.
Inhämtande av personuppgifter
10 § En arbetsgivare skall i första hand hämta in sådana personuppgifter som avses i 5 och 9 §§ från arbetstagaren eller arbetssökanden själv. Bara om detta inte är möjligt och under förutsättning av arbetstagarens eller arbetssökandens samtycke, får
Författningsförslag SOU 2002:18
40
arbetsgivaren hämta in sådana personuppgifter från någon annan källa.
Förvaring av personuppgifter
11 § En arbetsgivare skall förvara sådana personuppgifter som avses i 3, 5, 8 och 9 §§ på ett betryggande sätt och åtskilda från övriga personuppgifter. Dessa personuppgifter får bara behandlas av en begränsad krets av personer.
Om behandlingen sker helt eller delvis automatiserat eller i registerform skall även 30 och 31 §§personuppgiftslagen gälla.
Information
12 § En arbetsgivare skall utan dröjsmål lämna information om sådana personuppgifter om en arbetstagare eller en arbetssökande som arbetsgivaren behandlar och om ändamålen med behandlingen.
Om behandlingen sker helt eller delvis automatiserat eller i registerform skall 23–27 §§personuppgiftslagen gälla.
Rättelse
13 § En arbetsgivare skall utan dröjsmål rätta eller utplåna sådana personuppgifter om en arbetstagare eller en arbetssökande som inte har behandlats enligt denna lag eller enligt föreskrifter som har utfärdats med stöd av lagen.
Om behandlingen sker helt eller delvis automatiserat eller i registerform skall 28 § personuppgiftslagen gälla.
Tystnadsplikt
14 § Den som hos en arbetsgivare med privat verksamhet behandlar eller har behandlat sådana personuppgifter som avses i 3–5, 8 och 9 §§ får inte obehörigen röja eller utnyttja vad som därvid kommit fram.
SOU 2002:18 Författningsförslag
41
MBL-förhandling
15 § I fråga om arbetsgivarens skyldighet att förhandla före beslut som rör verksamheten gäller 11–14 §§ lagen (1976:580) om medbestämmande i arbetslivet.
Skadestånd
16 § En arbetsgivare skall ersätta en arbetstagare eller en arbetssökande för skada och kränkning av den personliga integriteten som en behandling i strid med denna lag har orsakat.
Ersättningsskyldigheten kan i den utsträckning det är skäligt jämkas, om arbetsgivaren visar att felet inte berodde på arbetsgivaren.
Straff
17 § Till böter eller fängelse i högst sex månader eller, om brottet är grovt, till fängelse i högst två år döms den som uppsåtligen eller av oaktsamhet behandlar personuppgifter i strid med 5 §.
Första stycket gäller endast behandling som sker helt eller delvis automatiserat eller i registerform.
Överklagande av myndighetsbeslut
18 § En myndighets beslut om att inte lämna information eller meddela rättelse enligt 12 och 13 §§ får överklagas hos allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten.
Rättegången
19 § Mål om tillämpningen av denna lag skall, utom i fall som avses i 17 och 18 §§, handläggas enligt lagen (1974:371) om rättegången i arbetstvister. Därvid anses som arbetstagare också arbetssökande och som arbetsgivare också den som någon har sökt arbete hos.
43
1 Utredningsuppdraget och dess genomförande
Direktiven
Enligt direktiven har den särskilda utredarens uppdrag varit att se över behovet av lagstiftning eller andra åtgärder för att stärka skyddet för den enskildes personliga integritet i arbetslivet. I översynen har i första hand ingått frågor om användning av drogtester och andra medicinska kontroller samt frågor om användning av persondatorer, elektronisk post (e-post) och Internet i arbetet. I uppdraget har också ingått att ta upp andra integritetsfrågor där skyddet för den personliga integriteten i arbetslivet skulle kunna anses vara allvarligt hotat och att särskilt belysa behovet av skydd för arbetssökande.
Utredaren har haft att klarlägga de behov av kontroll och övervakning som arbetsgivarna har och belysa de integritetsproblem som kontrollen och övervakningen leder till. Utredaren har också haft att bedöma behovet av ny eller kompletterande lagstiftning till skydd för den personliga integriteten i arbetet och att i det sammanhanget göra en avvägning mellan de berättigade behoven av kontroll och den enskildes integritetsskydd. Som en utgångspunkt för bedömningen har angivits att den tekniska och arbetsorganisatoriska utvecklingen i arbetslivet är positiv för tillväxten och för att få bättre arbetsvillkor och arbetsmiljö, men att en förutsättning för detta är att individen kan känna trygghet i arbetssituationen, vilket bl.a. förutsätter respekt för den personliga integriteten. Utredaren har vidare haft att beakta kollektivavtal på området och möjligheterna för arbetsmarknadens parter att träffa sådana avtal samt andra åtgärder och initiativ från parterna.
Direktiven har intagits i bilaga 1.
Utredningsuppdraget och dess genomförande SOU 2002:18
44
Utredningsarbetet
Utredningen1 inledde sitt arbete i slutet av våren 2000 och har därefter haft tolv sammanträden, varav ett internatsammanträde.
Utredningen har biträtts av en referensgrupp med företrädare för arbetsmarknadens parter, nämligen direktören Jan Nordin, Svenskt Näringsliv, förhandlingsdirektören Anneli Hoffstedt, Arbetsgivarverket, gruppchefen Göran Söderlöf, Svenska Kommunförbundet, arbetsrättschefen Gunnar Bergström, Landstingsförbundet, ombudsmannen Thomas Fredén, Landsorganisationen i Sverige (LO), chefsjuristen Ingemar Hamskär, Tjänstemännens Centralorganisation (TCO) och ombudsmannen Kerstin Hildingsson, Sveriges Akademikers Centralorganisation (SACO). Samtliga förekommande frågor har diskuterats med referensgruppen.
Utredningen har gjort en studieresa till Helsingfors i februari 2001. Resan företogs för att utredningen skulle få träffa företrädare för vederbörande ministerier och arbetsmarknadsorganisationer och på plats kunna informera sig om det dåvarande finska förslaget till lag om integritetsskydd i arbetslivet. Lagförslaget behandlades vid den tidpunkten i den finska riksdagen och har sedermera, med de justeringar som riksdagen gjort, antagits som lag. Den särskilda utredaren och sekreterarna har vidare tillsammans eller var för sig deltagit vid möten anordnade av det IT-rättsliga observatoriet inom IT-kommissionen, träffat företrädare för Socialstyrelsen och Telefonaktiebolaget L M Ericsson samt haft kontakter med bl.a. SWEDAC, Sveriges Psykologförbund, Stiftelsen för Tillämpad Psykologi och Rikspolisstyrelsen.
Under utredningsarbetet har pågått ett liknande arbete inom Europeiska Unionen i gruppen Article 29 Data Protection Working Party. Utredningen har kontinuerligt tagit del av vad som framkommit inom ramen för detta arbete.
Arbetet påbörjades med en genomgång av gällande rätt och kollektivavtal, internationella konventioner och andra internationella instrument, riktlinjer/policies inom myndigheter, organisationer och företag samt tidigare betänkanden på området, varvid framför allt bör nämnas Medicinska undersökningar i arbetslivet (SOU 1996:63). Samtidigt gjordes en kartläggning av olika tänkbara situationer i arbetslivet där den enskildes personliga integritet skulle kunna vara hotad. Kartläggningen har i första hand
1 ”Utredningen” används fortsättningsvis som en sammanfattande benämning för den särskilda utredaren, de sakkunniga och experten.
SOU 2002:18 Utredningsuppdraget och dess utförande
45
tagit sikte på sådana situationer inom IT-området och inom området för hälsoundersökningar och drogtester. Utredningen föreslår också en lagreglering i dessa hänseenden.
Utredningen har även tagit upp andra situationer där den enskildes personliga integritet skulle kunna vara allvarligt hotad, nämligen vid behandling av personuppgifter om lagöverträdelser eller ekonomiska förhållanden, vid behandling och genomförande av personlighetstester eller gentester, vid kameraövervakning av arbetstagare samt vid kontroll av arbetstagares klädskåp, skrivbordslådor och andra privata utrymmen. Efter genomgången av dessa olika situationer har utredningen stannat för att föreslå lagregler dels för behandling av personuppgifter om lagöverträdelser, dels för behandling och genomförande av personlighetstester.
Beträffande övriga situationer föreslås ingen reglering av följande skäl. Den tid som utredningen har haft till sitt förfogande har inneburit att utredningen har fått koncentrera sig på de två huvudområden som har angivits i direktiven och utredningen lämnar därutöver förslag endast i de avseenden som utredningen bedömt vara mest angelägna. Det innebär naturligtvis inte att det inte kan finnas anledning att ta upp även andra frågor som har betydelse för den personliga integriteten i arbetslivet, men detta får då ske i annat sammanhang. Med hänsyn till att utredningens förslag innefattar många nya och komplicerade spörsmål kan det dock vara av värde att avvakta aktualiserandet av ytterligare frågor till dess att utredningens förslag har utvärderats. Dessutom kan följande anföras.
Frågan om genomförande av gentester behandlas för närvarande av Kommittén om genetisk integritet (S 2001:01). Regeringen har också nyligen beslutat att en särskild utredare skall utvärdera lagen (1998:150) om allmän kameraövervakning och lämna förslag till de författningsförändringar som kan krävas. I uppdraget ingår även att följa upp i vilken utsträckning och hur den tillståndsfria användningen har utnyttjats (dir. 2001:53). Utredningen har vidare funnit att reglerna om egenmäktigt förfarande i 8 kap. 8 § brottsbalken får anses ge arbetstagare ett tillfredsställande skydd mot obefogad kontroll av klädskåp, skrivbordslådor och liknande privata utrymmen från arbetsgivarens sida. Vad slutligen avser behandling av personuppgifter om enskildas ekonomiska förhållanden har utredningen funnit att lagstiftningen visserligen ger arbetsgivaren stora möjligheter att hämta in sådana uppgifter. Men samma möjligheter har även kreditkortsföretag, banker,
Utredningsuppdraget och dess genomförande SOU 2002:18
46
finansiella institut och andra privata långivare liksom hyresvärdar och andra juridiska och enskilda personer som har intresse av att få del av ekonomisk information om en avtalspart eller en blivande avtalspart. Lagstiftningen på detta område spänner alltså över hela samhällslivet och motiveras av andra hänsyn och intresseavvägningar än dem som kan beaktas inom ramen för utredningsuppdraget. En detaljreglering enbart för arbetslivets område kan därför få konsekvenser som inte går att överblicka i detta sammanhang. Något förslag lämnas därför inte heller i detta avseende.
Utformningen av lagförslaget
I arbetet med att åstadkomma en godtagbar utformning av en lagreglering har utredningen övervägt flera alternativ och slutligen funnit att det bästa, från såväl teoretiska som praktiska synpunkter, är ett förslag till en ny lag som tar sin utgångspunkt i personuppgiftslagen (1998:204). Även med de alternativ som utgår från att lagen skall vara helt fristående, dvs. utan någon anknytning till personuppgiftslagen, måste man beträffande de flesta situationer där den personliga integriteten kan vara allvarligt hotad – och då framför allt när det gäller de två områden som utgör utredningens huvudsakliga uppgift – analysera och ta ställning till integritetsskyddet vid behandlingen av personuppgifter. Personuppgiftslagen reglerar skyddet för den personliga integriteten vid sådan behandling av personuppgifter, som är helt eller delvis automatiserad eller i registerform, och utredningen anser att den lagen därmed är en given grund att bygga vidare på. Utredningen anser också att det är en klar fördel från tillämpningssynpunkt att föreslå en sammanhållen lag i stället för att göra spridda ändringar i personuppgiftslagen och andra författningar.
Disposition av betänkandet
Redovisningen av uppdraget har lagts upp enligt följande.
I betänkandet ges i en första huvuddel bakgrunden till förslaget i form av en allmän beskrivning av integriteten i dagens arbetsliv samt en översiktlig genomgång av den rättsliga regleringen beträffande skyddet för den enskildes personliga integritet och en analys av det skydd som den enskilde åtnjuter genom denna reglering. Därefter anges de skäl som talar för att det finns ett behov av en särskild integritetsskyddande lag i arbetslivet.
SOU 2002:18 Utredningsuppdraget och dess utförande
47
Betänkandets andra huvuddel innehåller utredningens överväganden och förslag. I varje kapitel ges som regel först en ingående beskrivning av den rättsliga regleringen av de aktuella frågorna och därefter redovisas utredningens ställningstaganden och förslag.
I bilagor finns sedan en redogörelse för bl.a. personuppgiftslagen och för den finska lagen om integritetsskydd i arbetslivet.
2 Bakgrund
2.1 Integriteten i ett förändrat arbetsliv
Framväxten av den moderna välfärdsstaten har inneburit bl.a. att staten genom lagstiftning har tagit ett allt större ansvar för förhållandena på arbetsmarknaden. Den förändring av de tidigare hierarkiskt präglade arbetsförhållandena, vilken tog sin början i mitten av 1970-talet med införandet av lagen (1976:580) om medbestämmande i arbetslivet (MBL) och den nya arbetsrätten i övrigt, har successivt lett fram till en annan och i många fall mer likställd relation mellan arbetsgivare och arbetstagare. I dagens läge är det sålunda vanligt med samarbete mellan arbetsgivare och arbetstagare i de flesta frågor som rör verksamheten och sådana projekt som tidigare tillkom enbart på arbetsgivarens initiativ och styrdes av denne drivs nu i stället ofta gemensamt av arbetsgivare och arbetstagare.
Samtidigt har välfärdsstaten med dess ambitioner att tillfredsställa sina medborgares behov på en mängd olika samhällsområden anledning att hämta in mycket information om medborgarnas förmåga, resurser och behov. Staten har löst detta på så sätt att arbetsgivarna i ökande utsträckning ålagts att samla in och redovisa uppgifter i dessa avseenden. Såväl på grund härav som på grund av de särskilda förutsättningar som gäller för olika slags verksamheter ställs det allt större krav på personanknuten information om arbetstagare.
Sådana krav är ofta integritetskänsliga och därför hörs också allt oftare kritiska synpunkter på att arbetsgivare samlar in och använder information om arbetstagare och arbetssökande. Det kan gälla t.ex. att arbetsgivaren gör omfattande loggningar av olika slag, att arbetsgivaren läser anställdas e-post eller lyssnar på deras telefonsamtal. Men det kan också vara fråga om att arbetsgivaren samlar in hälsorelaterad information, t.ex. frågar en arbetssökande om graviditet eller tidigare sjukdom eller på eget initiativ genomför
Bakgrund SOU 2002:18
50
drog- och hälsotester. Behovet av skydd för arbetstagares och arbetssökandes integritet har börjat uppmärksammas på allvar och detta förefaller vara en internationell trend som går igen i de flesta industrialiserade stater i västvärlden.
Den ökade användningen av personanknuten information kan förklaras på flera sätt och det är svårt att med säkerhet säga vad som är det mest rättvisande eftersom samhället befinner sig mitt i ett utvecklingsskede. Mycket talar dock för att arbetsgivarnas behov av sådan information till stor del kan tillskrivas den fortgående individualiseringen av arbetslivet.
En tydlig tendens mot mer individualisering i arbetslivet är större krav dels på likabehandling av arbetstagare med hänsyn till allt fler karakteristika, dels på att man genom s.k. positiv särbehandling och andra aktiva åtgärder skall kunna komma till rätta med strukturella missförhållanden. Om arbetsgivaren exempelvis åläggs att genomlysa en verksamhet med hänsyn till arbetstagarnas kön, handikapp, sexuella läggning, etniska bakgrund och ålder behöver arbetsgivaren ha tillgång till åtskilligt med information om arbetstagarna, information som dessutom kan vara mycket känslig.
Även när det gäller formerna för att bestämma lön och andra anställningsvillkor finns det en tydlig tendens till individualisering genom att lönen och andra villkor bestäms allt mer med inriktning på den enskilda arbetstagaren, dvs. genom lokala överenskommelser på arbetsplatsen och inte genom förbundsavtal eller centrala kollektivavtal. Ju mer som lönebildningen individualiseras, desto större blir behovet att hantera information om enskilda arbetstagare beträffande deras arbetsprestationer, skicklighet och andra kriterier som kan läggas till grund för lönesättningen. Det har också blivit vanligt med individuella planerings- och utvecklingssamtal där arbetsgivaren förklarar den lönesättning som gjorts och där arbetstagarens prestationer, önskemål och individuella förutsättningar diskuteras. Arbetsgivarna har även på senare år fått ett ökat ansvar för sjuklön och rehabilitering av enskilda arbetstagare och detta kräver att arbetsgivaren får tillgång till känsliga uppgifter om arbetstagarens hälsotillstånd.
Arbetsgivare fäster i dag betydligt större avseende än tidigare vid att ha rätt person på rätt plats. Personliga egenskaper såsom samarbetsförmåga och social kompetens har fått allt större betydelse, t.ex. för arbete inom den expanderande servicesektorn eller inom arbete som bedrivs i form av projekt och nätverk. För att anställa
Bakgrund
51
den rätta personen för arbetet kan det krävas ingående information om personen.
Det har därför vuxit fram särskilda rekryteringsföretag som specialiserat sig på att för arbetsgivares räkning ta fram rätt person till rätt plats.
Uthyrning av arbetskraft och privata arbetsförmedlingar har legaliserats under 1990-talet och konsultverksamhet av olika slag har ökat kraftigt. För företag som sysslar med sådan verksamhet är arbetstagarnas personliga egenskaper och kompetens naturligtvis av grundläggande betydelse.
Det är också en gemensam strävan hos både arbetsgivare och arbetstagare att arbetstagarna skall kunna förena privatliv och arbete. Arbetstagarna har fått större möjlighet att bestämma när de skall arbeta respektive vara lediga för olika ändamål. Samtidigt som utvecklingen alltså på vissa arbetsplatser går mot en ökad frihet för arbetstagaren att förlägga sin arbetstid på sätt som passar just henne eller honom kan man iaktta en trend mot ökad bundenhet för arbetstagare på andra yrkesområden. Flexibilitet kan även betyda att en arbetstagare måste vara ständigt tillgänglig för att kunna nås av arbetsgivaren när det uppstår behov av en arbetsinsats. Lagstiftningen har dock gjort det möjligt för arbetstagare att spara och i ett sammanhang ta ut semester eller ledighet för föräldraskap, för vård av närstående, för trängande familjeskäl, för föreningsuppdrag inom skolan, för privata studier och för bedrivande av näringsverksamhet. Utvecklingen går generellt även i riktning mot att arbetstagaren får större rätt att bestämma över arbetstiden. Det har införts en företrädesrätt till mer arbetstid för deltidsanställda, delvis föräldralediga skall i högre utsträckning kunna bestämma när de skall arbeta1 och det skall även utredas hur anställda rent allmänt skall kunna bestämma mer över sin arbetstid.2 En arbetsgivare som vill kunna förutse när arbetstagarna inte är tillgängliga för arbete behöver således mycket information av privat natur om arbetstagarna.
Till allt detta kommer att den nya informationstekniken med sina omvälvande framsteg i fråga om tillgänglighet och kommunikationsmöjligheter på ett dramatiskt sätt har ökat arbetsgivarnas möjligheter till information om arbetstagarnas prestationer och övriga agerande under arbetstid. Den nya informationstekniken har gjort det betydligt lättare att samla in,
1 Se prop. 2000/01:44. 2 Se dir. 2000/01:97.
Bakgrund SOU 2002:18
52
bearbeta och registrera stora mängder av uppgifter. Tekniken används numera av praktiskt taget alla företag och datorer och annan ny teknisk utrustning som kan registrera information har därmed blivit dagliga arbetsredskap för de flesta arbetstagare.
Den nya tekniken finner också allt fler användningsområden. Som exempel kan nämnas inpasseringsutrustning, kassautrustning och utrustning för positionsbestämning (GPS) av mobiltelefoner eller fordon. Ofta märker inte ens användaren den registrering av information som sker. Tekniken gör det möjligt för arbetsgivaren att relativt enkelt kartlägga en arbetstagares beteende. Inpasseringskort och mobiltelefoner kan användas för att bestämma var en arbetstagare befinner sig vid varje givet tillfälle och arbetstagarens användning av datorer kan kontrolleras i detalj, liksom även arbetstagarens användning av telefon och e-post. Arbetstagarens prestationer och avbrott i arbetet kan därmed kontrolleras betydligt mer effektivt än tidigare. Samhällets kraftigt ökade behov av en väl fungerande IT-infrastruktur leder också mot bakgrund av den senaste tidens internationella händelser till att säkerhetskraven blir väsentligt högre, vilket sannolikt bidrar till ökad kontroll av många arbetstagare.
Förändrade arbetsformer, en ny syn på relationen mellan arbetsgivare och arbetstagare samt en ny och revolutionerande informationsteknik har alltså förändrat arbetslivet väsentligt och satt den enskilde arbetstagarens situation i fokus. Av största betydelse för en fortsatt positiv utveckling av förhållandena inom arbetslivet är att den enskilde arbetstagaren kan känna sig trygg inte bara i sitt arbete utan även beträffande sin privata sfär, dvs. trygg i förvissningen om att bli bemött med respekt för sin personliga integritet i såväl fysiskt som psykiskt avseende.
2.2 Behovet av en särskild integritetsskyddande lag i arbetslivet
2.2.1 Bakgrund
Enligt direktiven skall utredningen göra en översyn av behovet av lagstiftning eller andra åtgärder för att stärka skyddet av den personliga integriteten i arbetslivet. Den första fråga som då uppkommer är vad som egentligen innefattas i begreppet personlig integritet.
Bakgrund
53
Utredningen har gjort en genomgång av åtskillig svensk och utländsk litteratur i ämnet för att söka finna svaret på denna fråga. Det har emellertid visat sig att begreppet personlig integritet inte är så lättfångat. Stora ansträngningar har gjorts för att definiera det men någon kortfattad generell konkretisering av begreppets språkliga innebörd har utredningen inte kunnat finna. Men som en klar gemensam nämnare framstår i vart fall uppfattningen att begreppet personlig integritet innebär att alla människor har rätt till en personlig sfär där ett oönskat intrång, såväl fysiskt som psykiskt, kan avvisas.
De flesta människor har också en bestämd uppfattning om vad personlig integritet innebär för deras egen del och de uttrycker detta mestadels på motsvarande sätt som nyss nämnts. Men uppfattningen om storleken av den privata sfären kan variera kraftigt mellan olika människor beroende framför allt på deras kulturella, etniska, religiösa och sociala bakgrund. Omfånget av den personliga sfären uppfattas inte heller som statiskt, inte ens för den egna individen, utan kan förändras med hänsyn till bl.a. vunna erfarenheter och den aktuella situationen.
Utredningen har dock inte till uppgift att försöka ge en preciserad definition av begreppet personlig integritet som skulle kunna tillämpas i alla tänkbara situationer. För utredningens del räcker det att konstatera att uppdraget enligt direktiven omfattar sådana frågor som allmänt sett anses röra den personliga integriteten. Utifrån den utgångspunkten har utredningen att undersöka om det beträffande arbetslivet finns skäl att skapa ett bättre skydd mot intrång i den skyddade sfären än vad nuvarande lagstiftning erbjuder.
Utredningen gör därför i det följande först en översiktlig genomgång av det nuvarande rättsliga skyddet för den enskildes personliga integritet för att därefter redovisa sina överväganden beträffande behovet av en ny integritetsskyddande lagstiftning inom arbetslivets område.
2.2.2 Nuvarande rättsliga skydd för den personliga integriteten
Sverige har ratificerat flera internationella överenskommelser som behandlar skyddet för den personliga integriteten. I detta sammanhang bör särskilt nämnas några sådana överenskommelser
Bakgrund SOU 2002:18
54
av vilka framgår att personlig integritet anses vara en mänsklig rättighet. År 1948 antogs den universella förklaringen om de mänskliga rättigheterna, Universal Declaration of Human Rights, av FN:s generalförsamling. Förklaringen innehåller en rättighetskatalog där det av artikel 12 framgår att ingen må utsättas för godtyckliga ingripanden i fråga om privatliv, familj, hem eller korrespondens och inte heller för angrepp på heder och anseende. Där sägs också att var och en har rätt till lagens skydd mot sådana ingripanden och angrepp. Utöver den universella förklaringen finns också en FN-konvention om medborgerliga och politiska rättigheter, International Covenant on Civil and Political Rights, där rätten till privat- och familjeliv, hem och korrespondens återfinns i artikel 17. I inledningen till konventionen sägs att konventionsstaterna erkänner det inneboende värdet hos alla medlemmar av människosläktet och att deras lika och oförytterliga rättigheter utgör grunden för bl.a. frihet och rättvisa samt att dessa rättigheter härrör från de inneboende värdena hos varje människa. Där sägs också att konventionsstaterna tar hänsyn till att varje människa har plikter mot andra människor och mot det samhälle som han eller hon tillhör och att varje människa är skyldig att medverka till att de i konventionen inskrivna rättigheterna främjas och iakttas.
Att personlig integritet är en grundläggande fri- och rättighet kommer också till uttryck i Europeiska konventionen (d. 4 nov. 1950) om skydd för de mänskliga rättigheterna och de grundläggande friheterna vilken gäller som svensk lag sedan 1995. Enligt artikel 8 punkt 1 har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Rättigheten får bara inskränkas genom lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. Som gemensam benämning på de rättigheter som kommer till uttryck i artikeln brukar internationellt användas begreppet ”the right to privacy”, vilket har definierats som rätten att leva sitt eget liv utan ingripanden av utomstående. Detta innefattar rätt till såväl fysisk och psykisk (moralisk) integritet som skydd för ära och rykte. I rätten till privatliv ingår också ett skydd mot övervakning av olika slag och ett skydd för information om privata förhållanden. I rätten till respekt för korrespondens innefattas ett skydd mot t.ex.
Bakgrund
55
telefonavlyssning och brevkontroll. Av artikeln anses vidare följa att staten också i viss mån är skyldig att vidta positiva åtgärder för att skydda den enskildes personliga sfär mot angrepp från andra enskilda.
Europaparlamentets och rådet direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter innehåller en både generell och detaljerad reglering av skyddet för den personliga integriteten vid sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg liksom vid annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. Grundläggande för direktivets bestämmelser är relevans-, finalitets- och proportionalitetsprinciperna. Dessa innebär i korthet att behandling bara får ske av sådana personuppgifter som är adekvata och relevanta i förhållande till det ändamål, för vilket de insamlats, att ändamålet därefter inte får förändras samt att inte fler personuppgifter får behandlas än som är nödvändigt med hänsyn till ändamålet.3
I regeringsformen (RF) finns flera regler som avser att skydda den personliga integriteten. Den enskildes rätt till ett sådant skydd slås fast inledningsvis i målsättningsstadgandet i 1 kap. 2 § tredje stycket där det sägs bl.a. att det allmänna skall värna den enskildes privatliv och familjeliv. De för det offentliga rättsligt bindande reglerna i 2 kap. om de grundläggande fri- och rättigheterna stärker ytterligare skyddet för den personliga integriteten. I detta sammanhang kan särskilt nämnas skyddet mot tvång att ge till känna sin åskådning i politiskt, religiöst, kulturellt eller annat sådant hänseende (2 §) och skyddet mot påtvingat kroppsligt ingrepp, mot kroppsvisitation, husrannsakan och liknande intrång, mot undersökning av brev eller annan förtrolig försändelse, mot hemlig avlyssning eller upptagning av telefonsamtal eller annat förtroligt meddelande (6 §). Skyddet i sistnämnda regel är inte orubbligt utan kan inskränkas genom lag. Begränsningen av skyddet får dock enligt 12 § göras bara för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. Vidare föreskrivs i 3 § andra stycket att det i den utsträckning som närmare anges i lag skall finnas ett skydd mot kränkning av den personliga integriteten genom att personuppgifter registreras med hjälp av automatisk databehandling. Uppmärksammas bör dock att några av de grund-
3 En ingående redovisning av dataskyddsdirektivet lämnas i SOU 1997:39Integritet
Offentlighet Informationsteknik s. 109 ff.
Bakgrund SOU 2002:18
56
läggande fri- och rättigheterna i 2 kap., nämligen skyddet för yttrandefriheten och informationsfriheten, 1 § punkt 1 och 2, kan vara motstående till intresset av att skydda den personliga integriteten. Vid en avvägning i enskilda fall mellan de motstående intressena kan det således inträffa att dessa s.k. positiva opinionsfriheter tar över intresset av skydd för den personliga integriteten. De positiva opinionsfriheterna kan dock begränsas enligt 12 och 13 §§. I den sistnämnda paragrafen föreskrivs bl.a. att yttrandefriheten och informationsfriheten får begränsas med hänsyn till privatlivets helgd.
Statens skyldighet enligt konventioner och konstitutionella regler att skydda den enskildes personliga integritet har genomförts i en rad bestämmelser i vanlig lag.
Personuppgiftslagen (1998:204), som genomför Europaparlamentets och rådets direktiv 95/46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, är den utan jämförelse mest heltäckande lagstiftningen på området. Andra exempel på bestämmelser av mer generell betydelse finns i brottsbalken, och då särskilt i 4 kap. om brott mot frihet och frid, och i sekretesslagen (1980:100) med anknytande författningar. I tryckfrihetsförordningen (TF) och yttrandefrihetsgrundlagen (YGL) finns bestämmelser som gör det möjligt att skydda mot förtal och förolämpning i massmedier. På massmedieområdet finns lagen (1978:800) om namn och bild som syftar till att skydda användningen av enskilds namn och bild i reklam. Inkassolagen (1974:182) och kreditupplysningslagen (1973:1173) syftar båda till att skydda den personliga integriteten vid verksamhet som bedrivs enligt dessa lagar. Vidare finns i lagen (1998:150) om allmän kameraövervakning bestämmelser som med hänsyn till den enskildes personliga integritet inskränker möjligheten att övervaka vissa områden med kamera.
Som exempel på lagar som enligt 2 kap. 12 § RF inskränker de grundläggande fri- och rättigheterna finns lagar som reglerar förhållandena inom arbetslivet. Bl.a. innehåller lagen (1994:260) om offentlig anställning (LOA) och lagen (1994:260) om fullmaktsanställning bestämmelser om skyldighet för arbetstagare med särskilda arbetsuppgifter att efter uppmaning av arbetsgivaren regelbundet genomgå hälsoundersökningar. Även i livsmedelslagen (1971:511), järnvägssäkerhetslagen (1990:1157), luftfartslagen (1957:297), strålskyddslagen (1988:220) och fartygssäkerhetslagen
Bakgrund
57
(1988:49) föreskrivs skyldighet att genomgå läkar- eller hälsoundersökning när arbetstagarens bristande hälsa kan inverka på allmänhetens eller verksamhetens säkerhet.
2.2.3 Finns det behov av en integritetsskyddande lag i arbetslivet?
De svårigheter som inledningsvis har nämnts när det gäller att avgränsa och precisera området för den personliga integriteten präglar även frågans rättsliga reglering. Oavsett detta framgår det av den ovanstående översiktliga redovisningen av internationella instrument och konstitutionella regler att skyddet för den enskildes personliga integritet anses vara en del av de mänskliga fri- och rättigheterna. Det framgår dock även att skyddet för den personliga integriteten, i motsats till skyddet för flera andra mänskliga rättigheter, inte är absolut och statiskt med en för alla situationer given omfattning utan att omfånget av skyddet beror även av andra personers berättigade intressen och styrkan av dessa. Skyddet för den enskildes personliga integritet har alltså i dessa rättsliga instrument givits en sådan form att det är svårt att avgöra hur denna värdegrund i praktiken skall beaktas i utredningens arbete.
Vad gäller de aktuella reglerna i 2 kap. RF är dessa visserligen rättsligt bindande för det allmänna men de har utformats primärt för att rikta sig till lagstiftaren och är därmed egentligen inte ägnade att tillämpas direkt av domstol och andra rättstillämpande organ. Europakonventionen är numera svensk lag och kan naturligtvis som sådan tillämpas av domstolar och andra rättstillämpande organ. Men med hänsyn till den generella utformningen av artikel 8 torde ändå möjligheten för en enskild att med framgång åberopa artikeln vid en rättslig prövning av ett klagomål om kränkningar av den personliga integriteten vara mycket osäker. Personuppgiftslagen är den mest heltäckande lagstiftningen på området men den är ändå, trots sin i flera avseenden detaljerade utformning, i många stycken svårtolkad.
Det anförda visar att det finns revor i det rättsliga skyddet för den personliga integriteten. Det råder emellertid, såväl internationellt som nationellt, stor samstämmighet om att skyddet för den personliga integriteten är en mänsklig rättighet. Detta leder utredningen till slutsatsen att det får anses vara en demokratisk
Bakgrund SOU 2002:18
58
angelägenhet för staten att garantera att medborgarna har ett gott integritetsskydd. En sådan garanti kan staten enligt utredningens mening bara ställa ut genom lagstiftning.
Arbetslivet har en central plats i samhället och de skrivna och oskrivna regler som styr relationerna inom arbetslivet sätter sin prägel på samhället i övrigt. Det finns inte heller något annat samhällsområde som omfattar så många människor över så lång tid och där det förekommer så många olika situationer som kan innebära ett intrång i den personliga integriteten. Det faller sig därför naturligt att söka åstadkomma förbättringar för den enskildes personliga integritet framför allt inom arbetslivet. Härtill kommer även att de fackliga organisationerna har efterlyst ett förstärkt skydd för den personliga integriteten för arbetstagare och arbetssökande.
Utredningen har mot den nu tecknade bakgrunden funnit att den inledningsvis ställda frågan om det finns ett behov av en särskild integritetsskyddande lag i arbetslivet bör besvaras jakande.
59
3 Lagens syfte
3.1 Bakgrund
Av den genomgång, som utredningen har gjort av det nuvarande rättsliga skyddet för den personliga integriteten, vilket redovisas i ingående i följande kapitel, framgår att många situationer, som kan innebära ett hot mot en arbetstagares eller en arbetssökandes personliga integritet, inte täcks till fullo av det rättsliga skyddet. Det gäller såväl vid användningen av drogtester och andra medicinska kontroller som vid användningen av persondatorer, elektronisk post (e-post) och Internet i arbetet. Det finns även andra situationer, där den personliga integriteten i arbetslivet kan vara hotad, som täcks knapphändigt av gällande regelsystem.
Den mest heltäckande lagstiftningen vad gäller skyddet för den personliga integriteten är personuppgiftslagen, fortsättningsvis PUL. Men trots sin relativt detaljerade utformning är den ändå inte tillräckligt konkretiserad för att ge en säker vägledning i flera av de i PUL redovisade situationerna. Orsaken till detta är att PUL grundas på EG-direktivet om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, det s.k. dataskyddsdirektivet. Detta direktiv har visserligen en ovanligt fyllig ingress men, i likhet med övriga EGdirektiv, inte några egentliga förarbeten enligt svensk modell. Tolkningen av ord och uttryck i direktivet skall därför i princip ske genom avgöranden av EG-domstolen. Det innebär att även tolkningen av PUL är avhängig av EG-domstolens rättstillämpning. Svenska domstolar är alltså skyldiga att i tveksamma fall inhämta förhandsbesked från EG-domstolen angående tolkningen av dataskyddsdirektivet som ligger bakom PUL. Man kan därför räkna med att det kommer att ta avsevärd tid innan det finns en mer fullständig praxisbildning på området.
Lagens syfte SOU 2002:18
60
Avsaknaden av ett effektivt rättsligt skydd och det osäkra rättsläget vad avser tillämpningen av PUL skapar vissa problem på arbetslivets område. Frågor som rör arbetstagares och arbetssökandes personliga integritet uppmärksammas också numera i ökande omfattning, såväl ute på arbetsplatserna som i den allmänna debatten. Det har också på senare tid rests krav från de fackliga organisationernas sida på att staten skall ingripa och stärka integritetsskyddet inom arbetslivet. Med hänsyn till att skyddet för den personliga integriteten får anses vara en mänsklig rättighet har utredningen för egen del ansett det närmast självklart att det bör tillskapas tydligare regler som kan garantera ett mer tillfredsställande skydd för den personliga integriteten just i arbetslivet.
I avsnitt har konstaterats att trenden på arbetsmarknaden är att arbetsgivare och arbetstagare får ett mer omfattande samarbete i de flesta frågor som rör arbetslivet. Det förefaller även att växa fram en ökad insikt om behovet av samsyn mellan arbetsgivare och arbetstagare i frågor som rör skyddet för arbetstagares personliga integritet, såväl inom den offentliga som inom den privata sektorn. Riktlinjer/policies och ordningsregler för hanteringen av arbetsgivarens datorer – framför allt beträffande användningen av e-post – och för genomförandet av hälsoundersökningar och drogtester tillkommer sålunda i ökande omfattning i samråd eller samarbete med de anställda och deras företrädare.
3.2 Överväganden och förslag
Utredningen föreslår: I en inledande bestämmelse bör anges att
lagens syfte är att med utgångspunkt i PUL stärka skyddet för den personliga integriteten i arbetslivet.
Utredningen vill främja utvecklingen av samarbetet mellan arbetsgivare och arbetstagare när det gäller skyddet för den personliga integriteten och anser att det för detta ändamål bör införas lagregler som klargör omfattningen av skyddet för den personliga integriteten i vissa konkreta situationer. Dessa lagregler kan sedan tjäna som utgångspunkt för överenskommelser mellan arbetsgivare och arbetstagare om preciseringar och förstärkningar av reglerna. Detta ger såväl arbetsgivare som arbetstagare en säkrare grund att stå på vid hanteringen av dessa integritetsfrågor.
De olika situationer i arbetslivet som utredningen enligt sina direktiv skall behandla är framför allt förknippade med insamlingen
SOU 2002:18 Lagens syfte
61
och användningen av personliga och ofta känsliga uppgifter om arbetstagare eller arbetssökande. En ny lag bör därför vara inriktad på att reglera behandlingen av sådana personuppgifter. Det bästa sättet att åstadkomma detta är enligt utredningens mening att med utgångspunkt i PUL utforma en lag med sikte på de situationer i arbetslivet som omfattas av utredningens uppdrag. En sådan lag bör dock inte vara begränsad till att konkretisera de regler av särskilt intresse för arbetslivet som finns i PUL utan den bör ha ett något bredare anslag och därmed omfatta även vissa frågor som inte behandlas i PUL.
Utredningen föreslår därför att det med PUL som utgångspunkt införs en lag för att stärka integritetsskyddet i arbetslivet. Av förslaget följer att de principer som ligger till grund för PUL därmed också blir styrande för behandlingen av personuppgifter enligt den nya lagen. Även för tillämpningen av den nya lagen gäller således att personuppgifter får behandlas bara på ett sätt som är förenligt med relevans-, finalitets- och proportionalitetsprinciperna.
Med den utgångspunkten faller det sig naturligt att den nya lagen, i likhet med PUL, får en generell utformning och omfattar hela arbetslivet. Som en följd härav har målsättningen för utredningens arbete varit att det inte bör göras någon åtskillnad mellan den offentliga och den privata sektorn av arbetsmarknaden utan att det så långt som möjligt skall finnas ett likvärdigt skydd för den personliga integriteten inom hela arbetslivet. Utredningen återkommer till detta i det följande kapitlet som handlar om lagens tilllämpningsområde.
Den nya lagen bör vidare, liksom PUL, i princip vara teknikoberoende. Det innebär att de föreslagna bestämmelserna skall kunna tillämpas oberoende av de tekniska metoder och strukturer med vilkas hjälp personuppgifter behandlas. Med hänsyn till den synnerligen snabba utvecklingen av såväl informationstekniken som den medicinska tekniken är det nödvändigt med en sådan ordning för en lagstiftning som avses vara normerande för arbetsmarknaden under överskådlig tid framöver.
I direktiven anges att behovet av integritetsskydd för arbetssökande skall belysas särskilt. Orsaken till detta är att olika integritetsfrågor aktualiseras på ett påtagligt sätt just vid anställningsförfarandet, eftersom den arbetssökande då ofta befinner sig i ett utsatt läge. Särskild uppmärksamhet skall alltså ges åt situationen för de arbetssökande och det innebär enligt utredningens mening att den nya lagen skall jämställa arbetssökande med arbetstagare så
Lagens syfte SOU 2002:18
62
snart detta är praktiskt lämpligt och genomförbart. Utredningen återkommer även till detta i kapitlet om lagens tillämpningsområde.
Namnet på den nya lagen föreslås vara Lag om skydd för personlig integritet i arbetslivet, fortsättningsvis i betänkandet förkortat till
LIA.
3.3 Förhållandet till dataskyddsdirektivet
Frågan är då vilka gränser som sätts av dataskyddsdirektivet för en sådan lagstiftning som LIA avses vara. Enligt artikel 1 i direktivet får medlemsstaterna inte föreskriva vare sig ett bättre eller ett sämre skydd än vad som följer av direktivet. I ingressen till direktivet under punkten 22 öppnas dock en möjlighet till vissa preciseringar. Där sägs följande.
Medlemsstaterna bör i sin lagstiftning eller genom andra bestämmelser som antas för att genomföra detta direktiv närmare ange de allmänna villkoren för att en behandling skall vara tillåten. Särskilt artikel 5 jämförd med artiklarna 7 och 8 tillåter medlemsstaterna att, oavsett de allmänna regler som gäller, ange särskilda villkor för behandlingen av uppgifter på särskilda områden och för de olika kategorier av uppgifter som behandlas i artikel 8.
Av artikel 7 framgår bl.a. att personuppgifter får behandlas endast om behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade (punkten d) eller om behandlingen är nödvändig för ändamål som rör berättigade intressen hos den registeransvarige eller hos den eller de tredje män till vilka uppgifterna har lämnats ut, utom när sådana intressen uppvägs av den registrerades intressen eller dennes grundläggande frioch rättigheter som kräver skydd under artikel 1.1 (punkten f).
I artikel 8 punkten 1 görs en uppräkning av särskilda kategorier av uppgifter som i princip är förbjudna att behandla. Dit hänförs sådana uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. I punkten 2 görs vissa undantag från denna huvudregel. Behandling får sålunda ske bl.a. om behandlingen är nödvändig för att fullgöra de skyldigheter och särskilda rättigheter som åligger den registeransvarige inom arbetsrätten, i den omfattning detta är tillåtet enligt en nationell lagstiftning som föreskriver lämpliga skyddsåtgärder. I punkten 4
SOU 2002:18 Lagens syfte
63
anges vidare att under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse får medlemsstaterna antingen i sin nationella lagstiftning eller genom ett beslut av tillsynsmyndigheten besluta om andra undantag än de som nämns i punkten 2.
Förhållandet till dataskyddsdirektivet kommenteras särskilt i följande kapitel i samband med de olika bestämmelserna i lagförslaget.
65
4 Lagens tillämpningsområde
4.1 Överväganden och förslag
Utredningen föreslår: LIA bör tillämpas på all behandling som
arbetsgivare utför av arbetstagares och arbetssökandes dokumenterade personuppgifter inom lagens område. För sådan behandling som är helt eller delvis automatiserad eller i registerform bör bestämmelserna i PUL tillämpas i den mån som de inte ersätts av LIA. När det gäller helt manuell behandling av personuppgifter skall även 7–9 §§ PUL gälla.
LIA skall vidare gälla för hela arbetsmarknaden och med arbetstagare avses i förekommande fall även tidigare arbetstagare.
Om det i någon annan lag än PUL eller i en förordning finns bestämmelser som avviker från LIA, skall dessa bestämmelser tillämpas.
I detta kapitel lämnas en redogörelse för LIA:s tillämpningsområde, framför allt i förhållande till PUL men även till andra författningar, samt för innebörden av de viktigare begrepp som används. Dessutom redovisar utredningen sina överväganden beträffande ett förstärkt integritetsskydd för arbetssökande samt hur man bör se på skillnaden i integritetsskyddet mellan offentliganställda och privatanställda
Lagens tillämpningsområde SOU 2002:18
66
4.2 Förhållandet till andra författningar
4.2.1 Förhållandet till PUL
4.2.1.1 Allmänt
Som har framgått av det föregående kapitlet om lagens syfte är LIA en lagstiftning som tar sin utgångspunkt i PUL. Det innebär att de föreslagna bestämmelserna i LIA ersätter eller kompletterar de regler i PUL som bedömts vara av särskild betydelse för den personliga integriteten i arbetslivet. LIA innefattar alltså både en precisering och en förstärkning av PUL:s regler när det gäller skyddet för arbetstagares och arbetssökandes personliga integritet. Men LIA gäller inte bara för den behandling som omfattas av PUL, dvs. sådan behandling som är helt eller delvis automatiserad eller i registerform, utan LIA omfattar även den helt manuella behandling som utförs av arbetsgivare och som hittills varit oreglerad.
När det gäller den helt manuella behandlingen så tillämpas följaktligen bara bestämmelserna i LIA. Men eftersom 7–9 §§ PUL gjorts tillämpliga på all behandling genom en hänvisning i LIA så är arbetsgivare skyldiga att iaktta dessa regler även vid den manuella behandlingen. Det innebär bl.a. att de grundläggande kraven på behandlingen av personuppgifter som har lagts fast i artikel 6 i dataskyddsdirektivet och i 9 § PUL1 gäller för all behandling och således även för helt manuell behandling. Tillämpningen av LIA när det gäller den helt manuella behandlingen bör dock enligt utredningens uppfattning inte medföra några nämnvärda juridiska komplikationer. Däremot finns det anledning att något närmare beröra förhållandet mellan LIA och PUL
Förhållandet mellan LIA och PUL är detsamma som normalt gäller mellan allmän lag och speciallag, dvs. att speciallag gäller före allmän lag. Att så är fallet har också uttryckligen slagits fast i 2 § PUL, där det föreskrivs att avvikande bestämmelser i annan lag eller i en förordning gäller före PUL:s bestämmelser. Den nu beskrivna ordningen överensstämmer med en allmän rättsgrundsats, lex specialis, som säger att en bestämmelse som reglerar ett speciellt förhållande har företräde framför en bestämmelse av mer allmän karaktär. En specialiserad regel uppfattas som ett undantag från den allmänna regeln och denna gäller alltså inte om den specialiserade regeln är tillämplig.
1 För lagtext och förarbeten till 9 §, se författningskommentaren och bilaga 2.
SOU 2002:18 Lagens tillämpningsområde
67
Med hänsyn till att PUL är en allmän lag, som omfattar all behandling av personuppgifter som sker helt eller delvis automatiserat eller i registerform, omfattar lagen självfallet även arbetsgivares behandling av arbetstagares personuppgifter. Det medför att tillämpningsområdena för LIA och PUL delvis sammanfaller och att det således kan uppkomma konkurrens mellan bestämmelser i de båda lagarna. Om en arbetstagares personuppgifter behandlas automatiserat eller i registerform skall nämligen PUL tillämpas, men lex specialis-principen innebär att LIA skall tillämpas i stället för PUL när LIA innehåller bestämmelser som avviker från eller innebär preciseringar av PUL.
LIA ger inom sitt tillämpningsområde den yttre ramen och de grundläggande förutsättningarna för den behandling som är tillåten beträffande arbetstagares personuppgifter. Om förutsättningarna för en viss behandling inte är uppfyllda enligt LIA har arbetsgivaren alltså inte någon rätt att behandla de aktuella uppgifterna överhuvudtaget. I de fall när LIA förbjuder en viss behandling kommer LIA alltså att inskränka PUL:s tillämpningsområde, eftersom en behandling som tidigare varit tillåten nu kommer att vara förbjuden.
De situationer där konkurrens mellan lagarna möjligen kan orsaka vissa bekymmer är när behandling av arbetstagares personuppgifter är tillåten enligt LIA och arbetsgivaren väljer att behandla uppgifterna automatiserat eller i registerform. Svårigheterna skall dock inte överdrivas. I fråga om arbetsgivarens skyldighet enligt PUL att lämna information till arbetstagaren eller att vidta rättelse av en felaktig eller ofullständig personuppgift föreslår utredningen att PUL:s bestämmelser i dessa avseenden görs tillämpliga i viss utsträckning även enligt LIA och i flera andra fall innehåller båda lagarna uttryckliga regler om förutsättningarna för behandlingen av personuppgifter. En närmare redogörelse för hur man bör se på detta finns i motiveringen till varje bestämmelse.
4.2.1.2 Relevans-, finalitets- och proportionalitetsprinciperna
Gemensamt för LIA och PUL är att båda lagarna syftar till att skydda den personliga integriteten genom att reglera behandlingen av personuppgifter. Bestämmelserna i 9 § PUL, som ger uttryck för de grundläggande principerna om relevans, finalitet och proportionalitet skall därför självfallet gälla även vid tillämpningen av LIA.
Lagens tillämpningsområde SOU 2002:18
68
Principerna om relevans, finalitet och proportionalitet har varit styrande för utarbetandet av dataskyddsdirektivet och PUL. I det reviderade förslag jämte förklarande anmärkningar som EUkommissionen avlämnande i anledning av det första förslaget till dataskyddsdirektiv (COM(92) 422 final – SYN 287 och EGT nr C 311, 27.11.1992), i det slutligen antagna direktivet 95/46/EG, i Datalagskommitténs betänkande Integritet Offentlighet Informationsteknik (SOU 1997:39) och i propositionen 1997/98:44 Personuppgiftslag har man resonerat kring dessa principer och deras utformning. De resonemang som förs där är emellertid relativt kortfattade och avslutas i flera fall endast med konstaterandet att principernas betydelse vid en tillämpning får avgöras i praxis eller i kompletterande föreskrifter.
Såväl i artikel 6 i direktivet som i 9 § PUL uttrycks relevansprincipen på så sätt att de personuppgifter som samlas in skall vara relevanta i förhållande till ändamålen med behandlingen. Av kommissionens förklaring framgår att detta innebär att uppgifterna måste korrespondera med de mål man vill uppnå med behandlingen. Insamlingen av uppgifterna får bara ske för särskilda, uttryckligt angivna och berättigade ändamål, vilket innebär att ändamålen med behandlingen av personuppgifterna måste bestämmas av den personuppgiftsansvarige redan när uppgifterna samlas in. En alltför allmänt hållen ändamålsangivelse godtas inte utan avsikten är att användningen av personuppgifter skall definieras så precist som möjligt. Som exempel på en ändamålsangivelse som inte uppfyller kraven anger kommissionen en beskrivning som består däri att behandling skall ske för kommersiellt ändamål.
Ändamålen för vilka personuppgifterna samlas in skall vidare vara berättigade. I vilka situationer detta kan sägas vara fallet framgår inte närmare vare sig av kommissionens förklaring, direktivet eller förarbetena till PUL. Det anmärks i Datalagskommitténs betänkande att det inte kan sägas säkert om detta krav bör ges någon självständig betydelse vid en tillämpning av bestämmelserna.2
Relevanskravet är grundläggande för LIA och genomsyrar följaktligen hela lagförslaget. En relevansbedömning skall göras i varje särskilt fall eller serie av fall när en arbetstagares personuppgifter behandlas och är avgörande för vilka personuppgifter som får behandlas. Relevanta uppgifter är t.ex. sådana uppgifter
2 Se SOU 1997:39 s. 350.
SOU 2002:18 Lagens tillämpningsområde
69
som arbetsgivaren behöver för att kunna bedöma om arbetstagaren utför eller kan utföra sina arbetsuppgifter på ett riktigt sätt eller för att kunna följa bestämmelser i kollektivavtal och författningar. Att här ange närmare vilka uppgifter som skall anses betydelsefulla i varje tänkbar situation är dock inte möjligt. Detta uttrycks väl i de riktlinjer om arbetstagares integritetsskydd som har utarbetats av en expertgrupp inom ILO:
Both the variety of reasons for processing workers’ personal data and the growing amount of data which are collected and used illustrate the difficulty of deriving viable solutions to the numerous problems that can arise in this connection at the workplace from all-purpose rules for data-processing.3
En relevansbedömning skall även göras vid behandlingen av en arbetssökandes personuppgifter under anställningsförfarandet och det innebär att arbetsgivarens möjlighet att samla in personuppgifter om arbetssökanden begränsas till vad som är nödvändigt för att kunna bedöma den arbetssökandes behörighet och lämplighet för anställningen. Uppgifter om familjeförhållanden och fritidsintressen torde därmed endast undantagsvis kunna anses relevanta. Härav följer även att en arbetssökande kan underlåta att lämna uppgifter som inte är relevanta för den ifrågavarande anställningen. En arbetssökande torde inte heller kunna ställas till ansvar för felaktiga eller ofullständiga uppgifter som lämnas som svar på irrelevanta frågor av arbetsgivaren.4
Relevanskravet skall vidare tillämpas vid behandlingen av personuppgifter som samlas in genom hälsoundersökningar, drogtester, personlighetstester eller kontroller av lagöverträdelser. I relevanskravet ligger även en skyldighet för arbetsgivaren att rätta felaktiga eller ofullständiga personuppgifter eller utplåna föråldrade personuppgifter.
Relevansprincipen kompletteras i 9 § PUL med den inte mindre viktiga finalitetsprincipen. Där föreskrivs sålunda att personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Några särskilda kommentarer till denna bestämmelse ges inte i förarbetena. I stället framhålls att vad som är oförenligt med de ursprungliga ändamålen får bestämmas genom praxis och kompletterande föreskrifter. För
3 Se ILO Code of practice on the protection of workers’ personal data, Commentary, 1. Preamble.4 Jfr EG C–109/00 Tele Danmark A/S.
Lagens tillämpningsområde SOU 2002:18
70
att förhindra att bestämmelsen kringgås genom att personuppgifter lämnas ut till någon annan, som i sin tur bestämmer nya ändamål för behandlingen som är oförenliga med de ursprungligen bestämda, betonas vidare att ett utlämnande till annan av personuppgifter måste vara förenligt med de ursprungliga ändamålen.5
Även proportionalitetsprincipen kommer till uttryck i 9 § PUL. Där föreskrivs att inte fler personuppgifter får behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen. Vid tillämpningen av LIA innebär detta att arbetsgivaren måste begränsa insamlingen av personuppgifter avseende en arbetstagare eller en arbetssökande till vad som verkligen krävs i förhållande till de aktuella arbetsuppgifterna.
I detta sammanhang kan även uppmärksammas vad som anförs i 10 § PUL beträffande proportionaliteten mellan den personuppgiftsansvariges och den registrerades intressen. Där sägs att personuppgifter får behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen eller om behandlingen är nödvändig för att ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. 10 § PUL ersätts emellertid genom bestämmelserna i LIA. Bestämmelserna i LIA grundas nämligen på överväganden om i vilka situationer som arbetsgivaren har rätt att behandla vissa personuppgifter om en arbetstagare och en avgörande del i dessa överväganden utgörs av en ingående bedömning av om behandlingen är berättigad vid en avvägning mellan arbetsgivarens och arbetstagarens respektive intressen. Utrymmet för samtycke av arbetstagaren har vidare starkt begränsats genom bestämmelserna i LIA. LIA innehåller alltså i förekommande fall en uttömmande reglering av när behandling av personuppgifter är tillåten. Bestämmelserna i LIA utgör således en specialreglering av 10 § och tar över denna regel.
4.2.2 Förhållandet till tryck- och yttrandefriheten samt till offentlighetsprincipen
Bestämmelserna i 7 och 8 §§ PUL klargör PUL:s förhållande till grundlagsstadgandena om tryck- och yttrandefriheten samt till
5 Se SOU 1997:39 s. 351.
SOU 2002:18 Lagens tillämpningsområde
71
offentlighetsprincipen. Av 7 § framgår att PUL inte skall tillämpas i den utsträckning som det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i TF eller YGL. Vidare görs i paragrafen betydande undantag för sådan behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller för konstnärligt eller litterärt skapande. Vad därefter avser förhållandet till offentlighetsprincipen föreskrivs i 8 § att bestämmelserna i PUL inte skall tillämpas i den utsträckning som det skulle inskränka en myndighets skyldighet enligt 2 kap. TF att lämna ut personuppgifter.
Utredningen anser att bestämmelserna som klargör förhållandet till tryck- och yttrandefriheten samt till offentlighetsprincipen bör tillämpas även för helt manuell behandling av personuppgifter och föreslår därför att en hänvisning till 7 och 8 §§ PUL görs i LIA.
4.2.3 Förhållandet till andra författningar m.m.
När det gäller LIA:s förhållande till andra författningar föreslår utredningen att kollisions- och konkurrenssituationer får lösas med tillämpning av den allmänna rättsprincipen lex specialis. Någon mer fullständig redovisning av författningar som kan innebära att det uppstår sådana situationer görs inte här. Nämnas bör dock några av de viktigaste.
Exempel på sådana författningar som har företräde framför LIA är säkerhetsskyddslagen (1996:627) och säkerhetsskyddsförordningen (1996:633), lagen (1994:260) om offentlig anställning (LOA) och anställningsförordningen (1994:373) samt lagen (1994:260) om fullmaktsanställning och verksförordningen (1995:1322). Andra exempel är livsmedelslagen ( 1971:511), järnvägssäkerhetslagen (1990:1157), strålskyddslagen (1988:220) och fartygssäkerhetslagen (1988:49) som alla är att betrakta som speciallagar i förhållande till LIA.
Här bör också uppmärksammas att vissa känsliga personuppgifter som omfattas av LIA:s reglering kan vara skyddade av sekretessbestämmelser. LIA innehåller inte någon reglering som medför att gällande sekretessbestämmelser inte skall tillämpas. Det uppkommer därför inte någon konflikt mellan sekretesslagen och LIA utan sekretesslagen och den anknytande förordningen gäller fullt ut. Arbetsgivaren är alltså skyldig att även i fortsättningen beakta sekretessen i fråga om de uppgifter som behandlas enligt LIA.
Lagens tillämpningsområde SOU 2002:18
72
4.3 Vissa begrepp som används i LIA
Generellt kan sägas att det förhållandet att LIA har sin utgångspunkt i PUL innebär att definitionerna av de beteckningar som används i de båda lagarna bör vara desamma. När definitionerna inte direkt sammanfaller finns det därför anledning att kommentera detta närmare. Det gäller framför allt definitionen av det centrala begreppet behandling. I det följande tar utredningen även upp begreppen personuppgift och samtycke som visserligen är desamma i båda lagarna men ändå bedöms vara så väsentliga att de bör redovisas här. Slutligen redogörs för begrepp som har hämtats från den arbetsrättsliga lagstiftningen och i anslutning därtill tas också upp vissa frågor som har aktualiserats i sammanhanget.
4.3.1 Behandling
I LIA används beteckningen behandling som ett samlingsbegrepp för alla tänkbara åtgärder som vidtas med personuppgifter. LIA:s begrepp överensstämmer därmed med den definition av begreppet som ges i artikel 2 b) i dataskyddsdirektivet och i 3 § PUL.6 Det överensstämmer däremot inte med tillämpningsområdet för PUL. Enligt 5 § PUL är lagen nämligen avsedd att tillämpas bara på sådan behandling som sker helt eller delvis automatiserat eller i registerform.
I det följande kommer sådan manuell behandling som inte omfattas av PUL – och som alltså inte avser personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier – att betecknas som helt manuell behandling.
LIA har således ett vidare tillämpningsområde än PUL, vilket innebär att det i LIA inte görs någon åtskillnad mellan skyddet för personuppgifter som behandlas helt manuellt och skyddet för personuppgifter som behandlas helt eller delvis automatiserat eller i registerform. LIA tillämpas både på personuppgifter som t.ex. skrivs ner på lösa lappar och på personuppgifter som förs in i manuella register eller som registreras automatiskt, allt under förutsättning att behandlingen av uppgifterna hänför sig till någon av de i lagen reglerade situationerna. LIA är därmed helt teknikoberoende.
6 Se författningskommentaren och bilaga 2.
SOU 2002:18 Lagens tillämpningsområde
73
4.3.2 Personuppgift/dokumenterad personuppgift
Begreppet personuppgift innefattar, i likhet med definitionen i 3 § PUL, all slags information som direkt eller indirekt kan hänföras till en person som är i livet. LIA tillämpas också, liksom PUL, bara beträffande personuppgifter som är dokumenterade.
Personuppgiften skall alltså ha beständigats på något sätt. En muntlig personuppgift som arbetsgivaren får, antingen av arbetssökanden eller arbetstagaren själv eller på annat sätt, omfattas inte av LIA om inte uppgiften på något sätt har dokumenterats. Muntliga personuppgifter som en arbetsgivare får t.ex. under en anställningsintervju omfattas inte av LIA, med mindre än att uppgifterna dokumenterats under eller efter intervjun. Det är alltså själva dokumentationen av uppgifterna som är avgörande, inte den avsikt som arbetsgivaren kan ha haft när det gällde att dokumentera informationen. Med dokumenterad behandling avses t.ex. skriftlig behandlig av personuppgifter, behandling genom ljud- eller bildupptagning samt automatiserad eller mekanisk behandling.
De muntliga svar som en arbetstagare eller en arbetssökande ger vid en anställningsintervju faller därmed utanför LIA:s tillämpningsområde, om inte arbetsgivaren har dokumenterat uppgifterna på något sätt. Under utredningens arbete har aktualiserats frågan om inte arbetsgivaren borde förbjudas att ställa muntliga frågor till en arbetssökande som inte är relevanta för den sökta anställningen. Utredningen återkommer i avsnitt 4.4.2 till detta.
4.3.3 Samtycke
Samtycke är ett viktigt begrepp enligt dataskyddsdirektivet och PUL. Samtycke till en behandling av personuppgifter innebär att man frivilligt avstår från det integritetsskydd som direktivet och lagen erbjuder. Enligt PUL kan den enskilde samtycka till behandling av personuppgifter i många sammanhang, t.o.m. till en behandling som upphäver förbudet mot behandling av känsliga personuppgifter. I LIA däremot finns det inte något utrymme för samtycke beträffande känsliga uppgifter, vilket framgår i det följande vid redovisningen av förslagen till de olika bestämmelserna.
Såväl i dataskyddsdirektivet som i PUL har samtycke definierats som varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den enskilde, efter att ha fått information, godtar behandling
Lagens tillämpningsområde SOU 2002:18
74
av personuppgifter som rör honom eller henne. Utredningen ansluter sig till denna definition som enligt utredningens mening väl fyller funktionen att vara en spärr mot oöverlagda eller ofrivilliga samtycken.
4.3.4 Arbetsgivare, arbetstagare och arbetssökande
Begreppen arbetsgivare, arbetstagare och arbetssökande har samma innebörd i LIA som inom den arbetsrättsliga lagstiftningen och det torde i de flesta fall inte bereda några svårigheter att avgöra vem som avses med begreppen.
Beträffande arbetsgivarbegreppet har det dock under utredningens arbete ifrågasatts om inte det inte borde klarläggas att arbetsgivaren är den som har det samlade ansvaret för anställningen av en arbetstagare, inbegripet rekryteringsförfarandet. Frågan har behandlats i propositionen 1999/2000:143 om ändringar i jämställdhetslagen och där uttalas bl.a. följande (s. 46).
Även i de fall en arbetsgivare anlitar s.k. headhunters eller särskilda rekryteringsföretag inför en rekrytering, kan det tänkas inträffa att arbetssökande väljs bort på ett sätt som innebär diskriminering. Också sådana förfaranden bör omfattas av diskrimineringsförbudet och arbetsgivaren bör alltså kunna göras ansvarig i förhållande till en arbetssökande. Det får därefter ankomma på arbetsgivaren att i sin tur vända sig till sin avtalspart och regressvis kräva ersättning för utgivet skadestånd. En sådan ordning innebär att en arbetsgivare inte kan kringgå diskrimineringsförbudet genom att t.ex. uppdra åt en rekryteringsfirma att sköta en rekrytering och därvid ge direktiv om att vissa arbetssökande skall sållas bort.
Jämställdhetslagen och LIA syftar båda till att skydda arbetssökande mot en godtycklig behandling under anställningsförfarandet. Utredningen anser därför, inte minst av praktiska skäl, att man bör ha samma syn på arbetsgivarbegreppet i de båda lagarna och att arbetsgivarens ansvar sålunda bör bedömas på samma sätt vid tillämpningen av LIA som vid tillämpningen av jämställdhetslagen. Ansvaret för hela det anställningsförfarande som arbetsgivaren står bakom bör således även vid tillämpningen av LIA ligga hos arbetsgivaren och arbetsgivaren kan inte frånhända sig detta genom att anlita headhunters eller särskilda rekryteringsföretag. Om den personliga integriteten hos en arbetssökande kränks
SOU 2002:18 Lagens tillämpningsområde
75
genom att ett rekryteringsföretag inte följer LIA:s bestämmelser kan alltså arbetsgivaren göras ansvarig för kränkningen. Därav följer att det ligger i arbetsgivarens intresse med hänsyn till såväl jämställdhetslagen som LIA att lämna noggranna instruktioner när ett uppdrag läggs ut på ett rekryteringsföretag eller liknande och att sedan följa upp hur uppdraget utförs.
4.4 Ett förstärkt integritetsskydd för arbetssökande
4.4.1 Allmänt
För arbetstagare kommer de föreslagna bestämmelserna i LIA att innebära att arbetsgivarens rätt att behandla vissa personuppgifter begränsas jämfört med vad som gäller i dag. Arbetstagaren kommer därmed att garanteras ett ökat integritetsskydd. Utredningen har tidigare i kapitel 2 fört fram de argument som motiverar detta. Där framgår att samma argument som anförs för ett stärkt integritetsskydd för arbetstagare även kan anföras till stöd för ett likvärdigt skydd för arbetssökande.
För att ge arbetssökande ett sådant skydd bör de bestämmelser i LIA som föreslås beträffande hälsoundersökningar, drogtester, personlighetstester och lagöverträdelser gälla även för arbetssökande. Bestämmelserna om inhämtande och förvaring av personuppgifter, information, rättelse, tystnadsplikt, sanktioner och processuella regler bör också tillämpas för arbetssökande. I vilka konkreta situationer som reglerna ger ett förstärkt skydd framgår närmare vid redovisningen av de särskilda förslagen.
4.4.2 Ett förbud mot muntliga frågor?
Från olika håll har framförts att det i LIA borde införas ett förbud för arbetsgivare att under ett anställningsförfarande ställa muntliga frågor som inte är relevanta i förhållande till anställningen, t.ex. frågor om familjeplanering och andra familjeförhållanden eller om olika fritidsintressen. Vidare har sagts att det åtminstone borde införas ett förbud för arbetsgivaren att ställa muntliga frågor till kvinnliga arbetssökande om graviditet och därmed sammanhängande förhållanden.
Utredningen vill med anledning härav framhålla följande. Som ovan anförts krävs det enligt LIA att arbetsgivaren på något sätt
Lagens tillämpningsområde SOU 2002:18
76
skall ha dokumenterat de svar som arbetsgivaren får genom att ställa muntliga frågor till en arbetssökande för att behandlingen av dessa personuppgifter skall omfattas av LIA. För det fall att uppgifterna har dokumenterats innebär tillämpningen av relevansprincipen att uppgifterna måste ha en direkt koppling till den sökta anställningen. Arbetsgivaren får alltså bara samla in sådana personuppgifter som verkligen behövs för anställningen. Ofullständiga eller t.o.m. felaktiga svar på frågor som inte är relevanta bör då inte heller få några negativa verkningar för arbetssökanden. Med hänsyn till att EG-domstolen i ett nyligen avgjort förhandsbesked har slagit fast att en arbetsgivare inte får säga upp en gravid kvinna som på grund av graviditeten inte kunnat arbeta under större delen av en visstidsanställning, trots att hon inte har upplyst arbetsgivaren om graviditeten vid anställningstillfället, torde det stå klart att en uppgift om graviditet som regel inte kan anses vara relevant i en anställningssituation.7
Det är dessutom inte påkallat att införa ett frågeförbud i LIA av den anledningen att det i jämställdhetslagen redan finns ett väl fungerande skydd mot diskriminering av arbetssökande i den situation som ett frågeförbud i LIA skulle vara avsett att reglera. Genom de ändringar som infördes i jämställdhetslagen vid årsskiftet 2000/2001 (prop. 1999/2000:143) har nämligen skyddet för arbetssökande stärkts avsevärt. Skyddet omfattar numera hela anställningsförfarandet från den tidpunkt då den enskilde ansöker om anställning till den tidpunkt då arbetsgivaren fattar anställningsbeslutet. Det omfattar t.ex. arbetsgivarens mottagande, behandling och gallring av ansökningshandlingar, urval till intervjuer, referenstagning och andra kontakter med tidigare arbetsgivare, lämplighetstester och andra åtgärder som arbetsgivaren kan tänkas vidta under ett rekryteringsskede. Jämställdhetslagen hindrar alltså att en arbetssökande enbart på grund av könstillhörighet sållas bort.
Med hänsyn till det anförda konstaterar utredningen att det inte finns skäl att lämna något förslag i detta avseende.
4.5 Offentliganställda och privatanställda
Utredningen föreslår att LIA skall tillämpas på alla arbetstagare inom såväl offentlig som privat sektor. Det finns enligt utredning-
7 Se EG-domstolens dom i mål nr C-109/00 Tele Danmark A/S.
SOU 2002:18 Lagens tillämpningsområde
77
ens mening många fördelar med en enhetlig integritetsskyddande lagstiftning i ett arbetsliv där förändringsbenägenheten och rörligheten blir allt mer påtaglig. Förutom de omstruktureringar som följer på grund av växlande konjunkturer sker även en förändring av den offentliga ägarrollen på olika sätt. I både statlig och kommunal verksamhet anlitas numera i stor utsträckning privata entreprenörer för olika typer av verksamhet, varav vissa även kan innefatta myndighetsutövning. Särskilt i kommuner överlämnas inte sällan hela verksamhetsgrenar till privata företag, t.ex. inom kommunikationssektorn. Stat och kommun har också i många fall och i ökande omfattning bolagiserat vissa av sina verksamheter. Arbetstagare som tidigare varit anställda av stat eller kommun kan då i många fall ha övergått till att bli anställda av bolagen, där deras tidigare arbetsgivare är den enda ägaren, och detta har bidragit till att arbetsgivarfunktionen blivit oklar för många arbetstagare. Den självvalda rörligheten bland de anställda har också ökat betydligt och en arbetstagare byter numera på eget initiativ som regel anställning och arbetsgivare flera gånger under sin verksamma tid.
Allt detta har övertygat utredningen om att LIA i princip bör gälla över hela arbetsmarknaden. Frågan är då vilka skillnader som finns i dag beträffande det rättsliga integritetsskyddet för offentliganställda och för privatanställda och i vad mån dessa skillnader kan påverka utformningen av lagförslaget.
Till en början kan konstateras att det inom den privata sektorn saknas bestämmelser om skydd för den enskildes personliga integritet medan det inom den offentliga sektorn finns regler såväl i RF som i LOA och i anställningsförordningen.
De grundläggande bestämmelserna om skyddet för den personliga integriteten för offentliganställda återfinns i RF. Redan i 1 kap. 2 § uttalas att det allmänna skall värna om den enskildes privatliv. Denna regel, som är ett målsättningsstadgande, konkretiseras i vissa avseenden i 2 kap. som handlar om de grundläggande fri- och rättigheterna. Enligt 2 kap. 3 § andra stycket skall varje medborgare i den utsträckning som närmare anges i lag skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av automatisk datahandling. Denna bestämmelse är formulerad som en direkt uppmaning till lagstiftaren och har därmed inte någon omedelbar skyddande effekt för den enskilde. I 2 kap. 6 § föreskrivs att varje medborgare gentemot det allmänna är skyddad mot påtvingade
Lagens tillämpningsområde SOU 2002:18
78
kroppsliga ingrepp, kroppsvisitation, husrannsakan och liknande intrång samt mot undersökning av brev eller annan förtrolig försändelse och mot hemlig avlyssning eller upptagning av telefonsamtal eller annat förtroligt meddelande. Dessa rättigheter får dock enligt 2 kap. 12 § under vissa omständigheter begränsas genom lag.
Närmare bestämmelser beträffande intrång i skyddet för den fysiska integriteten för offentliganställda finns i 30 § LOA, som ger arbetsgivaren möjlighet att utföra tvångsvisa undersökningar och kontroller. I paragrafens första stycke föreskrivs att om en arbetstagare har arbetsuppgifter där bristerna i arbetstagarens hälsotillstånd medför risk för människors liv, personliga säkerhet eller hälsa eller för betydande skador på miljö eller egendom, är arbetstagaren skyldig efter särskild uppmaning av arbetsgivaren att regelbundet genomgå hälsoundersökningar som är nödvändiga för att bedöma huruvida arbetstagaren har sådana brister i sitt hälsotillstånd. I andra stycket sägs att första stycket bara gäller för arbetstagare som enligt kollektivavtal eller föreskrifter av regeringen är skyldiga att genomgå hälsoundersökningar. Sådana föreskrifter finns bl.a. i det centrala kollektivavtalet AB 98. Det torde också finnas liknande bestämmelser i åtskilliga lokala kollektivavtal. Sådana kollektivavtal får tillämpas även på oorganiserade arbetstagare, om dessa sysselsätts i arbete som avses med avtalet.
Arbetssökande som deltar i ett anställningsförfarande hos arbetsgivare som bedriver statlig verksamhet har ett skydd för den fysiska integriteten genom 5 § anställningsförordningen. I den bestämmelsen föreskrivs att om arbetsuppgifterna i en anställning är sådana att särskilda krav måste ställas på den anställdes hälsotillstånd i något visst hänseende får myndigheten meddela föreskrifter om att den som skall anställas för arbetsuppgifterna skall lämna läkarintyg. De yrkeskategorier som är skyldiga att lämna läkarintyg torde i huvudsak vara samma som omfattas av bestämmelsen om periodiska läkarundersökningar i 30 § LOA.
Vid bedömningen av det integritetsskydd som offentliganställda har i de situationer som utredningen har att se över kan man konstatera följande. Regeln i 2 kap. 3 § RF andra stycket är främst ett direktiv till lagstiftaren att vara aktiv genom att stifta och vidmakthålla lagstiftning på området.8 Så har också skett framför
8 Se prop 1989/88:57 s. 11.
SOU 2002:18 Lagens tillämpningsområde
79
allt genom PUL. Utformningen av regeln innebär dock att den inte har någon direkt skyddande effekt för arbetstagares personliga integritet. Vad därefter avser det skydd som garanteras inom offentlig verksamhet för den fysiska integriteten, så gäller detta bara mot påtvingade kroppsliga ingrepp. Enligt förarbetena menas med skydd mot kroppsligt ingrepp främst ett skydd mot våld mot människokroppen, men också ett skydd mot läkarundersökningar, smärre ingrepp som vaccinationer och blodprovstagningar samt liknande företeelser som brukar betecknas som kroppsbesiktning som t.ex. utandningsprov.9 Av förarbetena till 2 kap. 6 § RF framgår att det inte är fråga om ett påtvingat ingrepp när den enskilde till följd av ingreppet kan komma i åtnjutande av en förmånlig behandling, t.ex. i form av en anställning.10 Det betyder att arbetssökande inte kommer i åtnjutande av detta grundlagsskydd. Den enskilde kan också avstå från grundlagsskyddet genom att samtycka till ingreppet.
I 2 kap. 6 § RF stadgas också om skydd för den enskilde mot husrannsakan och liknande åtgärder som företas av det allmänna. De åtgärder som avses har karaktär av sådana undersökningar som i allmänhet utförs av polis och som framför allt har processuella och exekutiva ändamål.11 Bestämmelsen torde därför ha begränsad betydelse för integritetsskyddet för offentliganställda i förhållande till arbetsgivaren. Bestämmelsen erbjuder också ett visst skydd för förtroliga meddelanden genom att det föreskrivs ett förbud för offentliga arbetsgivare att utan stöd i lag ta del av innehållet i sådana meddelanden. Skyddet gäller emellertid bara under den tid som brevet är under befordran. Arbetsgivares behov av att kontrollera exempelvis e-post torde därför begränsa sig till meddelanden som ännu inte skickats eller som arbetstagare redan tagit emot. Det kan därför ifrågasättas om skyddet för förtroliga meddelanden i praktiken har någon verkan när det gäller ITområdet.
Genomgången av ovanstående bestämmelser visar att dessa inte ger något heltäckande integritetsskydd för arbetstagare inom offentlig verksamhet. Detta medför enligt utredningens mening att man bör söka åstadkomma en lagstiftning som stärker integritetsskyddet på hela arbetsmarknaden och som i princip är lika för alla arbetstagare.
9 Se prop 1975/76:209 s. 56 och 147.10 Se a. prop. s. 145.11 Se a. prop. bl.a. s. 367 ff. och Holmberg m.fl. Grundlagarna s. 88.
Lagens tillämpningsområde SOU 2002:18
80
Vad därefter gäller arbetssökande som deltar i ett anställningsförfarande inom offentlig sektor är det främst skyddet för den fysiska integriteten som är föremål för reglering. I denna fråga ger RF inget skydd, eftersom förbudet i 2 kap. 6 § RF mot påtvingade kroppsliga ingrepp, enligt vad som sagts ovan, inte är tillämpligt i en anställningssituation. Arbetssökande till en tjänst inom statlig verksamhet har dock ett skydd för den fysiska integriteten genom 5 § anställningsförordningen. Liksom vad som gäller för arbetstagare kan det beträffande arbetssökande konstateras att skillnaderna i integritetsskyddet på arbetsmarknaden bara gäller i denna fråga. Även här anser utredningen därför att en lagstiftning som i princip är heltäckande och likartad för hela arbetsmarknaden utgör den bästa lösningen.
81
5 Arbetstagarnas användning av informationsteknik
5.1 Inledning
I utredningens direktiv anges att utredaren skall se över behovet av lagstiftning eller andra åtgärder för att stärka skyddet för den enskildes personliga integritet i arbetslivet. Översynen skall omfatta bl.a. frågor om användning av persondatorer, e-post och Internet i arbetet. Att persondatorn fortfarande har en central betydelse i dagens integrerade informations- och kommunikationssystem är självklart. Lika självklart är det att Internet, inklusive e-post, numera är ett så betydelsefullt inslag i arbetslivet att detta bör få stort utrymme i utredningens arbete. Som framgår av avsnitt 5.3.1 har den tekniska utvecklingen medfört allt större möjligheter till kommunikation mellan olika IT-verktyg och därmed möjligheter att integrera de olika funktionerna i större system för hantering av information. Enligt utredningens mening skulle området för utredningens arbete bli allt för snävt avgränsat om översynen i denna del skulle begränsas enligt direktivens ordalydelse till användning av persondatorer i arbetet. I stället kommer översynen att omfatta all användning av informationsteknik i arbetslivet. Därmed täcks dels de fall som uttryckligen anges i direktiven, dels vissa andra situationer som inte i egentlig mening innefattar användning av persondatorer i arbetet men där ändå användningen av informationsteknik innebär integritetsrisker för arbetstagarna.1 Redan här skall emellertid framhållas att utredningen inte kommer att behandla frågan om huruvida privat användning av arbetsgivarens ITverktyg får ske och i så fall hur det får ske. Detta är i första hand en fråga för arbetsgivaren att bestämma. Därmed kommer också frågan om åtgärder mot eventuella missbruk från arbetstagarnas
1 Som exempel på sådana fall kan nämnas situationer där arbetstagarnas användning av telefon kontrolleras med hjälp av funktioner i en digital växel eller där arbetsgivaren har möjlighet att kontrollera arbetstagarnas beteenden genom t.ex. funktioner för inpasseringskontroller eller satellitnavigering, se nedan avsnitt 5.3.2.
Arbetstagarnas användning av informationsteknik SOU 2002:18
82
sida, t.ex. när det gäller olämplig användning av Internet, att falla utanför utredningens arbete. Sådana frågor bör betraktas som ordningsfrågor som får hanteras enligt vad som normalt gäller på arbetsmarknaden.
5.2 Privata elektroniska uppgifter och loggning
Utredningen har funnit det ändamålsenligt att dela upp frågorna om risker för arbetstagares personliga integritet vid användning av informationsteknik i arbetslivet i två avsnitt, dels ett om integritetsskydd för arbetstagares privata elektroniska uppgifter, inklusive e-post, dels ett om integritetsskydd för elektroniska spår som samlas in vid användning av IT-verktyg, s.k. loggning. I båda fallen rör det sig om personuppgifter om arbetstagaren.
I någon mening kan visserligen båda dessa frågor anses gälla arbetstagares privata elektroniska uppgifter, eller snarast uppgifter om arbetstagaren. Utredningen anser emellertid att det finns skäl att göra en distinktion mellan de båda fallen. Distinktionen kan jämföras med skillnaden mellan å ena sidan olovlig teleavlyssning och å andra sidan olovlig teleövervakning, där teleavlyssning innebär att själva samtalet, dvs. innehållet i kommunikationen upptas, medan teleövervakning avser övervakning av den trafik som förekommer, utan att det därav framgår kommunikationens närmare innehåll. På samma sätt rör avsnitt 5.4 om arbetstagares privata elektroniska uppgifter arbetsgivarens rätt att kontrollera innehållet i t.ex. ett meddelande, medan avsnitt 5.5 om loggning rör arbetsgivarens rätt att kontrollera arbetstagarens användning av ITverktygen.
I den allmänna debatten har särskilt uppmärksammats att det råder osäkerhet kring arbetstagarnas skydd för privat e-post och den däremot svarande rätten för arbetsgivarna att ta del av sådan. Detta framgår också av utredningens direktiv. Enligt utredningens mening bör med privat e-post jämställas andra typer av privata elektroniska uppgifter som arbetstagaren hanterar med arbetsgivarens IT-verktyg. Principiellt finns knappast någon anledning att behandla ett e-postmeddelande lagrat på arbetsgivarens server på annat sätt än ett vanligt brev, skrivet i ett ordbehandlingsprogram, lagrat på samma server. Även om avsnittet om arbetstagares privata elektroniska uppgifter har en viss slagsida mot epostfrågor, gäller resonemangen och slutsatsen alla elektroniskt lagrade uppgifter.
SOU 2002:18 Arbetstagarnas användning av informationsteknik
83
Avsnittet om loggning omfattar all automatiserad insamling av uppgifter om arbetstagares aktiviteter vid användning av arbetsgivarens IT-verktyg. Här behandlas många frågor som rör arbetsgivarens möjligheter att kontrollera och övervaka arbetstagarna med hjälp av informationsteknik.
5.3 Tekniska utgångspunkter
De senaste decenniernas snabba tekniska utveckling, en utveckling som dessutom kan antas fortsätta, medför att utredningar relaterade till informationsteknik alltid måste ses i sitt historiska sammanhang. Utvecklingen innebär bl.a. en risk för att begrepp som i dag är självklara och rent av triviala i en inte allt för avlägsen framtid kan te sig obegripliga för att verkligheten i fråga om teknik då ser annorlunda ut. Av den anledningen finns ett behov för utredningen att något beskriva vad som karaktäriserar tekniken, så som den ser ut för närvarande. Vidare behövs en viss grundläggande teknisk beskrivning för en förståelse av de rättsliga frågor som skall behandlas.
I detta sammanhang finns naturligtvis varken möjlighet eller anledning till mer detaljerade tekniska beskrivningar. Någon som helst fullständighet har alltså inte eftersträvats. Beskrivningarna är därför kortfattade och kan närmast betraktas som ordförklaringar av begrepp som förekommer i betänkandet. Med hänsyn till utredningens uppdrag kommer tyngdpunkten i beskrivningen att ligga på sådana funktioner som ofta förekommer i arbetslivet och som kan användas för att hantera elektronisk information hänförlig till arbetstagare.
5.3.1 Från stordatorer till integrerade informations- och kommunikationssystem
Användningen av datorer dominerades ursprungligen av terminalbaserade stordatorsystem. Efter det att mikroprocessorn skapades har utvecklingen sedan 1970-talet gått mycket snabbt mot allt mindre och billigare men samtidigt kraftfullare datorer. Efter lanseringen av den första PC:n i början av 1980-talet har spridningen av persondatorer skett i en mycket snabb takt. Samtidigt har möjligheten till kommunikation mellan datorer blivit allt mer betydelsefull och datorer har därför i allt större utsträckning – internt och externt – kommit att kopplas ihop i nätverk. Därmed har också
Arbetstagarnas användning av informationsteknik SOU 2002:18
84
tillgången till mer komplex information ökat. Möjligheterna till global kommunikation i datornät har ökat i och med framväxten av Internet, ett globalt nätverk som till en början utvecklades av ARPA-net för användare inom försvarsmakten och universiteten i Förenta Staterna. Sedan början av 1990-talet har möjligheterna till anslutning till Internet blivit enklare och billigare. Användningen av Internet är numera mycket omfattande i hela samhället, dvs. inte enbart på arbetsplatser och i hemmen, utan även inom föreningsliv och andra sammanslutningar.
Möjligheten att konstruera små, kraftfulla och billiga mikroprocessorer har också inneburit att sådana används, förutom i persondatorer, även i en mängd andra produkter. Mikroprocessorer kan användas bl.a. för att elektroniskt styra och reglera olika funktioner som tidigare arbetat mekaniskt. Tekniken har också gett upphov till nya funktioner som tidigare inte varit möjliga. Användningen av mikroprocessorer i olika produkter möjliggör registrering av personuppgifter och kommunikation mellan sådana produkter och datorer, t.ex. persondatorer. Detta innebär stora möjligheter att knyta ihop produkter med vitt skilda funktioner till sammanhållna system för kommunikation och informationsbehandling.
I takt med den nu nämnda utvecklingen har behandlingen av elektroniskt lagrad information på motsvarande sätt ändrat karaktär. Tidigare var elektroniskt lagrad information ordnad i register eller liknande, där informationen på ett systematiskt sätt hanterades i på förhand bestämda och definierade poster. Moderna informationssystem är betydligt mer flexibla och medger att information enkelt söks och sammanställs från ett omfattande och ostrukturerat material. Olika slag av information, såsom t.ex. text, bilder och ljud kan, efter att ha samlats in eller skapats, lagras på ett och samma medium för att därefter förändras, kombineras och kommuniceras. Vid sådan hantering kan olika typer av utrustning användas som t.ex. persondatorer med olika tillämpningsprogram, TV- och videoteknik, telefonutrustning samt annan särskild utrustning som är konstruerad för att samla in eller annars behandla information. Som exempel på sådan särskild utrustning av intresse i detta sammanhang kan nämnas utrustning för passerkontroller eller för att lokalisera fordon eller andra föremål. Människan i det moderna samhället lämnar, var hon än rör sig, spår som går att registrera, förädla och utnyttja.
I detta sammanhang bör även konvergensen uppmärksammas.
SOU 2002:18 Arbetstagarnas användning av informationsteknik
85
En telefon är i dag en dator och en dator är en telefon, telefax, tv, radio samt röst- och textbrevlåda. Redan på relativt kort sikt är det sannolikt att persondatorn – på arbetsplatser och i hemmen – blir centralenhet för alla dessa och fler funktioner.
5.3.2 Några viktigare begrepp och funktioner
Utredningens uppdrag omfattar enligt direktiven integritetsrisker som uppkommer vid användningen av persondatorer, e-post och Internet i arbetslivet. Som framgått ovan utgör persondatorer i allt större utsträckning endast en beståndsdel i komplexa system för informationsbehandling och kommunikation. Med hänsyn härtill kommer utredningen att beakta datorteknik i en vidare betydelse, i vilken ingår hela det system av utrustning för informationsbehandling och kommunikation som beskrivits ovan.
Informationstekniken medger stor flexibilitet när det gäller att skapa specialanpassade lösningar för olika behov. Variationen av den utrustning som finns på olika arbetsplatser är därför mycket stor. Detta avsnitt innehåller generella beskrivningar av några av de grundläggande tekniska begrepp som är relevanta för utredningen. Särskild vikt har lagts på begrepp och funktioner som rör nätverk, eftersom personuppgifter om arbetstagare i stor utsträckning kan antas genereras och behandlas i sådana. Det måste särskilt beaktas att det inte är teknikens exakta funktioner som beskrivs, utan snarare dess principer.
5.3.2.1 Persondatorer
Persondatorer finns av olika slag och i olika tekniska utföranden, men har samma principiella uppbyggnad.
Persondatorn består av dels en centralenhet, dels kringutrustning av olika slag. Centralenheten består av processorenhet och primärminne. I processorenheten styrs datorns verksamhet och där utförs själva databearbetningen, dvs. de aritmetiska och logiska operationer som datorn arbetar med. I primärminnet lagras program och data under själva bearbetningen och någon mer beständig lagring av data sker inte här.
Datorns kringutrustning består av olika enheter för att mata in och ut data. Som exempel kan nämnas tangentbord, scanner och mikrofon som inmatningsenheter samt bildskärm, skrivare och högtalare som utmatningsenheter. Vidare finns sekundärminnen
Arbetstagarnas användning av informationsteknik SOU 2002:18
86
för mer permanent lagring av data. De vanligaste sekundärminnena är diskettstationer, hårddiskar och CD-ROM-enheter. Från diskett och hårddisk avläses lagrad data på magnetisk väg, medan CD-ROM-skivor avläses optiskt.
Hårddisken är inbyggd i persondatorn och består av skivor med magnetiska skikt, på vilka data lagras. På hårddisken finns alltid ett operativsystem, vilket är ett program som styr datorns grundläggande funktioner. Normalt finns på hårddisken också olika tillämpningsprogram, dvs. sådana som används för att utföra olika uppgifter, såsom ordbehandlingsprogram eller kalkylprogram. På hårddisken kan också alla typer av filer lagras, bl.a. sådana som skapats vid användningen av tillämpningsprogrammen. Även mer eller mindre temporär information som genereras automatiskt vid användningen av olika program lagras på hårddisken.
För att göra informationen på hårddisken överskådlig och för att möjliggöra sortering av informationen har operativsystemet en funktion för att dela in hårddisken i olika logiska enheter, s.k. mappar eller kataloger, i vilka filer kan lagras. Såväl mappar som enskilda filer kan förses med skydd, så att den som vill öppna mappen eller filen måste ange korrekt lösenord.
5.3.2.2 Lokala nätverk Ett nätverk inom ett begränsat område, t.ex. ett kontor eller en byggnad brukar kallas lokalt nätverk (Local Area Network, LAN). Lokala nätverk finns numera på de flesta arbetsplatser med mer än ett par datorer. Nätverket möjliggör kommunikation mellan de enskilda datorerna, samtidigt som flera användare kan dela olika resurser, såsom t.ex. lagringsmedia, skrivare och scanner. I ett lokalt nätverk finns normalt en dator, server, med samma principiella uppbyggnad som en persondator enligt beskrivningen ovan. Servern fungerar som centralenhet2 och är försedd med den utrustning och programvara som behövs för att styra nätverket. Till denna ansluts de persondatorer och den kringutrustning som ingår i nätverket. I större nätverk kan finnas flera servrar som kan vara avsedda för olika funktioner i nätverket.
2 Detta är en vanlig uppbyggnad, även om lokala nätverk kan vara uppbyggda på andra sätt.
SOU 2002:18 Arbetstagarnas användning av informationsteknik
87
5.3.2.3 Fjärrnätverk Om två eller flera lokala nätverk sammankopplas till ett nätverk med större geografisk spridning, t.ex. för att koppla samman olika delar av ett företag eller en myndighet som är etablerad på flera orter, får man ett fjärrnätverk (Wide Area Network, WAN). För nätverk av detta slag brukar numera Internetteknik utnyttjas och kommunikationen sker över befintliga Internetnät. Nätverk, som bygger på Internetteknik men ändå är begränsat till intern åtkomst, exempelvis för anställda i ett visst företag, brukar kallas intranet. Delar av ett intranet kan göras åtkomliga även för externa användare.
5.3.2.4 Internet
Internet kan beskrivas som ett globalt nätverk, bestående av en stor mängd mindre nätverk. Av de ingående nätverken är ett antal s.k. stamnät, som var och en består av ett antal datorer, s.k. routrar, med uppgift att förmedla datatrafiken, sammanbundna med höghastighetsförbindelser. Dessa stamnät kan sägas utgöra ryggraden i Internet. Internet består av flera olika funktioner, av vilka e-post och World Wide Web (WWW) är de mest använda.
Kommunikationen på Internet bygger på en teknik som kallas TCP/IP (Transmission Control Protocol, Internet Protocol), vilket egentligen är två protokoll för kommunikationen. Ett protokoll är en samling regler för kommunikationen mellan två sammankopplade enheter. Informationsutbytet enligt ett protokoll följer ett strikt schema som föreskriver bl.a. hur informationen ska grupperas i block och hur adressering ska göras.
TCP/IP ger genom Internetprotokollet (IP) en adresseringsmetod för att ge varje dator ansluten till Internet en unik adress. En IP-adress utgörs av ett 32-bitars tal och skrivs vanligen som fyra tal, åtskilda med punkter. Enligt ett särskilt system representerar de olika talen data för att identifiera det nät och den enskilda dator som adressen avser. Fördelningen av de miljontals unika IPadresser som finns hanteras av ett internationellt organ. För att underlätta användningen finns ett annat system för att namnge de anslutna datorerna med logiska namn. I det s.k. domännamnssystemet, DNS (Domain Name System) översätts den numeriska IP-adressen till mer användarvänliga adresser. En domänadress är hierarkiskt uppbyggd, där sista namndelen anger adressens huvudgrupp, som ofta är en landskod, nästa namndelar anger under-
Arbetstagarnas användning av informationsteknik SOU 2002:18
88
grupper i olika led, t.ex. större företags eller myndighets domän och därefter enskilda avdelningar under domänen.3
E-postadresser kännetecknas av att de innehåller tecknet ”@” (snabel-a). Den del av e-postadressen som står före @ kallas normalt användarnamn, medan den del som står efter kallas domänadress. Domänadressen i en e-postadress har en hierarkisk uppbyggnad som motsvarar vad som ovan anförts om domänadresser.
Uppkopplingen av en arbetsgivares nätverk mot Internet sker antingen genom en uppringd eller en fast förbindelse. En uppringd förbindelse kan ske antingen med modem över det vanliga telefonnätet eller med ISDN-utrustning. Fast anslutning sker genom att en dator eller en router i det lokala nätverket ansluts med kabel direkt till ett stamnät. Oavsett vilken metod för uppkoppling mot Internet som används måste i det lokala nätverket finnas en eller flera datorer som sköter kommunikationen mellan detta och Internet. Hur detta utformas i olika fall kan variera starkt. Beskrivningen nedan kommer att utgå från att nätverket har specialiserade servrar för olika funktioner. De olika funktionerna kan emellertid finnas i en enda server och fungerar då enligt samma principer.
5.3.2.5 Filserver
En server i ett lokalt nätverk är försedd med en hårddisk eller annan motsvarande utrustning för att lagra data. På denna kan lagras programvara som flera användare i nätverket behöver (clientserverfunktion). Med denna funktion startar användaren programmet direkt från servern, vilket innebär att programmet inte behöver finnas på persondatorns hårddisk hos varje användare. Genom möjligheten att komma åt serverns lagringsmedia kan användarna lagra information på och hämta information från servern. Denna funktion, som brukar benämnas fildelning, har den fördelen att gemensam information dels är snabbt åtkomlig för alla, dels behöver lagras endast på ett ställe.
3 Som exempel kan nämnas Regeringens domännamn, www.regeringen.se, som är domänadressen till webbserverdatorn för regeringskansliets webbplats. I domännamnet betecknar ”se” huvuddomänen, som är landskoden för Sverige. Därefter är ”regeringen” en underdomän, där i sin tur de olika departementen inordnas som underdomäner. Således är adressen exempelvis till Näringsdepartementet www.naring.regeringen.se. Domänadressen www.regeringen.se motsvarar den numeriska IP-adressen till webbplatsen, i detta fall 194.52.220.50.
SOU 2002:18 Arbetstagarnas användning av informationsteknik
89
5.3.2.6 Brandvägg
En brandvägg är en funktion på en server som syftar till att skydda ett nätverk från oönskad kommunikation och då främst från intrång. En brandvägg består av en persondator eller motsvarande med specialprogram installerade för att kunna vidareförmedla kommunikation mellan olika nätverk, i allmänhet mellan ett lokalt nätverk och Internet. Genom att all kommunikation mellan nätverken sker via brandväggen, finns i denna omfattande möjligheter att logga, filtrera och blockera oönskad kommunikation. Brandväggen ändrar vid all kommunikation avsändaradressen på den utgående informationen så att det ser ut som om kommunikationen helt och hållet sker från brandväggsdatorn. Brandväggen döljer således det lokala nätverket och datorerna där för övriga nätverk, t.ex. Internet.
5.3.2.7 Proxyserver
Även en proxyserver är en dator som vidarebefordrar kommunikation mellan å ena sidan datorer i det lokala nätverket och å andra sidan Internet. Huvudsyftet med en proxyserver är oftast att spara kapacitet i nätverket genom att temporärt lagra information som hämtats från Internet. Genom denna funktion lagras innehållet på de webbsidor som användare i nätverket har besökt. När en användare på nytt vill hämta innehållet på en sparad webbsida, vidarebefordras innehållet från proxyservern utan att informationen behöver hämtas från Internet. Härigenom åstadkoms mindre belastning på nätverket än om samma information vid varje tillfälle skulle hämtas från den aktuella webbplatsen.
5.3.2.8 E-postserver
För att hantera e-post kan finnas en särskild e-postserver, som innehåller olika funktioner för att skicka och ta emot e-post. För att skicka e-post finns en SMTP4-server och för att ta emot e-post finns en POP5- eller IMAP6-server. Ofta finns programvaran för de olika funktionerna på samma fysiska dator, eller så har SMTPservern tillgång till samma disksystem som POP/IMAP-servern.
4 Simple Mail Transfer Protocol. 5 Post Office Protocol. 6 Internet Message Access Protocol.
Arbetstagarnas användning av informationsteknik SOU 2002:18
90
Att skicka e-post går till så att användarens e-postklient7 kopplar upp sig mot SMTP-servern, skickar meddelandet till servern samtidigt som meddelandet ofta sparas i en särskild mapp lokalt på användarens dator. SMTP-servern lagrar också meddelandet fast bara temporärt. Vid lämpligt tillfälle – oftast inom några sekunder – kontaktar servern mottagarens SMTP-server. Servern skickar epostmeddelandet dit och raderar det sedan när det fått en bekräftelse från den mottagande servern.
Ett inkommande e-postmeddelande tas emot av en SMTP-server. Denna överför meddelande till POP/IMAP-serverns hårddisk, där det lagras. När brevet väl är tillgängligt på POP/IMAP-servern kan användaren koppla upp sig mot denna och hämta sina nya meddelanden. Normalt kan användaren själv välja om breven ska sparas på POP/IMAP-servern eller om de ska tas bort därifrån när användaren hämtat dem.
Programvaran i e-postservrar kan konfigureras på olika sätt för att logga eller filtrera kommunikation. Normalt loggas avsändaradress, mottagaradress samt datum och klockslag för såväl inkommande som utgående e-post. Ofta loggas också ärendemeningen.
5.3.2.9 Behörighetskontroller
En av de mest grundläggande sätten att hindra obehöriga från att få tillgång till elektroniskt lagrad information är genom behörighetskontroller av olika slag, där användaren skall identifieras med användarnamn och lösenord. I systemet registreras då vilka användare som är behöriga. För varje användare kan bestämmas olika rättigheter, vilket innebär att de olika användarna endast får tillgång till de resurser och filareor som de behöver. Även om behovet av behörighetskontroller gör sig särskilt gällande i nätverk, kan sådana även användas på fristående persondatorer.
Behörighetskontroll sker normalt genom att användaren skriver in sin användaridentitet och sitt lösenord. Dessa jämförs med uppgifterna i en databas på servern, där det verifieras att användaridentiteten existerar och att lösenordet är riktigt. Därefter ges användarens dator tillgång till de resurser och övriga rättigheter som den aktuella användaren har tilldelats. Normalt registreras i en loggfil vilken användare som har loggat in och när detta har skett. Ibland registreras även när utloggning sker.
7 Dvs. den dator som används för att skicka e-postmeddelandet.
SOU 2002:18 Arbetstagarnas användning av informationsteknik
91
5.3.2.10 Systemadministratör
Programvaran på servern som styr nätverket är försedd med speciella funktioner för att skapa användaridentiteter, tilldela användare olika rättigheter och i övrigt hantera nätverket. Den användaridentitet som har behörighet att använda dessa funktioner brukar benämnas systemadministratör. En eller flera personer kan ha tillgång till systemadministratörens användaridentitet. Systemadministratören har fullständiga befogenheter att vidta åtgärder i nätverket och kan därmed få tillgång till all information i detta, oavsett om informationen finns på servern eller på en lokal hårddisk.
5.3.2.11 Säkerhetskopiering
För att minska riskerna för förlust av information finns i alla datorsystem funktioner för säkerhetskopiering. Sådan sker genom att data på såväl servern som på lokala hårddiskar kopieras och sparas på särskilda enheter. Automatiserad säkerhetskopiering kan utformas på olika sätt, bl.a. beroende på behovet i det enskilda fallet. Säkerhetskopieringen kan ske med olika tidsintervall och avse hela eller delar av datorsystemets lagringsenheter.
5.3.2.12 Telefoni
Utvecklingen av digitala telefonsystem har medfört stora möjligheter att koppla samman telefonsystemet med andra datoriserade tillämpningar. Så kallad datoriserad telefoni (CTI, Computer Telephony Integration) har många användningsområden, men bygger på den grundläggande tanken att den traditionella telefonväxeln endast tar emot och förmedlar samtal, medan kontrollen över hur och vart samtalen skall kopplas bestäms av ett särskilt datorprogram. Ett sådant program får från telefonsystemet en signal om en viss händelse, såsom t.ex. en extern påringning, och väljer utifrån programmets inställningar en lämplig åtgärd, såsom t.ex. att dirigera samtalet till en ledig telefonist. En allt vanligare funktion är att samtalsfördelningen kan styras av den uppringandes svar på s.k. talsvarsfrågor. Med en sådan funktion kan telefonsystemet dirigera samtalen till rätt avdelning eller rätt handläggare utan medverkan av växeltelefonist. Om den uppringande kan identifieras, exempelvis med s.k. nummerpresentationsteknik, kan ett integrerat telefonsystem automatiskt behandla tidigare lagrade uppgifter om den
Arbetstagarnas användning av informationsteknik SOU 2002:18
92
som ringer. Detta sker genom att den uppringandes telefonnummer jämförs med telefonnummer i en databas över t.ex. kunder. Den som tar emot samtalet kan då, redan innan samtalet påbörjas, få information om den som ringer, bl.a. med avseende på senaste kontakt, tidigare inköp m.m. Datoriserad telefoni kan användas även för utgående samtal, t.ex. genom att användaren direkt från sitt kundregister begär att viss kund skall ringas upp.
5.3.2.13 Passerkontroller
Elektroniska funktioner för passerkontroll finns i olika utföranden. Vanligt förekommande är system med kortläsare och personliga kort. Kortläsarna är anslutna till särskilda s.k. undercentraler, som i sin tur är anslutna till ett nätverk eller en fristående persondator. I datorn finns ett program som hanterar systemet och där den ansvarige kan registrera bl.a. behöriga kort och deras innehavare. Kortläsarna, som är kopplade till dörrarna i en fastighet, kommunicerar med undercentralerna där uppgifterna på kortet jämförs med uppgifterna i en databas över behöriga kort. Därigenom sker en kontroll av att kortinnehavaren har behörighet att tillträda utrymmet i fråga. Passerkorten kan kodas i olika behörighetsnivåer, som ger tillträde till vissa områden i fastigheten, men inte andra. För att uppnå högre säkerhet kan passerkorten kombineras med personliga koder.
Gemensamt för de flesta system är att det finns en loggfunktion som registrerar händelser i systemet, dvs. vilket kort som används samt när och var det sker. Tidpunkter för i- och utpassering kan därefter användas för tidsredovisning m.m. Genom att samla information från alla kortläsare inom en fastighet kan också kartläggas hur arbetstagarna rör sig i fastigheten.
5.3.2.14 Lokaliseringsuppgifter
Teknik som innebär möjligheter att lokalisera föremål kan också innebära möjligheter att övervaka var arbetstagare vid olika tidpunkter befinner sig. Sådan teknik finns i form av Global Positioning System (GPS). GPS är ett satellitbaserat navigationssystem som Förenta Staternas försvarsdepartement ansvarar för. Systemet består fn. av 24 satelliter och en stor mängd markstationer. Med hjälp av referenspunkter som detta system ger kan
SOU 2002:18 Arbetstagarnas användning av informationsteknik
93
en särskild GPS-mottagare lokaliseras med mycket stor noggrannhet.
GPS-mottagarna kan i dag göras mycket små och billiga och kan därför användas i många olika sammanhang. Tekniken används t.ex. vid navigering, kartritning och i andra sammanhang där noggrann geografisk lägesbestämning är av betydelse.
Automatic Vehicle Location (AVL)
AVL är en teknik för att med hjälp av GPS lokalisera fordon eller andra mobila tillgångar. Tekniken kan användas t.ex. av transportföretag för att skapa en överblick över företagets fordon bl.a. för att kunna åstadkomma en effektiv styrning av verksamheten. Även av säkerhetsskäl kan det finnas anledning att använda AVL. Ensamma förare som riskerar att utsättas för brott, t.ex. taxiförare eller förare av värdetransportbilar, kan i nödfall snabbt lokaliseras och undsättas. Även egendom som har stulits, såsom t.ex. fordon och last, kan lokaliseras.
Utrustning för AVL består av en mobil GPS-enhet, en dator som basstation och ett nät för kommunikation mellan den mobila enheten och basstationen. Den mobila GPS-enheten, som t.ex. kan vara placerad i en lastbil, sänder via kommunikationsnätet data till basstationen. I basstationen sammanställs den insamlade informationen med hjälp av särskild programvara. Den information som kan utläsas varierar beroende på vilken utrustning som används. Normalt kan emellertid utläsas bl.a. exakt position, riktning och hastighet. Informationen kan avläsas i realtid och programvaran kan innehålla funktioner för att larma om fordonet t.ex. avviker från en på förhand bestämd rutt eller om fordonet står stilla längre än en viss förutbestämd tid. Informationen lagras också i loggfiler. Loggfilerna kan sammanställas efter olika kriterier för att skapa en överskådlig bild av fordonets rörelser under en viss tidsperiod.
5.3.2.15 Särskilt om loggning
Loggning är det kontinuerliga samlandet av uppgifter om användande av teknisk (dator-) utrustning. Loggning kan ske av flera olika orsaker. Vanligast är att det behövs för driften av utrustningen i fråga. Komplicerade datortjänster som exempelvis e-post drabbas ofta av fel av olika slag och för att kunna finna och åtgärda felen loggas aktiviteter i systemen kontinuerligt så att en systemoperatör i efterhand kan gå in och ta reda på vad som gick fel vid
Arbetstagarnas användning av informationsteknik SOU 2002:18
94
ett tidigare tillfälle och försöka vidta åtgärder för att felet inte skall upprepas.
Loggning kan också ske av säkerhetsskäl. Man vill kunna upptäcka aktivitetsmönster som i sig är suspekta och kanske tyder på att intrångsförsök gjorts eller att någon försöker överlasta en funktion i systemet, t.ex. e-post eller annan Internettjänst.
Vidare har loggning betydelse för att kunna kartlägga den naturliga belastningen på en tjänst för att därigenom kunna bedöma behovet av större eller mindre kapacitet.
Slutligen kan loggning naturligtvis också användas för att samla information om t.ex. användarmönster enbart för det ändamålet att man vill kartlägga en eller flera användares aktiviteter.
Loggningsfunktioner finns oftast inbyggda i den utrustning eller den programvara som används. Den systemansvarige har för det mesta möjlighet att välja grad av loggning och har ibland full kontroll över exakt vad som ska loggas. I t.ex. en e-postfunktion loggas ofta uppgifter om avsändare, mottagare, klockslag samt ärenderad för varje e-postmeddlande som går ut från ett företags e-postserver. Uppgifterna lagras i en fil på servern och kan läsas av den systemansvarige. Hur länge loggarna sparas bestäms av den systemansvarige men ofta rör det sig om några dagar. Lagom lång tid för att man inte ska riskera missa möjligheten att undersöka ett fel som rapporterats av en användare eller i efterhand ta fram information om en möjlig attack mot systemet.
Loggfiler är sällan enkla att förstå för en lekman och normalt har endast de systemansvariga tillgång till dem.8
5.3.2.16 Filtrering
I en del brandväggar och e-postservrar finns en funktion som letar efter nyckelord eller känner igen virus och särskilda typer av filer. Om en viss fil innehåller nyckelordet i fråga eller i övrigt överensstämmer med de kriterier som har angetts larmas en operatör. Filen kan också blockeras och på det viset hindras från att nå mottagaren.
Viruskontroller sker ofta ganska automatiserat. Det normala är
8 Uppgifter i en e-postserver kan t.ex. se ut så här: Oct 8 13:09:39 pommac qmail: [ID 748625 mail.info] 1002539379.429203 info msg 344438: bytes 3246 from <pplist-admin@pawlo.com> qp 23999 uid 1002 Oct 8 13:09:39 pommac qmail: [ID 748625 mail.info] 1002539379.523391 starting delivery 15768: msg 344438 to local prl@croclist.gatorhole.com Av uppgifterna, kan utläsas meddelandenummer, meddelandets storlek, avsändare, mottagare och tidpunkten när meddelandet skickades.
SOU 2002:18 Arbetstagarnas användning av informationsteknik
95
att en operatör larmas om ett virus upptäcks. Det kan då tänkas att operatören behöver ta del av meddelandet för att vidta åtgärder med anledning av viruset.
Nyckelordssökning kan ju däremot göras på godtyckliga nyckelord. Här måste dock systemoperatören konfigurera programvarorna exakt och tala om dels vilka nyckelord programvaran ska leta efter, dels vad som ska hända om programmet finner ett sådant nyckelord. Omfattningen av de åtgärder som kan komma att vidtas beror till stor del på de nyckelord som väljs.
Det är relativt enkelt att åstadkomma avancerad nyckelordsfiltrering på en e-postserver i dag. En systemoperatör har stora möjligheter att se till att e-postmeddelanden blockeras, skickas till annan adress, att det går en hemlig kopia till någon, etc. Det finns i praktiken inga begränsningar för vad som går att göra.
5.3.3 Sammanfattande kommentarer
De ovan redovisade tekniska beskrivningarna visar att det hos arbetsgivare i många fall finns stora mängder elektronisk information som på olika sätt rör arbetstagares beteenden.
Elektroniska spår hänförliga till arbetstagare kan samlas in vid praktiskt taget all användning av elektronisk utrustning i arbetslivet. Som exempel från redovisningen ovan kan nämnas information om inloggning och andra åtgärder som en arbetstagare vidtar i ett nätverk och information om arbetstagarens användning av ett fast eller mobilt telefonsystem. Vidare kan ingående upplysningar om var arbetstagare fysiskt befinner sig samlas in med utrustning för elektronisk passerkontroll eller i verksamhet där positionsbestämning med hjälp av GSM-teknik används. De möjligheter som tekniken erbjuder kan, åtminstone vid en systematisk sammanställning och användning av de elektroniska spåren, medföra en detaljerad kartläggning av enskilda arbetstagare.
Det finns praktiskt taget inga begränsningar för en arbetsgivare när det gäller möjligheterna att få tillgång till all den elektroniska information som arbetstagare skapar eller kommunicerar vid användning av arbetsgivarens utrustning. Arbetsgivaren har således möjligheter att manuellt eller automatiserat söka igenom och kontrollera alla de lagringsenheter i systemet där arbetstagare kan ha sparat elektronisk information. Arbetsgivaren kan således få tillgång till elektroniskt lagrad information som är såväl arbetsrelaterad som av privat karaktär. Även information som arbetstagaren
Arbetstagarnas användning av informationsteknik SOU 2002:18
96
inte direkt avsett att spara på arbetsgivarens utrustning men som lagrats temporärt, t.ex. i samband med kommunikation över Internet, eller som har sparats vid automatisk säkerhetskopiering, kan finnas tillgänglig för arbetsgivaren. Beroende på utrustningen och dess inställningar kan uppgifterna komma att lagras under kortare eller längre tid.
Även om dagens teknik medger omfattande möjligheter att samla in information om arbetstagare finns emellertid vissa praktiska hinder mot att i större omfattning utnyttja denna teknik i praktiken. Bl.a. förutsätter systematisk insamling och kontroll att stora mängder data bearbetas. Förutom att detta kräver stora lagringsutrymmen, är det ofta tidskrävande att gå igenom och göra bedömningar av material som samlas in. Vad den framtida utvecklingen kan föra med sig i detta avseende kan man bara spekulera i. Emellertid finns skäl att anta att kapaciteten i de tekniska systemen kommer att öka när det gäller såväl lagringsutrymme som förutsättningarna för automatiserad filtrering och behandling av insamlad information.
5.4 Arbetstagares privata elektroniska uppgifter
5.4.1 Inledning
Användningsområdet för sådana moderna IT-system som i dag finns på de flesta arbetsplatser är normalt inte begränsat till specialiserade uppgifter inom respektive arbetsgivares område. Tvärtom finns ofta stora möjligheter att använda utrustningen även för privata ändamål. Särskilt tydligt har detta blivit i och med att tillgången till Internet på arbetsplatserna har ökat. Många arbetstagare har därigenom fått möjlighet att med arbetsgivarens utrustning skicka e-post och i övrigt använda Internet för privat bruk. Även många andra IT-applikationer kan användas privat. Som exempel på funktioner som torde ha ett mycket stort användningsområde för privata ändamål kan nämnas ordbehandlingsprogram, kalkylprogram och databasprogram. Vidare är det i många fall möjligt för en arbetstagare att själv installera ett program på en dator som ingår i arbetsgivarens IT-utrustning.
Den tekniska utvecklingen har också medfört att möjligheterna för arbetstagare att arbeta från hemmet har utvidgats. Utrustning som arbetsgivaren tillhandahåller för sådant distansarbete får arbetstagaren i många fall använda även för privata ändamål.
SOU 2002:18 Arbetstagarnas användning av informationsteknik
97
Således har utvecklingen bidragit till att det förekommer både privat och yrkesmässig användning av arbetsgivarens utrustning. Den nu beskrivna privata användningen av IT-verktyg i arbetslivet medför i allmänhet att uppgifter av privat karaktär kommer att lagras i arbetsgivarens utrustning och att dessa därmed blir en mer eller mindre integrerad del av den mängd uppgifter som finns i arbetsgivarens utrustning. Arbetsgivaren har därmed i allmänhet goda såväl organisatoriska som praktiska förutsättningar för att ta del av uppgifterna eller på annat sätt kontrollera den privata användningen.
Arbetstagares privata användning av arbetsgivarens IT-verktyg och arbetsgivarens rätt att kontrollera denna användning ger upphov till en rad frågeställningar. Särskilt frågor som rör arbetsgivares rätt att läsa e-postmeddelanden som skickats till eller från en arbetstagare har på senare tid fått stor uppmärksamhet. Ett skäl till denna uppmärksamhet är att det råder osäkerhet om vilka regler som eventuellt kan vara tillämpliga vid olika kontrollåtgärder från arbetsgivarens sida.
I detta avsnitt kommer endast att behandlas frågan om arbetsgivarens rätt att kontrollera de elektroniska uppgifterna som sådana, dvs. arbetsgivarens rätt att läsa ett enskilt e-postmeddelande eller att ta del av andra privata uppgifter.9 Emellertid har arbetsgivaren även andra möjligheter att kontrollera arbetstagarnas privata användning av IT-verktygen. Framför allt kan detta ske genom att arbetsgivaren tar del av uppgifter i loggfiler och därigenom drar slutsatser om den användning som sker. Frågor om loggning behandlas i avsnitt 5.5.
5.4.1.1 Förutsättningar för en arbetstagares rätt att använda arbetsgivarens IT-verktyg för privata ändamål
Inom arbetsrätten är det en grundläggande princip att arbetsgivaren har rätt att leda och fördela arbetet. I detta ingår bl.a. att arbetsgivaren har rätt att bestämma hur arbetet skall organiseras och utföras, vilken maskinutrustning som skall användas samt att utfärda föreskrifter om ordningen på arbetsplatsen. Inget hindrar således att arbetsgivaren föreskriver att IT-verktygen får användas endast i tjänsten eller att arbetsgivaren på annat sätt begränsar den tillåtna användningen. Med andra ord kan en arbetstagare inte åberopa någon rätt att få använda arbetsgivarens IT-verktyg för privata
9 Utredningens definition av privata elektroniska uppgifter återfinns i avsnitt 5.4.1.4.
Arbetstagarnas användning av informationsteknik SOU 2002:18
98
ändamål. Med arbetsledningsrätten hänger också samman en rätt för arbetsgivaren att kontrollera hur arbetet utförs eller om givna regler efterlevs.
Det nu sagda innebär att det i praktiken förekommer en rad olika sätt på vilket frågan om arbetstagares möjligheter till privat användning av IT-verktygen hanteras. Ytterligheterna är här å ena sidan att arbetsgivaren förbjuder all privat användning och å andra sidan att arbetsgivaren utan begränsningar tillåter privat användning. En tredje situation är att arbetsgivaren inte uttryckligen tagit ställning i frågan. Ytterligare en variant av att arbetsgivaren förbjuder all privat användning är att denne utfärdar mer eller mindre utförliga regler om tillåten användning, vilket i praktiken innebär ett förbud mot viss privat användning. Olika situationer innebär ett behov av att närma sig svårigheterna på olika sätt.
Med stöd av den ovan beskrivna arbetsledningsrätten har en arbetsgivare alltså rätt att helt förbjuda privat användning av ITverktygen. Ett sådant förbud kan antingen utgöras av ensidiga direktiv från arbetsgivarens sida eller av dokument eller avtal som utarbetats i samarbete med arbetstagarna eller deras organisationer. Oavsett formerna härför är arbetstagarna enligt arbetsrätten skyldiga att följa de utfärdade reglerna. Detta innebär bl.a. att arbetstagare som inte följer reglerna kan komma att drabbas av arbetsrättsliga påföljder, såsom t.ex. omplacering eller uppsägning.
Det torde vara mycket vanligt förekommande att arbetsgivaren över huvud taget inte har utfärdat några regler eller riktlinjer beträffande privat användning av IT-verktygen. Ibland jämförs privat användning av e-post med privat användning av arbetsgivarens telefon, där det sedan länge förefaller vara kutym att arbetstagare får använda telefonen i begränsad utsträckning för privat bruk. Arbetstagaren bör då också ha rätt till skydd för sin personliga integritet vid sådan användning. En arbetsgivare som utan arbetstagarens vetskap avlyssnar dennes telefonsamtal gör sig skyldig till brytande av telehemlighet. Avsaknad av uttryckliga regler för privat användning av IT-verktygen tycks enligt vad utredningen har erfarit allmänt uppfattas som att sådan användning kan bedömas enligt samma principer som telefonanvändning. Man bör därför kunna utgå från att avsaknaden av regler utfärdade av arbetsgivaren innebär att arbetsgivaren i viss begränsad omfattning godtar privat användning.
SOU 2002:18 Arbetstagarnas användning av informationsteknik
99
5.4.1.2 Förutsättningar för arbetsgivarens rätt att kontrollera en arbetstagares privata elektroniska uppgifter
I den ovan beskrivna arbetsledningsrätten ingår en rätt för arbetsgivaren att utföra kontroller. Denna kontrollrätt är emellertid inte oinskränkt. Enligt Arbetsdomstolens (AD) praxis i näraliggande frågor skall en avvägning göras mellan å ena sidan arbetsgivarens intresse av kontrollen i fråga och å andra sidan arbetstagarens intresse av personlig integritet.
Oavsett på vilken grund privat användning förekommer kan arbetsgivaren ha en rad olika intressen eller behov av att kontrollera om – och i så fall hur – privat användning sker. Vid den avvägning som enligt ovan skall göras torde flera omständigheter behöva beaktas. Arbetsgivarens berättigade behov av att i kontrollsyfte ta del av en arbetstagares privata elektroniska uppgifter kan variera bl.a. beroende på om regler för användningen har utfärdats och i så fall hur de har utformats, men även karaktären av den verksamhet som arbetsgivaren bedriver kan inverka. Här kan också anmärkas att arbetsgivarens behov av att ha kontroll över den egna verksamheten kan innebära ett behov av att ta del av alla uppgifter – därmed även privata sådana. Behov av kontroll över uppgifter som hör till den egna verksamheten är, liksom säkerhetsskäl, behov som de flesta arbetsgivare kan åberopa.
Exempel på andra faktorer som kan påverka bedömningen av en arbetsgivares rätt att kontrollera arbetstagare i detta avseende kan vara den privata användningens karaktär. Bl.a. är det rimligt att utgå från att arbetsgivaren kan ha större intresse av kontroller vid privat användning som kan misstänkas vara illojal eller rent av innefatta brottsligt beteende. Ett uppmärksammat problem är att en del arbetstagare besöker hemsidor med pornografiskt material och även lagrar pornografiskt material i arbetsgivarens IT-utrustning. Även om detta skulle förekomma i endast begränsad omfattning torde det vara fråga om ett beteende som arbetsgivare i allmänhet har anledning att reagera starkt emot. Ingripanden från arbetsgivarens sida kan i många fall kräva möjligheter att kontrollera innehållet i enskilda filer. Motsvarande bör gälla om en arbetstagare hanterar material av rasistisk eller extrempolitisk karaktär. Däremot bör troligen större restriktivitet iakttas vid kontroller om användningen kan antas vara av ”normalt” privat karaktär, såsom t.ex. vanliga, vardagliga privata meddelanden.
Även andra faktorer kan på olika sätt komplicera bedömningen
Arbetstagarnas användning av informationsteknik SOU 2002:18
100
av det berättigade i arbetsgivares kontroll av en arbetstagares privata elektroniska uppgifter. Som exempel på sådana kan nämnas följande. Ett meddelande som skickas till eller från en arbetstagare kan innehålla såväl privata uppgifter som verksamhetsrelaterade uppgifter. Praktiska svårigheter uppkommer då med hänsyn till att arbetsgivaren alltid torde vara berättigad att ta del av de uppgifter som rör verksamheten, men inte nödvändigtvis de privata. En liknande fråga om sammanblandning av privata och verksamhetsrelaterade uppgifter uppkommer om arbetstagaren använder privat IT-utrustning, t.ex. vid arbete i hemmet. Vidare kan inkommande e-postmeddelanden här orsaka särskilda komplikationer eftersom man ofta inte på förhand kan veta vilket slags uppgifter meddelandet innehåller.
5.4.1.3 Särskilda förutsättningar i offentlig verksamhet
Som kommer att framgå i redovisningen av den rättsliga regleringen nedan intar offentliga arbetsgivare i vissa avseenden en särställning när det gäller möjligheterna att ta del av en arbetstagares privata elektroniska uppgifter.
För det första medför RF:s fri- och rättighetsregler att offentligt anställda har ett något starkare skydd mot ingrepp i privatlivet från arbetsgivarens sida än vad privat anställda har. För det andra ställs andra krav på offentliga arbetsgivare, bl.a. när det gäller allmänhetens rätt till insyn och kontroll enligt offentlighetsprincipen. Som konstaterats ovan är det ofta svårt – eller omöjligt – att på förhand avgöra om innehållet i t.ex. ett e-post meddelande är privat eller inte. Den omständigheten medför att det uppenbarligen kan uppkomma svårigheter för en arbetsgivare som har att beakta allmänhetens rätt att ta del av allmänna offentliga handlingar. Liknande svårigheter kan uppkomma i det specialfallet att en offentliganställd skickar ett meddelande till exempelvis en journalist i avsikt att vissa uppgifter skall publiceras. Enligt TF och yttrandefrihetsgrundlagen har var och en rätt att lämna sådana meddelanden (den s.k. meddelarfriheten) samtidigt som det finns ett förbud för myndigheter och andra allmänna organ att efterforska den som lämnat meddelandet (det s.k. efterforskningsförbudet). Arbetsgivaren måste alltså iaktta särskild försiktighet för att inte göra intrång i en arbetstagares rättigheter enligt ovan. Samtidigt måste dock offentlighetens principer upprätthållas.
Ett sätt att praktiskt hantera denna fråga är att offentliga arbets-
SOU 2002:18 Arbetstagarnas användning av informationsteknik
101
givare vid användningen av informationsteknik strävar efter en god offentlighetsstruktur, och därigenom åstadkommer en möjlighet att skilja mellan olika typer av uppgifter (handlingar) utan att ta del av dessa. Frågan kommer att behandlas ytterligare nedan, avsnitt 5.4.2.8.
5.4.1.4 Utredningens definition av privata elektroniska uppgifter
En arbetstagares privata användning av arbetsgivarens IT-verktyg medför att dennes privata elektroniska uppgifter kommer att finnas bland sådana som rör verksamheten. Med utgångspunkten att försöka åstadkomma ett skydd för arbetstagarens privata elektroniska uppgifter måste anges en definition för detta begrepp.
Uttrycket uppgifter har i detta sammanhang samma betydelse som i allmänt språkbruk och fungerar som en neutral samlingsbeteckning. Om uppgifterna har formen av text, bilder, ljud eller annat saknar betydelse. I detta avseende kan jämföras med skyddet för förtrolig kommunikation i 2 kap. 6 § RF, som omfattar meddelanden i alla dess former. I begreppet uppgifter som används i utredningen ryms således allt som förmedlar ett föreställningsinnehåll, oavsett den närmare karaktären av detta. Detta vidsträckta begrepp begränsas på två sätt: genom att uppgifterna skall vara dels elektroniska, dels arbetstagarens privata.
De situationer som utredningens arbete omfattar är de där risker för integritetsintrång kan uppkomma i samband med en arbetstagares användning av IT-verktyg. Mot den bakgrunden är det naturligt att de uppgifter som avses här utgörs av data i binär form som är läsbar med digital teknik.
Den andra begränsningen i begreppet är att det skall vara fråga om privata elektroniska uppgifter. Här avses uppgifter som är privata i den meningen att de är hänförliga till arbetstagaren som privatperson i motsats till sådana uppgifter som är hänförliga till arbetet eller annars till arbetstagarens egenskap av just arbetstagare. Bedömningen av om vissa uppgifter är privata eller inte torde i de flesta fall vara okomplicerad, men gränsdragningen kan i vissa fall bli svår.
I offentlig verksamhet förekommer en motsvarande gränsdragning när det gäller allmänhetens rätt enligt offentlighetsprincipen att ta del av allmänna handlingar. Allmänna handlingar är enligt definitionen i 2 kap. 3 § TF sådana som förvaras hos myndighet
Arbetstagarnas användning av informationsteknik SOU 2002:18
102
och enligt 2 kap. 6 och 7 §§ är att anse som inkomna till eller upprättade hos myndigheten. Enligt 2 kap. 4 § TF skall som allmän handling anses även brev eller annat meddelande som är ställt till en befattningshavare om handlingen gäller ärende eller annan fråga som ankommer på myndigheten och inte är avsedd för mottagaren endast som innehavare av annan ställning. Som privata brev betraktas därmed sådana som inte ”gäller ärende eller annan fråga som ankommer på myndigheten”.
Enligt vad som framgått ovan behandlas i detta avsnitt inte enbart e-post och liknande meddelanden, utan även andra uppgifter som förvaras i arbetsgivarens IT-verktyg, som t.ex. texter eller bilder. För att den typen av upptagningar skall bli allmänna handlingar förutsätts att de förvaras hos en myndighet och att de har upprättats hos eller inkommit till myndigheten. En handling kan komma att upprättas på olika sätt, men som en grundläggande förutsättning gäller att handlingen tillkommit som ett led i myndighetens verksamhet. Privata handlingar som en arbetstagare tar med sig till arbetsplatsen blir naturligtvis inte att anse som allmänna bara för att de förvaras hos myndigheten, t.ex. i arbetstagarens tjänsterum. Samma sak torde enligt utredningens mening gälla upptagningar som en arbetstagare har tillfört IT-systemet och som inte rör ärende eller liknande hos myndigheten. Som exempel kan nämnas att en arbetstagare för helt privata ändamål från Internet hämtar och sparar en webbsida.10 I likhet med vad som i motsvarande fall gäller de privata handlingarna av traditionellt format torde även nu nämnda privata elektroniska uppgifter falla utanför TF:s reglering.
I privat verksamhet gäller inte de beskrivna reglerna i TF. Vid bestämningen av vad som skall anses som privata uppgifter i sådan verksamhet kan man dock enligt utredningens mening söka ledning i de gränsdragningar som görs för allmänna handlingar. Det avgörande kan då vara t.ex. om uppgifterna är hänförliga till en bestämd arbetsuppgift som arbetstagaren har att utföra eller till annat som faller inom arbetsgivarens normala verksamhetsområde.
5.4.1.5 Föremålet för integritetsskyddet
När man diskuterar en reglering av angrepp mot information i vid bemärkelse finns anledning att närmare överväga vilka objekt som
10 En cookie-fil eller historikfil, som innehåller uppgifter om vilka webbsidor som en användare har besökt, anses däremot som allmän handling enligt vad Regeringsrätten slagit fast i rättsfallet RÅ 1999 ref. 18.
SOU 2002:18 Arbetstagarnas användning av informationsteknik
103
skall skyddas och mot vilka angrepps- eller intrångssätt som skyddet skall gälla. I Datastraffrättsutredningens betänkande förekommer en del resonemang om skyddsobjektet för bestämmelser rörande olika slag av intrång i information.11 Något förenklat kan detta uttryckas som en skiljelinje mellan att å ena sidan anse uppgifterna eller informationen som sådan som skyddsobjekt, eller å andra sidan att anse ett visst utrymme, där uppgifterna finns som skyddsobjekt. Oavsett val av synsätt uppkommer tillämpningssvårigheter, särskilt när det gäller gränserna för de uppgifter eller de utrymmen som skall vara tillgängliga för arbetsgivaren. Utredningen har stannat för att som skyddsobjekt i detta sammanhang anse uppgifterna som sådana. Det avgörande är alltså att det är fråga om en arbetstagares privata elektroniska uppgifter enligt definitionen ovan. I vilka fysiska lagringsmedia de data som representerar uppgifterna eller i vilka logiska förvar inom detta lagringsmedium som uppgifterna finns saknar därmed betydelse.
Det avgörande vid utredningens ställningstagande har varit att det inte förefaller lämpligt att knyta arbetsgivarens möjligheter att ta del av uppgifter till sådana yttre omständigheter som i vilket elektroniskt utrymme dessa finns lagrade. En reglering som bygger på ett sådant synsätt skulle riskera att leda till att arbetsgivaren inte har möjlighet att komma åt uppgifter som rör verksamheten om dessa av misstag eller annan anledning har kommit att förvaras i ett ”skyddat utrymme”.12 Med en sådan lösning skulle samtidigt skyddet riskera att bli obefintligt för uppgifter som av någon anledning kommit att hamna utanför sådana utrymmen.
5.4.2 Den rättsliga regleringen
Någon samlad rättslig reglering av de problem som kan uppkomma i samband med arbetstagares privata användning av IT-verktyg finns inte. Redovisningen av nuvarande regelsystem upptar därför en del rätt disparata regler som på olika sätt kan ha betydelse för en rättslig bedömning av frågorna. Redogörelsen inleds med det grundläggande konstitutionella integritetsskyddet och de speciella inskränkningar av detta som är av betydelse här. Härefter följer de bestämmelser i vanlig lag som är av intresse för de här aktuella frågorna. I vissa fall konstateras att bestämmelserna knappast är
11 Se särskilt SOU 1992:110, 6 kap. 12 I offentlig verksamhet förutsätter en riktig tillämpning av offentlighetsprincipen att arbetsgivaren har möjlighet att vid en arbetstagares frånvaro ta del av inkommande försändelser som adresserats till arbetstagaren personligen.
Arbetstagarnas användning av informationsteknik SOU 2002:18
104
direkt tillämpliga, men de har ändå tagits med i redogörelsen. Slutligen redovisas några bestämmelser som inte syftar till att ge arbetstagare ett integritetsskydd, men som ändå är av stor betydelse för behandlingen av frågan om en offentlig arbetsgivares rätt att ta del av privata elektroniska uppgifter. Redovisningen av dessa bestämmelser rör den ovan beskrivna konflikten för en offentlig arbetsgivare att samtidigt beakta å ena sidan en arbetstagares integritetsskydd och å andra sidan allmänhetens rätt till insyn enligt offentlighetsprincipen. Bestämmelserna har därmed stor betydelse, inte minst när det gäller praktiska frågor kring hur ett sådant integritetsskydd för offentligt anställda skall kunna utformas.
5.4.2.1 Arbetsgivarens arbetsledningsrätt
Inom arbetsrätten gäller den allmänna rättsgrundsatsen att arbetsgivaren inom ramen för anställningsavtalet bestämmer över arbetsledningen och därmed har rätt att bestämma bl.a. vilket arbete som skall utföras, sättet och platsen härför samt den utrustning som skall användas. Arbetsgivarens rätt motsvaras av en skyldighet för arbetstagaren att utföra arbetet där vägran kan medföra uppsägning på grund av arbetsvägran.
Arbetsledningsrätten betyder alltså bl.a. att det är arbetsgivaren som avgör vilken teknisk utrustning som skall finnas på arbetsplatsen och hur den skall användas. Arbetsgivaren kan alltså självständigt avgöra om utrustning såsom t.ex. datorer skall få användas av arbetstagaren för privata ändamål. En arbetsgivare är oförhindrad att helt förbjuda privat användning liksom att ange särskilda villkor för sådan användning och arbetstagaren är skyldig att följa de anvisningar som arbetsgivaren har meddelat i detta avseende. Underlåtenhet att följa anvisningarna kan bedömas som avtalsbrott och medför att arbetsgivaren kan vidta de åtgärder som står till buds inom arbetsrätten, såsom t.ex. omplacering eller i allvarligare fall uppsägning och avsked. Av detta följer naturligtvis att arbetstagaren inte kan göra gällande någon rätt att få använda arbetsgivarens IT-verktyg för privata ändamål, utan att det är en fråga som arbetsgivaren helt och hållet disponerar över.
Arbetsgivarens arbetsledningsrätt innefattar också en rätt att vidta kontrollåtgärder. Generellt kan som exempel på sådana nämnas kontroll av mängden av utfört arbete, kontroll genom tidsstämpling eller in- och utpasseringskontroller. Arbetsgivarens rätt att påkalla läkarkontroller innefattas också i denna kontrollrätt.
SOU 2002:18 Arbetstagarnas användning av informationsteknik
105
Även om arbetsgivarens kontrollrätt är vidsträckt och gäller som utgångspunkt, är den emellertid inte obegränsad. Arbetsgivarens kontroller får enligt praxis inte stå i strid med lag, god sed eller annars vara otillbörliga. Enligt vad AD har uttalat i mål där arbetsgivarens kontrollrätt varit uppe till prövning skall vid bedömningen av om kontrollen står i strid med god sed eller annars är otillbörlig göras en avvägning mellan arbetsgivarens intresse av åtgärden och arbetstagarens intresse av att värna sin personliga integritet. Härvid måste intrånget i arbetstagarens personliga integritet stå i rimlig proportion till det intresse som arbetsgivaren vill tillgodose.
Gränserna för arbetsgivarens kontrollrätt – dvs. när kontroller står i strid med lag, god sed eller annars är otillbörlig – har inte prövats i praxis när det gäller rätten att kontrollera arbetstagares privata elektroniska uppgifter. Innehållet i gällande rätt i konkreta situationer är därför inte möjligt att uttala sig säkert om. Det är en fråga för rättstillämpningen att, liksom i övrigt när det gäller kontrollrätten, genom praxis närmare precisera dessa gränser. Här kan dock följande antaganden göras.
Att kontrollerna inte får strida mot lag bör innebära att sådana åtgärder från arbetsgivarens sida som strider mot de i avsnitt 5.4.2.2–5.4.2.9 angivna bestämmelserna innebär en begränsning av kontrollrätten. Dessa situationer skall inte upprepas här. Emellertid kan det vara värt att understryka PUL:s betydelse i detta sammanhang. För att en kontrollåtgärd inte skall stå i strid med PUL krävs bl.a. att uppgifterna samlas in endast för särskilda, uttryckligt angivna och berättigade ändamål. Vidare måste arbetsgivaren i samband med insamlingen lämna arbetstagaren information om behandlingen. Här kan märkas att även 10 § f) PUL innehåller en intresseavvägning. Enligt den bestämmelsen är behandling tillåten om ett ändamål som rör ett berättigat intresse hos arbetsgivaren väger tyngre än arbetstagarens intresse av skydd mot kränkning av den personliga integriteten. Utfallet av intresseavvägningen i en konkret situation borde bli densamma enligt arbetsledningsrätten. Utöver att en intresseavvägning skall göras torde allmänt kunna krävas att arbetsgivaren skall ha fog för åtgärden och att kontroller alltså inte sker helt godtyckligt. Åtgärden måste vara relevant i förhållande till anställningsavtalet och får inte betingas av en allmän önskan att få kunskap om arbetstagarens privata angelägenheter. Kollektivavtal och branschpraxis får betydelse för bedömningen, liksom riktlinjer utfärdade av arbetsgivaren. Särskild betydelse kan riktlinjerna få om de innehåller väl avvägda åtgärder till skydd för
Arbetstagarnas användning av informationsteknik SOU 2002:18
106
arbetstagarens integritet vid kontrollen i fråga. När det gäller de syften som arbetsgivaren åberopar för kontrollen kan möjligen generellt sägas att utrymmet för säkerhetskontroller kan vara större än effektivitets- och ordningskontroller.
5.4.2.2 Europakonventionen
Europakonventionens artikel 8 stadgar om rätt till respekt för enskilds privat- och familjeliv, hem och korrespondens. Enligt artikeln får offentlig myndighet inte inskränka rätten annat än genom lag och då endast om det i ett demokratiskt samhälle är nödvändigt med hänsyn till exempelvis den allmänna säkerheten, för att förebygga brott eller till skydd för andra personers fri- och rättigheter. Trots att det numera finns en del praxis från Europadomstolen är det svårt att närmare bedöma vilken betydelse artikeln har för de här aktuella frågorna. Genom ett avgörande från domstolen, Halford-domen, har klarlagts att artikeln under vissa förutsättningar kan innebära ett förbud för en offentlig arbetsgivare att avlyssna en arbetstagares privata telefonsamtal.13 Målet rörde en engelsk polischef, vars tjänstetelefon hade blivit avlyssnad av arbetsgivaren. Domstolen fann att arbetsgivaren inte hade någon generell rätt att avlyssna arbetstagarens telefon, särskilt med hänsyn till att telefonen även var avsedd för hennes personliga bruk och hon inte hade fått någon varning om att telefonen kunde komma att avlyssnas och således hade en befogad förväntan på respekt för personlig integritet. Domstolen fann också att arbetsgivaren inte hade något lagstöd för avlyssning av telefonen, varför ett brott mot konventionens artikel 8 förelåg.
Halford-domen avser tillämpningen av artikel 8 i förhållandet mellan en privatperson och det allmänna, här i egenskap av arbetsgivare. Utgångspunkten för tillämpningen är att artikel 8 i första hand innebär förpliktelser för de anslutna staterna. I vilken mån den är tillämplig även i förhållandet mellan privata rättssubjekt är föremål för diskussion och beror på innehållet i nationell rätt.14 Att artikel 8 i princip kan ha effekt i förhållandet även mellan privata rättssubjekt har Europadomstolen slagit fast i flera avgöranden. Räckvidden av rättsfallen är emellertid osäker och det går knappast att dra några slutsatser när det gäller förhållandet mellan privata arbetsgivare och arbetstagare i de frågor som här är aktuella.
13 Se Halford mot Storbritannien, dom den 25 juli 1997. 14 Se Lorenzen m.fl., Den Europæiske Menneskeretskonvention, s. 16 ff.
SOU 2002:18 Arbetstagarnas användning av informationsteknik
107
5.4.2.3 Regeringsformen 2 kap. 6 §
Enligt 2 kap. 6 § RF är enskilda gentemot det allmänna skyddade mot bl.a. husrannsakan och liknande intrång samt mot undersökning av brev eller annan förtrolig försändelse och mot hemlig avlyssning eller upptagning av telefonsamtal eller annat förtroligt meddelande. Dessa fri- och rättigheter får begränsas på det sätt som föreskrivs i 2 kap. 12 § RF. Begränsning skall ske i lag och får göras endast för att tillgodose ändamål som är godtagbart i ett demokratiskt samhälle. Begränsningen får aldrig gå utöver vad som vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar. Begränsningen får inte heller göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning.
När det gäller meddelanden innebär skyddet att organ för det allmänna inte får bryta brev eller andra slutna försändelser, avlyssna telefonsamtal eller röja innehållet i telegram utan stöd av lagbestämmelse.15 Med bestämmelsen avses meddelanden som sänds med posten eller på annat sätt som brev, telegram, bandinspelningar, videogram eller över huvud taget i sådan form att de kan bli föremål för beslag. Från tillämpningsområdet undantas meddelanden med sådan form att någon förtrolighet inte kan anses råda, t.ex. affischer, reklamblad, vykort m.m.16
Skyddet gäller endast under tid då meddelandet är under befordran. Härefter har mottagaren möjlighet att disponera över det, t.ex. genom att förstöra det. Gör mottagaren inte det innebär skyddet mot bl.a. husrannsakan och liknande intrång att myndighet ändå inte utan lagstöd får bereda sig tillgång till meddelandet.17
Frågan om huruvida e-post omfattas har inte berörts vid bestämmelsens tillkomst, vilket är naturligt med hänsyn till att tekniken inte hade fått något allmänt genomslag vid den tiden. Som nämnts ovan omfattas dock alla meddelanden som kan tas i beslag. Mot den bakgrunden bör ett e-postmeddelande anses omfattat av tillämpningsområdet för 2 kap. 6 § RF och har därmed samma grundlagsskydd som ett traditionellt brev.
Något krav på att brevet skall vara under befordran av särskilt post- eller telebefordringsföretag finns inte.18 Skyddet torde där-
15 Se SOU 1972:15 s 159 f. 16 Se SOU 1972:15 s 200 och Holmberg m.fl., Grundlagarna, s. 91. 17 Se SOU 1975:75 s 200. 18 Jfr BrB 4 kap. 8 § om brytande av post- eller telehemlighet.
Arbetstagarnas användning av informationsteknik SOU 2002:18
108
med gälla även meddelanden som skickas endast inom ett begränsat nät, t.ex. en myndighets lokala nätverk.
Det nu anförda innebär alltså ett förbud för offentliga arbetsgivare att utan stöd i lag ta del av innehållet i förtroliga meddelanden till eller från arbetstagare, oavsett om meddelandena har formen av traditionella brev eller e-postmeddelanden.
Skyldigheten för en offentlig arbetsgivare att enligt offentlighetsprincipen registrera och på begäran lämna ut allmänna handlingar innebär att arbetsgivaren i vissa fall kan behöva ta del av en arbetstagares privata elektroniska uppgifter. Detta kan emellertid enligt utredningens mening inte anses innefatta ett sådant lagstöd för att ta del av ett förtroligt meddelande som avses i 2 kap. 12 § RF.
Som framgått i det föregående gäller RF:s skydd för förtroliga meddelanden endast under tid då meddelandet är under befordran. Därefter omfattas meddelandet av skyddet i 2 kap. 6 § RF avseende husrannsakan och liknande intrång, under förutsättning att meddelandet förvaras på ett sådant ställe att skyddet verkar.
De åtgärder som avses med husrannsakan har karaktären av undersökningar i särskilda situationer.19 Härmed torde i allmänhet avses sådana undersökningar som bl.a. polis och kronofogdemyndighet har att göra i framför allt processuella eller exekutiva syften. I vilken mån det skall anses falla in under begreppet husrannsakan eller liknande intrång att en offentlig arbetsgivare bereder sig tillgång till utrymmen (fysiska eller logiska) i de egna lokalerna framgår inte av bestämmelsen.
I likhet med vad som anfördes ovan beträffande Europakonventionen, avser RF primärt endast förhållandet mellan enskilda och det allmänna. Förpliktelserna i RF gäller alltså direkt offentliga arbetsgivare. Det svenska konstitutionella rättighetsskyddet anses, till skillnad från vad som gäller i flera andra EUländer, inte ha någon direkt verkan mellan enskilda.20
19 Se Holmberg m.fl., Grundlagarna, s. 88. 20 Se beträffande denna fråga Nergelius, Konstitutionellt rättighetsskydd, s. 730 ff, med där angivna hänvisningar.
SOU 2002:18 Arbetstagarnas användning av informationsteknik
109
5.4.2.4 Inskränkningar i enskildas skydd enligt RF
Rättigheterna enligt 2 kap. 6 § RF får inskränkas endast under de särskilda förutsättningar som framgår av 2 kap. 12 § RF. Bestämmelser av särskilt intresse i detta sammanhang är reglerna om straffprocessuella tvångsmedel i rättegångsbalken (RB).
Om det finns misstanke om brott på vilket fängelse kan följa får husrannsakan enligt 28 kap. 1 § RB göras i hus, rum eller slutet förvaringsställe för att eftersöka föremål som är underkastat beslag eller annars till utrönande av omständighet som kan ha betydelse för utredning om brottet. I 28 kap. RB finns ingående regler för hur och hos vem husrannsakan får ske.
Beslag kan enligt bestämmelserna i 27 kap. RB avse föremål av alla slag. Vanliga handlingar omfattas naturligtvis. Vidare omfattas även upptagningar för vilka krävs ett tekniskt hjälpmedel för att informationen skall kunna uppfattas med mänskligt sinne. Även datalagrat material kan således bli föremål för beslag.
Post- eller telegrafförsändelse, handelsbok eller annan enskild handling som anträffas och tagits i beslag vid husrannsakan får enligt 28 kap. 8 § undersökas endast enligt reglerna i 27 kap. 12 § RB. Enligt den bestämmelsen får nämnda handlingar undersökas endast av rätten, undersökningsledaren eller åklagaren.
I 27 kap. 18 och 19 §§ RB finns även bestämmelser om hemlig teleavlyssning och hemlig teleövervakning. Hemlig teleavlyssning innebär att telemeddelanden, som befordras till eller från ett telefonnummer, en kod eller annan teleadress, i hemlighet avlyssnas eller tas upp genom ett tekniskt hjälpmedel för återgivning av innehållet i meddelandet. Hemlig teleövervakning innebär att uppgifter i hemlighet hämtas in om telemeddelanden som har expedierats eller beställts till eller från en viss teleadress eller att sådana meddelanden hindras från att nå fram.
Bestämmelserna utgår från begreppet telemeddelande, vilket innefattar också annan telekommunikation än muntlig, t.ex. datakommunikation, telex och telefax. Med begreppet teleadress avses en identifiering av den icke fysiska adress som ett telemeddelande skickas till eller från. Adressen kan vara ett abonnemang, en enskild anknytning, adressen för elektronisk post, en kod eller någon annan tillförlitlig identifieringsmetod.21 Bestämmelserna omfattar endast meddelanden under den tid de befordras i ett allmänt tillgängligt telenät och alltså inte i mer begränsade, lokala, nät och inte
21 Se Fitger, Rättegångsbalken s. 27:32.
Arbetstagarnas användning av informationsteknik SOU 2002:18
110
heller när ett meddelande har kommit fram till mottagaren.
Beslut om ovan beskrivna tvångsmedel förutsätter misstanke om brott, som när det gäller hemlig teleavlyssning eller teleövervakning måste vara av allvarligt slag. I vissa fall skall beslut fattas av domstol efter ansökan av åklagare. En offentlig arbetsgivares möjligheter att kontrollera sina arbetstagare med dessa metoder skiljer sig därmed inte från arbetsgivare i övrigt, varför de nu nämnda undantagen från RF:s skydd torde sakna betydelse här.
5.4.2.5 Straffrättsliga bestämmelser
De ovan redovisade grundlagsbestämmelserna om enskildas rätt till respekt för privatliv innebär som nämnts en direkt förpliktelse för offentliga organ i förhållande till enskilda. Lagregler om skydd för förtroliga meddelanden och annan information finns i 4 kap. BrB. I förhållande till dessa utgör bestämmelserna om husrannsakan samt hemlig teleavlyssning och teleövervakning som beskrivits ovan naturligtvis undantag från det straffbara området.
Brytande av post- eller telehemlighet
I 4 kap. 8 § BrB straffbeläggs brytande av post- eller telehemlighet. Enligt bestämmelsen gör den sig skyldig till brytande av post- eller telehemlighet som olovligen bereder sig tillgång till ett meddelande som ett post- eller telebefordringsföretag förmedlar som postförsändelse eller telemeddelande. Skyddet gäller kommunikationsformen som sådan och omfattar därmed meddelanden under den tid de är under befordran från avsändaren till mottagaren och under förutsättning att befordran sker av ett företag som på affärsmässiga grunder huvudsakligen förmedlar information i form av postförsändelser och olika former av telemeddelanden som andra lämnar in för distribution. Genom rekvisitet att meddelandet skall vara under befordran av ett post- eller telebefordringsföretag undantas från tillämpningsområdet sådana fall där någon bereder sig tillgång till ett meddelande inom ett lokalt nät.
En arbetsgivares e-postfunktion fungerar i allmänhet så att arbetsgivaren enkelt kan komma åt såväl inkommande som utgående e-postmeddelanden inom det egna nätverket. Det torde därför knappast förekomma att en arbetsgivare bereder sig tillgång till ett meddelande under tiden det är under befordran av ett allmänt teleföretag. Bestämmelsen torde därför ha begränsad praktisk
SOU 2002:18 Arbetstagarnas användning av informationsteknik
111
betydelse för de här aktuella fallen.
Intrång i förvar
I 4 kap. 9 § BrB finns en bestämmelse om ansvar för intrång i förvar, vilket föreligger då någon olovligen bryter brev eller telegram eller annars bereder sig tillgång till något som förvaras förseglat eller under lås eller eljest tillslutet. Enligt ordalydelsen är skyddsobjektet något, vilket tyder på att tillämpningsområdet är vidsträckt. Vid bestämmelsens tillkomst kretsade resonemangen framför allt kring handlingar och liknande informationsbärare. I förarbetena till bestämmelsen om dataintrång har uttalats att obehöriga förfaranden med datalagrat material kan falla under 4 kap. 9 §.22
En förutsättning för straffbarhet är att handlingen (eller annat skyddsobjekt som bestämmelsen omfattar) förvaras på något sätt tillsluten. Som exempel nämns att den är förseglad eller förvaras i låst utrymme. Enligt lagkommentaren omfattar bestämmelsen handlingar som ligger framme eller i en olåst låda endast under förutsättning att de på något sätt är tillslutna, t.ex. genom att de förvaras i ett förseglat kuvert eller genom att dörren till lokalen är låst.23
Varken förarbeten eller praxis ger någon ledning för bedömningen av de närmare förutsättningarna för att en fil skall anses som ett sådant förvar som skyddas av bestämmelsen. Vid en sådan bedömning skulle man kunna utgå från traditionella fysiska utrymmen och förvar och göra analogier till logiska förvar i ITmiljön. En fil skulle då kunna betraktas som ett logiskt förvar eller utrymme i vilket viss elektroniskt lagrad information ”förvaras”. Även med en sådan metod kan det emellertid vara svårt att nå någon klarhet i hur bestämmelsen skall tolkas. Det fallet att en fil är öppen och möjlig att ta del av på en påslagen dataskärm eller motsvarande torde utan problem kunna jämställas med att ta del av ett brev som ligger framme, vilket alltså inte är straffbart enligt bestämmelsen. Vidare skulle det fallet att någon utan laga grund bereder sig tillgång till en individuellt lösenordsskyddad eller krypterad fil kunna jämställas med den straffbara handlingen att någon forcerar ett lås eller öppnar ett förseglat kuvert. För personer med behörighet till ett nätverk är det i allmänhet mycket enkelt att ta
22 Se prop. 1973:33 s. 51. 23 Se N-O Berggren m.fl., Brottsbalken En kommentar, s. 4:38.
Arbetstagarnas användning av informationsteknik SOU 2002:18
112
del av de filer som finns lagrade där. Frågan är om ett sådant förfarande kan jämställas med att ta del av en handling som förvaras i ett förseglat kuvert eller motsvarande. Motsvarande resonemang om logiska förvar kan föras även beträffande sådana särskilda delar av en fysisk lagringsenhet som har avdelats som en arbetstagares personliga utrymme och där en mängd filer kan lagras.
Det måste vidare vara olovligt att bereda sig tillgång, vilket ger upphov till särskilda tolkningsproblem när det gäller arbetsgivare som i någon mening ju har tillgång till sin egen utrustning. Dessutom krävs uppsåt för straffbarhet.
Sammantaget kan konstateras att det är mycket svårt att bedöma om – och i så fall under vilka förutsättningar – 4 kap. 9 § BrB kan tillämpas på elektroniskt lagrad information. Vid tolkning av straffbud måste viss försiktighet iakttas och det är tveksamt om en straffrättsligt tillåten analogi mellan fysiska förvar och elektroniska förvar överhuvudtaget kan dras.24 Här kan också nämnas att bestämmelsen om dataintrång i 4 kap. 9 c § BrB, som är subsidiärt tillämplig, troligen skulle täcka de nu nämnda situationerna.
Dataintrång
E-postmeddelanden och andra elektroniskt lagrade uppgifter av det slag som diskuteras här utgör sådan upptagning för automatisk databehandling som avses i bestämmelsen om dataintrång i 4 kap. 9 c § brottsbalken. Bestämmelsen omfattar därmed förfaranden med såväl e-postmeddelanden och annan information som avses i detta avsnitt. Enligt bestämmelsen gör den sig skyldig till dataintrång som olovligen bereder sig tillgång till upptagning för automatisk databehandling.
Bestämmelsen är inte begränsad till att skydda personuppgifter eller i övrigt integritetskänsligt material, utan alla upptagningar för automatisk databehandling omfattas av bestämmelsen.25
Olovlighetsrekvisitet
Enligt bestämmelsen straffbeläggs alltså vissa förfaranden som innebär att någon olovligen bereder sig tillgång till upptagning för automatisk databehandling, vilket innefattar bl.a. e-postmeddelanden och annan elektroniskt lagrad information. I många
24 Se Kring m.fl., Datalagen med kommentarer, s. 236. 25 Se prop. 1973:33 s. 144.
SOU 2002:18 Arbetstagarnas användning av informationsteknik
113
fall torde det inte vålla några större svårigheter att avgöra frågan om olovlighet. Så är fallet när exempelvis någon helt utomstående bereder sig tillgång till en upptagning, oavsett om det sker på distans över nätverk eller att någon olovligen berett sig tillträde till en lokal och där använt en befintlig dator. Att bereda sig tillgång till en upptagning genom att utan tillåtelse ta sig förbi ett skydd i form av lösenord eller liknande torde också tveklöst vara att anse som olovligt. Olovlighet förutsätter dock i och för sig inte att särskilda åtgärder, som t.ex. att ta sig förbi ett lösenord, vidtas. I underrättspraxis har det bedömts som dataintrång när en arbetstagare har berett sig tillgång till uppgifter i ett system som i och för sig var tillgängliga för denne utan särskild åtgärd. I dessa fall har intrånget bestått i att arbetstagaren har berett sig tillgång till lagrade uppgifter genom att överträda sin befogenhet att använda ITsystemet enligt de bestämmelser som gällde på arbetsplatsen.
I arbetslivet är det i regel så att arbetsgivaren har tillgång till den utrustning där de privata filerna finns lagrade. Därmed har arbetsgivaren rätt att förfoga över utrustningen och har samtidigt goda praktiska möjligheter att utan särskilda åtgärder komma åt lagrad information även om varje arbetstagare har ett eget lösenord för att komma åt IT-systemet. Frågan är om dessa omständigheter i sig medför en rätt att förfoga också över informationsinnehållet i arbetstagares privata filer. Av särskild betydelse för utredningen blir därmed om – och i så fall under vilka förutsättningar – arbetsgivarens åtgärder med information som finns i den egna utrustningen kan anses olovliga. Om arbetsgivaren har utfärdat riktlinjer för när han eller hon kommer att ta del av information och sedan inte håller sig till sina egna riktlinjer, torde förfarandet vara olovligt.
Till ledning för bedömningen av bestämmelsen om dataintrång uttalades i motiven att frågan om ett förfarande är olovligt bör knytas till om annan än den registeransvarige låg bakom åtgärden.26Eftersom bestämmelsen vid dess tillkomst infördes i datalagen kunde det förefalla naturligt att knyta rätten till förfogande över uppgifterna till den som enligt lagen förfogade över ett register, dvs. den registeransvarige.
Datastraffrättsutredningen har därefter föreslagit att bedömningen i stället skall utgå från den som har rätt att förfoga över informationen och att gärningen skulle vara lovlig och därmed fri
26 Se prop. 1973:33 s. 51 och 104.
Arbetstagarnas användning av informationsteknik SOU 2002:18
114
från ansvar – oberoende av frågan om registeransvar – om samtycke föreligger från någon som har rätt att förfoga över informationen.27Datastraffrättsutredningen föreslog vidare följande riktlinjer för bedömningen. ”Om en arbetsgivare klart har gett till känna att informationsbehandling inte får ske för privata ändamål, har han också rätt att bereda sig tillgång till data, vilka förvaras i de datautrymmen han tillhandahåller, som behövs för att kontrollera om så sker. Om däremot den enskilde fått rätt att använda utrustningen utanför arbetet – jämför att arbetsgivaren tillhandahåller lådor eller skåp med lås för den anställde – får arbetsgivaren inte bereda sig tillgång till dessa datautrymmen. När frågan är oklar föreslås en restriktiv hållning vid bestämmandet av i vilken omfattning anläggningens innehavare får bereda sig tillgång till användarnas data”.28
Man bör alltså kunna dra den slutsatsen att ett förfarande inte är olovligt om det finns samtycke från någon som har rätt att förfoga över upptagningen. De ovan redovisade resonemangen besvarar emellertid inte frågan vem som har rätt att förfoga över viss information. I praktiken har både arbetsgivare och arbetstagare möjlighet att förfoga över en arbetstagares privata uppgifter som lagrats i arbetsgivarens utrustning. Avgörande för rätten att bereda sig tillgång till en upptagning – och därmed om ett förfarande är olovligt – kan emellertid inte vara en faktisk möjlighet att bereda sig tillgång till den. I stället måste det avgörande vara en på annat sätt grundad rätt att förfoga över upptagningen.
Det torde vara klart att en arbetstagare har rätt att förfoga över sina privata elektroniska uppgifter genom att tillåta att arbetsgivaren bereder sig tillgång till uppgifterna. Något hinder mot att arbetstagaren, t.ex. vid anställningens början, lämnar ett generellt samtycke till att arbetsgivaren får ta del av privata elektroniska uppgifter torde inte finnas.
Frågan är emellertid om en arbetsgivare kan åberopa någon annan grund för en rätt att ta del av arbetstagarens privata filer. Att en arbetsgivare har en generell rätt att förfoga över sina IT-verktyg kan knappast i sig innebära en rätt att också ta del av privata uppgifter i dessa. Här kan man möjligen jämföra med traditionella förvar. Att en arbetsgivare har rätt att förfoga över sina inventarier, såsom skrivbord och klädskåp, kan inte innebära en rätt att även ta del av eller bereda sig tillgång till de privata tillhörigheter som arbetstagare förvarar i sådana låsta utrymmen. Enligt Datastraff-
SOU 2002:18 Arbetstagarnas användning av informationsteknik
115
rättsutredningens uppfattning har en arbetsgivare som förbjudit privat användning rätt att bereda sig tillgång till data som behövs för att kontrollera om sådan användning ändå sker.29 Datastraffrättsutredningen anbefaller dock restriktivitet ”när frågan är oklar”. Frågan gäller egentligen om arbetsgivarens förfarande att ta del av arbetstagarens privata elektroniska uppgifter är otillbörligt eller strider mot god sed på så sätt att det innebär en inskränkning i arbetsgivarens rätt att med stöd av arbetsledningsrätten vidta kontrollåtgärder.
I avsaknad av publicerade domstolsavgöranden, där frågan om arbetsgivarens rätt att förfoga över arbetstagares privata uppgifter har prövats, är det osäkert hur dessa frågor skall bedömas.30
5.4.2.6 PUL
Den situationen att en arbetsgivare öppnar en fil och tar del av en arbetstagares privata elektroniska uppgifter är kanske inte vad man i första hand brukar avse med behandling av personuppgifter enligt PUL. Enligt lagens ordalydelse torde den dock vara tillämplig även på sådana fall.
Personuppgifter är enligt 3 § PUL all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Av en fil med ett e-postmeddelande torde alltid framgå avsändare och mottagare. Om en arbetstagares personliga användaridentitet framgår av e-postadressen torde filen alltid innehålla information som kan hänföras till denne. Som behandling av personuppgifter avses enligt samma bestämmelse varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter. Genom att ta del av ett meddelande erhålls kunskap om att kommunikation med visst innehåll har ägt rum mellan avsändaren och mottagaren i fråga. Även om inga andra åtgärder vidtas bör ett sådant förfarande betraktas som en form av användning av personuppgifterna och således som en behandling av personuppgifterna. Av 5 § PUL följer
29SOU 1992:110 s. 560. 30 I Arbetsdomstolens mål AD 1999 nr 49 har emellertid arbetsgivarens kontroll av privata filer lett till uppsägning av en arbetstagare. Målet gällde en kanslist som påstods bl.a. ha använt arbetsgivarens dator för privat bruk i stor omfattning. Enligt redovisningen i domen framgår att arbetsgivaren, i samband med service på den dator som arbetstagaren använde, upptäckte att det i denna förekom omfattande dokumentation som var kanslistens privata. Det upptäcktes också att kanslisten från arbetsplatsen hade skickat privat korrespondens genom e-post. Av utredningen i målet framgår att arbetsgivaren hade gjort en mycket grundlig undersökning av innehållet i datorn och därigenom fått ingående kunskaper om arbetstagarens användning av denna. Om undersökningen även innefattade att arbetsgivaren tog del av innehållet i de privata filerna framgår dock inte.
Arbetstagarnas användning av informationsteknik SOU 2002:18
116
att lagen är tillämplig på sådan behandling av personuppgifter som är helt eller delvis automatiserad. All hantering av personuppgifter som sker datoriserat är sådan automatiserad behandling som avses.
Det anförda innebär att PUL:s bestämmelser är tillämpliga på åtgärder som vidtas med ett e-postmeddelande. Även på många andra typer av privata filer torde ovanstående resonemang kunna tillämpas. Förutsättningen för detta är att det finns tillräcklig information för att informationen direkt eller indirekt skall kunna hänföras till en enskild användare. Detta kan ske exempelvis genom att en fil automatiskt förses med information om vem som skapat den eller att informationen finns lagrad i ett sådant logiskt utrymme som en arbetstagare har exklusiv tillgång till.
En särskild fråga här är om en arbetsgivare kan anses som personuppgiftsansvarig för en behandling som enbart innebär att denne tar del av innehållet i t.ex. ett e-postmeddelande. Enligt 3 § PUL är det den personuppgiftsansvarige som själv eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen. Här är fråga enbart om den behandling som ligger i att öppna ett meddelande och ta del av det. Enligt utredningens mening bör den som vidtar åtgärden att ta del av innehållet i ett epostmeddelande anses som personuppgiftsansvarig för den behandlingen. En arbetsgivare som tar del av innehållet i en arbetstagares e-postmeddelande eller information i en annan fil bör därför anses som personuppgiftsansvarig enligt PUL även om innehållet är privat och således inte rör arbetsgivarens verksamhet.
En tillämpning av PUL i detta sammanhang innebär därmed att arbetsgivaren endast får ta del av en arbetstagares privata elektroniska uppgifter (dvs. behandla personuppgifter) om det är tillåtet enligt lagen.
Grundläggande krav på behandlingen
Som allmänna krav gäller att arbetsgivaren bara får behandla personuppgifter om det är lagligt samt om det sker på ett korrekt sätt och enligt god sed. Att behandlingen skall ske enligt god sed torde i detta sammanhang kunna innebära att man vid bedömningen söker ledning i riktlinjer utarbetade av etablerade branschsammanslutningar eller hur andra ansvarsfulla arbetsgivare hanterar här aktuella frågor.
Enligt 9 § PUL skall arbetsgivaren se till att personuppgifter samlas in bara för särskilda, uttryckligen angivna och berättigade
SOU 2002:18 Arbetstagarnas användning av informationsteknik
117
ändamål. Dessa ändamål får sedan betydelse för den fortsatta behandlingen av personuppgifterna. Bl.a. får personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Det innebär dels att arbetsgivaren uttryckligen måste ange ändamålen med åtgärden att ta del av arbetstagarens privata elektroniska uppgifter, dels att arbetsgivaren är förhindrad att använda uppgifterna för andra ändamål än de angivna. Kravet att ändamålen skall vara särskilda innebär att dessa inte kan anges alltför allmänt, utan måste vara relativt detaljerade.
Vidare måste arbetsgivaren se till att insamlade uppgifter inte bevaras under längre tid än vad som är nödvändigt med hänsyn till ändamålet med behandlingen.
Tillåten behandling
10 § PUL anger uttömmande när behandling av personuppgifter är tillåten. Först kan konstateras att samtycke alltid medför att behandling av personuppgifter är tillåten. Om en arbetsgivare i förväg inhämtar samtycke från en arbetstagare finns inget hinder när det gäller rätten att ta del av arbetstagarens privata elektroniska uppgifter. Om samtycke inte har inhämtats får arbetsgivaren ta del av arbetstagarens privata elektroniska uppgifter enligt de i bestämmelsen närmare angivna förutsättningarna. Ett grundläggande krav är att behandlingen är nödvändig.
Arbetsgivare får behandla personuppgifter om arbetstagare om det är nödvändigt för att fullgöra ett avtal mellan parterna. Det är emellertid svårt att föreställa sig en situation där det är nödvändigt för arbetsgivaren att ta del av en arbetstagares privata elektroniska uppgifter för att fullgöra ett avtal dem emellan.
Att en arbetsgivare tar del av en arbetstagares privata elektroniska uppgifter kan vara nödvändigt för att fullgöra en rättslig skyldighet. Som exempel kan nämnas att en myndighet enligt offentlighetsprincipen kan vara skyldig att pröva om en elektronisk handling som förvaras hos myndigheten är en allmän handling eller inte. Enligt Datalagskommittén är det osäkert om en förpliktelse som arbetsgivaren har åtagit sig genom avtal med annan kan innebära en sådan skyldighet som avses i bestämmelsen. Vad sådana förpliktelser kan innebära i detta sammanhang är svårt att säga. Möjligen kan tänkas att en arbetsgivare i förhållande till en uppdragsgivare eller dylikt åtar sig att vidta sådana säkerhetsåtgärder att fullständig kontroll över alla elektroniska uppgifter
Arbetstagarnas användning av informationsteknik SOU 2002:18
118
upprätthålls, vilket skulle innebära att även arbetstagares privata elektroniska uppgifter skulle komma att kontrolleras.
Slutligen får behandling av personuppgifter ske efter en intresseavvägning av om arbetsgivarens berättigade intressen av behandlingen väger tyngre än arbetstagarens intresse av integritetsskydd. I avsaknad av samtycke torde denna bestämmelse få stor betydelse. Bestämmelsen innebär att en arbetsgivare som vill ta del av en arbetstagares privata elektroniska uppgifter skall göra en avvägning mellan å ena sidan sina egna behov av åtgärden och å andra sidan det intrång i arbetstagarnas personliga integritet som denna medför. Att närmare ange hur intresseavvägningen enligt PUL faller ut i enskilda fall är knappast möjligt. Generellt kan möjligen sägas att åtgärder som betingas av säkerhetsskäl i allmänhet väger tyngre än sådana som betingas av t.ex. företagsekonomiska effektivitetsskäl.
Känsliga personuppgifter
PUL innehåller i 13–20 §§ särskilda bestämmelser om behandling av känsliga personuppgifter. Sådana privata elektroniska uppgifter som avses här – oavsett om det rör sig om ett e-postmeddelande eller annat – kan gälla vad som helst. Uppgifterna kan innehålla information om t.ex. arbetstagarens politiska eller religiösa övertygelse eller sexuella läggning. Uppgifterna utgör då känsliga personuppgifter enligt PUL:s definition. De nämnda bestämmelserna i PUL innebär att arbetsgivarens rätt att behandla känsliga personuppgifter är kraftigt begränsad. Här inställer sig emellertid den svårigheten att en arbetsgivare sällan kan avgöra på förhand om uppgifterna är känsliga personuppgifter eller inte. Hur det skall bedömas om en arbetsgivare på detta sätt oavsiktligt i strid med PUL kommer att behandla känsliga uppgifter är oklart.
Information
I 23 § PUL finns de grundläggande reglerna om skyldigheter för arbetsgivare att självmant informera om behandling av personuppgifter som samlas in från arbetstagaren själv och i 24 § finns motsvarande regler beträffande uppgifter som samlas in från annan. Enligt bestämmelserna skall information lämnas när uppgifterna samlas in respektive registreras. Den information som skall lämnas är enligt 25 § uppgift om den personuppgiftsansvariges – och dennes eventuella företrädares – identitet, ändamålet med behand-
SOU 2002:18 Arbetstagarnas användning av informationsteknik
119
lingen och all ytterligare information som är nödvändig för att tillförsäkra den registrerade en korrekt behandling.
Detta torde betyda att en arbetsgivare som avser att ta del av en arbetstagares privata elektroniska uppgifter måste uppfylla skyldigheterna att lämna information. Bestämmelserna torde knappast innebära något krav på att information lämnas särskilt inför varje enskilt fall, utan informationen torde kunna lämnas generellt.
Enligt 26 § är arbetsgivaren skyldig att på ansökan av arbetstagare informera om bl.a. vilka uppgifter som behandlas, varifrån uppgifterna har hämtats och ändamålen med behandlingen.
Skyldighet att föra förteckning
Enligt 36 § är personuppgiftsansvariga skyldiga att – med vissa inskränkningar – anmäla helt eller delvis automatiserad behandling till Datainspektionen. Med stöd av 6 § personuppgiftsförordningen har Datainspektionen föreskrivit att anmälningsskyldigheten inte gäller för behandling av personuppgifter som avser registrerade med sådan anknytning till den personuppgiftsansvarige som bl.a. följer av anställning under förutsättning att den personuppgiftsansvarige själv för en förteckning över behandlingarna med de uppgifter som annars skulle ha anmälts.31 Undantaget gäller dock inte behandling av känsliga personuppgifter enligt 13 § PUL.
De uppgifter som en arbetsgivare enligt ovan är skyldig att föra en förteckning över (eller anmäla till Datainspektionen om det gäller känsliga uppgifter) är enligt 6 § DIFS 1998:232
a) den personuppgiftsansvariges namn, adress, telefonnummer och organisationsnummer,
b) ändamålet eller ändamålen med behandlingen,
c) en beskrivning av den eller de kategorier av registrerade som berörs av behandlingen,
d) en beskrivning av de uppgifter eller kategorier av uppgifter som skall behandlas om de registrerade,
e) uppgift om mottagarna eller de kategorier av mottagare till vilka uppgifterna kan komma att lämnas ut,
f) upplysning om överföringar av uppgifter till tredje land,
g) en allmän beskrivning av de åtgärder som har vidtagits för att trygga säkerheten i behandlingen.
31 Se 5 § a) DIFS 1998:2 (ändrad genom 1999:3 och 2001:1). 32 Ändrad genom DIFS 1999:3.och 2001:1.
Arbetstagarnas användning av informationsteknik SOU 2002:18
120
Sanktioner
En arbetsgivare som behandlar arbetstagares personuppgifter i strid med PUL:s bestämmelser kan enligt 48 § bli skadeståndsskyldig gentemot arbetstagaren. Behandlingar som inte överensstämmer med PUL:s krav kan dessutom enligt 49 § vara straffbara. Enligt bestämmelsen är det straffbart för en personuppgiftsansvarig bl.a. att lämna osann uppgift i information till registrerade.
5.4.2.7 Offentlighetsprincipen
Som nämnts ovan har olika aspekter av offentlighetsprincipen betydelse för offentliga arbetsgivares praktiska möjligheter att tillgodose arbetstagarnas intresse av personlig integritet beträffande privata elektroniska uppgifter. De bestämmelser som är av särskild betydelse i sammanhanget skall därför beskrivas här.
Enligt definitionen av handlingsbegreppet i TF avses med handling, förutom traditionella handlingar, även upptagning som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniskt hjälpmedel som myndigheten själv utnyttjar. Upptagningar för automatisk databehandling, vilket innefattar sådana elektroniska uppgifter som avses i detta avsnitt, skall således jämställas med traditionella handlingar när det gäller bl.a. offentlighet och sekretess.
Grundläggande bestämmelser om handlingars offentlighet finns i 2 kap. TF. En handling är enligt 2 kap. 3 § TF allmän om den förvaras hos en myndighet och om den är att anse som inkommen till eller upprättad hos myndighet. En allmän handling är, med vissa undantag, tillgänglig för alla att ta del av. För att säkerställa allmänhetens möjlighet att ta del av allmänna handlingar har myndighet en skyldighet att registrera inkomna eller upprättade handlingar, se 15 kap. 1 § SekrL. Skyldigheten att registrera allmänna handlingar gäller alla typer av handlingar och alltså även upptagningar för automatisk databehandling. En myndighet är således i allmänhet skyldig att registrera och diarieföra ett e-postmeddelande som skickats till myndigheten. Samma sak gäller ett utgående e-postmeddelande eller annan elektroniskt lagrad information i myndighetens IT-system, under förutsättning att detta kan anses som en upprättad handling.33
33 Undantag gäller enligt TF 15 kap. 1 § ”om handlingarna hålls så ordnade att det utan svårighet kan fastställas om handling har kommit in eller upprättats”. Frågor om vad som skall anses som allmänna handlingar är komplicerade, särskilt när det gäller upptagningar för
SOU 2002:18 Arbetstagarnas användning av informationsteknik
121
Det nu sagda innebär att myndigheter måste ha fungerande rutiner för att bevaka att skrivelser och meddelanden som inkommer via e-post behandlas på ett adekvat sätt. Arbetsgivaren måste alltså ha ett system som ger möjlighet att vid en arbetstagares frånvaro ta del av handlingar som inkommit till myndigheten och som adresserats till arbetstagaren personligen.34
5.4.2.8 God offentlighetsstruktur
För att offentlighetsprincipen skall fungera i praktiken krävs bl.a. att myndigheterna håller sina allmänna handlingar ordnade eller registrerade på ett sådant sätt att det är möjligt för allmänheten att konstatera vilka handlingar som finns. Det är också viktigt att myndigheter förvarar sina handlingar på ett sådant sätt att ett utlämnande inte försvåras. Myndigheter är mot den angivna bakgrunden skyldiga att upprätthålla vad som kallas en god offentlighetsstruktur. Detta kommer till uttryck i 15 kap. 9 § sekretesslagen, enligt vilken bestämmelse en myndighet som använder automatisk databehandling i verksamheten skall ordna denna med beaktande av rätten i TF att ta del av allmänna handlingar. Kravet på god offentlighetsstruktur preciseras därefter genom att bestämmelsen föreskriver bl.a. att allmänna handlingar bör hållas åtskilda från andra handlingar. Bestämmelsen är av betydelse framför allt när en myndighet skall införa ett nytt IT-system eller förändra ett befintligt. I förarbetena betonas också att utformningen av IT-systemen måste tillåtas att variera med hänsyn till de krav som myndigheternas verksamhet ställer, vilket innebär att även offentlighetsstrukturen måste tillåtas att variera. En allt för detaljerad reglering har därför inte ansetts möjlig.35 Hänsynen till offentlighetsprincipen måste dock vägas mot andra intressen, bl.a. tekniska och ekonomiska.
En arbetstagares privata elektroniska uppgifter av det slag som avses här är inte en allmän handling i TF:s mening. Med tillämpning av 15 kap. 9 § sekretesslagen bör sådana upptagningar hållas åtskilda från allmänna handlingar. Offentliga arbetsgivare skall överväga hur IT-systemet bör utformas för att en sådan åtskillnad
automatisk databehandling. I detta sammanhang saknas emellertid anledning att gå in djupare på dessa frågor. I stället kan hänvisas till exempelvis Alf Bohlin,
Offentlighetsprincipen. Även Statskontorets skrift E-post i förvaltningen ger en god överblick över olika frågeställningar kring myndigheters användning av e-post. 34 Se Justitieombudsmannen, beslut den 23 februari 1999, Dnr 4225-1998. 35 Se prop. 1990/91:60 s. 34 och 35.
Arbetstagarnas användning av informationsteknik SOU 2002:18
122
skall åstadkommas. Ett sätt kan vara att i IT-systemet skapa särskilda elektroniska utrymmen, mappar, för olika typer av upptagningar. Exempelvis kan ett sådant utrymme då avdelas för att ge varje arbetstagare möjlighet att där förvara privata elektroniska uppgifter.36 Frågan kvarstår emellertid hur sådana förvar rent praktiskt skall hanteras. En handlings karaktär av allmän eller icke-allmän påverkas de facto inte av i vilket elektroniskt förvar den förvaras.
5.4.2.9 Meddelar- och anskaffarfrihet enligt tryckfrihetsförordningen m.m.
Till skyddet för förtroliga meddelanden i speciella situationer bör föras den s.k. meddelar- och anskaffarfriheten i TF och yttrandefrihetsgrundlagen.
Enligt 1 kap. 1 § tredje stycket TF har var och en rätt att, med de begränsningar som följer av förordningen, att till författare, journalister och nyhetsredaktioner m.fl. meddela uppgifter och underrättelser i vilket ämne som helst för offentliggörande i tryckt skrift. Enligt samma lagrums fjärde stycke gäller skyddet även den som anskaffar uppgifter i angivet syfte. Skyddet gäller dock inte om förfarandet innebär att den som anskaffar eller meddelar uppgifterna därigenom gör sig skyldig till bl.a. olika brott mot rikets säkerhet, såsom spioneri, och inte heller vid oriktigt utlämnande av allmän handling eller vid uppsåtligt åsidosättande av tystnadsplikt. I yttrandefrihetsgrundlagen, se 1 kap. 2 § och 2 kap. 4 §, finns bestämmelser om meddelar- och anskaffarfrihet som motsvarar bestämmelserna i TF.
De nu redovisade bestämmelserna innebär att en offentlig arbetsgivare inte får efterforska meddelanden som en arbetstagare t.ex. har skickat med e-post till en tidningsredaktion. Även om detta knappast torde vara något mer omfattande problem, är det naturligtvis icke desto mindre angeläget att skyddet upprätthålls. Den komplikation som nämnts ovan, se avsnitt 5.4.2.7, att en offentlig arbetsgivare som uppfyller sina skyldigheter enligt offentlighetsprincipen kan komma att bereda sig tillgång till privata elektroniska uppgifter gäller förstås även meddelanden till journalister m.m.
36 Från vissa håll ifrågasätts om det över huvud taget ligger i linje med offentlig verksamhet att tillåta arbetstagarna att privat använda arbetsgivarens utrustning, se bl.a. Statskontoret,
Offentlighet och IT, s. 55.
SOU 2002:18 Arbetstagarnas användning av informationsteknik
123
5.4.2.10 Sammanfattning av det rättsliga skyddet
Arbetsgivarens arbetsledningsrätt och den däri ingående kontrollrätten innebär att arbetsgivaren har en principiell rätt såväl att bestämma över användningen av utrustningen som att kontrollera hur denna används. Kontrollrätten har emellertid betydelsefulla begränsningar med hänsyn till att kontroller inte får strida mot lag, god sed eller annars vara otillbörliga. Ovan har framgått att de åtgärder som innebär att en arbetsgivare tar del av en arbetstagares privata elektroniska uppgifter utgör en behandling av personuppgifter enligt PUL. Att gränserna för arbetsledningsrätten i förening med PUL därmed ger ett betydande skydd för arbetstagarnas personliga integritet följer redan av att en arbetsgivares rätt att kontrollera förutsätter ett i förväg angivet särskilt och berättigat ändamål samt att information om kontrollåtgärderna har lämnats till arbetstagarna. Emellertid måste skyddet för anskaffare och meddelare enligt RF och YGL anses innebära en begränsning i denna kontrollrätt för offentliga arbetsgivare. Även god sed eller vad som annars är otillbörligt kan vidare få betydelse för en offentlig arbetsgivares kontrollrätt, framför allt när det gäller metoderna för kontrollerna och omständigheterna i övrigt kring dessa. Vidare gäller även för offentliga arbetsgivare vad som ovan sagts om arbetsgivarens skyldighet enligt PUL.
5.4.3 Behovet av ytterligare reglering
Som framgått av redovisningen av gällande rätt torde arbetsgivarens arbetslednings- och kontrollrätt innebära ganska vidsträckta möjligheter för arbetsgivaren att kontrollera arbetstagarna när det gäller förekomsten av privata elektroniska uppgifter. Kontrollrätten är emellertid begränsad på ett sätt som ger skydd för arbetstagarnas personliga integritet. Det är dock svårt att se närmare var gränserna för skyddet går. Även om också PUL därutöver ger ett visst skydd är det oklart hur den lagens bestämmelser skall tolkas i enskilda situationer. Enligt vad utredningen har erfarit råder en stor osäkerhet bland såväl arbetsgivare som arbetstagare i fråga om innehållet i gällande rätt och många gånger tycks osäkerheten medföra att kontroller sker efter arbetsgivarens gottfinnande.
Enligt utredningens mening innebär redan den beskrivna osäkerheten att det finns ett behov av ytterligare reglering. För att åstadkomma ett stärkt skydd för arbetstagarnas personliga integritet bör en sådan reglering närmare precisera och därmed också inskränka
Arbetstagarnas användning av informationsteknik SOU 2002:18
124
gränserna för arbetsgivarens kontrollrätt. I enlighet med vad som i övrigt föreslås bör detta ske genom en bestämmelse som förbjuder arbetsgivaren att behandla personuppgifter av aktuellt slag annat än i särskilt angivna undantagssituationer.
5.4.4 Överväganden och förslag Utredningen föreslår: En bestämmelse bör införas som innebär
att en arbetsgivare inte avsiktligt får ta del av en arbetstagares privata elektroniska uppgifter. Från denna huvudregel bör undantag göras vid samtycke från arbetstagaren. Undantag bör också göras om det är nödvändigt för arbetsgivarens verksamhet. Till ledning för bedömningen av om en åtgärd kan anses nödvändig för arbetsgivarens verksamhet anges i bestämmelsen en exemplifierande uppräkning av omständigheter där det kan vara nödvändigt för arbetsgivaren att ta del av en arbetstagares privata elektroniska uppgifter. De angivna omständigheterna är om det föreligger fara för informationssäkerheten eller om det finns skälig misstanke att arbetstagaren gjort sig skyldig till brott eller till sådant illojalt beteende som kan utgöra saklig grund för uppsägning eller föranleda skadeståndsskyldighet.
Utredningen har tidigare konstaterat att rätten till skydd för den personliga integriteten är en mänsklig rättighet. Emellertid har också konstaterats att denna rätt inte är absolut, utan att den måste vägas mot andra motstående intressen. När det gäller frågan om arbetstagarens rätt till skydd för sådana privata elektroniska uppgifter som är resultatet av privat användning av arbetsgivarens ITverktyg tillkommer vissa aspekter som avviker från andra resonemang kring mänskliga rättigheter. Till att börja med kan sägas att det inte är en mänsklig rättighet, eller ens ett befogat rättsligt anspråk, för en arbetstagare att få använda arbetsgivarens IT-verktyg för privata ändamål. Det är därför inte orimligt att omfattningen av de kontroller som får ske kan påverkas av arbetsgivaren. Vidare kan konstateras att en arbetstagare kan undvika de flesta situationer där integritetsrisker kan uppkomma, genom att t.ex. låta bli att använda IT-verktygen privat eller låta bli att med arbetsgivarens IT-verktyg hantera uppgifter som arbetstagaren vill skydda från insyn. Enligt vad som tidigare slagits fast bör alltså skyddet för den personliga integriteten i arbetslivet bestämmas genom en avvägning av arbets-
SOU 2002:18 Arbetstagarnas användning av informationsteknik
125
givarens berättigade intresse av kontroll mot arbetstagaren anspråk på en skyddad personlig sfär.
Den föreslagna bestämmelsen avser att precisera och därmed också inskränka arbetsgivarens kontrollrätt. Det bör dock uppmärksammas att detta inte innebär någon förändring i arbetsgivarens arbetsledningsrätt i det avseendet att arbetsgivaren har rätt att bestämma över användningen av IT-verktygen och således om privat användning skall vara tillåten eller inte.
Redan här kan också framhållas att den föreslagna bestämmelsen inte innebär ett absolut och heltäckande skydd för arbetstagarnas personliga integritet i detta avseende. Utredningen har övervägt olika lösningar, men funnit att ett mer heltäckande skydd för arbetstagarnas personliga integritet inte går att åstadkomma utan att detta skulle medföra orimliga konsekvenser för arbetsgivarens verksamhet. En förstärkning av integritetsskyddet jämfört med vad som gäller i dag har dock skett genom att det i bestämmelsen anförs exempel som till ledning för rättstillämpningen anger nivån för vad som krävs för att arbetsgivaren skall ha rätt att ta del av en arbetstagares privata elektroniska uppgifter.
Avslutningsvis bör framhållas att den föreslagna bestämmelsen gäller oavsett om de privata uppgifterna har tillkommit som ett resultat av tillåten eller otillåten användning av arbetsgivaren ITverktyg.
5.4.4.1 Förbud för arbetsgivare att ta del av arbetstagares privata elektroniska uppgifter
Det naturliga vid utformningen av bestämmelsen är enligt utredningens uppfattning att utgå från ett förbud för arbetsgivaren att ta del av en arbetstagares privata elektroniska uppgifter. Detta markerar att den grundläggande respekt för förtroliga meddelanden som föreskrivs i såväl internationella konventioner som i svensk grundlag skall gälla även i arbetslivet. Ett förbud kan emellertid inte vara absolut utan bör förses med nedan angivna undantag för att iaktta erforderlig hänsyn till arbetsgivarens verksamhet.
Arbetstagarnas användning av informationsteknik SOU 2002:18
126
5.4.4.2 Endast avsiktliga intrång omfattas
Som nämnts ovan är det enligt utredningens mening inte möjligt att åstadkomma ett heltäckande skydd för arbetstagarnas privata elektroniska uppgifter. Bestämmelsens begränsning till privata elektroniska uppgifter innebär med hänsyn till teknikens utformning en särskild svårighet eftersom det ofta inte går att på förhand avgöra om vissa uppgifter är privata eller inte.37 Ett absolut skydd för privata uppgifter skulle medföra risker för att även uppgifter som rör arbetsgivarens verksamhet blir oåtkomliga för denne, vilket enligt utredningens mening inte vore acceptabelt. I detta sammanhang bör nämnas att den åtgärden att arbetsgivaren läser filnamn och relaterad information eller ärendemening, avsändare, mottagare, sändningstidpunkt osv. för exempelvis e-post inte innebär att arbetsgivaren tar del av uppgifterna på sätt som anges i bestämmelsen.
Genom att den föreslagna bestämmelsen föreskriver att arbetsgivaren inte avsiktligen får ta del av en arbetstagares privata elektroniska uppgifter finns möjlighet för denne att ta del av uppgifter så länge det inte framgår att dessa är privata. Så fort det står klart för arbetsgivaren att uppgifter, dvs. att hela eller delar av innehållet är privat, får denne dock inte ta del av uppgifterna.38 När det t.ex. inte framgår tydligt att ett e-postmeddelande är privat får alltså arbetsgivaren öppna detta för att undersöka om detta rör verksamheten eller inte. Visserligen kan det i många fall vara så att arbetsgivaren redan genom en sådan åtgärd har tagit del av hela innehållet och att integritetsintrånget då redan har skett. Enligt utredningens mening är detta emellertid oundvikligt.
5.4.4.3 Rutiner för att undvika oavsiktliga intrång
Med den ovan beskrivna konstruktionen finns det risker för att intrång i en arbetstagares integritet kan komma att ske enbart för att arbetsgivaren skall kunna avgöra om vissa uppgifter rör verksamheten eller inte. Utredningens anser mot den bakgrunden att det är önskvärt att både arbetsgivare och arbetstagare – med den föreslagna bestämmelsen som utgångspunkt – verkar för att riskerna för sådana oavsiktliga intrång begränsas och att hanteringen av
37 Utredningens definition av begreppet privata elektroniska uppgifter återfinns på s. 101. 38 En liknande konstruktion kan återfinnas i 27 kap. 12 § RB. Där föreskrivs att vissa typer av dokument som tas i beslag endast får undersökas av rätten, undersökningsledaren eller åklagaren. Om den som verkställer beslaget inte har rätt att undersöka handlingen, skall denne försegla handlingen.
SOU 2002:18 Arbetstagarnas användning av informationsteknik
127
arbetstagarnas privata elektroniska uppgifter anpassas till vad som är lämpligt på varje arbetsplats.
Enligt vad som ovan anförts i avsnitt 5.4.2.8 är offentliga arbetsgivare skyldiga att uppfylla kraven på en god offentlighetsstruktur vid användning av informationsteknik. En sådan struktur skulle kunna bidra till ett stärkt integritetsskydd för arbetstagarna om ITsystemet utformas så att det går att skilja arbetstagarens privata elektroniska uppgifter från de allmänna handlingarna. Sådana åtgärder vid utformningen av IT-systemet kan vara att tilldela arbetstagarna egna privata mappar i vilka privata uppgifter skall lagras. En annan åtgärd kan vara att för e-post ha officiella registratorsbrevlådor som används vid kommunikation av allmänna handlingar. Åtgärderna bör också innefatta information till arbetstagarna och interna riktlinjer för användningen av IT-verktygen. Arbetstagaren bör då få del av tillräcklig information för att kunna minska riskerna för att drabbas av obefogade integritetsintrång. Sådana åtgärder skulle samtidigt underlätta för arbetsgivaren att göra en rimlig bedömning av om uppgifter är privata eller inte.
Även om reglerna om god offentlighetsstruktur inte gäller privata arbetsgivare torde det även i privat verksamhet finnas anledning att överväga liknande lösningar.
Såväl offentliga som privata arbetsgivare har i relativt stor utsträckning interna riktlinjer för arbetstagarnas användning av ITverktygen. Som anförts ovan är sådana värdefulla för att klargöra vilka regler som gäller på arbetsplatsen. Det måste dock framhållas att varken riktlinjer eller en viss struktur i fråga om IT-systemets utformning kan medföra en större rätt för arbetsgivaren att ta del av privata elektroniska uppgifter än vad som framgår av den föreslagna bestämmelsen. Skyddet för arbetstagarna kan dock självfallet utvidgas genom att en arbetsgivare uttryckligen frånsäger sig rätten att ta del av privata elektroniska uppgifter enligt vad som annars skulle gälla enligt lagen.
5.4.4.4 Samtycke
Enligt utredningens mening bör arbetstagare kunna samtycka till att arbetsgivaren tar del av privata uppgifter. En reglering utan en sådan möjlighet skulle riskera att bli allt för rigid och svårhanterlig i praktisk tillämpning. Bl.a. kan man nog utgå från att sådana privata uppgifter som avses här i många fall inte är direkt förtroliga eller
Arbetstagarnas användning av informationsteknik SOU 2002:18
128
annars integritetskänsliga. För sådana fall är det angeläget att ett samarbete i god anda kan ske på arbetsplatserna.
Ett generellt samtycke som lämnas exempelvis vid anställningens början kan vara tillräckligt. I samband med att samtycke lämnas måste arbetstagaren så utförligt som möjligt informeras om vad åtgärderna avser, deras syfte och vilka konsekvenser som kan följa om samtycke inte lämnas. Detta överensstämmer med definitionen av samtycke enligt PUL.
Att en arbetstagare vägrar att lämna samtycke till kontroller kan naturligtvis medföra att arbetsgivaren inte tillåter att arbetstagaren använder IT-verktygen för privata ändamål eller överhuvudtaget.
Om arbetstagaren inte har lämnat samtycke får arbetsgivaren endast ta del av uppgifterna om förutsättningarna enligt de nedan beskrivna undantagen är uppfyllda. Om dessa förutsättningar är uppfyllda behöver en arbetsgivare inte heller först fråga efter samtycke.
5.4.4.5 Undantag om det är nödvändigt för arbetsgivarens verksamhet
Även om det står klart att vissa uppgifter är arbetstagarens privata kan det någon gång finnas behov för arbetsgivaren att ta del av dem. För dessa särskilda situationer föreslås i bestämmelsen att undantag från förbudet skall gälla om det är nödvändigt för arbetsgivarens verksamhet. Att undantaget anknyter till arbetsgivarens verksamhet innebär att frågan om det är tillåtet att ta del av privata uppgifter skall bedömas utifrån verksamhetens behov i det enskilda fallet. Arbetsgivarens åtgärd skall således vid en objektiv bedömning framstå som berättigad med hänsyn till verksamheten. Denna begränsning kan förvisso tyckas något opreciserad. Emellertid sker i bestämmelsen ytterligare precisering genom de exempel som anges.
5.4.4.6 Nödvändighetskravet
För att kontroller enligt undantagsbestämmelsen skall få ske krävs att åtgärden är nödvändig. Kravet innebär alltså att det för att t.ex. undvika säkerhetsrisken i fråga måste vara nödvändigt att ta del av vissa uppgifter. Om exempelvis ett virus kan oskadliggöras utan att arbetsgivaren tar del av privata uppgifter i den drabbade filen är det inte tillåtet enligt bestämmelsen att ta del av uppgifterna.
SOU 2002:18 Arbetstagarnas användning av informationsteknik
129
Nödvändighetskravet kan ses som en förstärkning av det allmänna relevanskravet som beskrivits ovan, se avsnitt.
5.4.4.7 Vid fara för informationssäkerheten
Det allt starkare beroendet av informationsteknik i olika sammanhang har medfört att säkerheten vid användningen av sådan teknik blivit allt mer betydelsefull. Hoten mot informationssäkerheten kan vara såväl externa som interna och avse t.ex. virusangrepp, angrepp från hackers, tekniska fel samt mer eller mindre oavsiktliga skadliga åtgärder från arbetstagares sida. Kraven på en tillfredsställande informationssäkerhet kan göra det nödvändigt för arbetsgivaren att i vissa fall ta del av en arbetstagares privata elektroniska uppgifter. Exempelvis kan en indikation på att ett virus förekommer i ett e-postmeddelande innebära att arbetsgivaren har behov av att omedelbart ta del av detta för att undanröja hotet. Vilka typer av hot som kan förekomma varierar i olika verksamheter. Enligt bestämmelsen förutsätts dock att det föreligger en konkret fara för informationssäkerheten. Utredningen kan inte uttala sig om de närmare gränserna för vilka situationer och vilka åtgärder som är tillåtna enligt bestämmelsen. Det är dock arbetsgivaren som bestämmer vilken säkerhetsnivå som skall gälla i verksamheten, vilket får stor betydelse för bedömningen av de åtgärder som kan behöva vidtas.
Fara för informationssäkerhet i den mening som avses här innefattar således mer än rent tekniska hot mot informationen. Även sådana fall där en arbetstagare – avsiktligt eller oavsiktligt – t.ex. sprider eller ändrar information utgör en sådan fara som avses.
5.4.4.8 Vid skälig misstanke om brott
Även i det fallet att en arbetstagare ägnar sig åt brottslig verksamhet och arbetsgivaren därför behöver vidta åtgärder är det befogat att ge arbetsgivaren rätt att ta del av privata elektroniska uppgifter. Härför bör krävas att arbetsgivaren har en skälig misstanke om att arbetstagaren gör sig skyldig till brott vid användningen av ITverktygen samt att det är av betydelse för att förhindra fortsatt brottslighet att arbetsgivaren också tar del av arbetstagarens privata uppgifter. Bestämmelsen är begränsad till sådana situationer där arbetsgivarens IT-verktyg används vid utförande av brott. Att med stöd av bestämmelsen vidta allmänt utredande eller bevissäkrande åtgärder vid varje misstanke om brott får inte förekomma. Arbets-
Arbetstagarnas användning av informationsteknik SOU 2002:18
130
givaren får alltså inte ta del av en arbetstagares privata elektroniska uppgifter för att undersöka om arbetstagaren exempelvis i meddelande till annan röjer att han begått brott. Sådana brottsutredningar bör även i fortsättningen skötas av polis och åklagare.
När det gäller brott eller illojalt beteende förutsätts att det finns skälig misstanke om sådant. Begreppet avses här ha samma innebörd som när det gäller att bedöma misstanke vid användning av straffprocessuella tvångsmedel. Det är således klart att det måste finnas någon konkret indikation på att sådant beteende förekommer, men att närmare bedöma vad som krävs i enskilda fall får överlämnas åt rättstillämpningen.
En lämplig ordning är enligt utredningens mening att arbetsgivaren i första hand skall försöka få arbetstagarens samtycke till åtgärden.
5.4.4.9 Vid skälig misstanke om illojalitet
Som ett led i anställningsavtalet anses ingå ett krav på arbetstagaren att vara lojal mot arbetsgivaren. Med detta avses att arbetstagaren inte får vidta åtgärder som är ägnade att skada eller på annat sätt försvåra arbetsgivarens verksamhet. Vilka krav som är rimliga att ställa måste av naturliga skäl variera beroende bl.a. på den aktuella verksamhetens beskaffenhet, arbetsuppgifternas art, arbetstagarens ställning i företaget och om arbetstagaren på något sätt äventyrat något led i arbetsgivarens verksamhet. Som AD har uttalat39 kan man självfallet inte med någon enkel formel beskriva vad som åvilar arbetstagaren i normalfallet, men en gemensam synpunkt på dennes förpliktelser har angivits vara att arbetstagaren är skyldig att sätta arbetsgivarens intresse framför sitt eget samt att undvika lägen, där han eller hon kan komma i en pliktkollision.
Om det finns skälig misstanke att en arbetstagare bryter mot lojalitetsplikten, t.ex. genom att bedriva konkurrerande verksamhet eller genom att sprida konfidentiell information, bör det vara befogat att arbetsgivaren har en möjlighet att ingripa. Även för sådana situationer ges därför en möjlighet för arbetsgivaren att ta del av privata elektroniska uppgifter. För att knyta tillämpningen av bestämmelsen till arbetsrättslig praxis föreslås att bestämmelsen skall omfatta sådan illojalitet som kan medföra skadeståndsskyldighet eller utgöra saklig grund för uppsägning.
39 Se AD 1993 nr 18.
SOU 2002:18 Arbetstagarnas användning av informationsteknik
131
Beträffande begreppet skälig misstanke hänvisas till vad som anförts i närmast föregående stycke.
En lämplig ordning även i detta fall är enligt utredningens mening att arbetsgivaren i första hand skall försöka få arbetstagarens samtycke till åtgärden.
5.4.5 Förhållandet till andra författningar
5.4.5.1 Regeringsformen och Europakonventionen
Frågan är om den föreslagna bestämmelsen kan anses innehålla en sådan begränsning i enskildas fri- och rättigheter enligt 2 kap. 6 § RF som är tillåten endast om förutsättningarna i 2 kap. 12 § RF är uppfyllda. I avsnitt 5.4.2.3 ovan har konstaterats att 2 kap. 6 § innebär ett förbud för en offentlig arbetsgivare att ta del av en arbetstagares privata e-postmeddelanden under tiden som meddelandet är under befordran.
Enligt utredningens mening innebär bestämmelsens första stycke att förbudet i 2 kap. 6 § upprätthålls och att det därför inte är fråga om någon begränsning i enskildas fri- och rättigheter. Liksom 2 kap. 6 § förbjuds aktivt undersökande från det allmännas sida. Den omständligheten att bestämmelsen inte hindrar att en arbetsgivare vid genomgång av e-postmeddelanden av misstag kan komma att ta del av privata uppgifter ger därför inte anledning till annan bedömning.
Tredje stycket däremot innebär en begränsning i enskildas fri- och rättigheter med hänsyn till att bestämmelsen under angivna förutsättningar tillåter att en arbetsgivare – medveten om att viss epost är privat – ändå undersöker den med stöd av bestämmelsen. Enligt 2 kap. 12 § får rättigheterna i 2 kap. 6 § begränsas genom lag. Begränsning får göras endast för att tillgodose ändamål som är godtagbart i ett demokratiskt samhälle. Begränsningen får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar. Begränsningen får inte heller göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning.
I detta fall innebär begränsningen att skyddet i 2 kap. 6 § mot undersökning av arbetstagares brev eller annan förtrolig försändelse inskränks i vissa särskilt angivna undantagsfall där arbetsgivarens IT-verktyg har använts vid kommunikationen. Det måste beaktas
Arbetstagarnas användning av informationsteknik SOU 2002:18
132
att syftet med begränsningen inte är att utgöra hinder mot viss kommunikation eller mot viss åsiktsbildning. Syftet är i stället att göra det möjligt för arbetsgivaren att tillgodose sina intressen när det gäller användningen av IT-verktygen och därmed att bedriva sin verksamhet.
Det nu anförda innebär enligt utredningens mening att de begränsningar i fri- och rättigheterna som bestämmelsen medför är godtagbara enligt 2 kap. 12 §.
Artikel 8 i Europakonventionen har en utformning som motsvarar 2 kap. 6 och 12 §§ RF. Det ovan förda resonemanget om RF är enligt utredningens mening tillämpligt även på Europakonventionen och således är förslaget förenligt även med Europakonventionen.
5.4.5.2 Tryckfrihetsförordningen och yttrandefrihetsgrundlagen
Vid sidan av bestämmelsen kommer det s.k. meddelar- och anskaffarskyddet enligt TF och YGL att gälla, se ovan avsnitt 5.4.2.9. Vid tillämpning av bestämmelserna om meddelar- och anskaffarfrihet uppkommer problem som motsvarar vad som ovan diskuterats, nämligen att det på förhand kan vara svårt att avgöra om vissa uppgifter är sådana som omfattas av bestämmelserna. Säkert finns det därför betydande risker att en offentlig arbetsgivare vid hanteringen av uppgifter i IT-systemet oavsiktligt kan komma att ta del av meddelanden som skyddas av TF och YGL. Den föreslagna bestämmelsen i LIA påverkar emellertid inte tillämpningen av TF eller YGL och eventuella tillämpningssvårigheter beträffande dessa bestämmelser får övervägas i annat sammanhang.
5.4.5.3 Brottsbalken
Genom att bestämmelsen anger när det är olovligt för en arbetsgivare att ta del av en arbetstagares privata elektroniska uppgifter kommer den att få betydelse för bedömningen av vad som kan anses som straffrättsligt olovligt. Som redovisats ovan i avsnitt 5.4.2.5 under rubriken Dataintrång, förutsätter brottet dataintrång enligt 4 kap. 9 c § BrB att någon olovligen bereder sig tillgång till upptagning för automatisk databehandling. Att bereda sig tillgång till en upptagning innefattar bl.a. att ta del av upptagningens innehåll. Den föreslagna bestämmelsen kommer att definiera vad som skall anses olovligt i den situationen att en arbetsgivare tar del av en
SOU 2002:18 Arbetstagarnas användning av informationsteknik
133
arbetstagares privata elektroniska uppgifter. Vid bedömningen av om ett förfarande utgör dataintrång bör alltså åtgärder som är tillåtna i enlighet med den föreslagna bestämmelsen inte kunna anses som olovliga i straffrättsligt hänseende. På motsvarande sätt torde åtgärder i strid med bestämmelsen vara att betrakta som olovliga och därmed som ett straffbart dataintrång.40
5.4.5.4 PUL
Som framgår i avsnitt 5.4.2.6, tillämpas PUL fullt ut på sådana åtgärder som innebär att en arbetsgivare tar del av en arbetstagares privata elektroniska uppgifter. Av den föreslagna bestämmelsen framgår hur intresseavvägningen mellan arbetsgivarens och arbetstagarnas respektive intressen skall göras och bestämmelsen innebär därmed en precisering av 10 § PUL. 3 § LIA är således i detta avseende en specialreglering i förhållande till PUL och skall därmed gälla framför PUL. I övrigt skall en arbetsgivare som behandlar personuppgifter om en arbetstagare genom att ta del av dennes privata elektroniska uppgifter följa vad som föreskrivs i PUL.41
5.4.6 Förhållandet till dataskyddsdirektivet
Som framgår av närmast föregående avsnitt innebär den föreslagna bestämmelsen en precisering av 10 § PUL och därmed en precisering av direktivets artikel 7. Något hinder emot att i nationell lagstiftning precisera artikeln finns inte. Preciseringarna innebär inte att det fria flödet av personuppgifter mellan medlemsstaterna hindras. Inte heller innebär de att skyddet för enskildas personliga integritet sänks i strid med direktivet. Således utgör direktivet inget hinder mot den föreslagna bestämmelsen.
5.5 Loggning
Praktiskt taget all informations- och kommunikationsteknik innefattar en möjlighet att logga användarnas aktiviteter. Det innebär att utformning och användning av loggar varierar mycket. Inom begreppet loggning faller därmed en stor mängd disparata funktioner som bara har det gemensamt att de automatiserat registrerar aktiviteter i en IT-applikation. Det är givet att det vid en analys av de rättsliga frågorna kring loggning innebär vissa svårigheter att
40 Jfr förhållandet mellan 44 § telelagen och 4 kap. 8 § BrB. 41 Se närmare redogörelsen i avsnitt 5.4.2.6.
Arbetstagarnas användning av informationsteknik SOU 2002:18
134
göra en samlad redovisning av fall med så vitt skilda användningsområden och så olika utformning som det här är fråga om. Att i stället försöka göra en systematisk uppdelning i t.ex. syften eller användningsområden för loggarna skulle emellertid också innebära vissa nackdelar. Bl.a. har många loggar flera möjliga användningsområden, t.ex. såväl teknisk kontroll som kontroll av arbetstagares beteenden. Vidare måste beaktas att den tekniska utvecklingen innebär stora svårigheter att även för den närmaste framtiden förutse hur loggning kan komma att utformas och användas. Mot denna bakgrund kommer i denna framställning alla former av loggning att behandlas gemensamt. Med loggning avses då all insamling av sådana elektroniska spår som innehåller information om aktiviteter som har vidtagits av en fysisk person vid användning av en datoriserad tillämpning. Således kommer begreppet loggning här att avse så vitt skilda fall som relativt enkla loggar för teknisk övervakning av nätverk, loggar i inpasseringssystem och loggar i avancerade tillämpningar för prestationsmätning i exempelvis teletjänstverksamhet.
Risker för integritetsintrång torde endast förekomma om uppgiften om viss aktivitet går att hänföra till en bestämd fysisk person och uppgiften således är en personuppgift i PUL:s mening. Resonemangen kommer därför i det följande att begränsas till situationer där uppgifterna i loggarna utgör personuppgifter. Med hänsyn till att personuppgifter vid loggning alltid behandlas automatiserat är PUL tillämplig enligt 5 § PUL. Det kan därför redan här nämnas att PUL är fullt ut tillämplig i de fall som avses nedan.
En särskild fråga i detta sammanhang är när loggning av arbetstagares arbetsinsatser får sådan omfattning att loggningen riskerar att negativt påverka arbetstagarens fysiska eller psykiska välbefinnande. Som framgår nedan betraktar utredningen detta i första hand som en arbetsmiljöfråga, se nedan avsnitt 5.5.2.1.
5.5.1 Den rättsliga regleringen
5.5.1.1 Arbetsgivarens arbetsledningsrätt
Även när det gäller loggning är naturligtvis arbetsgivarens arbetslednings- och kontrollrätt av betydelse för de kontroller en arbetsgivare kan göra.
Arbetsledningsrätten ger som utgångspunkt arbetsgivaren en principiell rätt att bestämma när loggning skall ske. Av kontroll-
SOU 2002:18 Arbetstagarnas användning av informationsteknik
135
rätten torde följa att arbetsgivaren också som utgångspunkt har rätt att använda loggarna för att kontrollera enskilda arbetstagares beteenden och prestationer. Att sådana kontroller inte får stå i strid med lag innebär bl.a. att arbetsgivaren vid behandlingen måste följa PUL och således ange ett särskilt och berättigat ändamål, att informera arbetstagarna om kontrollerna m.m. Av 9 § PUL följer som ett grundläggande krav att god sed måste iakttas vid all behandling av personuppgifter. Detta torde innebära att kontroller inte får ske på ett sätt som innebär mycket närgången och omfattande övervakning av arbetstagaren.
5.5.1.2 PUL
Såsom anförts ovan behandlas här endast loggning som omfattas av PUL:s bestämmelser. Det innebär att varje åtgärd som arbetsgivaren företar med personuppgift i samband med loggning, dvs. insamling, bearbetning, användning m.m., måste uppfylla PUL:s krav. Med hänvisning till den stora variation som förekommer när det gäller loggning kan här inte lämnas en uttömmande redovisning av situationer där tillämpningen av PUL kan vålla problem. Inte heller eftersträvas någon fullständighet i redovisningen av PUL:s bestämmelser. I avsnittet skall i stället ges exempel på situationer där PUL kan antas vara särskilt betydelsefull i samband med loggning. I det följande kommer redogörelsen att utgå från att den personuppgiftsansvarige är en arbetsgivare.
Grundläggande krav på behandlingen
Som allmänna krav gäller att arbetsgivaren bara får behandla personuppgifter om det är lagligt samt om det sker på ett korrekt sätt och enligt god sed. Att behandlingen skall ske enligt god sed torde i detta sammanhang kunna innebära att man vid bedömningen söker ledning i riktlinjer utarbetade av etablerade branschsammanslutningar eller hur andra ansvarsfulla arbetsgivare hanterar frågor om loggning.
Enligt 9 § PUL skall arbetsgivaren se till att personuppgifter samlas in bara för särskilda, uttryckligen angivna och berättigade ändamål. Dessa ändamål får sedan betydelse för den fortsatta behandlingen av personuppgifterna. Bl.a. får personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Det innebär dels att arbetsgivaren – redan
Arbetstagarnas användning av informationsteknik SOU 2002:18
136
när en loggningsfunktion tas i bruk – uttryckligen måste ha angett ändamålen med denna, dels att arbetsgivaren är förhindrad att använda uppgifterna i loggen för andra (oförenliga) ändamål. Kravet att ändamålen skall vara särskilda innebär att dessa inte kan anges alltför allmänt, utan måste vara relativt detaljerade. Om ändamålet med en viss loggning har angetts vara för att kontrollera en tillämpnings tekniska funktion, innebär PUL ett förbud mot att använda uppgifterna exempelvis för att kontrollera arbetstagares prestationer.
Enligt 9 § krävs också att arbetsgivaren begränsar uppgifterna vid loggning till sådana som är adekvata och relevanta i förhållande till de angivna ändamålen.
Slutligen måste arbetsgivaren se till att insamlade uppgifter inte bevaras under längre tid än vad som är nödvändigt med hänsyn till ändamålet med loggningen.
Tillåten behandling
10 § PUL anger uttömmande när behandling av personuppgifter är tillåten. Först kan konstateras att ett frivilligt och informerat samtycke av arbetstagaren alltid medför att behandling av personuppgifter är tillåten. Några begränsningar utöver vad som följer av 9 § PUL när det gäller vilka uppgifter som kan samlas in eller i övrigt behandlas vid loggning finns inte för en arbetsgivare som inhämtar samtycke från arbetstagarna. Även om samtycke inte har inhämtats får loggning ske enligt de i bestämmelsen närmare angivna förutsättningarna. Ett grundläggande krav är att behandlingen är nödvändig. I många fall där loggning sker för teknisk kontroll av viss tillämpning kan man ifrågasätta om vidtagna åtgärder över huvud taget behöver kunna hänföras till enskild arbetstagare.
Arbetsgivare får behandla personuppgifter om arbetstagare om det är nödvändigt för att fullgöra ett avtal mellan parterna. I allmänhet torde loggning inte utgöra sådan behandling som är nödvändig för fullgörelse av anställningsavtalet. Det kan dock tänkas att ett avtal om resultatlön eller ett system med individuella ackord kan innebära att det är nödvändigt att behandla personuppgifter som samlats in genom loggning.
Att loggning skulle vara nödvändig för att fullgöra en rättslig skyldighet kan också förekomma. Som exempel kan nämnas att en myndighets särskilda skyldigheter beträffande inkomna handlingar
SOU 2002:18 Arbetstagarnas användning av informationsteknik
137
kan medföra att det är nödvändigt att logga t.ex. inkommande epost på visst sätt.
Slutligen får personuppgifter behandlas efter en intresseavvägning om arbetsgivarens berättigade intressen av behandlingen väger tyngre än arbetstagarens intresse av integritetsskydd. Denna bestämmelse torde komma att tillämpas i många fall vid bedömning av tillåtligheten av viss loggning. Bestämmelsen innebär att arbetsgivaren för varje fall av loggning skall göra en avvägning mellan å ena sidan sina egna behov av loggningen och å andra sidan det intrång i arbetstagarnas personliga integritet som denna medför. Arbetsgivarnas och arbetstagarnas respektive intressen har redovisats ovan. Att närmare ange hur intresseavvägningen enligt PUL faller ut i enskilda fall är knappast möjligt. Generellt kan möjligen sägas att loggning som betingas av säkerhetsskäl i allmänhet väger tyngre än sådana som betingas av t.ex. företagsekonomiska effektivitetsskäl.
Känsliga personuppgifter
PUL innehåller i 13 § särskilda bestämmelser om behandling av känsliga personuppgifter. I detta sammanhang uppkommer frågan om insamling av personuppgifter genom loggning kan utgöra behandling av sådana känsliga personuppgifter som avses. Vid tillkomsten av dataskyddsdirektivet och PUL tycks inte detta ha berörts. Uppgifter som samlas in vid loggning kan innehålla information t.ex. om kommunikation som skett mellan en arbetstagare och ett politiskt parti eller en religiös sammanslutning och torde därmed, åtminstone i speciella situationer, kunna innebära att uppgiften avslöjar arbetstagarens politiska uppfattning eller religiösa övertygelse.
Information
Det kan ifrågasättas om uppgifter som samlas in vid loggning är insamlade från arbetstagaren själv eller från annan. Datalagskommittén har vid tillkomsten av PUL förutsatt att det i dessa fall rör sig om insamling som sker från den registrerade, dvs. från arbetstagaren, själv. I vissa fall, som t.ex. vid loggning av inkommande e-post, är denna bedömning emellertid inte självklar. Arbetsgivarens skyldighet att informera om sådan insamling som sker skiljer sig emellertid inte särskilt mycket mellan de båda fallen.
Arbetstagarnas användning av informationsteknik SOU 2002:18
138
I 23 § PUL finns de grundläggande reglerna om skyldigheter för arbetsgivare att självmant informera om behandling av personuppgifter som samlas in från arbetstagaren själv och i 24 § finns motsvarande regler beträffande uppgifter som samlas in från annan. Enligt bestämmelserna skall information lämnas när uppgifterna samlas in respektive registreras. Om avsikten är att fortlöpande samla in uppgifter om en och samma person bör det enligt Datalagskommittén vara möjligt att lämna information bara en gång om det sker innan uppgifter samlas in eller registreras första gången.42 Information skall då lämnas om bl.a. vilka kategorier av uppgifter som kommer att samlas in och behandlas. Datalagskommittén framhåller också att det är viktigt att personer som använder Internet, BBS:er eller liknande elektroniska tjänster får information om vilken insamling av elektroniska spår som sker i loggar.
Den information som skall lämnas är enligt 25 § uppgift om den personuppgiftsansvariges – och dennes eventuella företrädares – identitet, ändamålet med behandlingen och all ytterligare information som är nödvändig för att tillförsäkra den registrerade en korrekt behandling.
Enligt 26 § är arbetsgivaren skyldig att på ansökan av arbetstagare informera om bl.a. vilka uppgifter som behandlas, varifrån uppgifterna har hämtats och ändamålen med behandlingen.
Skyldighet att föra förteckning
Enligt 36 § är personuppgiftsansvariga skyldiga att – med vissa inskränkningar – anmäla helt eller delvis automatiserad behandling till Datainspektionen. Med stöd av 6 § personuppgiftsförordningen har Datainspektionen föreskrivit att anmälningsskyldigheten inte gäller för behandling av personuppgifter som avser registrerade med sådan anknytning till den personuppgiftsansvarige som bl.a. följer av anställning under förutsättning att den personuppgiftsansvarige själv för en förteckning över behandlingarna med de uppgifter som annars skulle ha anmälts.43 Undantaget gäller dock inte behandling av känsliga personuppgifter enligt 13 § PUL.
De uppgifter som en arbetsgivare enligt ovan är skyldig att föra en förteckning över (eller anmäla till Datainspektionen om det
42 Se SOU 1997:39 s. 384. 43 Se 5 § a) DIFS 1998:2 (ändrad genom 1999:3 och 2001:1).
SOU 2002:18 Arbetstagarnas användning av informationsteknik
139
gäller känsliga uppgifter) är enligt 6 § DIFS 1998:244
a) den personuppgiftsansvariges namn, adress, telefonnummer och organisationsnummer,
b) ändamålet eller ändamålen med behandlingen,
c) en beskrivning av den eller de kategorier av registrerade som berörs av behandlingen,
d) en beskrivning av de uppgifter eller kategorier av uppgifter som skall behandlas om de registrerade,
e) uppgift om mottagarna eller de kategorier av mottagare till vilka uppgifterna kan komma att lämnas ut,
f) upplysning om överföringar av uppgifter till tredje land,
g) en allmän beskrivning av de åtgärder som har vidtagits för att trygga säkerheten i behandlingen.
Sanktioner
En arbetsgivare som behandlar arbetstagares personuppgifter i strid med PUL:s bestämmelser kan enligt 48 § bli skadeståndsskyldig gentemot arbetstagaren. Behandlingar som inte överensstämmer med PUL:s krav kan dessutom enligt 49 § vara straffbara. Enligt bestämmelsen är det straffbart för en personuppgiftsansvarig bl.a. att lämna osann uppgift i information till registrerade.
5.5.1.3 Arbetarskyddsstyrelsens föreskrifter om arbete vid bildskärm
Med stöd av arbetsmiljöförordningen (1977:1166) har arbetarskyddsstyrelsen meddelat särskilda föreskrifter om arbete vid bildskärm, AFS 1998:5. Av 10 § framgår bl.a. att kvantitativ eller kvalitativ kontroll av arbetstagarens arbetsinsats via datasystemet inte får göras utan dennes vetskap. Bestämmelsen är en implementering av EG-direktivet 90/270/EEG av den 29 maj 1990 om minimikrav för säkerhet och hälsa i arbete vid bildskärm. I Arbetarskyddsstyrelsens allmänna råd om tillämpningen av föreskrifterna konstateras att sådan kontroll kan upplevas som integritetskränkande och öka den psykiska belastningen i arbetet om den sker utan arbetstagarnas vetskap. Av de allmänna råden framgår också att det inte heller är förenligt med kraven på en god arbetsmiljö i psykiskt och socialt avseende att utnyttja datortekniken så att upp-
44 Ändrad genom DIFS 1999:3 och 2001:1
Arbetstagarnas användning av informationsteknik SOU 2002:18
140
gifter om enskild anställd används på ett sätt som medför att den personliga integriteten kränks.
I begreppet kvantitativ eller kvalitativ kontroll torde ingå i princip allt som har att göra med en arbetstagares arbetsinsats. Kontroll av uppgifter i en e-post- eller Internetlogg innefattar således en kvantitativ eller kvalitativ kontroll enligt bestämmelsen.
Ett sätt att informera arbetstagarna om kontroller är genom allmänna meddelanden, t.ex. i form av riktlinjer för datoranvändning. Sådan information kan emellertid behöva kompletteras för att säkerställa att alla grupper av arbetstagare verkligen får tillräcklig information. Vidare kan arbetstagarna behöva informeras särskilt inför en viss kontroll om arbetsgivaren i riktlinjerna har förbehållit sig en allmän rätt att kontrollera.
Den som bryter mot föreskriften kan med stöd av 8 kap. 2 § första stycket andra punkten arbetsmiljölagen (1977:1160), jämförd med 19 § arbetsmiljöförordningen, dömas till böter.
5.5.2 Behovet av ytterligare rättslig reglering
Redovisningen ovan visar att principen om arbetsgivarens arbetsledningsrätt innebär att rätten att kontrollera en arbetstagare begränsas med hänsyn till att kontroller inte får stå i strid med lag, god sed eller annars vara otillbörliga. Denna princip tillsammans med PUL:s bestämmelser innebär ett betydande skydd för arbetstagarnas personliga integritet. Här kan särskilt framhållas arbetsgivarens skyldighet att i förväg ange ett särskilt och berättigat ändamål, att se till att endast relevanta uppgifter behandlas och att behandlingen är tillåten enligt 10 §. Därmed ställs relativt stora krav på arbetsgivare som vill påbörja sådan loggning som innebär att personuppgifter om arbetstagare samlas in. Arbetsgivarens skyldighet att informera arbetstagarna om all förekommande behandling av deras personuppgifter är också ett viktigt inslag i integritetsskyddet för arbetstagarna. Framför allt innebär den öppenhet som informationsskyldigheten medför att arbetstagarna kan kontrollera om förekommande loggning är tillåten, berättigad och även i övrigt utformad på ett lämpligt sätt. Här torde för övrigt arbetstagarorganisationerna kunna fylla en viktig kontrollerande funktion.
Något behov av att skärpa PUL:s bestämmelser finns därför inte enligt utredningens mening. Däremot finns det skäl att försöka
SOU 2002:18 Arbetstagarnas användning av informationsteknik
141
precisera den intresseavvägning som enligt 10 § PUL måste göras för att loggning skall vara tillåten utan att samtycke har lämnats.
När det gäller loggning som sker i sådan omfattning eller annars på sådant sätt att den påtagligt och negativt påverkar arbetstagarens fysiska eller mentala välbefinnande anser utredningen att detta inte i första hand är en integritetsfråga, utan en arbetsmiljöfråga som kan och bör lösas inom ramen för arbetsmiljölagstiftningen. Sådana frågor är enligt utredningens mening särskilt lämpade för reglering genom kollektivavtal.
5.5.2.1 Arbetstagares intresse av integritetsskydd
Sådan loggning som är aktuell här är sådan som har anknytning till ett anställningsförhållande. De personuppgifter som samlas in vid loggningen torde därmed i allt väsentligt röra aktiviteter med anknytning till utförda arbetsuppgifter och torde därför i allmänhet inte ha ett integritetskänsligt innehåll. I denna bedömning ligger också att en arbetsgivare alltid måste ha en principiell rätt att kontrollera hur arbetet utförs. Användningen av de insamlade uppgifterna kan också påverka riskerna för integritetsintrång. Särskilt integritetskänslig kan sådan loggning vara som avser att ligga till grund för en bedömning av arbetstagares prestationer.
Emellertid kan även uppgifter av privat karaktär komma att behandlas bl.a. när arbetstagaren använder arbetsgivarens utrustning för privata ändamål, t.ex. för att skicka privat e-post eller för annan privat Internetanvändning. Till skillnad från uppgifter som rör arbetstagarens arbetsuppgifter kan denna typ av uppgifter i sig vara integritetskänsliga.
Det anförda innebär att arbetstagares intresse av skydd för sin personliga integritet är särskilt påtagligt dels vid loggning som avser att bedöma arbetstagarnas prestationer, dels när loggningen innefattar uppgifter av privat karaktär.
5.5.2.2 Arbetsgivarens intresse av att logga arbetstagares aktiviteter
Arbetsgivarens intresse eller behov av att logga vissa aktiviteter varierar naturligtvis mycket beroende på olika faktorer, såsom t.ex. dennes verksamhet och utrustning. Att i detalj redogöra för de intressen av loggning som arbetsgivare kan ha i enskilda fall är därför svårt. Här nedan följer några exempel på situationer där arbets-
Arbetstagarnas användning av informationsteknik SOU 2002:18
142
givare kan ha ett behov av att logga arbetstagarnas aktiviteter vid användning av IT-verktyg.
Loggning används regelmässigt som underlag vid felsökning. Uppgifter i loggen kan ge besked om hur ett fel i en tillämpning har uppkommit och därmed om hur felet skall åtgärdas. Vidare kan loggning av aktiviteter t.ex. i ett nätverk användas för att bedöma om detta är riktigt dimensionerat och anledningarna till eventuella överbelastningar. Att ett nätverk varken är över- eller underdimensionerat är betydelsefullt från kostnadssynpunkt.
Kommunikation i ett nätverk innebär alltid risker för att obehöriga personer bereder sig tillgång till information eller andra resurser. Därför finns en mängd olika typer av verktyg för att begränsa åtkomsten till nätverket och därigenom skydda nätverket från obehöriga intrång. I de flesta nätverk förutsätts därför att inloggning sker med särskilda användarnamn och lösenord. I samband med sådana kontroller registreras vilken användare (vilken användaridentitet) som loggat in sig på nätverket och vid vilken tid det skedde. Beroende på hur nätverket är uppbyggt och vilken information det innehåller kan vidare loggas andra åtgärder som användaren vidtar, exempelvis vilken information denne hämtar eller ändrar. Uppgifterna kan användas dels för att kontrollera och utreda obehöriga intrång eller försök till sådana, dels för att kontrollera om en i och för sig behörig användare har berett sig tillgång till information som han eller hon inte haft rätt att ta del av.
Att logga arbetstagarnas e-postanvändning kan vara av betydelse för att arbetsgivaren skall kunna bilda sig en uppfattning om den korrespondens eller de kommunikationer i övrigt som förekommer i verksamheten. Särskilt kan det vara av betydelse att kontrollera att inkommande e-post når avsedd mottagare och att alla ärenden som inkommer med e-post åtgärdas på lämpligt sätt. Här kan särskilt nämnas kravet på offentliga arbetsgivare att registrera och diarieföra inkommande allmänna handlingar.
Ett annat generellt intresse för arbetsgivare att logga arbetstagares aktiviteter är vidare för att kontrollera om interna regler för användning av utrustningen efterlevs. Reglerna betingas ofta av arbetsgivarens behov av att åstadkomma en tillräcklig informationssäkerhet och kontroll av efterlevnaden kan därför vara mycket betydelsefull.
Härutöver finns en mängd situationer där arbetsgivarens verksamhet eller speciella IT-verktyg medför möjligheter till och behov av andra och kanske mer avancerade former av loggning. I vissa
SOU 2002:18 Arbetstagarnas användning av informationsteknik
143
verksamheter där en stor del av arbetstagarnas arbete sker med hjälp av datoriserade funktioner såsom persondator och telefon finns möjlighet att genom loggning av arbetstagarnas aktiviteter använda kraftfulla verktyg för att mäta deras prestationer. Uppgifterna kan sedan användas som underlag för bedömningar av bl.a. personalbehov, personalens behov av vidareutbildning eller för att fastställa bonus eller resultatlön.
Användningen av lokaliseringsuppgifter i t.ex. transportföretag kan vara av stor betydelse för arbetsgivaren med hänsyn till möjligheterna att utnyttja resurserna på ett effektivare sätt. Även av säkerhetsskäl kan sådana uppgifter vara värdefulla för att t.ex. kunna hjälpa en arbetstagare som blivit utsatt för brott eller råkat ut för en olycka.
5.5.3 Överväganden och förslag Utredningens förslag: En tillämpning av PUL:s bestämmelser
tillgodoser på ett tillfredsställande sätt arbetstagares intresse av skydd för den personliga integriteten i samband med loggning. För att lyfta fram och tydliggöra detta skydd bör i LIA tas in en bestämmelse som hänvisar till PUL. De situationer som avses här gäller loggning av arbetstagares aktiviteter på arbetsplatsen eller annars med arbetsgivarens utrustning. Det är naturligt att denna anknytning till anställningen får särskild betydelse vid utformningen av arbetstagarnas integritetsskydd i detta sammanhang. Utgångspunkten bör enligt utredningens mening vara den som allmänt gäller i arbetslivet, nämligen att det i arbetsgivarens arbetsledningsrätt ingår en rätt att i viss utsträckning utöva kontroll över arbetstagarna. Kontroller genom loggning utgör inget undantag härifrån.
Vidare måste beaktas att möjligheten till loggning är mycket viktig – och ibland oumbärlig – i olika sammanhang. Som exempel kan nämnas att loggning ofta är helt nödvändig för kontroll av den tekniska funktionen i olika informations- och kommunikationssystem samt för en tillfredsställande informationssäkerhet. Möjligheterna att med GPS-teknik lokalisera bl.a. fordon utgör exempel på hur modern informations- och kommunikationsteknik i olika sammanhang kan utnyttjas för viktiga ändamål. Den tekniska utvecklingen på informations- och kommunikationsområdet är, såsom bl.a. påpekats i utredningens direktiv, av stor betydelse för den
Arbetstagarnas användning av informationsteknik SOU 2002:18
144
ekonomiska tillväxten och samhällslivet i övrigt. Mot den bakgrunden är det viktigt att reglering som kan förändra förutsättningarna för denna utveckling sker med stor försiktighet.
Det kan emellertid inte bortses från att möjligheten till loggning av aktiviteter i informations- och kommunikationssystem medför betydande risker för intrång i arbetstagares personliga integritet. Från integritetssynpunkt innebär loggning av arbetstagares aktiviteter framför allt två problem. Det ena utgörs av den psykiska belastning det innebär att arbeta under sådana förhållanden att arbetstagaren kan få en känsla av att vara ständigt övervakad. Detta orsakas av att loggning i allmänhet pågår kontinuerligt och innebär att stora mängder information samlas in, men också av att sådana kontroller som sker med loggning i allmänhet sker utan arbetstagarens vetskap. Det andra problemet orsakas av att loggningsfunktioner – naturligt nog – inte skiljer mellan aktiviteter som rör arbetsuppgifterna och sådana som rör privata förhållanden. Genom loggning riskerar därför att samlas in uppgifter om rent privata förhållanden som inte bör omfattas av arbetsgivarens ovan beskrivna kontrollrätt.
En situation som behöver uppmärksammas särskilt är där arbetsgivarens användning av uppgifter som samlats in genom loggning innefattar en möjlighet till kontroll av arbetstagares individuella prestationer. Med sådan kontroll måste överhuvudtaget avses användning som, oavsett loggningens primära syfte, innebär en faktisk möjlighet för arbetsgivaren att bedöma det sätt på vilket arbetstagaren utför sina arbetsuppgifter. Det bör då sakna betydelse om bedömningen görs utifrån kvantitativa eller kvalitativa kriterier. Som typexempel kan nämnas att insamlade uppgifter används för att utvärdera en arbetstagares arbetsinsats, vilket är vanligt förekommande i bl.a. teletjänstverksamhet, eller för att ligga till grund för resultatlön eller bonus. Det får också anses innefatta kontroll av arbetstagares individuella prestationer när det utifrån insamlade uppgifter går att följa en arbetstagares fysiska vistelseort, såsom förekommer t.ex. beträffande chaufförer och väktare. Det är således inte fråga om kontroll av individuella prestationer om uppgifterna avser grupper av arbetstagare, t.ex. statistikuppgifter för att bedöma behovet av bemanning eller andra resurser. Inte heller omfattas sådan kontroll av enstaka aktiviteter som sker t.ex. i samband med övervakningen av en tillämpnings tekniska funktion. För att det skall vara fråga om en bedömning av arbetstagares individuella prestationer förutsätts alltså normalt att det sker en syste-
SOU 2002:18 Arbetstagarnas användning av informationsteknik
145
matisk genomgång, sammanställning eller bearbetning av enskilda uppgifter och det av sammanställningen går att dra slutsatser om arbetstagarens arbetsinsats. Om bearbetningen sker automatiserat eller manuellt saknar betydelse.
Formerna för kontroller av individuella prestationer, dvs. prestationsmätning, bör enligt utredningens mening lämpligen regleras i kollektivavtal.
Den ovan redovisade regleringen i PUL gäller naturligtvis även vid loggning som sker i direkt syfte att mäta arbetstagares prestationer. För sådant arbete som utförs vid bildskärm gäller även Arbetsmiljöverkets föreskrift om arbete vid bildskärm, enligt vilken kvantitativa eller kvalitativa kontroller av arbetstagaren inte får ske utan dennes vetskap. 45
Utredningen kan konstatera att genomgången av den nu gällande rättsliga regleringen i avsnitt 5.5.1 ovan visar att en tillämpning av PUL innebär ett betydande skydd för arbetstagarnas personliga integritet. Här kan särskilt framhållas arbetsgivarens skyldighet att i förväg ange ett särskilt och berättigat ändamål, att se till att endast relevanta uppgifter behandlas och att behandlingen är tillåten enligt 10 §. Det innebär att uppgifter som inte har någon betydelse för det angivna ändamålet, s.k. överskottsinformation, inte får behandlas. Även det allmänna kravet att personuppgifter alltid skall behandlas enligt god sed innebär ett skydd mot oacceptabla behandlingar. Därmed ställs enligt utredningens mening stora krav på arbetsgivare som vill påbörja sådan loggning som innebär att personuppgifter om arbetstagare samlas in. Arbetsgivarens skyldighet att informera arbetstagarna om all förekommande behandling av deras personuppgifter är vidare ett viktigt inslag i integritetsskyddet för arbetstagarna. Dels undanröjer klar och fullständig information den känsla av osäkerhet och obehag som kan följa av att inte veta vilka uppgifter som samlas in och hur de behandlas. Dels innebär den öppenhet som informationsskyldigheten medför att arbetstagarna kan kontrollera om förekommande loggning är tillåten, berättigad och även i övrigt utformad på ett lämpligt sätt. Här bör arbetstagarorganisationerna kunna fylla en viktig funktion. Det bör också finnas stort utrymme för arbetsgivare och arbetstagare att, med beaktande av förutsättningarna i olika verksamheter, gemensamt utarbeta riktlinjer för hur loggning bör gå till.
Sammanfattningsvis innebär PUL:s regler enligt utredningens
45 Se avsnitt 5.5.1.3 ovan.
Arbetstagarnas användning av informationsteknik SOU 2002:18
146
mening att arbetstagarnas intresse av skydd för den personliga integriteten tillgodoses på ett tillfredsställande sätt. Detta gäller även sådan loggning som innebär kontroll av arbetstagarnas individuella prestationer. Som konstaterats ovan är det knappast möjligt att utforma mer preciserade och konkretiserade regler när det gäller loggning. Utredningen föreslår mot denna bakgrund inte någon särreglering av denna fråga för arbetslivets område. Emellertid har det visat sig att det är viktigt att på arbetslivets område lyfta fram och tydliggöra att det finns ett integritetsskydd som gäller vid loggning i arbetslivet. LIA bör därför innehålla en hänvisning till PUL. Som framgått ovan är en stor del av PUL:s bestämmelser tillämpliga vid loggning. Hänvisningen bör därför inte göras till enskilda bestämmelser, utan i stället avse PUL i dess helhet. Hänvisningen till PUL:s bestämmelser i övrigt är en erinran om de relativt omfattande skyldigheter som arbetsgivaren har enligt PUL och som har beskrivits ovan.
Med hjälp av uppgifter som samlats in genom loggning kan en arbetsgivare upptäcka om en arbetstagare bryter mot ordningsföreskrifter eller på annat sätt gör sig skyldig till missbruk av anställningen. Således kan upptäckas t.ex. att en arbetstagare laddar ner pornografi från Internet eller att en chaufför avviker från en på förhand bestämd rutt. Vad som kan bedömas som misskötsamhet måste avgöras i varje enskilt fall. Som anförts ovan ligger det inom ramen för arbetsgivarens arbetsledningsrätt att bestämma hur arbetet skall utföras och hur tillgängliga resurser skall användas. I sista hand är det därmed arbetsgivaren som har att avgöra bl.a. i vilken mån privat användning av datorutrustning får ske. Till ledning vid bedömningen av om ett visst beteende utgör misskötsamhet bör interna riktlinjer eller lokala kollektivavtal kunna vara av stor betydelse. Det bör därmed ligga såväl i arbetsgivarens som arbetstagarnas intresse att det utarbetas riktlinjer som så tydligt som möjligt anger vilka beteenden som är tillåtna respektive otillåtna. Utredningen föreslår således ingen reglering av vad som utgör misskötsamhet och vilka åtgärder en arbetsgivare kan vidta med anledning härav, utan dessa frågor får avgöras inom ramen för arbetsrätten.
147
6 Personuppgifter om hälsa och droganvändning
6.1 Inledning
I de flesta verksamheter kan arbetsgivare ha flera berättigade intressen av att behandla personuppgifter om hälsotillståndet hos en arbetstagare, och med arbetstagare avses fortsättningsvis i förekommande fall även arbetssökande. Det kan t.ex. röra sig om behandling av personuppgifter som syftar till att trygga säkerheten på arbetsplatsen eller behandling som syftar till att fullgöra administrativa skyldigheter gentemot arbetstagaren eller annan. Också behandling av personuppgifter om arbetstagarens droganvändning kan motiveras av olika berättigade intressen som liknar de just nämnda.
Att arbetsgivaren är tillåten att behandla uppgifter om t.ex. arbetstagarens hälsotillstånd kan innebära en risk för att arbetstagarens personliga integritet kränks. Arbetsgivarens intressen av att behandla de här aktuella personuppgifterna kan alltså skapa intressekonflikter.
Den kränkning som kan uppstå i samband med behandling av hälsouppgifter kan bestå däri att arbetsgivaren får del av sådan information om arbetstagaren som arbetstagaren inte vill skall komma till någons kännedom. Kränkningen kan också bestå i att arbetstagaren fråntas kontrollen över personuppgifterna genom att arbetstagaren inte får ha insyn i eller ges information om behandlingen. Arbetstagaren kan i sådana fall inte kontrollera att de personuppgifter om t.ex. hälsa som behandlas är korrekta och aktuella eller att inte fler uppgifter än som är nödvändigt tas med vid behandlingen. Ett annat kränkande moment kan vara att arbetsgivaren behandlar uppgifter på ett sätt som gör att det är lätt för andra än arbetstagaren själv att ta del av uppgifterna och sprida dem vidare. En arbetssökande kan dessutom komma att kränkas genom att han eller hon känner sig tvingad att låta arbetsgivaren
Personuppgifter om hälsa och droganvändning SOU 2002:18
148
behandla personuppgifter om t.ex. hälsa som arbetssökanden i en annan situationen inte skulle ha lämnat ut.
För att dels tillvarata arbetstagarens intresse av kontroll över uppgifterna om den egna personen, dels kunna tillgodose arbetsgivarens intresse av att i vissa fall vara tillåten att behandla arbetstagarens personuppgifter måste utformningen av ett integritetsskydd innefatta en avvägning mellan arbetstagarens och arbetsgivarens respektive intressen. Avvägningen kompliceras av att även andra faktorer och intressen måste beaktas. För arbetstagarens del spelar också frågor om hur arbetsgivaren rent praktiskt går till väga när uppgifterna hämtas in, t.ex. vid olika tester, en viktig roll. Arbetstagarens intresse av att undersökningar och tester sker på ett korrekt och tillförlitligt sätt har blivit allt viktigare bl.a. eftersom arbetsgivarens möjligheter att direkt på arbetsplatsen på ett billigt, enkelt och snabbt sätt drogtesta arbetstagare ökat. Dessutom måste beaktas allmänhetens och övriga arbetstagares intresse för personlig säkerhet och säkerheten för miljön.
Redan här bör påpekas att vissa av de intressen som arbetsgivaren kan ha av att behandla personuppgifter om hälsa och droganvändning överensstämmer med de skyldigheter som en arbetsgivare har att iaktta enligt arbetsmiljölagstiftningen. I frågor om hälsoundersökningar kompletteras arbetsmiljölagen av Arbetsmiljöverkets föreskrifter som utfärdats efter bemyndigande i arbetsmiljöförordningen. Föreskrifterna, som har tillkommit för att skydda arbetstagaren mot hälsorisker och således tillgodoser ett starkt intresse hos arbetstagaren, strider enligt utredningens uppfattning inte mot LIA.
Arbetsgivarens befogenhet att samla in personuppgifter om arbetstagarens hälsa och droganvändning har i vissa fall ansetts ingå i arbetsgivarens rätt att leda och fördela arbetet. Enligt Arbetsdomstolens praxis är det då nödvändigt att göra en avvägning mellan arbetsgivarens intresse av kontrollen och arbetstagarens rätt till personlig integritet.1
Den beskrivna integritetsproblematiken består alltså av flera frågor som i dag endast delvis regleras i olika lagar och förordningar. Detta gör den rättsliga regleringen svåröverskådlig. Vid en närmare granskning kan bestämmelserna enligt utredningen delas upp i två huvuddelar, nämligen i vilka fall personuppgifter om arbetstagarens hälsa och droganvändning får behandlas samt hur
1 Se bl.a. AD 1997 nr 29, 1998 nr 97 och 2001 nr 3.
SOU 2002:18 Personuppgifter om hälsa och droganvändning
149
arbetsgivaren får gå till väga för att hämta in uppgifterna. För att klargöra vilket skydd för den personliga integriteten som den i dag gällande rättsliga regleringen garanterar arbetstagaren kommer utredningen att redovisa dessa frågor var för sig.
De följande avsnitten i detta kapitel innehåller dels en bakgrund för analysen av de rättsliga problem som kortfattat beskrivits här, dels de överväganden och förslag som avvägningarna leder fram till.
6.1.1 Vad avses med personuppgifter om hälsa och personuppgifter om droganvändning?
Begreppet personuppgifter om hälsa används i LIA som ett samlingsbegrepp för samtliga personuppgifter som rör arbetstagarens hälsotillstånd. Det är emellertid inte bara uppgifter om arbetstagarens sjukdom eller bristande hälsa som omfattas utan också uppgifter om arbetstagarens hälsa i övrigt som t.ex. ett konstaterande av att arbetstagaren är fullt frisk eller gravid. Begreppet omfattar också samtliga uppgifter om arbetstagarens tidigare och framtida hälsotillstånd. Därigenom omfattar LIA exempelvis uppgifter om arbetstagarens tidigare sjukdomar och uppgifter om risker för framtida sjukdomstillstånd. Att personuppgifter om hälsa ges denna innebörd medför att behandling av en dokumenterad uppgift om huruvida en arbetssökande planerar att bli gravid omfattas av LIA:s bestämmelser. Slutligen omfattas också uppgifter om huruvida och i vilken omfattning arbetstagaren utnyttjat eller planerar att utnyttja försäkringsförmåner som är beroende av arbetstagarens hälsotillstånd, som t.ex. sjukledighet eller föräldraledighet.
I LIA:s bestämmelser används också begreppet personuppgifter om droganvändning. Även detta begrepp används som ett samlingsbegrepp för en rad olika uppgifter. Först och främst kan konstateras att utredningen med begreppet droganvändning menar allt bruk av droger. I begreppet innefattas såväl användningen som den påverkan som följer av användningen. Begreppsbestämningen innebär att det i LIA inte görs någon åtskillnad på missbruk av sjukdomskaraktär och de fall där missbruket inte är av sådan karaktär eller där bruket är legitimt, t.ex. vid användning av ordinerade läkemedel. Med drog avses såväl alkohol, narkotika som dopningsmedel. Med narkotika förstås de preparat som enligt narkotikastrafflagen (1968:64) anses vara narkotika, vilket även innefattar vissa läkemedel, och med dopningsmedel förstås de
Personuppgifter om hälsa och droganvändning SOU 2002:18
150
preparat som faller in under lagen (1991:1969) om förbud mot vissa dopningsmedel. Utredningens definition av begreppet drog utesluter uppgifter om arbetstagarens användning av tobak, som alltså inte kommer att omfattas av LIA:s bestämmelser.
6.2 Medicinska utgångspunkter
För att förstå den rättsliga problematik som kan uppkomma vid ett integritetsresonemang kring olika slags undersökningar och tester samt undersökningarnas och testernas tillförlitlighet behövs en beskrivning av de undersökningar och tester som i dag är vanligast förekommande inom arbetslivet. I detta sammanhang finns varken möjlighet eller anledning till mer detaljerade beskrivningar av de olika förfarandenas utformning och funktion, eftersom avsikten bara är att ge en bakgrund till den rättsliga analysen. För att klargöra vilka faktorer som påverkar de här beskrivna drogtesternas tillförlitlighet innehåller detta avsnitt också en redogörelse för ett kvalitetssäkringssystem för denna typ av provtagning som tagits fram inom ramen för SWEDAC.2
I detta sammanhang bör också nämnas att det för närvarande pågår ett europeiskt samarbete med utarbetande av riktlinjer, European Laboratory Guidelines for Workplace Drug Testing, som bl.a. tar sikte på de rent praktiska detaljerna vid genomförandet av provtagning inom arbetslivet.
6.2.1 Hälsoundersökningar av medicinska skäl och säkerhetsskäl
Hälsoundersökningar av medicinska skäl kan vara motiverade vid vissa arbeten där skada eller sjukdom inte är möjliga att förebygga genom åtgärder i arbetsmiljön.
Hälsoundersökningar för att förebygga skada eller sjukdom till följd av förhållanden i arbetsmiljön kan vara motiverade där arbetet till sin natur är sådant att det ställer stora krav på arbetstagarens fysiska arbetsförmåga. De kan också vara motiverade av någon skadlig faktor i arbetsmiljön som t.ex. kemiska ämnen, strålning, buller eller vibrationer. Exempel på sådana hälsoundersökningar är
2 SWEDAC, Styrelsen för ackreditering och teknisk kontroll, är en statlig myndighet som sorterar under Utrikesdepartementet och som har både en myndighetsutövande roll och en rent uppdragsbaserad verksamhet. SWEDAC:s huvuduppgift är att verka som nationellt ackrediteringsorgan.
SOU 2002:18 Personuppgifter om hälsa och droganvändning
151
hjärt/lungundersökning, analys av giftiga ämnen i blod eller urin och hörselkontroller. Undersökningar motiverade av sådana risker som anses vara av stor betydelse regleras normalt i föreskrifter från Arbetsmiljöverket eller, när det gäller strålning, Statens Strålskyddsinstitut.
Hälsoundersökningar av säkerhetsskäl kan gälla fordonsförare eller maskinoperatörer och omfatta syn- och hörselkontroller samt tillstånd som ger medvetande- eller koncentrationsrubbningar. En annan grupp som omfattas av sådana kontroller är livsmedelsarbetare. Hälsoundersökningar kan i dessa fall gälla provtagningar avseende sjukdomsframkallande mikroorganismer. Även när det gäller undersökningar motiverade av säkerhetsskäl finns det föreskrifter från flera myndigheter.
Hälsoundersökningar kan också behöva göras av enskilda arbetstagare som kan utsättas för särskilda risker genom att de har funktionshinder p.g.a. handikapp, sjukdom eller annan nedsättning i funktionsförmågan. Undersökningen syftar då till att ge underlag för en bedömning av om den enskilde anställde kan anlitas till den aktuella arbetsuppgiften utan särskild risk för skada eller sjukdom. Även här gäller självfallet principen om att det i första hand är arbetsmiljön som skall anpassas. Undersökningen kan därvid användas för att bedöma vilka åtgärder för att anpassa arbetsförhållandena som kan behöva vidtas i relation till arbetstagarens förutsättningar.
För att hälsoundersökningar i arbetsmiljön skall fylla avsedd funktion är det angeläget att de planeras och genomförs av medicinsk personal som har god kännedom om den undersöktes arbetsmiljö och de risker som den kan föranleda. På det sättet kan de medicinska resultaten sättas i relation till arbetsförhållandena och möjliggöra en rättvisande bedömning av eventuella risker för den undersökte eller omgivningen. En sådan medicinsk kompetens finns normalt hos den företagshälsovård som uppfyller kraven i arbetsmiljölagstiftningen.
6.2.2 Narkotikatester
Det vanligaste sättet att genomföra ett narkotikatest i arbetslivet är att den enskilde lämnar ett urinprov som sedan analyseras vid ett s.k. immunologiskt test. De immunologiska testerna ger snabbt besked samtidigt som de är relativt billiga. Provresultatet utfaller antingen positivt eller negativt beroende på om mängden av de
Personuppgifter om hälsa och droganvändning SOU 2002:18
152
substanser som testas i urinen överstiger en bestämd nivå (cut-off nivå).
De immunologiska testerna görs av rättssäkerhetsskäl i två steg, där det första steget består av ett s.k. screeningtest med enkel immunologisk teknik. Utvisar detta ett negativt resultat görs inga fortsatta analyser.
Om screeningtestet är positivt skall en bekräftande analys utföras. Denna görs med användande av en annan, mycket tillförlitlig metodik, som är väsentligt dyrare än screeningtestet. Innan ett provsvar från ett immunologiskt test definitivt klassas som positivt skall det normalt underkastas granskning av en läkare med särskild kompetens en s.k. MRO (Medical Review Officer), för att utesluta alternativa förklaringar, som t.ex. sjukdom, medicinering eller genetiska faktorer, till provutfallet.
Ett negativt prov i det första steget betraktas normalt som slutresultat, medan ett positivt provsvar från ett immunologiskt test inte ensamt kan ligga till grund för en bedömning av slutresultatet.
Sammanfattningsvis kan sägas att en riktig användning av de arbetsplatsprover som redovisats här innebär ett säkert sätt att analysera förekomsten av narkotiska preparat hos en enskild. Här bör påpekas att falska provsvar, såväl positiva som negativa, kan förekomma i relativt stor omfattning i det första ledet av testerna och att det därför är en förutsättning att samtliga positiva provsvar genomgår båda de här beskrivna analyserna.
6.2.3 Alkoholtester
Alkoholtester kan baseras på utandningsluft, urin- eller blodprov.
Ett utandningsprov visar alkoholhalten i utandningsluften, vilken normalt speglar etanolhalten i blodet. För att på detta sätt kontrollera alkoholintag krävs särskilda mätinstrument som finns i en rad olika utföranden och de mätningar som görs har varierande tillförlitlighet. Av det stora flertalet av de alkoholpolicys som utredningen har fått ta del av framgår att alkoholtest genom utandningsprov är ett av de första stegen som vidtas vid misstanke om att någon är onykter på arbetsplatsen.
Urin- och blodprover kan testas för den direkta förekomsten av etanol i proverna. Denna typ av alkoholtest analyseras vid kliniskt kemiska laboratorier.
SOU 2002:18 Personuppgifter om hälsa och droganvändning
153
I stället för att påvisa etanol i provmaterialet kan man i urin eller blod analysera olika markörer för tidigare alkoholintag. Genom metoden 5-HTOL, som baseras på urinprov, går det att påvisa ett tidigare alkoholintag upp till något dygn efter tillnyktringen. Metoden har ännu inte hunnit bli en klinisk rutinmetod, men finns etablerad på några större laboratorier.
Av stort värde i diagnostik av regelbunden högkonsumtion av alkohol är analyser som reagerar på några veckors högkonsumtion. Ett sådant prov är CDT (kolhydratfattigt transferrin) som är en analys baserad på blodprov. CDT mäter den ackumulerade effekten av en regelbunden alkoholkonsumtion som överstiger cirka 60 gram alkohol per dag under några veckor, vilket motsvarar en konsumtion av knappt en flaska vin om dagen. Sensitiviteten för att upptäcka en sådan alkoholkonsumtion är rapporterad till mellan 50–80 %. Specificiteten är så hög som 90 %. Falska positiva värden förekommer vid vissa leversjukdomar som inte är alkoholrelaterade och hos en mycket liten del av befolkningen med en särskild ärftlig störning i ämnesomsättningen. Också graviditet kan leda till förhöjda värden. Efter att ha uteslutit dessa tillstånd kan man betrakta ett positivt svar som en nästan säker indikator på överkonsumtion av alkohol.
Det finns också ett antal andra markörer som används för att påvisa kroniskt alkoholintag. Dessa utgörs främst av GGT (gammaglutamyltransferas), ASAT (aspartat-aminotransferas), ALAT (alanin-aminotransferas) och MCV (mean corpocular volume). Samtliga dessa markörer, som analyseras ur blodprover, ger utslag på vävnadsskada eller annan sjukdomspåverkan som kan bero på en skadligt hög alkoholkonsumtion. De kan dock ge utslag för en rad andra tillstånd och ger många både falskt positiva och falskt negativa resultat. Användbarheten av GGT är bättre vid uppföljning av behandlingsresultatet för konstaterade alkoholister. GGT mäts med fördel en gång i månaden. Genom att kombinera GGT och CDT ökar möjligheten att upptäcka alkoholmissbruk, eftersom dessa tester ger utslag via helt olika mekanismer.
Sammanfattningsvis kan sägas att det finns goda möjligheter att analysera akut alkoholpåverkan genom bestämning av alkohol i utandningsluft, urin och blod. Vid bedömning av om det föreligger kronisk överkonsumtion är det mer problematiskt. En kombination av CDT och GGT ger störst möjlighet till att upptäcka missbruk. Det bästa resultatet erhålls emellertid vid en kombination av laboratorieanalyser, samtal och klinisk undersökning av patienten.
Personuppgifter om hälsa och droganvändning SOU 2002:18
154
6.2.4 Dopningstester
Dopningsmedel kan spåras i urinprov som analyseras vid laboratorium. Analysen kräver en avancerad och tillförlitlig, men dyr metodik (GC-MS). De laboratorietester som utförs tar endast sikte på förekomsten av anabola steroider.
Enligt uppgift från Huddinge sjukhus, dopingjouren, kan det också förekomma tester som saluförs på Internet och som kan genomföras på arbetsplatsen.
6.2.5 SWEDAC:s kvalitetssäkringssystem
En viktig förutsättning för tillförlitligheten i drogtestning är att alla de personer som utför de olika momenten från provtagning till analys och återförande av resultat har kunskap och kompetens på området. En annan viktig förutsättning är att hela säkerhetskedjan (chain-of-custody) från provtagning till återförande är under kontroll och kvalitetssäkrad. Viktiga omständigheter vid kontroll är bl.a. verifikation av positiva resultat med hjälp av mer kvalificerad metodik och slutlig bedömning av MRO.
En avgörande princip för tillförlitligheten i positiva resultat är att de genomgått två analyssteg på laboratoriet. Det är i detta sammanhang viktigt att påpeka att det första steget i analysen, dvs. screeningen, har en osäkerhet på cirka 5–10 % vilket innebär att vart tionde resultat kan vara falskt positivt även om provtagningen och screening utförs på ett korrekt sätt. Negativa resultat i screening skall betraktas som definitiva medan positiva resultat skall vara preliminära och genomgå en mer kvalificerad analysmetod för att verifiera att resultatet är korrekt. Den verifierande analysen kan endast utföras på ett speciallaboratorium, medan screening också kan utföras med enklare instrument och med snabbtester. SWEDAC har sedan flera år tillbaka erfarenhet och kompetens för att bedöma och ackreditera denna typ av laboratorieverksamhet. Ackrediteringskraven omfattar speciella krav på tester inom arbetslivet.
För prover som tas i rent kontrollsyfte, t.ex. arbetsplatsprover, och där det inte föreligger något känt missbruk, måste ställas särskilt höga krav på tillförlitligheten för att undvika att oskyldiga drabbas. Systemet och rutinerna måste kunna hantera en situation där en individ, som anser sig oskyldigt utpekad, får en rättvis behandling. Det måste vid sådana tillfällen säkerställas att en
SOU 2002:18 Personuppgifter om hälsa och droganvändning
155
detaljerad redovisning av fallet kan ske, t.ex. i samband med en efterföljande rättslig prövning. En viktig uppgift i detta sammanhang har MRO:n, som har till uppgift att i varje enskilt positivt fall kontrollera att säkerhetskedjan är intakt och t.ex. begära kompletterande analys av B-provet.
Vid behandlingsarbete där det är klarlagt att det är fråga om ett missbruk tas prov ofta på misstanke eller för att dokumentera behandlingsföljsamhet och då kommer resultatet från missbruksanalysen att ställas i ett annat kliniskt sammanhang. I vissa fall kan det i en behandlingssituation finnas behov av ett omedelbart resultat varför den första preliminära drogtester utförs med ett enkelt snabbtest. Det finns anledning att även kvalitetssäkra denna testning och reglera när behovet av snabbt resultat kan anses uppväga en sämre tillförlitlighet. Baserat på det etablerade europeiska kontrollsystemet kan krav ställas på att den personal som skall utföra denne provtagning med eventuellt efterföljande snabbtest är kompetensprövade – personcertifierade – för denna uppgift. Detta innebär att en person som certifierats måste visa att man har relevant kunskap och kompetens. När personen som kompetensprövas uppfyller ställda krav utfärdas ett certifikat som är personligt och gäller under en fastställd tid.
Kompetensprövning skall utföras av ackrediterade certifieringsorgan som i sin tur kompetensprövas och godkänns av SWEDAC eller motsvarande anmält organ inom EU. Certifieringsorganen måste ha resurser och kompetens för att examinera och certifiera personal som gör provtagningar ute på olika företag. Ett certifieringsorgan har därför krav på sig att ha tillgång till experter inom aktuella områden, t.ex. från speciallaboratorier för drogtestning. Certifieringsorganen utför certifiering mot en kravspecifikation som utarbetas av experter på området. Kravspecifikationen kommer också att vara vägledande för de utbildningar som eventuellt kommer att ges på marknaden. Den examinering som certifieringsorganet genomför inför personcertifieringen kan bestå av en skriftlig eller muntlig tentamen och praktiska prov. En certifiering gäller i högst fem år. Under tiden skall certifieringsorganet försäkra sig om att certifikatsinnehavaren upprätthåller sin kompetens. Detta kan ske på olika sätt, t.ex. genom besvarande av frågor. Efter högst fem år genomförs en fullständig examinering. För tillfället tillämpas den nu beskrivna metoden på en rad olika områden.
Personuppgifter om hälsa och droganvändning SOU 2002:18
156
Genom det här förordade förfarandet etableras ett system för säkring av kvalitet baserat på internationell standard, som enligt SWEDAC:s uppfattning är en förutsättning för att uppfylla basala krav på säkerhet och integritet för de enskilda.
6.2.6 Betänkandet om Medicinska undersökningar i arbetslivet
Frågan om undersökningar och tester har tidigare behandlats i utredningssammanhang. Av störst intresse är betänkandet Medicinska undersökningar i arbetslivet (SOU 1996:63). De delar av utredningens överväganden och förslag som här kan vara av betydelse kan sammanfattas enligt följande.
Under utredningsarbetet genomfördes en enkätundersökning för att klarlägga förekomsten av olika hälsoundersökningar och narkotikatester, såväl i samband med anställning som under pågående anställning. Kartläggningen visade att det bara var ett mindre antal sökanden som inte fått en viss sökt anställning på grund av resultatet av de medicinska undersökningarna och att få anställda blivit uppsagda på grund av de resultat som framkom. Vidare utvisade enkäten att det relativt sett var ganska få arbetsgivare som ställde krav på narkotikatester. Resultatet av enkäten lades till grund för flera av de slutsatser som utredningen presenterade. I flera av de särskilda yttrandena kritiserades emellertid såväl uppläggningen och genomförandet som tolkningen av enkätundersökningen.
Beträffande medicinska undersökningar i samband med ett anställningsförfarande konstaterade utredningen att det inte fanns något som talade för att arbetsgivare använde medicinska undersökningar som sorteringsverktyg. Inte heller hade det framkommit att medicinska undersökningar medfört en utslagning av vissa grupper av enskilda från arbetslivet. Huvudsakligen på grund härav fann utredningen det inte vara påkallat att föreslå en lagreglering i denna del. Utredningen gjorde samma bedömning i fråga om medicinska undersökningar som utfördes under ett pågående anställningsförhållande.
I fråga om narkotikatester anförde utredningen att det rådde en stor och bred enighet om att det var nödvändigt att ha narkotikafria arbetsplatser. Utredningen fann det emellertid inte påkallat att föreslå en lagreglering av frågan. I stället kunde problemet med narkotikatester lösas av arbetsmarknadens parter.
SOU 2002:18 Personuppgifter om hälsa och droganvändning
157
Utredningen underströk dock att ålagda narkotikatester i samband med ett anställningsförfarande skulle vara i samklang med samhällets värderingar och stå i överensstämmelse med god sed på arbetsmarknaden. Vidare skulle testerna utföras på ett godtagbart sätt och vara av god kvalitet. Vad gällde narkotikatester under ett anställningsförhållande skulle dessutom kvalificerade omständligheter föreligga för att sådana tester skulle anses stå i överensstämmelse med god sed på arbetsmarknaden. Dessa tester skulle utföras på samma sätt och ha samma kvalitet som testerna i samband med ett anställningsförfarande. På arbetsplatser där dessa tester avsågs att användas borde det finnas en av arbetsgivare och arbetstagare gemensamt framtagen skriftlig narkotikapolicy med handlingsprogram.
I fråga om dokumentering av uppgifter som kommit fram vid en undersökning anförde utredningen att sådana uppgifter skulle journalföras enligt bestämmelserna i patientjournallagen. I lagen regleras även hur man skall förfara när verksamheten upphört. Någon ändring av lagen erfordrades följaktligen inte.
Vad slutligen gällde frågan om tystnadsplikt konstaterade utredningen att den tystnadsplikt som gällde för enskildas personliga förhållanden inom såväl den allmänna som den enskilda hälso- och sjukvården var mycket stark. Det fanns därför inget skäl att ytterligare stärka tystnadsplikten för de uppgifter som framkom vid medicinska undersökningar i arbetslivet. Däremot borde personalen vid företagshälsovården eller på andra ställen där medicinska undersökningar genomfördes erinras om sin skyldighet att iaktta stor restriktivitet vid utlämnande av uppgifter till en arbetsgivare.
Av arbetsmiljöförordningen och Arbetsmiljöverkets föreskrifter framgick att det skulle föras vissa register över företagna medicinska undersökningar av de anställda. Däremot fanns det inte någon författningsreglerad tystnadsplikt för uppgifter i dessa register. Detta ansåg utredningen vara en brist. Utredningen ansåg därför att de register som nämns i 3 § arbetsmiljöförordningen och som innehöll uppgifter om en enskilds hälsotillstånd skulle hanteras och förvaras så att obehöriga inte fick tillgång till dem.
Personuppgifter om hälsa och droganvändning SOU 2002:18
158
6.3 Den rättsliga regleringen
6.3.1 Regler för arbetsgivarens behandling av personuppgifter om hälsa eller droganvändning
6.3.1.1 PUL
Grundläggande krav på behandlingen
För arbetsgivarens behandling av personuppgifter om arbetstagares hälsa eller droganvändning krävs att de grundläggande kraven på behandlingen enligt 9 § skall vara uppfyllda för att behandlingen skall vara tillåten.
I 9 § sägs inledningsvis att arbetsgivaren bara får behandla arbetstagarens personuppgifter om det är lagligt samt om det sker på ett korrekt sätt och enligt god sed. De sistnämnda kraven kan t.ex. vid behandling av uppgifter om en arbetstagares droganvändning vara uppfyllda om arbetsgivaren följer en på arbetsplatsen gemensamt utarbetad policy.
Enligt 9 § skall arbetsgivaren också se till att personuppgifter samlas in bara för särskilda, uttryckligen angivna och berättigade ändamål. Kravet på att ändamålen skall vara särskilda innebär att dessa inte får vara alltför allmänt hållna, utan att arbetsgivarens beskrivning måste vara relativt detaljerad. Vad som är att anse som berättigat framgår inte närmare av PUL eller lagens förarbeten.
Sedan uppgifterna samlats in får arbetsgivaren inte behandla uppgifterna för något ändamål som är oförenligt med det ursprungligen bestämda. För det fall arbetsgivaren av säkerhetsskäl samlat in personuppgifter om graviditet i syfte att kontrollera att arbetstagaren kan sysselsättas i visst arbete är arbetsgivaren alltså inte tillåten att behandla personuppgifterna för ändamål som rör befordran.
Även ett utlämnande till annan av personuppgifter måste vara förenligt med de ursprungligen bestämda ändamålen. Det bör således inte vara möjligt att kringgå reglerna genom att arbetsgivaren lämnar ut uppgifterna till någon arbetsgivare, som vid sin insamling bestämmer ändamål som är oförenliga med de ursprungliga.
Av 9 § framgår också att arbetsgivaren får behandla bara personuppgifter som är adekvata och relevanta i förhållande till ändamålen med behandlingen, att behandlingen inte får omfatta fler personuppgifter än nödvändigt med hänsyn till ändamålen med
SOU 2002:18 Personuppgifter om hälsa och droganvändning
159
behandlingen samt att arbetsgivaren skall se till att de personuppgifter som behandlas är riktiga och, om det är nödvändigt, aktuella. Samtliga nämnda krav innebär att arbetsgivaren är förhindrad att behandla ovidkommande, felaktiga eller inaktuella personuppgifter.
Tillåten behandling
I 10 § anges uttömmande när behandling av personuppgifter är tillåten. Först kan konstateras att arbetstagarens samtycke till behandling alltid medför att behandling är tillåten. Här bör påpekas att arbetstagaren enligt 12 § har en möjlighet att återkalla samtycket. Sedan arbetsgivaren mottagit och registrerat återkallelsen får ytterligare uppgifter inte samlas in eller annars behandlas om inte behandlingen är tillåten utan samtycke. Behandlingen av redan insamlade uppgifter får trots återkallelsen fortsätta i enlighet med det ursprungligen lämnade samtycket, men uppgifterna får exempelvis inte kompletteras eller uppdateras. Om samtycke inte inhämtats från den enskilde får behandling av personuppgifter bara ske enligt de i bestämmelsen närmare angivna förutsättningarna.
Arbetsgivaren får enligt bestämmelsen behandla personuppgifter om arbetstagaren om det är nödvändigt bl.a. för att arbetsgivaren under vissa omständigheter skall fullgöra ett avtal med den registrerade eller kunna fullgöra en rättslig skyldighet eller för att skydda arbetstagarens vitala intressen.
Att behandlingen skall vara nödvändig för de syften som anges i 10 § innebär att arbetsgivaren skall pröva om det är nödvändigt att behandlingen sker automatiserat eller i registerform. Om uppgifterna lika väl kan behandlas på annat sätt är nödvändighetskravet inte uppfyllt. I praktiken kan de flesta arbetsuppgifter rent faktiskt utföras utan att det sker automatiserat eller i registerform. Enligt Datalagskommitténs uppfattning kan nödvändighetskravet inte rimligen innebära att det skall vara faktiskt omöjligt att utföra en uppgift utan att den innefattar behandling av personuppgifter.3 Kan en uppgift däremot utföras nästan lika enkelt eller billigt utan sådan behandling av personuppgifter som omfattas av lagen behandlingen det inte anses nödvändig enligt 10 §.
I arbetslivet torde behandlingen av personuppgifter om hälsa eller droganvändning ofta kunna ske manuellt. Detta gäller särskilt
3 Se SOU 1997:39 Integritet Offentlighet Informationsteknik s. 359.
Personuppgifter om hälsa och droganvändning SOU 2002:18
160
behandling av personuppgifter om arbetssökanden, eftersom dessa vanligtvis inte ingår i arbetsgivarens personalregister. Också när det gäller arbetstagare kan arbetsgivaren skapa rutiner som medför att personuppgifter om arbetstagarens hälsa eller droganvändning inte behövs eller kan behandlas manuellt och utan att ingå i ett register. Nödvändighetskravet i PUL kan i sådant fall inte anses uppfyllt.
Att personuppgifter om arbetstagarens hälsa eller droganvändning dokumenteras på ett systematiskt sätt kan emellertid ofta vara en förutsättning för att arbetstagaren skall få del av de uppgifter som t.ex. är av betydelse för ett beslut. Att personuppgifterna inte förs in i en personalakt kan också innebära att de uppgifter som finns i akten blir ofullständiga eller missvisande. Om det t.ex. av personalakten framgår att det förelegat misstankar om att en arbetstagare varit alkoholpåverkad under arbetstid är det av avgörande betydelse för helhetsbilden att det också framgår att arbetstagaren visat sig vara nykter vid kontroll. Nödvändighetskravet kan därmed i vissa fall innebära en intressekonflikt mellan olika integritetsintressen.
Av störst intresse vid en genomgång av i vilka fall arbetsgivaren är tillåten att behandla arbetstagarens personuppgifter är 10 §, där det bl.a. sägs att behandling av personuppgifter är tillåten om den är nödvändig för ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige och om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten.
Att närmare ange hur intresseavvägningen skulle kunna falla ut i enskilda fall är naturligtvis inte möjligt. Beträffande förhållandena i arbetslivet kan möjligtvis enligt utredningens mening sägas att behandling av här aktuella personuppgifter som betingas av t.ex. säkerhets- eller administrativa skäl kan väga tyngre än sådana som motiveras av t.ex. företagsekonomiska effektivitetsskäl.
Känsliga personuppgifter
Vad gäller personuppgifter om arbetstagarens hälsotillstånd och drogmissbruk av sjukdomskaraktär är det enligt 13 § i princip förbjudet att behandla sådana känsliga personuppgifter.
Från huvudregeln i 13 § görs vissa undantag som återfinns i 15– 19 §§. Att särskilt lägga märke till är att det enligt 15 § alltid är tillåtet att behandla känsliga personuppgifter om arbetstagaren samtyckt till detta.
SOU 2002:18 Personuppgifter om hälsa och droganvändning
161
Förutom undantaget beträffande samtycke i 15 § är bestämmelsen i 16 § första stycket punkterna a) och c) av störst intresse.
I punkten a) föreskrivs att arbetsgivaren får behandla känsliga personuppgifter för att kunna fullgöra sina skyldigheter och rättigheter inom arbetsrätten. Bestämmelsen innebär att arbetsgivaren har rätt att behandla t.ex. personuppgifter om hälsa eller droganvändning om behandlingen är nödvändig i samband med utbetalning av sjuklön eller fullgörande av förhandlingsskyldighet. Enligt Datalagskommittén har begreppet "arbetsrätten" inte någon klar eller en gång för alla given gräns. Emellertid bör enligt kommittén i stort sett samtliga skyldigheter och rättigheter för en arbetsgivare beträffande en arbetstagare och arbetstagarens organisation innefattas i begreppet. Även skyldigheter och rättigheter inom arbetsrätten som följer av avtal eller myndighetsbeslut i det enskilda fallet omfattas av bestämmelsen.4
Punkten c) innebär att arbetsgivaren får behandla personuppgifter t.ex. om arbetstagarens hälsa om behandlingen är nödvändig för att rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras. Vad som skall anses innefattas i begreppet rättsliga anspråk är enligt förarbetena till lagen inte klart.
För att behandlingen skall vara tillåten krävs att den skall vara nödvändig för att anspråket skall kunna fastställas, göras gällande eller försvaras. Vid arbetsgivarens behandling av arbetstagarens personuppgifter skulle detta enligt utredningens mening kunna vara fallet när personuppgifter om hälsa eller droganvändning är nödvändiga för att fastställa försäkringsersättning eller rätt till sjuklön.
Enligt 16 § andra stycket får personuppgifter som behandlats med stöd av första stycket bara lämnas ut till tredje man om det inom arbetsrätten finns en skyldighet för den personuppgiftsansvarige att göra det eller om den registrerade uttryckligen samtyckt till utlämnandet. Genom bestämmelsen garanteras att frågan om spridning av uppgifter får särskild uppmärksamhet vid utformningen av kollektivavtal och lagstiftning. Enligt Datalagskommittén innebär bestämmelsen t.ex. att en arbetsgivare inte utan vidare får lämna ut uppgifter om en tidigare arbetstagares sjukfrånvaro till en annan arbetsgivare.5
En bestämmelse som kan innebära en rättslig skyldighet för arbetsgivaren att t.ex. lämna ut personuppgifter om arbetstagarens
4 Se a.a. s. 371. 5 Se a.a s. 372.
Personuppgifter om hälsa och droganvändning SOU 2002:18
162
hälsa eller droganvändning återfinns i 11 § MBL, som innehåller den s.k. primära förhandlingsskyldigheten. Denna innefattar en skyldighet för arbetsgivaren att inför viktigare förändring av arbets- och anställningsförhållanden för en arbetstagare förhandla med den arbetstagarorganisation som arbetstagaren är medlem i. I den mån förändringen t.ex. avser en omplacering av arbetstagaren till följd av t.ex. hälsoskäl är arbetsgivaren skyldig att lämna ut uppgifter till arbetstagarorganisationen. Detta oavsett om arbetstagaren motsätter sig ett utlämnande.
6.3.2 Arbetstagarens skyldighet att genomgå hälsoundersökningar och drogkontroll
6.3.2.1 Europakonventionen
I artikel 8.1 föreskrivs att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Av betydelse för utredningen är om de medicinska kontroller som arbetsgivaren kan vidta för att genomföra hälsoundersökningar och drogtester faller in under artikelns tillämpningsområde. För närvarande handlägger Europadomstolen ett mål om drogtestning i särskilt riskfylld verksamhet (Oskarshamnsfallet) där frågan om tillåtligheten av drogtestet tidigare prövats av Arbetsdomstolen.6
I doktrinen nämns medicinska undersökningar av den enskilde som en särskild kränkning.7 Kommissionen har emellertid uttalat att det torde vara tyngden av de medicinska skälen och inte själva ingreppet i sig som avgör om åtgärder av detta slag innebär en kränkning av rätten till privatliv.8 Också en mindre medicinsk undersökning kan alltså innebära en kränkning.
Trots att Europakonventionen endast innehåller ett förpliktande för konventionsstaterna innebär konventionen en plikt till positivt handlande, eftersom staterna i viss mån också är skyldiga att vidta åtgärder för att skydda den enskildes sfär mot kränkningar av andra enskilda. För det fall en enskild person kränker en annan enskild kan alltså staten under vissa förutsättningar anses ha brutit mot artikel 8 genom att inte ha handlat positivt och tillförsäkrat de enskilda ett effektivt skydd mot kränkningar av rättigheterna.9
6 Se AD 1998 nr 97. 7 Se bl.a. P. Van Dijk m.fl. Theory and Practice of the European Convention on Human Rights, s. 489 ff. 8 Se X./.Österrike. 9 Se X och Y./.Nederländerna och Stubbings m.fl../.Storbritannien.
SOU 2002:18 Personuppgifter om hälsa och droganvändning
163
Statens skyldighet till positivt handlande inskränks av att de krav på skyddsåtgärder som ställs på staten måste vara rimliga. Detta innebär i huvudsak att staterna skall utfärda lagar och förordningar som ger ett tillfredsställande skydd för rättigheterna.
Resonemanget om konventionens rättsliga verkningar mellan enskilda personer innebär inte att det inför Europadomstolen är möjligt att driva en process mellan två enskilda. Däremot kan Europakonventionen åberopas av enskild i domstol gentemot en annan enskild i de länder där Europakonventionen har sådan direkteffekt.10
6.3.2.2 Regeringsformen
Arbetstagare inom den offentliga sektorn garanteras ett skydd för den fysiska integriteten genom att det i 2 kap. 6 § RF föreskrivs att varje medborgare gentemot det allmänna är skyddad mot påtvingade kroppsliga ingrepp. Bestämmelsen kan vid en tillämpning innebära ett förbud för statliga arbetsgivare att genomföra påtvingade kroppsliga ingrepp. För att kunna bedöma omfattningen av detta förbud bör dock närmare utvecklas dels vad som faller in under begreppet ”kroppsligt ingrepp”, dels vad som avses med att ingreppet är ”påtvingat”.
Enligt förarbetena till bestämmelsen avses med skydd mot kroppsligt ingrepp främst ett skydd mot våld mot människokroppen, men också ett skydd mot läkarundersökningar, smärre ingrepp som vaccinationer och blodprovstagning samt liknande företeelser som brukar betecknas som kroppsbesiktning, som t.ex. utandningsprov eller liknande alkoholtest.11
I JO:s uttalanden om vad som kan sägas vara kroppsliga ingrepp ges en rad exempel på vilka åtgärder som omfattas av begreppet. Av uttalandena framgår att tagande av fingeravtryck, tvångsinjicering och tvångsmedicinering samt åläggande att lämna alkoholtest genom utandningsprov ansetts vara ett kroppsligt ingrepp enligt bestämmelsen12. Däremot har det inte ansetts vara fråga om ett kroppsligt ingrepp när en enskild åläggs att lämna urinprov. I det sammanhanget uttalar JO att förarbetena till bestämmelsen inte ger klart besked i frågan och att det för allmänt språkbruk framstår
10 Jfr Arbetsdomstolens dom AD 1998 nr 17 (Kellerman). 11 Se prop. 1975/76:209 s. 56 och 147. 12 Se JO 1997/98 s. 276 och 1987/88 s. 134, JO 1995/96 s. 126, 1983/84 s 190 och 1980/81 s. 308 samt JO 1993/94 s. 283.
Personuppgifter om hälsa och droganvändning SOU 2002:18
164
som främmande att se denna typ av provtagning som ett kroppsligt ingrepp.13
Som framgått av avsnitt 6.2 Medicinska utgångspunkter, baseras de flesta narkotika- och dopningstester som görs i arbetslivet på urinprov. JO:s ståndpunkt i fråga om vad som utgör ett kroppsligt ingrepp innebär alltså att arbetstagare som genomgår drogtester genom att lämna urinprov inte åtnjuter något grundlagsskydd enligt 2 kap. 6 §. Samma sak gäller kvinnliga arbetssökanden som t.ex. ombeds att lämna urinprov för graviditetstest.
Som sagts inledningsvis krävs enligt 2 kap. 6 § även att det kroppsliga ingreppet skall vara påtvingat för att den enskilde skall komma i åtnjutande av grundlagsskyddet. Av JO:s uttalanden framgår dock att ett kroppsligt ingrepp kan anses som påtvingat även i de fall där en enskild bara hotas av sanktion.14Arbetsdomstolen har gjort en liknande bedömning i avgörandet AD 1984 nr 94.
Av förarbetena till 2 kap. 6 § framgår att det inte kan vara fråga om ett kroppsligt ingrepp när den enskilde till följd av ingreppet kan komma i åtnjutande av en förmånlig behandling, t.ex. i form av en anställning.15 Detta innebär att arbetssökande inte omfattas av skyddet enligt bestämmelsen.
Bestämmelsen i 2 kap. 6 § ger ett skydd mot åtgärder av det allmänna. Enligt förarbetena innefattar detta dels allmänna verkställande organ, dels normgivande organ som beslutar om offentligrättsliga föreskrifter som är betungande för enskilda. Det bör påpekas att med begreppet avses inte bara statliga myndigheter utan också kommuner och landsting samt privaträttsliga organ med offentligrättsliga förvaltningsuppgifter efter delegation enligt 11 kap. 6 § 3 stycket.16
6.3.2.3 LOA
I 30 § LOA föreskrivs en skyldighet för arbetstagare att efter särskild uppmaning av arbetsgivaren genomgå periodiska hälsoundersökningar i de fall där arbetstagaren har sådana arbetsuppgifter att hälsokrav av säkerhetsskäl måste ställas särskilt högt. Syftet med de periodiska undersökningarna som regleras i bestämmelsen är att
13 JO 1995/96 s. 298, 1993/94 s. 283, 1993/94 s. 302, 1992/93 s. 495, 1988/89 s. 350 och 1984/85 s. 343. 14 Se JO 1984/85 s. 227. 15 Se prop. 1975/76:209 s. 145. 16 Se a.a. s. 185.
SOU 2002:18 Personuppgifter om hälsa och droganvändning
165
förebygga risker för sådana allvarliga olyckor som i allmän verksamhet typiskt sett kan inträffa till följd av bristande hälsa hos arbetstagare som är sysselsatta i verksamheter som kan innebära fara t.ex. för trafikanter. Bestämmelsen ger alltså arbetsgivaren rätt att samla in personuppgifter om hälsa eller droganvändning genom periodiska undersökningar som motiveras av de i bestämmelsen angivna skälen.
Med hälsoundersökningar avses i bestämmelsen sådana undersökningar som är avsedda att genomföras av läkare eller andra t.ex. optiker eller sjuksköterskor.
Varken lagtext eller förarbeten ger arbetsgivaren stöd för att beordra arbetstagaren att genomgå drogtester. Bestämmelsen ger inte heller arbetsgivaren rätt att på förekommen anledning kräva att arbetstagaren genomgår hälsoundersökningar som inte är periodiska utan som genomföres på förekommen anledning eller efter ett slumpmässigt urval. I förarbetena till bestämmelsen sägs att det i praktiken torde saknas behov av att tvinga arbetstagaren till sådana s.k. extraordinära undersökningar, eftersom dessa i stället torde kunna anordnas i samförstånd med arbetstagaren.17
Arbetsgivaren är inte tillåten att med stöd av 30 § samla in fler uppgifter om arbetstagarens hälsa än vad som är motiverat av arbetstagarens arbetsuppgifter.18
I förarbetena till LOA exemplifieras vilka kategorier av statligt och kommunalt anställda som omfattas av bestämmelsen. I uppräkningen återfinns bl.a. lokförare, lastbilsförare, bussförare och viss medicinsk personal.19
Om arbetstagaren vägrar att efterkomma arbetsgivarens begäran om att genomgå en läkarundersökning enligt 30 § kan arbetsgivaren med stöd av sin arbetsledningsrätt beordra arbetstagaren att utföra andra arbetsuppgifter som ligger inom ramen för arbetstagarens arbetsskyldighet, men som inte kräver att arbetstagaren genomgår hälsoundersökningen. Om det visar sig att arbetstagaren inte kan omplaceras kan arbetsgivaren i sista hand ha rätt att säga upp arbetstagaren på grund av personliga skäl.
Av 30 § andra stycket framgår att arbetstagaren bara är skyldig att genomgå en periodisk undersökning om skyldigheten framgår av kollektivavtal eller förordning.
17 Se prop. 1993/94:65 s. 187. 18 Se Hinn m fl, Statlig anställning, 1994, s. 192. 19 Se SOU 1991:29 s. 28 ff.
Personuppgifter om hälsa och droganvändning SOU 2002:18
166
Bestämmelsen i 30 § omfattar i stort sett samtliga arbetstagare hos riksdagen och dess myndigheter, myndigheterna under regeringen, de allmänna försäkringskassorna samt anställda hos kommuner och landsting.
6.3.2.4 Anställningsförordningen
Enligt 5 § anställningsförordningen kan en statlig arbetsgivare föreskriva att en arbetssökande skall lämna läkarintyg om de tänkta arbetsuppgifterna ställer särskilda krav på hälsotillståndet hos den som skall anställas. De yrkeskategorier som är skyldiga att lämna läkarintyg enligt anställningsförordningen torde i huvudsak vara samma som omfattas av bestämmelsen om periodiska hälsoundersökningar i 30 § LOA. Bestämmelsen torde motsattsvis innebära att en arbetsgivare inte i andra fall får kräva läkarintyg av en arbetssökande.
Bestämmelsen omfattar myndigheter under regeringen och de allmänna försäkringskassorna.
6.3.2.5 Lagen om fullmaktsanställning
Enligt 11 § lagen om fullmaktanställning kan arbetstagaren vara skyldig att genomgå läkarundersökning. För att så skall vara fallet krävs att arbetstagaren visat bristande tjänstduglighet, som sannolikt beror på sjukdom eller därmed jämförligt förhållande. Lagen ger inte arbetsgivaren rätt att vid behov kräva slumpmässiga undersökningar. Bestämmelsen i 11 § torde dock innefatta en möjlighet för arbetsgivaren att kräva att arbetstagaren skall genomgå en undersökning på förekommen anledning. Med ”jämförliga förhållanden” avses enligt förarbetena till lagen bl.a. arbetstagarens alkoholmissbruk.20 Enligt förarbetena uppställs inget krav på att missbruket skall vara av sjukdomskaraktär för att bestämmelsen skall vara tillämplig.
Om en arbetstagare vägrar att efterfölja beslutet om läkarundersökning kan arbetstagaren stängas av från arbetet. Vad gäller ytterligare arbetsrättsliga åtgärder som kan vidtas från arbetsgivarens sida skiljer sig dessa åt beroende på vilken typ av fullmaktsanställning som arbetstagaren innehar.
20 Se prop. 1965:60 s. 194.
SOU 2002:18 Personuppgifter om hälsa och droganvändning
167
Lagen omfattar arbetstagare med fullmakt, företrädesvis ordinarie domare, som är anställda hos myndighet under regeringen.
6.3.2.6 Arbetsmiljölagen
Arbetsmiljölagen anger de grundläggande reglerna för arbetsmiljöns karaktär. Till lagen ansluter arbetsmiljöförordningen som innehåller bemyndiganden för Arbetsmiljöverket att meddela föreskrifter om de närmare krav som arbetsmiljön skall uppfylla. Arbetsmiljöverkets föreskrifter finns samlade i Arbetsmiljöverkets författningssamling (AFS).
Bestämmelserna i arbetsmiljölagen innebär att arbetsgivaren har en skyldighet att anordna arbetsmiljön på ett sätt som gör den så säker som möjligt. I lagen finns en rad olika bestämmelser om hur arbetsgivaren skall uppnå det ovan beskrivna syftet med lagen. De bestämmelser som här är relevanta återfinns i 4 kap. 5 § där det sägs att Arbetsmiljöverket efter bemyndigande kan föreskriva skyldighet för arbetsgivaren att föranstalta om läkarundersökning, vaccinering eller annan förebyggande behandling mot smitta av den som sysselsätts eller skall sysselsättas i arbete. Exempel på sådana bestämmelser är föreskrifter om rök- och kemdykning (AFS 1995:1), härdplaster (AFS 1996:4) och asbest (AFS 1996:13). Om ett arbete innebär risk för ohälsa eller olycksfall kan Arbetsmiljöverket efter bemyndigande meddela föreskrifter om förbud att till arbete anlita den som vid läkarundersökning företett sjuklighet eller svaghet som gör arbetstagaren särskilt mottaglig för sådan risk. De här nämnda föreskrifterna innehåller också bestämmelser som meddelats i detta syfte.
Enligt 3 kap. 4 § åvilar ansvaret för att åstadkomma en tillfredsställande arbetsmiljö inte bara arbetsgivaren utan även arbetstagaren skall medverka till detta genom att följa givna föreskrifter, använda skyddsanordningar och iaktta den försiktighet i övrigt som behövs för att förebygga ohälsa och olycksfall. I Arbetsdomstolens dom AD 1991 nr 45 behandlar domstolen frågan om medansvaret även kan innefatta en skyldighet att medverka vid ett narkotikatest som enligt arbetsgivaren motiverades av säkerhetsskäl. Arbetsdomstolen fann att det, under de i målet aktuella förhållandena, låg väl i linje med vad som allmänt gäller i fråga om medansvaret för säkerheten på arbetsplatsen att anse att det åvilade arbetstagaren en sådan skyldighet att delta i drogkontroller.
Personuppgifter om hälsa och droganvändning SOU 2002:18
168
Vissa av arbetsgivarens skyldigheter enligt arbetsmiljölagen är straffsanktionerade både i lagen och i 3 kap. 10 § brottsbalken. Om arbetstagaren inte iakttar de skyldigheter som följer av arbetsmiljölagen kan det föreligga brott mot anställningsavtalet vilket kan medföra att arbetstagaren kan omplaceras och i sista hand sägas upp från sin anställning.
6.3.2.7 Lagstiftning inom vissa yrkesområden med speciella riskförhållanden
Utöver de i detta avsnitt nämnda bestämmelserna finns också bestämmelser om läkar- och hälsoundersökningar som utfärdats för att tillgodose behoven inom vissa yrkesområden med speciella riskförhållanden. Exempel på sådana föreskrifter är livsmedelslagen (1971:511), järnvägssäkerhetslagen (1990:1157), luftfartslagen (1957:297), strålskyddslagen (1988:220) och fartygssäkerhetslagen (1988:49).
6.3.3 ALNA
ALNA är ett samarbetsorgan för Svenskt Näringsliv, LO och TCO, som verkar såväl på riksplanet som lokalt med målsättningen att arbetslivet bör vara en alkohol- och drogfri zon. ALNA erbjuder rådgivning beträffande alkohol- och drogfrågor till arbetsplatser och företag liksom även modeller för att aktivt förebygga alkohol- och drogproblem och rehabilitering för anställda med missbruksproblem. Alla arbetsplatser kan ansluta sig till ett regionalt ALNA-råd.
ALNA har tagit fram ett flertal policies, handlingsplaner och skrifter rörande alkohol- och drogfrågor. Här kan nämnas skrifterna Arbetslivet och drogtester samt Kontroll och förtroende.
6.3.4 ILO:s riktlinjer
I ILO:s riktlinjer Code of practice on the protection of workers personal data anges hur arbetsgivare bör få gå tillväga för att kontrollera arbetstagarens personliga förhållanden. Riktlinjerna är inte rättsligt bindande.
Inledningsvis uttalas att arbetsgivaren bör hämta in samtliga uppgifter om arbetstagaren från arbetstagaren personligen. Om arbetsgivaren vänder sig till någon utomstående bör arbetstagaren
SOU 2002:18 Personuppgifter om hälsa och droganvändning
169
få tillfälle att godkänna detta. Arbetsgivaren bör i detta sammanhang informera om bl.a. vem arbetsgivaren avser att vända sig till, hur detta skall gå till och vilka följder det får för den enskilde om denne bestämmer sig för att inte lämna sitt samtycke. Arbetsgivaren rekommenderas också att iaktta restriktivitet vid insamling av uppgifter om hälsotillståndet. I avsnitt 6.7 i riktlinjerna anges följande.
The code restricts the collection of medical data to data needed to determine whether the worker is fit for a particular employment, to fulfil requirements of occupational health and safety and for purposes of social benefits.
Samtliga åtgärder som arbetsgivaren vidtar för att hämta in personuppgifter om arbetstagarens personliga förhållanden måste enligt uttalandena stämma överens med internationella överenskommelser och nationell lag.
6.3.5 Europarådets rekommendation om skydd för personuppgifter som används för anställningsändamål
Europarådets rekommendation, som antogs av Europarådet 1989, tar sikte på behandling av personuppgifter för anställningsändamål och ger uttryck för de principer som återfinns i Dataskyddsdirektivet.
I rekommendationen sägs, såvitt är av intresse i detta sammanhang, att arbetsgivaren får bara ställa frågor om arbetssökandens hälsa för att kunna bedöma arbetssökandens lämplighet för framtida arbete, fullgöra kraven på preventiv hälsovård och bevilja sociala förmåner. För att arbetsgivaren skall vara tillåten att vända sig till någon annan än den arbetssökande skall han eller hon ha samtyckt och informerats om de uppgifter som samlas in. Vid behandling av hälsouppgifter har regeln dock ett undantag för de fall där ett utlämnande av uppgifterna kan leda till allvarlig skada för arbetssökanden.
6.3.6 Praxis
AD 1984 nr 94 Arbetsdomstolen har i AD 1984 nr 94 prövat frågan om SJ genom att påkalla läkarundersökning av en anställd handlat i strid med
Personuppgifter om hälsa och droganvändning SOU 2002:18
170
2 kap. 6 § RF. SJ hade föranstaltat om läkarundersökning av en anställd vid fyra tillfällen under en kortare period av fyra år. Undersökningstillfällena bestod i kortare samtal med läkare och var dels periodiska dels extraordinära. En vägran från den anställdes sida att genomgå läkarundersökning hade medfört att denne omplacerats inom ramen för sin anställning, vilket inneburit att arbetsgivaren vidtagit samma åtgärd som om arbetstagaren konstaterats inte uppfylla hälsokraven. Den anställde anförde till stöd för sin talan att SJ saknat rätt att påkalla läkarundersökningarna bl.a. på grund av att besluten stått i strid med 2 kap. 6 § RF genom att de utgjorde påtvingade kroppsliga ingrepp och att SJ saknat stöd i lag för sådana ingrepp. SJ anförde å sin sida bl.a. att grundlagsbestämmelsen bara var tillämplig när det var fråga om någon form av myndighetsutövning vilket det inte var frågan om här, eftersom arbetstagarens skyldighet att genomgå undersökningarna följde av anställningsavtalet.
Arbetsdomstolen resonerade inledningsvis beträffande frågan om myndighetsutövning och konstaterade att det kunde ligga nära till hands att uppfatta RF på det sättet att en åtgärd inte kom i konflikt med förbudet mot påtvingade kroppsliga ingrepp annat än i den mån det kunde sägas vara fråga om ett tvång som hade karaktären av utövande av offentlig makt. Detta betydde dock inte att 2 kap. 6 § RF skulle sakna tillämplighet i ett fall som detta bara av det skälet att SJ kunde sägas ha handlat som arbetsgivare i förhållande till en arbetstagare. Domstolen uttalade därefter att det inom offentlig sektor numera fanns frågor som rörde tjänstemännens ställning i allmänhet som var av privaträttslig natur. Detta hindrade emellertid inte att beslut av en myndighet i dess egenskap av arbetsgivare likväl kunde vara att betrakta som myndighetsutövning. De föreskrifter som SJ åberopat till stöd för arbetstagarens skyldighet att underkasta sig hälsoundersökningen var utfärdade med stöd av 10 § i den allmänna verksstadgan och var inte att betrakta som föreskrifter om anställnings- eller arbetsvillkor. Arbetsdomstolen anmärkte i det sammanhanget att föreskrifterna inte heller främst var avsedda att tillgodose det allmännas intresse som arbetsgivare, utan istället intresset av att offentliga funktioner fullgjordes på ett riktigt sätt. I huvudsak på grund av det anförda drog domstolen slutsatsen att besluten om läkarundersökningar var grundade på regler av offentligrättslig natur och att 2 kap. 6 § RF alltså var tillämplig. Arbetsdomstolen slog därefter fast, att även om läkarundersökningarna bara bestått av
SOU 2002:18 Personuppgifter om hälsa och droganvändning
171
samtal med läkare var dessa, oavsett om arbetstagaren underkastat sig undersökningen frivilligt, att bedöma som ett kroppsligt ingrepp. Vidare uttalade domstolen att läkarundersökningarna var att se som påtvingade i och med att SJ utan förbehåll beordrat arbetstagaren att delta. Det saknades således betydelse att SJ i internt utfärdade föreskrifter inte föreskrev någon sanktion för den arbetstagare som vägrade att underkasta sig undersökningarna. Eftersom SJ saknat stöd i lag för att genomföra läkarundersökningarna var det beordrade förfarandet inte förenligt med 2 kap. 6 § RF.
Rättsfallet föranledde att 30 § LOA infördes.
AD 1991 nr 45 I AD 1991 nr 45 behandlades frågan om det med stöd av anställningsavtalet förelegat en skyldighet för anställda att delta i urinprovstagning. Ett ställningbyggnadsföretag hade, sedan misstanke uppkommit att någon eller några av de anställda missbrukat cannabis, beordrat sin personal att lämna urinprov. Arbetsgivaren angav att provtagningsförfarandet motiverades av säkerhetsskäl. Två montörer hade invänt att förfarandet utgjorde ett ingrepp i deras personliga integritet och vägrat lämna urinprov. De sades då upp av arbetsgivaren.
Arbetsdomstolen konstaterade att arbetsgivaren genom att värna om säkerheten på arbetsplatsen haft för avsikt att förekomma olycksfall enligt vad som åvilade denne enligt arbetsmiljölagen. Domstolen fann vidare att det angivna syftet med provtagningen vägde över de anställdas invändning om att förfarandet innebar ett ingrepp i deras personliga integritet. Vidare konstaterades att den enskilde arbetstagaren i arbetsmiljölagen ålagts ett medansvar för arbetsmiljön och säkerheten på arbetsplatsen. Mot bakgrund härav fann arbetsdomstolen att arbetsgivaren enligt anställningsavtalet haft rätt att uppställa villkor om att arbetstagaren skulle delta i urinprovstagningarna och att anställningsavtalet även, efter beaktande av omständigheterna i det enskilda fallet, kunde innefatta rätt för arbetsgivaren att säga upp arbetstagare som vägrade.
AD 1998 nr 97 Arbetsdomstolen har i avgörandet AD 1998 nr 97 behandlat frågan om en anställd vid Oskarshamns kärnkraftverk varit skyldig att medverka i av arbetsgivaren anordnade drog- och alkoholtester. Den anställde var medlem i Svenska Elektrikerförbundet som
Personuppgifter om hälsa och droganvändning SOU 2002:18
172
motsatt sig att träffa kollektivavtal innefattande regler om obligatoriska tester. Övriga fackförbund med medlemmar bland de anställda hade däremot träffat ett sådant lokalt avtal med arbetsgivaren. Trots att någon överenskommelse inte kunnat träffas med Svenska Elektrikerförbundet beslutade arbetsgivaren att drogtestningen också skulle gälla förbundets medlemmar vid kärnkraftsverket. Svenska Elektrikerförbundet hävdade att arbetsgivaren inte haft rätt att kräva att den anställde skulle genomgå drogtester och åberopade till stöd för sitt påstående bl.a. att drogtestningen stred mot artikel 8 punkt 1 i Europakonventionen.
Arbetsdomstolen fann att denna artikel inte innebar något generellt förbud mot drogtestning, men att testning under särskilda omständigheter var konventionsstridigt och därigenom också stridande mot svensk lag. Av betydelse var därvid under vilka omständigheter testningen skett, arbetsgivarens intresse av att företa drogtestningen, graden av ingrepp i den enskildes integritet i det individuella fallet och sättet att utföra testningen. Efter en genomgång av omständigheterna i målet konstaterade domstolen att arbetstagaren var skyldig att genomgå drogtesterna i enlighet med arbetsgivarens instruktion. Vad däremot gällde alkoholtestning konstaterade domstolen att det i övervägande antal av de positiva testfallen fanns andra förklaringar till resultaten än alkoholmissbruk och att ytterligare utredningar därför var nödvändiga. Dessa omständigheter sammantagna med att den enskildes alkoholbruk var en i hög grad integritetskänslig fråga medförde att den anställde inte ansågs ha varit skyldig att medverka i alkoholtestning.
Svenska Elektrikerförbundet har fört frågan till Europadomstolen. För närvarande finns ingen uppgift om när målet kan komma att avgöras där.
AD 2001 nr 3 I AD 2001 nr 3 har domstolen prövat om Fryshuset inom ramen för rätten att leda och fördela arbetet kunnat besluta att en arbetstagare skulle drogtestas och om denne därför varit skyldig att underkasta sig drogtestning. Arbetstagaren vägrade och hänvisade till sin personliga integritet. Då han efter flera uppmaningar vidhöll sin ståndpunkt sades han upp från sin anställning. SKTF, som företrädde arbetstagaren, invände att arbetsledningsrätten i detta fall utövats på ett godtyckligt eller kränkande sätt genom att drogtestningen genomförts trots att Fryshuset inte bedrev sådan
SOU 2002:18 Personuppgifter om hälsa och droganvändning
173
farlig och riskabel verksamhet som medförde att de anställda haft en skyldighet att underkasta sig tester. Vidare hade arbetsledningsrätten missbrukats genom att Fryshuset haft möjlighet att välja en annan och mindre integritetskränkande metod än drogtestning för att förebygga och upptäcka missbruk. Fryshuset hade därutöver inte någon ordentlig policy som var känd för personalen. Slutligen fanns det enligt SKTF:s uppfattning inte heller något godtagbart skäl att testa den anställde. Kravet på att den anställde skulle underkasta sig drogtest innebar därför en kränkning av den personliga integriteten som den anställde inte var skyldig att tåla. Mot denna bakgrund hade Fryshuset också överskridit gränsen för hur arbetsledningsrätten skulle utövas. Fryshuset anförde å sin sida bl.a. att den anställde genom att ta anställning hos Fryshuset insett eller i vart fall bort inse att det var en förutsättning för anställningen och dess fortbestånd att han ställde sig till förfogande för drogtestning i den omfattning som krävdes om misstanke eller tveksamhet uppstod om hans drogfrihet. Detta i synnerhet eftersom den anställde var före detta missbrukare. Det hade därför enligt anställningsavtalet åvilat arbetstagaren en skyldighet att medverka i provtagning. Drogtestning hade dessutom en naturlig anknytning till Fryshusets verksamhet, eftersom denna krävde allmänhetens, kundernas och ungdomarnas förtroende i drogfrihetsfrågan. Detta intresse vägde tyngre än arbetstagarens intresse av skydd för den personliga integriteten. Till följd därav var det tillåtet för Fryshuset att kräva drogtestning som ett led i arbetsledningsrätten. Drogtester med urinprov var därvid Fryshusets enda möjliga sätt att spåra förekomsten av missbruk. Provtagningen hade inte i något avseende varit integritetskränkande eller förnedrande.
Arbetsdomstolen konstaterade att Fryshuset med hänsyn till verksamhetens karaktär hade ett mycket starkt allmänt intresse av att utföra drogtester på sin personal för att undanröja alla eventuella misstankar och att utåt kunna garantera att dess verksamhet var helt fri från narkotika. Vidare konstaterade domstolen att det inte torde kunna uppställas några krav på att misstankarna mot en arbetstagare måste vara särskilt välgrundade i ett fall som detta där det med hänsyn till verksamhetens art fanns ett särskilt intresse av att undanröja varje tvivel. Huruvida Fryshusets drogpolicy kunde leva upp till de krav som SKTF ansåg borde gälla för en policy var enligt domstolen av begränsad betydelse i målet. Den väsentliga frågan var i stället i vilken mån ett drogtest skulle ha inneburit en sådan kränkning av den anställdes personliga integritet att han av
Personuppgifter om hälsa och droganvändning SOU 2002:18
174
det skälet inte varit skyldig att medverka. Domstolen konstaterade att testningen skulle ha skett genom att den anställde lämnat urinprov på en toalett på arbetsplatsen. Urinprovstagning i allmänhet och det sätt på vilket Fryshuset genomfört provtagningen fick anses vara föga integritetskränkande. Vid ett samlat övervägande fann Arbetsdomstolen att det av omständigheterna i målet framgick att Fryshusets intresse av att drogtesta den anställde vägt tyngre än den anställdes behov av skydd för den personliga integriteten och att det därför förelegat en skyldighet att medverka i provtagningen.
SAF-LO-PTK skiljenämnden för arbetsmiljöavtalet av den 12 december 1989 I en skiljedom från rubricerad skiljenämnd har Svenska Metallindustriarbetareförbundet invänt mot ett förfarande vid Saab-Scania i Södertälje där arbetssökanden inom ramen för företagshälsovården i anledning av ett påstått drogrelaterat olyckstillbud i verksamheten drogtestats i syfte att spåra eventuella haschmissbrukare. Svenska Metallindustriarbetareförbundet invände bl.a. att det inte var fråga om frivilliga undersökningar, eftersom arbetssökanden som valt att inte underkasta sig läkarundersökningen eller som inte gett sitt samtycke till att resultaten fördes vidare riskerade att redan på dessa grunder inte komma ifråga för anställningen. Sedan arbetsgivaren bestritt fackförbundets talan konstaterade skiljemännen att undersökningarna organiserats på ett sådant sätt att varje arbetssökanden underrättats om vilka prov som skulle göras, samtidigt som den enskilde getts möjlighet att hemlighålla undersökningsresultatet genom att avbryta anställningsförfarandet. Undersökningen innefattade därmed i varje fall inte ett sådant angrepp på den enskildes personliga integritet att förfarandet på den grunden stod i strid med god sed på arbetsmarknaden. Vidare framhöll skiljemännen att huvudregeln i svensk rätt var att arbetsgivaren hade rätt att fritt anställa vem han eller hon ville. När arbetsgivaren utövade denna rätt var han i princip oförhindrad att för anställningen kräva att den arbetssökande företedde betyg eller intyg av lika slag. Det stod helt klart att en arbetsgivare kunde ställa det kravet att en arbetssökande genom läkarintyg visade att han inte missbrukade narkotika. Ett sådant krav kunde nämligen inte anses strida mot god sed på arbetsmarknaden.
SOU 2002:18 Personuppgifter om hälsa och droganvändning
175
6.3.7 Arbetsgivarens arbetsledningsrätt
Som allmän princip inom arbetsrätten gäller att arbetsgivaren bestämmer över arbetsledningen och att arbetsgivaren därmed har rätt att bestämma arbetsuppgifterna, sättet och platsen för arbetets utförande samt den utrustning som skall användas. Inom ramen för anställningsavtalets innehåll har arbetsgivaren således rätt att bestämma vilket arbete arbetstagaren vid varje tillfälle skall utföra. Arbetsgivarens rätt motsvaras av en skyldighet för arbetstagaren att utföra arbetet och en vägran från arbetstagarens sida kan utgöra saklig grund för uppsägning.
Arbetsgivarens arbetsledningsrätt innefattar en rätt att vidta kontrollåtgärder av olika slag. Som exempel kan nämnas att arbetsgivaren kan uppställa krav på tidsstämpling eller in- och utpasseringskontroller. Också arbetsgivarens åtgärder att kräva att arbetstagaren genomgår hälsoundersökningar eller drogtester kan innefattas i denna kontrollrätt.
Som framgår av föregående avsnitt, 6.3.6, har Arbetsdomstolen prövat frågan om tillåtligheten av drogtester och i det sammanhanget diskuterat under vilka omständigheter kontrollåtgärder av det slaget kan falla in under arbetsgivarens arbetsledningsrätt. I AD 2001 nr 3 uttalar sig Arbetsdomstolen särskilt i denna fråga. Domstolen säger därvid att om någon uttrycklig överenskommelse om drogtestning inte har träffats, vare sig som kollektivavtal eller enskilt anställningsavtal, kan arbetsgivaren ändå ha rätt att kräva att arbetstagaren underkastar sig drogtest som en följd av arbetsgivarens arbetsledningsrätt. Detta förutsätter att arbetsgivaren inte överskrider gränserna för denna rätt genom att utöva den i strid med lag eller god sed. Vid en bedömning av om arbetsgivarens beslut om drogtestning står i strid med god sed har i praxis gjorts en avvägning mellan arbetsgivarens intresse av att utföra testet och arbetstagarens intresse av att värna om sin personliga integritet. Intrånget i arbetstagarens personliga integritet måste stå i rimlig proportion till det intresse arbetsgivaren vill tillgodose.21
De lagregler som inskränker arbetsgivarens arbetsledningsrätt har redovisats i avsnitt 6.3.2. Av störst betydelse i detta sammanhang är 2 kap. 6 § RF och 30 § LOA.
Att kontrollåtgärderna inte får strida mot god sed lämnar ett betydande utrymme för tolkningar och det är svårt att generellt ange hur intresseavvägningar beträffande hälsoundersökningar och
21 Se AD 1997 nr 29.
Personuppgifter om hälsa och droganvändning SOU 2002:18
176
drogtester bör falla ut. Liksom när det gäller arbetsgivarens kontroller av arbetstagarens privata information bör dock åtgärden ha direkt betydelse för arbetsgivarens verksamhet och kollektivavtal och riktlinjer bör få stor betydelse för bedömningen.22Beträffande de syften som arbetsgivaren kan åberopa till stöd för att utföra hälsoundersökningar och drogtester har i praxis främst diskuterats sådana tester som utförts av säkerhetsskäl. I AD 2001 nr 3 har Arbetsdomstolen godtagit att arbetsgivaren med stöd av arbetsledningsrätten utfört drogtester eftersom arbetsgivarens verksamhet krävde allmänhetens, kundernas och ungdomarnas förtroende i drogfrihetsfrågan.
6.4 Behovet av ett utökat rättsligt integritetsskydd i arbetslivet
I kapitel 3 har utredningen konstaterat att en utgångspunkt för ett godtagbart integritetsskydd i arbetslivet är att det bör vara heltäckande i den meningen att det omfattar såväl offentlig som privat sektor. Vid en genomgång av de bestämmelser som i dag reglerar den tillåtna behandlingen av personuppgifter om hälsa eller droganvändning, tillvägagångssätten för insamling av sådana uppgifter och tystnadsplikt för den som hanterar sådana uppgifter kan konstateras att det bara är PUL och arbetsmiljölagen som för närvarande har ett sådant brett tillämpningsområde.
PUL är den lag som ger det mest omfattande generella integritetsskyddet vid behandling av arbetstagarens personuppgifter om hälsa eller droganvändning. Men frågan är om lagen tillgodoser de krav som kan ställas på ett fungerande integritetsskydd. Vid en bedömning av det skydd som PUL garanterar kan sägas att lagen visserligen ger ett relativt omfattande integritetsskydd som sträcker sig från det att informationen samlas in tills dess att arbetsgivaren gallrar bort eller på annat sätt utplånar personuppgifterna. Svagheten i PUL:s integritetsskydd ligger dock däri att det är svårt att bedöma omfattningen av skyddet. Hur de grundläggande principerna om relevans, finalitet och proportionalitet påverkar arbetstagarens skydd för integriteten går inte direkt att säga. Arbetsgivaren kan dessutom välja, och i vissa fall t.o.m. vara skyldig, att lägga upp register som innehåller personuppgifter om arbetstagaren
22 Se beträffande denna fråga avsnitt 5.4.
SOU 2002:18 Personuppgifter om hälsa och droganvändning
177
på ett sätt som innebär att personuppgifterna inte alls kommer att skyddas av lagen.
Detta innebär att PUL ur ett arbetsmarknadsperspektiv har sådana brister att den behöver preciseras och kompletteras för att arbetstagaren skall ges ett tillfredsställande integritetsskydd.
Vid en bedömning av om PUL tillsammans med den övriga lagstiftning som reglerar frågor om tillvägagångssätt vid hälsoundersökningar och drogtester ger ett fullgott integritetsskydd måste det göras en skillnad mellan offentlig och privat sektor.
Inom den offentliga sektorn åtnjuter arbetstagare ett skydd mot påtvingade kroppsliga ingrepp genom 2 kap. 6 § RF och 30 § LOA, som alltså begränsar arbetsgivarens arbetsledningsrätt. Bestämmelsen i 30 § LOA ger enligt utredningens uppfattning arbetstagare ett gott skydd mot påtvingade hälsoundersökningar. Även sökande till statlig tjänst åtnjuter ett skydd för den fysiska integriteten genom 5 § anställningsförordningen. Däremot saknas bestämmelser för såväl arbetstagare och arbetssökande som reglerar hur hälsoundersökningar och drogtester med hänsyn till integriteten bör utformas.
Inom den privata sektorn saknas lagbestämmelser för annat än vissa yrkesområden med speciella riskförhållanden. Arbetsgivarens arbetsledningsrätt begränsas därför huvudsakligen genom att rätten inte får utövas i strid mot god sed. Som nämnts i föregående avsnitt 6.3.6, innebär en sådan bedömning att arbetsgivarens intresse av att utföra undersökningen eller testet skall vägas mot arbetstagarens intresse av att värna om sin personliga integritet. Vilka av arbetsgivarens intressen som särskilt skall beaktas vid en avvägning är naturligtvis beroende på omständigheterna i det enskilda fallet. Av den praxis som utbildats på området torde dock kunna utläsas att intresseavvägningen påverkas bl.a. av karaktären av arbetsgivarens verksamhet.
Av det sagda följer att det kan finnas ett behov av en utökad rättslig reglering på hela det privata området, medan arbetstagare inom den statliga sektorn i vissa delar har ett gott skydd i fråga om påtvingade hälsoundersökningar. Detta innebär enligt utredningens mening att det bör diskuteras om nuvarande bestämmelser bör kompletteras eller fortsätta att gälla.
Personuppgifter om hälsa och droganvändning SOU 2002:18
178
6.4.1 Avvägningen mellan arbetsgivarens och arbetstagarens intressen
6.4.1.1 Arbetstagarens rätt till integritet vid behandling av personuppgifter om hälsa eller droganvändning
Utgångspunkten vid en intresseavvägning mellan arbetsgivarens och arbetstagarens respektive intressen är att rätten till en skyddad sfär i de hänseenden som kan bli aktuella vid en behandling av hälsouppgifter eller uppgifter om droganvändning är en mänsklig rättighet som är tillförsäkrad arbetstagaren. Det är mot intresset av skyddet för denna rättighet som arbetsgivarens olika intressen skall vägas. Bara i de fall där arbetsgivarens intressen av att behandla personuppgifter om arbetstagarens hälsa eller droganvändning är av sådan tyngd och karaktär att de väger över rätten till den personliga integriteten på arbetsplatsen bör behandlingen av hälsouppgifter eller uppgifter om droganvändning vara tillåten. Behandlingen bör dessutom bara få ske under sådana former att arbetstagaren är garanterad insyn i och kontroll över behandlingen.
En annan utgångspunkt vid intresseavvägningen mellan arbetsgivarens och arbetstagarens respektive intressen bör vara att behandlingen av personuppgifterna skall vara nödvändig för att arbetsgivaren skall kunna uppnå intresset. I de fall där det finns alternativa sätt för att tillgodose intresset som inte innebär en risk för kränkning av arbetstagarens integritet bör det krävas starka skäl för att rätten till personlig integritet skall inskränkas.
6.4.1.2 Arbetsgivarens intressen av att kontrollera och övervaka
Som framgått av avsnitt 6.3 ges arbetsgivaren i en rad olika fall möjlighet att av säkerhetsskäl kontrollera och därigenom också behandla arbetstagarens personuppgifter om hälsa eller droganvändning. Regler med det innehållet finns bl.a. i LOA, fullmaktsanställningslagen, arbetsmiljölagen och Arbetsmiljöverkets föreskrifter. I dessa fall har arbetsgivaren inte bara ett intresse av, utan i vissa fall också en skyldighet att, behandla personuppgifterna exempelvis i syfte att utforma arbetet på ett sätt som förebygger och förhindrar att arbetet leder till ohälsa.
Även i andra situationer än de som uttryckligen regleras i lag kan arbetsgivaren av säkerhetsskäl ha ett intresse av att behandla personuppgifter om hälsa eller droganvändning. Sådan behandling
SOU 2002:18 Personuppgifter om hälsa och droganvändning
179
kan t.ex. utföras med stöd av bestämmelser i kollektivavtal eller med stöd av arbetsgivarens arbetsledningsrätt.
För att arbetsgivaren skall kunna driva sin verksamhet krävs att arbetsgivaren har en fungerande administration. Arbetsgivaren är också enligt lag eller föreskrift skyldig att företa olika administrativa åtgärder. Arbetsgivaren är sålunda skyldig att behandla arbetstagarens hälsouppgifter, t.ex. vid utbetalning av sjuklön. Syftet med behandlingen är vanligtvis att arbetstagaren skall komma i åtnjutande av en förmån eller en fördel. Liksom beträffande behandling som motiveras av säkerhetsskäl kan det också här finnas administrativa intressen av att behandla hälsouppgifterna utan att det föreligger ett direkt rättsligt åliggande för arbetsgivaren.
Det kan också av lag följa andra slags skyldigheter för arbetsgivaren som innebär att arbetsgivaren måste behandla personuppgifter om hälsa eller droganvändning. Detta är exempelvis fallet vid en förhandling med arbetstagarens arbetstagarorganisation inför ett beslut om omplacering på grund av arbetstagarens sviktande hälsa. Även skyldigheten att försöka rehabilitera sjuka arbetstagare gör behandlingen av hälsouppgifter eller uppgifter om droganvändning nödvändig.
Arbetsgivaren kan även ha olika intressen av att behandla personuppgifter om arbetstagarens hälsa eller droganvändning som är av annan karaktär än de som nämnts och som motiveras av företagsekonomiska skäl. Det kan exempelvis finnas ett intresse av att kontrollera arbetssökandens eller arbetstagarens hälsa eller droganvändning för att använda uppgifterna som ett sållningsinstrument under ett anställnings- eller befordringsförfarande. Som framgår av det följande avsnittet Balansen mellan arbetstagarens respektive arbetsgivarens intressen kan dock dessa intressen oftast inte anses vara berättigade.
Ett starkt intresse för arbetsgivaren är vidare att främja arbetsmiljön för de anställda på så sätt att arbetsplatsen hålls drogfri.
Oförmåga att på grund av sjukdom utföra vissa arbetsuppgifter kan vara en rättslig grund för omplacering och till och med uppsägning, och i dessa fall har arbetsgivaren ett berättigat intresse av att få behandla hälsouppgifter eller uppgifter om droganvändning för att ta till vara sina rättigheter.
Personuppgifter om hälsa och droganvändning SOU 2002:18
180
6.4.1.3 Balansen mellan arbetstagarens och arbetsgivarens intressen
I ett flertal tidigare lagstiftningsärenden har det gjorts bedömningar som resulterat i en skyldighet eller möjlighet för arbetsgivare i lag att behandla arbetstagarens personuppgifter om hälsa eller droganvändning. Eftersom LIA är subsidiär till den lagstiftning där det kan föreskrivas sådana skyldigheter eller möjligheter kommer arbetsgivaren att vara tillåten att behandla arbetstagarens personuppgifter om hälsa eller droganvändning i enlighet med de lagliga skyldigheter och möjligheter som inte ersätts av LIA:s bestämmelser.
Vad gäller övriga intressen för arbetsgivaren att behandla hälsouppgifter eller uppgifter om droganvändning anser utredningen att det är främst två skäl som väger över arbetstagarens rätt till en fredad sfär, nämligen säkerhet och administrativa skäl som innebär en fördel för arbetstagaren.
Behandling av hälsouppgifter eller uppgifter om droganvändning till följd av säkerhetsskäl motiveras inte bara av arbetsgivarens intresse utan också av allmänhetens intresse av säkerhet och arbetskamraternas intresse av säkerhet på arbetsplatsen. Också arbetstagarens eget intresse av säkerhet tillvaratas om arbetsgivaren tillåts att behandla hälsouppgifter eller uppgifter om droganvändning i säkerhetssyfte. I arbetsgivarens intresse av att behandla uppgifter för arbetstagarens egen säkerhet till person ingår också att arbetsgivaren kan behöva skydda arbetstagaren mot att han eller hon blir sjuk till följd av arbetet. Ungefär samma resonemang kan föras beträffande arbetsgivarens intresse av att behandla personuppgifter för vissa administrativa syften. Det är inte bara arbetsgivarens intresse som tillgodoses av att arbetsgivaren får utföra sådan behandling. Den typen av behandling innebär i de flesta fall att arbetstagaren själv kommer i åtnjutande av olika sociala förmåner genom att arbetsgivaren på eget initiativ erbjudit arbetstagaren vissa fördelar t.ex. i samband med föräldraledighet. Begreppet administration är emellertid omfattande och kan innefatta en rad olika åtgärder som är mer eller mindre relevanta för arbetsgivarens förhållande till arbetstagaren. Möjligheten att behandla arbetstagarens hälsouppgifter eller uppgifter om droganvändning bör därför i detta avseende begränsas till de områden där konsekvenserna av behandlingen innebär en fördel för arbetstagaren.
SOU 2002:18 Personuppgifter om hälsa och droganvändning
181
Arbetsgivaren kan också ha olika intressen som grundas på företagsekonomiska överväganden eller motiveras av ett behov av att kontrollera om arbetstagaren missbrukar anställningsförhållandet.
Vad gäller de företagsekonomiska motiven torde dessa i allmänhet inte kunna åberopas till stöd för en behandling av personuppgifter om arbetstagarens hälsa eller droganvändning. I detta sammanhang bör framhållas att om arbetsgivaren använder hälsouppgifter som sållningsinstrument vid anställning eller befordran eller som underlag för olika ekonomiskt betingade beslut så kan detta stå i strid med vad som gäller enligt jämställdhetslagen (1991:433) och lagen (1999:132) om förbud mot diskriminering i arbetslivet av personer med funktionshinder. Av EG-domstolens praxis vid en tillämpning av direktiv 76/207/EEG om likabehandling av kvinnor och män framgår att arbetsgivarens förfarande att vägra en kvinnlig arbetssökande anställning eller att säga upp en kvinnlig arbetstagare från en pågående anställning på grund av att hon är gravid utgör direkt diskriminering på grund av kön. Detta oavsett omfattningen av de ekonomiska nackdelar som arbetsgivaren kan drabbas av på grund av arbetstagarens frånvaro till följd av graviditeten. Det saknar enligt avgörandena betydelse om anställningsavtalet ingåtts för en kortare tid eller tills vidare.23 I ett tidigare avgörande har domstolen också uttalat att även om det för arbetsgivaren är ett väsentligt villkor för anställningsavtalet att arbetstagaren står till förfogande, så är det skydd som gemenskaphetsrätten garanterar en kvinna under graviditeten inte beroende av om arbetstagarens närvaro är nödvändig för driften av det företag vid vilket hon är anställd.24 I det nyligen meddelade avgörandet mål C-109/00 Tele Danmark A/S har domstolen uttalat att denna tolkning av gemenskaphetsrätten inte ändras på grund av den omständligheten att anställningsavtalet ingåtts för en begränsad tid. Av de nu redovisade avgörandena framgår att en behandling av arbetstagarens personuppgifter om graviditet i syfte att utgöra beslutsunderlag för en anställning inte är tillåten, oavsett anställningsförhållandes längd eller karaktär. Arbetsgivaren torde därför inte vara berättigad att behandla uppgifter om graviditet inför en anställning enbart i syfte att avgöra om arbetssökanden har möjlighet att stå till förfogande under anställningen.
23 Se bl.a. målen C-177/88 Dekker, C-438/99 Melgar och C-109/00 Tele Danmark A/S. 24 Se mål C 32/93 Webb.
Personuppgifter om hälsa och droganvändning SOU 2002:18
182
Beträffande de uppgifter om hälsa som faller in under lagen om förbud mot diskriminering av personer med funktionshinder har det först genom rådets direktiv 2000/78/EG av den 27 november 2000 om inrättande av en allmän ram för likabehandling, skapats en EG-rättslig grund för ett förbud mot diskriminering av enskilda med funktionshinder. För närvarande pågår ett arbete med att införliva direktivet i svensk rätt, vilket skall att vara genomfört under slutet av 2003. Enligt direktivet finns ett visst utrymme för att från diskrimineringsförbudet undanta fall där en arbetstagare rent faktiskt inte har möjlighet att utföra arbetsuppgifterna. Under ett anställningsförfarande bör en arbetsgivare således kunna ha ett berättigat intresse av att inom t.ex. transport- och trafiknäringen samla in uppgifter om syn- och reaktionsförmåga.
Intresset av att behandla personuppgifter om arbetstagarens droganvändning torde först och främst vara inriktat på att få reda på om arbetstagaren använder droger på ett sätt som kan innebära att det föreligger ett missbruk. Detta intresse av att behandla uppgifter om arbetstagaren är emellertid inte alltid nödvändigt för att uppnå syftet med behandlingen. Det kan i stället föreligga större möjligheter att uppnå ett gott resultat om arbetsgivaren informerar om droger och konsekvenserna av ett missbruk samt utarbetar en drogpolicy.
Arbetsgivarens intresse av att hålla arbetsplatsen drogfri är självklart ett berättigat intresse. Detta motiv för att behandla personuppgifter om arbetstagarens drogpåverkan är emellertid inte begränsat till arbetslivets område utan även ett allmänt samhälleligt intresse. Arbetsmarknadens parter är också överens i sin strävan att motverka användning och spridning av droger på arbetsplatserna och utredningen utgår från att parterna gemensamt kommer att övervaka att åtgärderna får avsedd effekt.
Att arbetsgivaren behandlar hälsouppgifter eller uppgifter om droganvändning för att ta till vara sina rättigheter t.ex. i fråga om omplacering eller uppsägning måste anses befogat.
6.5 Överväganden och förslag
6.5.1 Inledning
För att kunna ge arbetstagaren ett skydd för den personliga integriteten bör arbetsgivarens rätt att behandla personuppgifter om hälsa
SOU 2002:18 Personuppgifter om hälsa och droganvändning
183
eller droganvändning begränsas till de fall där arbetsgivarens intresse av att behandla personuppgifter väger över arbetstagarens rätt till skydd för integriteten. Detta bör ske genom att det i LIA införs ett förbud för arbetsgivaren att behandla personuppgifter om hälsa eller droganvändning samtidigt med väl avgränsade undantag som anger när arbetsgivaren skall vara tillåten att behandla hälsouppgifter.
Enligt utredningens mening är detta dock inte tillräckligt. Även om arbetsgivaren iakttar de begränsningar som en sådan bestämmelse medför kan de åtgärder som behandlingen i sig innebär inskränka arbetstagarens integritetsskydd på ett sätt som inte är godtagbart. För att förhindra sådana inskränkningar måste arbetstagaren i möjligaste mån också garanteras insyn och kontroll över behandlingen och tillvägagångssätten vid behandlingen.
Det är också viktigt att undersökningarna och testerna sker på ett tillförlitligt sätt och att testerna utförs av personal som har kompetens och kunskap om hela provtagningsförfarandet. Beträffande drogtester bör det även uppställas krav på att arbetstagaren av rättssäkerhetsskäl ges möjlighet att i efterhand kunna kontrollera resultatet av testet.
Genom att föra samman bestämmelser om tillåten behandling av hälsouppgifter eller uppgifter om droganvändning, tillvägagångssätten vid behandling, tystnadsplikt och information är det enligt utredningens mening möjligt att skapa ett fungerande integritetsskydd som tillgodoser de krav som nämnts här. En lagstiftning som innehåller bestämmelser med det här beskrivna innehållet har fördelen av att dels vara heltäckande, dels beakta de olika moment vid behandlingen som kan vara integritetskränkande.
Även frågor om vem arbetsgivaren får hämta in uppgifter från, tystnadsplikt för den som behandlar uppgifterna, hur uppgifterna skall förvaras och information är av stor betydelse. Eftersom detta är en fråga som inte bara är aktuell vid behandling av personuppgifter om hälsa eller droganvändning utan också vid behandling av bl.a. personuppgifter om arbetstagarens lagöverträdelser hänvisas till respektive avsnitt.
Vid en bedömning av omfattningen av det integritetsskydd som ges genom samtliga bestämmelser i LIA skall beaktas att bestämmelserna om relevans och finalitet i 9 § PUL som gäller enligt 2 § LIA, innebär att arbetsgivaren inte får behandla personuppgifter om hälsa eller droganvändning för andra ändamål än de som hon eller han bestämt, att de personuppgifter som behandlas
Personuppgifter om hälsa och droganvändning SOU 2002:18
184
är adekvata och relevanta och att arbetsgivaren inte får behandla uppgifterna för något annat ändamål än för de ursprungligen bestämda. Detta innebär exempelvis att arbetsgivaren inte får behandla personuppgifter om arbetssökandens hälsa för andra ändamål än de som ryms inom ramen för de ursprungligen bestämda ändamålen och att arbetsgivaren är förhindrad att behandla ovidkommande hälsouppgifter.
6.5.2 Behandling av personuppgifter om hälsa eller droganvändning
Utredningen föreslår: En bestämmelse bör införas, vilken som
huvudregel innebär att en arbetsgivare inte får behandla personuppgifter om arbetstagares eller arbetssökandes hälsa eller droganvändning. Från denna huvudregel bör undantag göras för de fall där behandlingen är nödvändig för att bedöma om en arbetstagare eller en arbetssökande är lämpad för att utföra arbetsuppgifterna i arbetsgivarens verksamhet. Undantag bör också göras för det fall att arbetstagaren för att komma i åtnjutande av en förmån själv begär att uppgifterna skall behandlas.
En arbetstagares eller arbetssökandes samtycke ger inte arbetsgivaren rätt att behandla personuppgifter om hälsa eller droganvändning i andra fall än de som anges i bestämmelsen.
Den föreslagna bestämmelsen avser all behandling av dokumenterade personuppgifter om hälsa eller droganvändning och omfattar alltså allt från insamlingen till utplåningen av uppgifterna. En arbetsgivare måste därför inför varje åtgärd som kan innebära en behandling göra en bedömning av om behandlingen är tillåten enligt bestämmelsen. Om exempelvis en arbetssökande själv skickar in ett skriftligt resultat av ett drogtest så är arbetsgivaren tvungen att ta ställning till om han eller hon är tillåten att behandla det enligt LIA.
Av annan lagstiftning än LIA följer att arbetsgivaren har vissa lagstadgade skyldigheter som bl.a. rör arbetstagarens sociala rättigheter och frågor om arbetsmiljö. Dessa lagbestämmelser innebär redan i dag en skyldighet för arbetsgivaren att behandla personuppgifter om arbetstagarens hälsa eller droganvändning. Här kan exempelvis nämnas rätt till ersättning under sjukdomstid, rätt till rehabilitering och rätt till ledighet under graviditet men också
SOU 2002:18 Personuppgifter om hälsa och droganvändning
185
skyldigheter att vid en tillämpning av arbetsmiljölagen tillvarata arbetstagarens intressen av hälsa och säkerhet. Eftersom LIA är subsidiär till sådan lagstiftning inskränker inte LIA arbetsgivarens rätt att behandla personuppgifter för att kunna fullgöra dessa skyldigheter.
Arbetsgivaren får inte behandla hälsouppgifter eller uppgifter om droganvändning i andra fall än de som nämns i bestämmelsen. Det finns alltså inte något utrymme för samtycke av en arbetstagare eller en arbetssökande.
Bestämmelsen ger inte arbetsgivaren någon rätt att beordra hälsoundersökningar eller drogkontroller. Utredningens analys av frågor om beordrade undersökningar och kontroller redovisas i avsnitt 6.5.4.
Det kan påpekas att utformningen av bestämmelsen följer nära den rekommendation till bestämmelse som finns i ILO:s riktlinjer.
6.5.2.1 Nödvändighetskravet
För att arbetsgivaren skall vara tillåten att behandla personuppgifter om arbetstagarens eller arbetssökandens hälsa eller droganvändning måste det först bedömas vara nödvändigt att en sådan behandling sker. Genom att uppställa ett sådant krav markeras att arbetsgivaren, på motsvarande sätt som gäller enligt PUL, är skyldig att så långt som möjligt begränsa behandlingen av personuppgifter. Om det finns ett fullgott alternativ som inte innefattar behandling av hälsouppgifter eller uppgifter om droganvändning bör kravet på nödvändighet inte anses uppfyllt.
Nödvändighetskravet innebär att arbetsgivaren i varje särskilt fall måste göra en bedömning av om behandlingen av uppgifterna verkligen är nödvändig.
Som tidigare nämnts i avsnitt 6.4.1 är arbetsgivaren under ett anställningsförfarande inte tillåten att beakta om arbetssökanden är gravid. Detta gäller oavsett anställningens karaktär eller längd. Arbetssökanden har inte heller någon skyldighet att upplysa arbetsgivaren om sådana uppgifter. Detta innebär enligt utredningens mening att det som regel inte är nödvändigt för arbetsgivaren att behandla personuppgifter om graviditet under ett anställningsförfarande. Däremot kan det vara nödvändigt för arbetsgivaren att behandla sådana uppgifter för att kunna anpassa arbetsmiljön och arbetsuppgifterna i samband med en graviditet för
Personuppgifter om hälsa och droganvändning SOU 2002:18
186
att det inte skall föreligga risk för arbetstagarens säkerhet eller hälsa.
6.5.2.2 Bedömning av om arbetstagaren eller arbetssökanden är lämpad för att utföra arbetsuppgifterna i arbetsgivarens verksamhet.
Undantaget från förbudet mot att behandla arbetstagarens, varmed avses även arbetssökandens, hälsouppgifter eller uppgifter om droganvändning bör först och främst vara inriktat på säkerhets- och hälsoaspekter. Med säkerhet avses inte bara arbetstagarens egen säkerhet, utan också säkerheten för arbetskamraterna och allmänheten. Säkerheten avser inte heller bara den fysiska och psykiska säkerheten utan även säkerhet för information eller värdefull egendom som arbetsgivaren äger eller svarar för.
För att arbetsgivaren skall få behandla hälsouppgifter eller uppgifter om droganvändning bör arbetstagarens arbetsuppgifter ha sådan karaktär att bristande hälsa eller droganvändning kan medföra en konkret risk för de säkerhetsintressen som nämnts ovan. Det är inte möjligt att närmare ange i vilka fall arbetsuppgifternas innehåll kräver att arbetsgivaren bedömer om arbetstagaren är lämpad att utföra dem, men det kan t.ex. vara fallet om det åligger arbetstagaren att följa säkerhetsrutiner eller hantera skyddsanordningar.
Bestämmelsen ger också utrymme för arbetsgivaren att behandla personuppgifter om hälsa eller droganvändning för att förebygga att arbetstagaren själv drabbas av ohälsa till följd av de arbetsuppgifter som han eller hon har att utföra. Om det genom att arbetstagaren utför vissa arbetsuppgifter föreligger en förhöjd risk för vissa skador måste arbetsgivaren ges utrymme att behandla hälsouppgifter eller uppgifter om droganvändning för att förebygga att skadorna uppkommer. Liknande regler finns i vissa av Arbetsmiljöverkets föreskrifter.
Att arbetstagaren uppträder påverkad av droger kan i vissa fall utgöra sådan misskötsamhet från arbetstagarens sida som utgör saklig grund för uppsägning eller omplacering. Också arbetstagarens bristande hälsa kan i vissa fall utgöra saklig grund för uppsägning. I båda fallen får behandling av sådana uppgifter anses nödvändig för att bedöma om arbetstagaren är lämpad för att utföra sina arbetsuppgifter på ett tillfredsställande sätt.
SOU 2002:18 Personuppgifter om hälsa och droganvändning
187
Arbetsgivaren måste därför vara tillåten att behandla hälsouppgifter eller uppgifter om droganvändning i detta syfte.
Slutligen tar bestämmelsen också sikte på arbetsgivarens rätt att behandla hälsouppgifter eller uppgifter om droganvändning för att kunna bedöma om arbetstagaren överhuvudtaget kan utföra arbetsuppgifterna. I sådana fall bör arbetstagarens hälsotillstånd vara av avgörande betydelse. Exempelvis bör en sådan situation föreligga när det är nödvändigt att arbetstagaren har vissa fysiska förutsättningar för att kunna utföra arbetsuppgifterna, t.ex. vad gäller syn och hörsel.
Det bör avslutningsvis framhållas att arbetsgivaren inte generellt får använda arbetstagarens hälsouppgifter eller uppgifter om droganvändning som ett beslutsunderlag vid en sållning under ett anställningsförfarande eller vid en befordran.
6.5.2.3 Arbetstagarens förmåner
Arbetsgivaren kan i anställningsavtalet ha åtagit sig att svara för en rad olika förmåner för arbetstagaren som är av samma karaktär som försäkringsersättningar som arbetstagaren har rätt till enligt lag. De förmåner som arbetsgivaren och arbetstagaren avtalat om kan exempelvis utgöras av ett särskilt tillägg i samband med utbetalning av föräldraförsäkring eller kompensation för kostnader i samband med läkarbesök. För att arbetsgivaren skall kunna uppfylla sina åtaganden enligt anställningsavtalet i dessa och liknande frågor bör arbetsgivaren ges rätt att behandla de hälsouppgifter eller uppgifter om droganvändning som krävs för en bedömning av arbetstagarens rätt till förmånen.
I de här aktuella fallen initieras arbetsgivarens behandling oftast av att arbetstagaren själv framställer en begäran, t.ex. om att få ersättning för utlägg för läkemedel. Detta innebär att arbetstagaren själv har möjlighet att avgöra om och i vilken omfattning hälsouppgifterna eller uppgifter om droganvändning skall komma till arbetsgivarens kännedom.
6.5.3 Förhållandet till PUL och dataskyddsdirektivet m.m.
För en närmare redogörelse beträffande förhållandet mellan LIA och PUL hänvisas till avsnitt.
Behandlingen av arbetstagares personuppgifter om hälsa och droganvändning som är av sjukdomskaraktär regleras särskilt i 13–
Personuppgifter om hälsa och droganvändning SOU 2002:18
188
20 §§ PUL. LIA:s bestämmelse om behandling av personuppgifter om hälsa eller droganvändning kommer att ersätta 15–19 §§ PUL. LIA innebär därmed såväl en precisering av dessa bestämmelser som en inskränkning av möjligheterna för arbetsgivaren att behandla sådana uppgifter. Inskränkningen består främst i att arbetstagarens generella möjlighet att samtycka till behandling enligt 15 § PUL försvinner.
Fråga är om den nämnda inskränkningen kan komma i konflikt med dataskyddsdirektivet. I direktivet ges utrymme för medlemsstaterna att ange särskilda villkor för behandlingen av personuppgifter inom vissa sektorer. Så kan exempelvis ske inom arbetslivets område. Utredningen anser att den inskränkning som bestämmelsen om behandling av personuppgifter om hälsa eller droganvändning i LIA innebär i förhållande till direktivet utgör sådana särskilda villkor för behandling inom just detta område.25Bestämmelsen är därför enligt utredningens mening förenlig med dataskyddsdirektivet.
Bestämmelsen överensstämmer vidare med vad som anges i Europakonventionen och Europarådets rekommendation.
6.5.4 Hälsoundersökningar och drogtester
6.5.4.1 Inledning
I detta avsnitt redogörs för utredningens syn på behovet av tvångsvisa undersökningar och tester samt för utredningens möjlighet att inom ramen för uppdraget ändra gällande bestämmelser, alternativt tillskapa nya bestämmelser om integritetsskydd för arbetstagaren i denna fråga.
Vad gäller den praktiska utformningen av undersökningar och tester saknas det för närvarande regler om vilka tillvägagångssätt som arbetsgivaren får använda sig av vid inhämtande av personuppgifter om arbetstagarens hälsa. Detta innebär bl.a. att arbetsgivaren fritt kan välja vilken metod som skall användas vid ett drogtest. Arbetstagaren bör dock enligt utredningens mening vara garanterad att de undersökningar och tester som utförs är tillförlitliga och att det resultat som redovisas är korrekt. Det är väsentligt att inte någon felaktigt pekas ut för att ha lämnat ett positivt prov, eftersom det kan få till följd att en arbetssökande på
25 Se punkterna 22, 23 och 68 i dataskyddsdirektivets ingress.
SOU 2002:18 Personuppgifter om hälsa och droganvändning
189
felaktiga grunder inte får en anställning eller t.o.m. att en arbetstagare på felaktiga grunder skiljs från en anställning. För att skapa ett skydd för den personliga integriteten i arbetslivet bör det därför i LIA finnas bestämmelser som föreskriver att undersökningar och tester som utförs i avsikt att samla in personuppgifter om arbetstagarens hälsa eller droganvändning bara får göras på ett tillförlitligt sätt.
Vidare bör det vid en bedömning av hur undersökningar och tester skall utföras för att arbetstagarens integritetsintresse skall tillvaratas göras åtskillnad mellan hälsoundersökningar och drogtester, eftersom förutsättningarna för och ändamålet med åtgärderna kan skilja sig åt.
Om undersökningen eller testet inte uppfyller de krav som framgår av bestämmelserna är arbetsgivaren enligt LIA inte tillåten att genomföra undersökningen eller testet ens med arbetstagarens samtycke.
6.5.4.2 Arbetstagarens skyldighet att underkasta sig hälsoundersökningar och drogtester
Utredningens bedömning
: Utredningen har inte funnit det möjligt
att föreslå bestämmelser som ger ett integritetsskydd som gäller för hela arbetsmarknaden i fråga om en arbetstagares eller en arbetssökandes skyldighet att underkasta sig hälsoundersökningar och drogtester. Utredningen har övervägt olika alternativ vilka redovisas nedan.
Utgångspunkten för utredningens arbete beträffande arbetstagares skyldighet att genomgå hälsokontroller och drogtester har varit att förstärka arbetstagarens integritetsskydd. Det minsta som kan tänkas vore alltså att föreslå en lösning som inte försämrar det befintliga rättsliga skyddet för arbetstagare inom offentlig verksamhet och som för den privata sektorn ger uttryck för de berättigade intressen som i dag finns på arbetsmarknaden. Det har emellertid visat sig vara förenat med stora svårigheter att hitta en fungerande lösning för ett heltäckande integritetsskydd för både den offentliga och privata sektorn utan att riskera att försämra för någon arbetstagare. Utredningen har därför beslutat avstå från att lägga fram något förslag och redovisar i det följande de överväganden som legat till grund för beslutet.
Personuppgifter om hälsa och droganvändning SOU 2002:18
190
Arbetstagare inom offentlig sektor
Arbetstagare inom offentlig sektor garanteras ett integritetsskydd mot påtvingade kroppsliga ingrepp från det allmänna genom 2 kap. 6 § RF. Lagstiftaren har tidigare begränsat detta skydd genom införandet av 30 § LOA, där det sägs att om en arbetstagare har arbetsuppgifter där brister i arbetstagarens hälsotillstånd medför risk för människors liv, personliga säkerhet eller hälsa eller för betydande skador på miljö eller egendom, är arbetstagaren efter särskild anmaning av arbetsgivaren skyldig att regelbundet genomgå hälsoundersökningar som är nödvändiga för bedömning av om arbetstagaren har sådana brister i sitt hälsotillstånd. Detta gäller dock bara för arbetstagare som enligt kollektivavtal eller föreskrifter av regeringen är skyldiga att genomgå hälsoundersökningar.
Bestämmelsen i 30 § LOA har emellertid enligt utredningens uppfattning även en integritetsskyddande verkan. Skyddet består i att arbetsgivaren inte är tillåten att utföra påtvingade åtgärder i större omfattning än vad som framgår av bestämmelsen. I vilken omfattning som 30 § LOA förhindrar arbetsgivaren att utföra de undersökningar och tester som inte direkt omnämns i bestämmelsen är dock inte alldeles klart. Under utredningens arbete har det framförts olika åsikter i frågan.
En tolkning som framförts är att 30 § LOA bara omfattar periodiska hälsoundersökningar. Denna tolkning stöds bl.a. av att det i förarbetena inte uttryckligen nämns att också drogtester omfattas av förbudet och av att det i ett flertal JO-uttalanden sagts att urinprov inte är att se som ett kroppsligt ingrepp i den mening som avses 2 kap. 6 § RF.26 Eftersom drogtester baserade på urinprov alltså inte skulle omfattas av grundlagsskyddet skulle sådana tester inte heller omfattas av det undantag från grundlagsbestämmelsen som 30 § LOA utgör. I vilken omfattning en arbetsgivare är tillåten att beordra drogtester skulle i stället regleras av arbetsgivarens arbetsledningsrätt.
Under utredningsarbetet har det emellertid också framförts att de aktuella JO-uttalandena om vad som är att anse som ett ”kroppsligt ingrepp” knappast kan innebära att drogtester som baseras på urinprov inte skulle omfattas av grundlagsskyddet, eftersom det är drogtestet i sig som utgör kränkningen av integritetsskyddet. Ett drogtest skulle alltså oberoende av vilken
26 Se avsnitt 6.3.2.
SOU 2002:18 Personuppgifter om hälsa och droganvändning
191
metod som används omfattas av bestämmelsen i 2 kap. 6 § RF. Bestämmelsen i 30 § LOA skulle vid en sådan tolkning innefatta ett totalförbud för offentliga arbetsgivare att utföra drogtester, eftersom drogtester inte nämns som en tillåten åtgärd i bestämmelsen.
Av de redovisade ståndpunkterna framgår att det finns olika uppfattningar om vad 2 kap. 6 § RF och 30 § LOA innebär vid en bedömning av integritetsskyddet för arbetstagare inom offentlig sektor.
Från arbetsgivarhåll har framförts att drogtester, slumpvisa undersökningar och tester samt undersökningar och tester på förekommen anledning bör vara tillåtna i samma utsträckning inom den offentliga sektorn som inom den privata. Detta med hänsyn till att det i dag av säkerhetsskäl föreligger ett lika stort behov av att genomföra sådana undersökningar och tester för offentliga arbetsgivare som för privata arbetsgivare. Man har också framhållit vikten av att i lagstiftning klargöra vad som gäller i fråga om offentliga arbetsgivares rätt att beordra arbetstagare att genomgå hälsoundersökningar och drogtester, eftersom ett klargörande i den frågan faktiskt innebär ett förstärkt skydd för integriteten.
Utredningen anser att det är rimligt att ställa särskilt höga krav på arbetstagare med ansvarsfulla arbetsuppgifter för att minimera risken för olyckor eller ohälsa som kan drabba arbetstagaren själv, de personer som arbetstagaren kommer i kontakt med i arbetet eller någon som på något sätt kan utsättas för effekterna av arbetstagarens arbete. De nu nämnda skälen kan anföras både för att arbetstagaren i vissa särskilda situationer bör vara skyldig att underkasta sig en hälsoundersökning och för att arbetstagaren skall vara skyldig att underkasta sig ett drogtest. Samma förhållanden gäller behovet av att kunna genomföra undersökningar och tester som sker på förekommen anledning eller rent slumpmässigt och som t.ex. motiveras av ett ovanligt stort antal svårförklarliga olycksfall eller andra incidenter. Utredningen kan på här anförda skäl alltså instämma i att det kan finnas ett behov av att inom den offentliga verksamheten utöka möjligheterna att utföra beordrade undersökningar och tester. De säkerhetsintressen som kan motivera en sådan utökning är också i de flesta fall gemensamma för arbetsgivare och arbetstagare.
Utredningen har emellertid enligt direktiven att se över behovet av lagstiftning eller andra åtgärder som stärker skyddet för den enskildes personliga integritet i arbetslivet. Att då utöka de
Personuppgifter om hälsa och droganvändning SOU 2002:18
192
offentliga arbetsgivarnas möjligheter att utföra tvångsvisa undersökningar till att också avse drogtester, slumpvisa undersökningar och tester samt undersökningar och tester på förekommen anledning innebär en utökning av arbetstagarens skyldighet att underkasta sig beordrade åtgärder och därigenom också en inskränkning av det skydd för den fysiska integriteten som arbetstagare inom offentlig sektor åtnjuter i dag. Eftersom utgångspunkten i utredningens direktiv är att eventuella lagförslag skall medföra en förstärkning av integritetsskyddet på arbetslivets område är det därför enligt direktiven inte möjligt för utredningen att föreslå en utvidgning av de skyldigheter för arbetstagaren som följer av 30 § LOA eller att på annat sätt inskränka det integritetsskydd som offentliganställda för närvarande garanteras genom bestämmelsen. När det gäller 2 kap. 6 § RF och 30 § LOA uppkommer också tolkningssvårigheter som gäller om och i vilken mån det har betydelse för vilket syfte som arbetsgivaren vidtar en åtgärd.27
Beträffande det förhållandet att det i dag råder skilda uppfattningar om vad bestämmelserna i 2 kap. 6 § RF och 30 § LOA egentligen innebär instämmer utredningen i uppfattningen att ett klargörande i sig skulle kunna medföra en stärkning av skyddet för den personliga integriteten. Ett förtydligande som innebär att bestämmelsen bör utvidgas till att också avse andra undersökningar och tester än de som i dag uttryckligen framgår av 30 § LOA anser sig dock utredningen till följd av vad som just anförts i frågan inte kunna göra. Att klargöra rättsläget på annat sätt än genom att föreslå en lagändring är en fråga främst för rättstillämpningen.
Arbetstagare inom privat sektor
Till följd av utredningens ställningstagande i fråga integritetsskyddet vid beordrade hälsoundersökningar för arbetstagare inom offentlig sektor uppkommer frågan om det finns förutsättningar att införa en särskild bestämmelse i LIA som reglerar skyddet för den fysiska integriteten för arbetstagare inom privat sektor. Utredningen har här övervägt olika alternativa lösningar.
27 Jfr också Kent Källström, Arbetsgivarens kontroll – arbetstagarens integritet, i Arbetsliv i omvandling 2000:2, s 85 ff.
SOU 2002:18 Personuppgifter om hälsa och droganvändning
193
Ett första alternativ är en reglering motsvarande den i 30 § LOA som garanterar arbetstagare inom privat bedriven verksamhet ett skydd mot påtvingade kroppsliga ingrepp. För en sådan lösning talar att det tillskapas ett integritetsskydd där det inte spelar någon roll om arbetstagaren är sysselsatt inom privat eller offentlig verksamhet. Med hänsyn till vad som sagts tidigare om behovet av att av säkerhetsskäl utöka möjligheterna till tvångsvisa undersökningar och tester inom ramen för 30 § LOA kan det dock ifrågasättas om bestämmelsens nuvarande utformning svarar mot de berättigade intressen av att utföra undersökningar och tester som finns inom arbetslivet. Vidare gäller skyldigheten för arbetstagare inom offentlig verksamhet att genomgå tvångsvisa undersökningar och tester enligt 30 § LOA bara arbetstagare som enligt kollektivavtal eller föreskrifter av regeringen är skyldiga att genomgå sådana undersökningar. Det bör även uppmärksammas att en offentliganställd alltid kan samtycka till att genomgå en hälsoundersökning. Såvitt utredningen erfarit är detta också en lösning som ofta tillämpas för att hälsoundersökningar skall kunna äga rum.
Om en bestämmelse utformad som 30 § LOA skulle överföras på den privata sektorn skulle detta för det första innebära införandet av en konstruktion med kollektivavtal som villkor för tillämpningen. Utredningen anser dock att principiella skäl talar mot en sådan ordning. Arbetsmarknadens parter är autonoma och de bör därför själva bestämma om och i vilken omfattning som de skall ingå avtal med varandra. Det förhållandet att man vid utformningen av 30 § LOA har använt sig av konstruktionen med kollektivavtal som en förutsättning för regeltillämpningen medför alltså inte att den konstruktionen bör användas som förebild i fortsättningen för ytterligare lagstiftning. För det andra innebär en överföring av integritetsskydd enligt 30 § LOA att privatanställda i likhet med offentliganställda måste kunna samtycka till att avstå från skyddet. Om man således avstår från att kräva kollektivavtal som villkor för regeltillämpningen och samtidigt medger att integritetsskyddet kan upphävas genom arbetstagarens samtycke har man inte vunnit mycket. Det anförda innebär alltså enligt utredningens uppfattning att det inte är meningsfullt att införa ett integritetsskydd motsvarande 30 § LOA att gälla inom den privata sektorn.
Ett andra alternativ är en bestämmelse som inte tar sin utgångspunkt i LOA utan som föreskriver en möjlighet för
Personuppgifter om hälsa och droganvändning SOU 2002:18
194
arbetsgivare att av säkerhetsskäl beordra undersökningar och tester. Inte heller denna väg är så framkomlig som det inledningsvis kan framstå. En i LIA föreslagen rätt för arbetsgivaren att beordra undersökningar och tester innebär som tidigare framhållits också en motsvarande skyldighet för arbetstagaren att underkasta sig dessa åtgärder. Även om en bestämmelse av det slaget har en integritetsskyddande karaktär genom att regeln uttryckligen begränsar de fall där arbetsgivare får beordra arbetstagaren att genomgå undersökningar och tester så innebär bestämmelsen också en inskränkning av rätten till fysisk integritet. Att i en lag som avser att stärka integriteten i arbetslivet utöka de situationer där en arbetstagare är skyldig att tåla intrång i den fysiska integriteten framstår som främmande. Enligt utredningens mening överensstämmer inte heller ett sådant alternativ med utredningens direktiv.
För att undvika den beskrivna problematiken vore ett ytterligare ett alternativ att tillskapa en rättighetsregel för arbetstagare inom privat sektor som stadgar som huvudregel att påtvingade kroppsliga ingrepp inte är tillåtna. Denna huvudregel skulle därefter kunna förses med en rad undantag som bara tillgodoser berättigade intressen av att utföra undersökningar och tester som är motiverade av olika särskilt begränsade säkerhetsskäl. Om en sådan bestämmelse skulle avspegla det behov av att genomföra undersökningar och tester som enligt utredningens mening faktiskt finns kommer detta alternativ att innebära att arbetsgivare inom privat sektor alltjämt kommer att ha större utrymme att genomföra tvångsvisa undersökningar och tester än arbetsgivare inom offentlig sektor. Också denna lösning kommer, trots sin utformning, att innebära en skyldighet för arbetstagaren att underkasta sig kontroller och tester.
Den sistnämnda omständigheten utesluter emellertid inte helt möjligheten att införa en rättighetsregel på sätt som beskrivits här. Arbetstagare inom privat sektor är redan i dag skyldiga att genomgå hälsoundersökningar och drogtester i de fall där dessa frågor faller in under arbetsgivarens arbetsledningsrätt. Arbetsdomstolen har också uttalat att en skyldighet att underkasta sig drogtester i vissa syften kan följa av det medansvar för arbetsmiljön som åvilar arbetstagaren enligt arbetsmiljölagen. För att en bestämmelse i LIA inte skulle innebära en mer långtgående skyldighet för arbetstagare inom privat sektor att genomgå tvångsvisa undersökningar och kontroller än den som kan sägas
SOU 2002:18 Personuppgifter om hälsa och droganvändning
195
finnas i dag, vore en möjlighet att i en rättsregel kodifiera gällande rätt. Också här kan det dock med fog ifrågasättas om det ligger inom utredningens direktiv att föreslå den skyldighet som alternativet innebär.
Utredningen vill slutligen framhålla att det kommit till klart uttryck under utredningsarbetet att frågan om tvångsvisa hälsoundersökningar och drogtester är kontroversiell. Eftersom frågan hittills inte har behandlats vid centrala förhandlingar mellan arbetsmarknadens parter anser utredningen att det vore önskvärt att parterna i första hand uttömde denna möjlighet att finna en godtagbar lösning för den privata sektorn innan lagstiftningsåtgärder aktualiseras.
Arbetssökanden
Vad slutligen gäller arbetssökande kan sägas att för sökanden till statlig tjänst finns en bestämmelse i 5 § anställningsförordningen där det stadgas att om arbetsuppgifterna i en anställning är sådana att särskilda krav måste ställas på den anställdes hälsotillstånd i något visst hänseende, får en myndighet meddela föreskrifter om att den som skall anställas för arbetsuppgifterna skall lämna läkarintyg. Beträffande anställningsförordningen har från arbetsgivarsidan inte framställts önskemål om en utvidgning av bestämmelsens tillämpningsområde, varför det inte synes föreligga något sådant behov.
Någon motsvarade regel för sökanden till kommunal eller privat tjänst finns inte. Också här skulle det vara möjligt att skapa ett heltäckande skydd genom att i LIA införa en motsvarighet till bestämmelsen i anställningsförordningen. För att tillskapa ett motsvarande eller bättre integritetsskydd för arbetssökande som deltar i ett anställningsförfarande inom en kommunal eller privat bedriven verksamhet uppkommer de problem som utredningen pekat på beträffande arbetstagare inom samma sektorer.
Också övriga resonemang kring alternativa lösningar som förts beträffande arbetstagare skulle kunna anföras beträffande tillskapande av ett skydd för arbetssökanden. Utredningen väljer därför att hänvisa till det som anförts tidigare.
Personuppgifter om hälsa och droganvändning SOU 2002:18
196
6.5.4.3 Genomförandet av hälsoundersökningar
Utredningen föreslår: För att garantera en arbetstagare eller en
arbetssökande ett integritetsskydd vid genomförandet av hälsoundersökningar bör det införas en bestämmelse som innebär att en arbetsgivare är skyldig att se till att undersökningar som arbetsgivaren utför bara genomförs av personal inom hälso- och sjukvården eller under överinseende av sådan personal.
För att genomföra hälsoundersökningar avseende arbetstagare eller arbetssökande bör det krävas att arbetsgivaren anlitar personal inom hälso- och sjukvården vid utförandet av undersökningen eller att undersökningen sker under överinseende av sådan personal. Med personal inom hälso- och sjukvård avses de personer som omfattas av 4 § 1–3 och 7 punkterna lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område. Med att undersökningen sker under överinseende av sådan personal avses att den person som faktiskt utför undersökningen har fått instruktion av sjukvårdspersonal för hur undersökningen skall utföras och har erforderlig kontakt med sjukvårdspersonalen. Det är sjukvårdspersonalen som har ansvaret för undersökningen. Detta tillförsäkrar arbetstagaren den säkerhet vid hälsoundersökningar som är en förutsättning för ett fungerande integritetsskydd också i de fall där sjukvårdspersonal inte är närvarande vid undersökningen. Ett exempel där det borde vara fullt tillräckligt att undersökningen sker under överinseende av sådan personal är vid vissa rutinartade konditionstester.
Bestämmelsen gäller för samtliga hälsoundersökningar i arbetslivet, dvs. oavsett om arbetstagaren är skyldig att underkasta sig undersökningen eller om arbetsgivaren och arbetstagaren i samförstånd kommit överens om att arbetstagaren skall genomgå denna. I de fall som arbetstagaren på eget initiativ har genomgått en undersökning ansvarar naturligtvis inte arbetsgivaren för att undersökningen har genomförts enligt LOA.
6.5.4.4 Genomförandet av drogtester
Utredningen föreslår: För att garantera en arbetstagare eller en
arbetssökande ett integritetsskydd vid genomförandet av drogtester bör det införas en bestämmelse som innebär att en arbetsgivare är skyldig att se till att drogtester bara genomförs med
SOU 2002:18 Personuppgifter om hälsa och droganvändning
197
metoder som är tillförlitliga. Arbetsgivaren skall därvid se till att andra prover än utandningsprov bara tas av personal inom hälso- och sjukvården eller under överinseende av sådan personal samt analyseras av ett laboratorium som är ackrediterat enligt lagen (1992:1119) om teknisk kontroll.
För att drogtester skall ske på ett sätt som innebär minsta möjliga integritetskränkning bör uppställas krav på att testet är tillförlitligt. Utredningen delar SWEDAC:s mening om att det är en nödvändig förutsättning för tillförlitligheten vid utförandet av drogtester att alla de personer som utför de olika momenten från provtagning till analys och återförande av resultat har kunskap och kompetens på området. Att testerna bara får utföras av personal inom hälso- och sjukvården eller under överinseende av sådan personal får anses innebära att detta krav är uppfyllt. Med personal inom hälso- och sjukvård avses de personer som omfattas av 4 § 1–3 och 7 punkterna lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område. Med att undersökningen sker under överinseende av sådan personal avses att den person som faktiskt utför undersökningen har fått instruktioner av sjukvårdspersonal för hur undersökningen skall utföras och har erforderlig kontakt med sjukvårdspersonalen. Sjukvårdspersonalen har ansvaret för förfarandet.
Det bör dessutom krävas att hela analysförfarandet av proverna sker på ett laboratorium som är ackrediterat enligt lagen om teknisk kontroll av SWEDAC för den typen av verksamhet. Det är alltså inte acceptabelt att screening vid narkotikatester utförs på arbetsplatsen och att positiva svar skickas vidare för analys. Detta beroende på att säkerhetskedjan kan brytas och förväxlingsrisken kan öka. En avgörande princip för tillförlitligheten vid narkotikatester är alltså att positiva resultat genomgår två analyssteg på ett laboratorium.
Att all drogtestning sker under de här beskrivna formerna innebär också att hela säkerhetskedjan från provtagning till återförande är kvalitetssäkrad. Det kommer i varje enskilt fall vara möjligt att säkerställa att en detaljerad redovisning av fallet kan ske och att en läkare med särskild kompetens, en s.k. MRO (Medical Review Officer) i varje enskilt positivt fall kan kontrollera att säkerhetskedjan är intakt.
Beträffande narkotikatester som sker med screening bör det också för att tillförlitlighetskravet i bestämmelsen skall vara
Personuppgifter om hälsa och droganvändning SOU 2002:18
198
uppfyllt uppställas som krav att negativa resultat skall vara definitiva, medan positiva resultat skall vara preliminära och genomgå en mer kvalificerad analysmetod för att verifiera att resultatet är korrekt. Detta krav motiveras särskilt av att det första steget i analysen, dvs. screeningen, i upp till 10 procent av fallen kan utvisa ett felaktigt resultat, trots att provtagning och screening skett på ett korrekt sätt.
Bestämmelsen bör gälla för samtliga drogtester i arbetslivet, dvs. oavsett om arbetstagaren är skyldig att underkasta sig testet eller om arbetsgivaren och arbetstagaren i samförstånd kommer överens om att arbetstagaren skall genomgå sådana. I de fall som arbetstagaren på eget initiativ har genomgått ett test ansvarar naturligtvis inte arbetsgivaren för att testet har genomförts enligt LIA.
När arbetsgivaren drogtestar arbetstagaren uppkommer ofta en rad olika frågor om hur testet skall anordnas rent praktiskt. Särskilt beträffande drogtester kan själva testförfarandet i sig innebära att arbetstagaren upplever obehag och en känsla av att vara övervakad och kontrollerad vid testningen. Detta kan exempelvis ta sig uttryck i att vattenkranarna i det utrymme som testerna utförs är plomberade, att utförliga kontroller av arbetstagarens identitet genomförs eller att den personal som utför testerna uppehåller sig i det utrymme där arbetstagaren skall lämna urinprov. Det förefaller därför lämpligt att frågor om testernas närmare utformning föregås av MBL-förhandlingar.
Som framgått av avsnitt 6.2 kan valet av metod för alkoholtester och behovet av att företa snabbtester vid narkotikatestning skilja sig åt beroende på om syftet är att konstatera om arbetstagaren är påverkad av droger eller om arbetstagaren har en redan klarlagd missbruksproblematik. I samband med frågor om arbetstagarens missbruk aktualiseras arbetsgivarens rehabiliteringsskyldighet. Inom ramen för ett sådant förfarande kan det finnas skäl att i samråd med arbetstagaren t.ex. använda snabbtester eller de mer avancerade testerna som används i dag. Eftersom bestämmelserna om rehabilitering utgör speciallagstiftning i förhållande till LIA kommer behandlingen av uppgifterna att ske med stöd av speciallagstiftningen. Det finns därför enligt utredningens mening inte någon anledning att behandla tillförlitligheten för tester i rehabiliteringssyfte här.
199
7 Personlighetstester
7.1 Inledning
Det är numera vanligt att arbetsgivare samlar in personuppgifter om arbetssökande genom att låta dem genomgå s.k. personlighetstester. Sådana tester kan också förekomma beträffande redan anställda, t.ex. inför utbildning eller befordran. De tester som finns tillgängliga på marknaden är emellertid av högst varierande utformning och kvalitet och det händer många gånger att testerna framställs som vetenskapligt utformade trots att så ofta inte är fallet. Gemensamt för testerna är dock att de syftar till att samla in personuppgifter om den arbetssökande för att arbetsgivaren skall kunna göra sig en bild av hur väl lämpad han eller hon är för en viss anställning.
För den arbetssökande kan en personlighetstest innebära en kränkning av den personliga integriteten. Kränkningen kan exempelvis bestå däri att arbetsgivaren får tillgång till uppgifter som arbetsgivaren kan använda för att dra långtgående slutsatser om hur den arbetssökande är som person och kan tänkas fungera i olika sammanhang, av vilka vissa inte har någon betydelse för anställningen. Eftersom många av de testinstrument som i dag förekommer i arbetslivet inte är anpassade till just den situation där de används och då resultatet i många fall tolkas av personer som inte har kompetens att utläsa vad som framkommit kan kränkningen av den personliga integriteten vara allvarlig. Ett felaktigt tolkat resultat kan dessutom få negativa konsekvenser för den arbetssökande såtillvida att han eller hon inte får den sökta anställningen. Motsvarande frågor kan uppkomma beträffande redan anställda arbetstagare.
I dag saknas bestämmelser som skyddar arbetssökande och arbetstagare från de skadeverkningar som en felaktig användning av
Personlighetstester SOU 2002:18
200
personlighetstest kan innebära. I ILO:s riktlinjer Code of practice om the protection of workers’ personal data artikel 6.11 har man valt att försöka begränsa det felaktiga bruket av testerna genom att uppställa krav på informerat samtycke från den som skall genomgå testet. I kommentaren till förslaget pekas även på att man nationellt bör införa regler om kvalitetssäkring, exempelvis beträffande testanvändarens kompetens.
Inom ramen för den verksamhet som bedrivs av Stiftelsen för tillämpad psykologi (STP)1 pågår emellertid i dag ett arbete med ett kvalitetsprogram avseende personlighetstester, innefattande såväl kvalitetssäkring av olika personlighetstester som används på marknaden som certifiering av användare av tester. Kvalitetssäkringen bygger uteslutande på frivilligt samarbete mellan den som önskar att få ett testinstrument kvalitetssäkrat och STP. De kriterier som tillämpas tar sikte på bl.a. vilken typ av test det är fråga om, vilka eventuella villkor som gäller för användningen, hur testet administreras och dokumenteras samt testets validitet. Resultatet redovisas i ett sammanfattande utlåtande som innehåller en allmän beskrivning av utvärderingen och de betyg som getts. Utlåtandet besvarar också frågan om hur väl testinstrumentet lever upp till användarens anspråk och i vilken grad dokumentationen visar detta. Målet för certifieringen av användare är att denna skall innebära att allmänt accepterade och kända kompetenskrav ställs för testanvändningen. Både testade och köpare av testtjänster skall därigenom få möjlighet att göra en oberoende värdering av användarens kompetens. Certifieringen syftar också till att göra klart för användare och testade vilka krav som bör ställas på kompetens i testanvändningen. Av STP:s riktlinjer för kvalitetssäkring av testinstrument och testanvändare framgår att säkringen tar sikte på ett omfattande och högst varierande antal faktorer samt att kvalitetssäkringen i sig kräver särskild yrkeskompetens hos kvalitetssäkraren.
1 STP stiftades 1966 av Sveriges Psykologförbund och Skandinaviska Testförlaget. Förbundets förlagsverksamhet och har till uppgift att främja vetenskaplig psykologisk forskning och utvecklingsarbete.
SOU 2002:18 Personlighetstester
201
7.2 Överväganden och förslag
Utredningen föreslår: För att garantera arbetstagare och
arbetssökande ett integritetsskydd vid utförandet av personlighetstester bör det införas en bestämmelse som innebär att en arbetsgivare inte får behandla personuppgifter om en arbetstagare eller en arbetssökande som har hämtats in genom ett personlighetstest annat än med samtycke.
Arbetsgivaren skall också tillse att personlighetstester bara genomförs på ett betryggande sätt med testinstrument som är tillförlitliga och av personer med adekvat utbildning.
Som ovan framgått finns det goda skäl att föreslå en bestämmelse i LIA som reglerar arbetsgivares användning av personlighetstester. Med personlighetstester avses i detta sammanhang personlighetsformulär som främst består av självskattningsformulär, projektiva test, t.ex. Rorschach eller DMT, och begåvningstest. Självskattningstester kan vara av olika uppbyggnad och med olika resultatredovisning. Ofta används jämförelse med en normgrupp. De projektiva testerna kan exempelvis bestå av Rorschach eller DMT tester. Denna typ av tester kräver en större insats vid testning och resultatbedömning och används oftast av psykologer med specialutbildning.
För att komma tillrätta med de kränkningar av den personliga integriteten som en felaktig och alltför omfattande användning av personlighetstester i arbetslivet kan innebära bör en integritetsskyddande bestämmelse inriktas på tillförlitligheten i förfarandet. Sådan tillförlitlighet bör kunna garanteras genom att man beaktar vad som anges i riktlinjerna i STP:s kvalitetsprogram. Arbetet med programmet är dock inte avslutat och utredningen har därför varit tveksam till att redan nu föreslå en integritetsskyddande lagbestämmelse om personlighetstester. Utredningen förutsätter dock att arbetet med programmet kommer att vara färdigt innan det blir aktuellt att genomföra lagstiftning med anledning av utredningens förslag. Eftersom det finns ett klart behov av integritetsskydd i detta avseende har utredningen därför slutligen stannat för att lämna ovanstående förslag.
Kraven på tillförlitlighet avseende både testinstrument och testanvändare bör alltså ställas högt och motsvara vad som följer av riktlinjerna i STP:s kvalitetsprogram. Det innebär att
Personlighetstester SOU 2002:18
202
personlighetstestet måste på något sätt vara kvalitetssäkrat och att användarens kompetens måste kunna garanteras för att arbetsgivaren skall få genomföra testet. Att båda momenten är uppfyllda är av avgörande betydelse för att bestämmelsen skall ge ett fungerande integritetsskydd. Den föreslagna bestämmelsen om kvaliteten på testningen bör inte heller kunna sättas ur kraft genom samtycke.
Utredningens förslag bygger således på att STP:s arbete med kvalitetsprogrammet hinner avslutas och utvärderas i tid innan lagstiftning blir aktuell. Skulle så inte bli fallet bör man avvakta med att införa en bestämmelse om integritetsskydd vid personlighetstester, eftersom det inte går att bestämma begreppet tillförlitlighet utan att man har STP:s kvalitetsprogram eller någon liknande måttstock, på vilken man kan grunda en bedömning av vad som bör ingå i begreppet.
För behandlingen av de uppgifter som kommer fram vid ett personlighetstest bör krävas samtycke. Det kan vara fråga om mycket känsliga uppgifter och det bör därför finnas ett integritetsskydd som innebär att arbetstagaren eller arbetssökanden behåller kontrollen över uppgifterna.
Det bör även framhållas att det i detta avseende, liksom i övrigt beträffande alla utredningens förslag, ställs krav på att de personuppgifter som arbetsgivaren behandlar är adekvata och relevanta i förhållande till ändamålet med behandlingen. Resultatet av en personlighetstest skall alltså vara relevant för de arbetsuppgifter som skall utföras. Kravet innebär också att arbetsgivaren inte får behandla ovidkommande uppgifter.
Utredningen har tidigare i avsnitt uttalat att ansvaret för hela anställningsförfarandet ligger på arbetsgivaren och att arbetsgivaren inte kan frånhända sig sitt ansvar enligt LIA genom att överlämna någon del av rekryteringen till annan. Beträffande personlighetstester innebär det nu sagda att arbetsgivaren svarar för att de krav som ställs i bestämmelsen är uppfyllda oavsett om arbetsgivaren uppdrar åt någon utomstående att utföra ett personlighetstest.
Här är det viktigt att peka på betydelsen av den informationsskyldighet som åvilar arbetsgivaren vid behandling av personuppgifter som kommer fram vid ett personlighetstest. Av skyldigheten att informera följer att arbetsgivaren skall lämna information om den behandling av personuppgifter som sker genom testet.
203
8 Personuppgifter om lagöverträdelser
Enligt direktiven skall även andra integritetsfrågor som kommer upp under utredningsarbetets gång och där skyddet för den personliga integriteten kan vara allvarligt hotat tas upp av utredningen. En situation som kan innebära ett sådant allvarligt hot mot den personliga integriteten är att en arbetsgivare får tillgång till och kan behandla personuppgifter om lagöverträdelser som en arbetssökande eller en arbetstagare har gjort sig skyldig till. Konsekvenserna för den enskilde kan i sådana fall bli mycket kännbara, han eller hon kanske inte får den sökta anställningen eller blir särbehandlad av arbetsgivaren och arbetskamraterna eller kanske t.o.m. förlorar sin anställning. Det anses allmänt att en person som har avtjänat sitt straff skall kunna gå vidare utan att diskrimineras eller särbehandlas på annat sätt på grund av tidigare brottslighet. Det är därför av stor betydelse för såväl arbetssökande som arbetstagare att personuppgifter om lagöverträdelser behandlas med stor restriktivitet och att bara de arbetsgivare som kan anses ha ett berättigat behov därav får behandla personuppgifter om lagöverträdelser.
Utredningen går i det följande först igenom nuvarande bestämmelser som är relevanta i sammanhanget och redovisar därefter sina överväganden och förslag.
Med arbetstagare avses fortsättningsvis i detta kapitel även arbetssökande.
8.1 Den rättsliga regleringen
8.1.1 Dataskyddsdirektivet
I artikel 8 i dataskyddsdirektivet finns bestämmelser om behandlingen av särskilda kategorier av uppgifter. Under punkten 5 föreskrivs att behandling av uppgifter om lagöverträdelser, brottmåls-
Personuppgifter om lagöverträdelser SOU 2002:18
204
domar eller säkerhetsåtgärder får utföras endast under kontroll av myndighet eller – om lämpliga skyddsåtgärder finns i nationell lag – med förbehåll för de ändringar som medlemsstaterna kan tillåta med stöd av nationella bestämmelser som innehåller lämpliga och specifika skyddsåtgärder. Ett fullständigt register över brottmålsdomar får dock föras bara under kontroll av myndighet. Vidare anförs att medlemsstaterna får föreskriva att uppgifter som rör administrativa sanktioner eller avgöranden i tvistemål också skall behandlas under kontroll av myndighet.
8.1.2 PUL
I PUL finner man bestämmelserna om behandling av lagöverträdelser inte under de rubriker som behandlar känsliga personuppgifter utan i stället i 21 § under den särskilda rubriken ”Uppgifter om lagöverträdelser m.m.”. Där föreskrivs att det är förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om undantag från förbudet. Regeringen får även i enskilda fall besluta om undantag från förbudet och dessutom överlåta åt tillsynsmyndigheten att fatta sådana beslut.
Bestämmelserna i 21 § PUL är en implementering av artikel 8 punkt 5 i dataskyddsdirektivet och man har därvid så nära som möjligt följt direktivets föreskrifter. Förbudet enligt paragrafen kan inte upphävas med den registrerades samtycke. Däremot kan alltså regeringen eller den myndighet som regeringen bestämmer upphäva förbudet, såväl generellt som i enskilda fall. I fråga om begreppet lagöverträdelser klargörs att med detta avses sådana överträdelser som innefattar brott. Straff måste således vara föreskrivet för överträdelsen. Vad avser brott som är straffbelagda enligt utländsk lagstiftning framgår dock inte av vare sig lagtext eller förarbeten om eller i vad mån sådana lagöverträdelser omfattas.
Det bör även uppmärksammas att en uppgift om att någon har eller kan ha begått ett brott utgör en uppgift om lagöverträdelse, även om det inte finns en dom eller ett motsvarande avgörande beträffande brottet. Det innebär alltså att uppgiften inte behöver vara bekräftad utan att paragrafen omfattar även rykten och misstankar om brottslighet. Vidare omfattas uppgifter om domar i
SOU 2002:18 Personuppgifter om lagöverträdelser
205
brottmål, oavsett om dessa innehåller information om någon lagöverträdelse som innefattar brott.
Med straffprocessuella tvångsmedel avses t.ex. häktning, beslag och kvarstad i brottmål och med uppgifter om administrativa frihetsberövanden avses olika former av tvångsingripanden enligt den sociala lagstiftningen och utlänningslagstiftningen.
8.1.3 Belastningsregisterförfattningarna
Enligt lagen (1998:620) om belastningsregister skall Rikspolisstyrelsen med hjälp av automatiserad behandling föra ett belastningsregister för att ge information om sådana belastningsuppgifter som behövs i verksamhet hos polis, åklagare, domstolar samt hos skatte- och tullmyndigheter. Registret får också användas för att till enskild lämna uppgifter som är av särskild betydelse i dennes verksamhet. Lagen har nyligen setts över av Polisdatautredningen, som inte har föreslagit några ändringar (SOU 2001:92).
Belastningsregistret är en sammanslagning av tidigare allmänna kriminalregistret och polisregistret och innehåller, såvitt nu är av betydelse, uppgifter om den som genom dom, beslut, strafföreläggande eller föreläggande av ordningsbot har ålagts påföljd för brott, uppgifter om den som har ålagts förvandlingsstraff för böter och uppgifter om den som med tillämpning av 30 kap. 6 § brottsbalken har förklarats fri från påföljd.
Rätt att få uppgifter ur registret har Riksdagens ombudsmän, Justitiekanslern eller Datainspektionen för sin tillsynsverksamhet, polis-, skatte-, tull- eller åklagarmyndighet eller allmän domstol och förvaltningsdomstol i vissa fall samt myndigheter i övrigt i den utsträckning som regeringen för vissa ärenden föreskriver det eller för ett särskilt fall ger tillstånd för det.
En enskild har dock alltid rätt att på begäran skriftligen få ta del av samtliga uppgifter ur registret om sig själv. Om det behövs för att pröva en fråga om anställning eller uppdrag i en verksamhet som avser vård eller som är av betydelse för förebyggande eller beivrande av brott har en enskild också rätt att få uppgifter ur registret om en annan enskild i den utsträckning som regeringen för vissa typer av fall föreskriver det. Vidare har en enskild, som styrker att hans eller hennes rätt är beroende av uppgifter ur registret om en annan enskild, rätt att få del av dessa uppgifter om regeringen medger det.
Personuppgifter om lagöverträdelser SOU 2002:18
206
I förordningen (1999:1134) om belastningsregister har vissa myndigheter i varierande utsträckning fått rätt att hämta uppgifter ur registret. Vad avser enskildas rätt att få uppgifter ur registret beträffande andra enskilda gäller detta enligt förordningen dels vissa larminstallationsföretag i fråga om den som företaget tänker anställa eller anlita som uppdragstagare för sådana installationer, dels enskilda sammanslutningar eller personer som beslutar om anställning av personal inom psykiatrisk sjukvård, vård av utvecklingsstörda eller vård av barn och ungdom, i fråga om den som den enskilde avser att anställa eller anlita som uppdragstagare.
8.1.4 Säkerhetsskyddsförfattningarna
Säkerhetsskyddslagen (1996:627) och säkerhetsskyddsförordningen (1996:633) gäller vid verksamhet hos t.ex. staten, kommunerna, bolag över vilka staten eller kommuner utövar ett rättsligt bestämmande inflytande samt enskilda vars verksamhet är av betydelse för rikets säkerhet eller särskilt behöver skyddas mot terrorism.
Med säkerhetsskydd avses bl.a. skydd mot sabotage och andra brott som kan hota rikets säkerhet samt skydd mot brott som innebär användning av våld, hot eller tvång för politiska syften (terrorism) även om brotten inte hotar rikets säkerhet. Säkerhetsskyddet skall förebygga att personer som inte är pålitliga från säkerhetssynpunkt deltar i verksamhet som har betydelse för rikets säkerhet eller behöver skyddas mot terrorism. Denna skyddsåtgärd kallas säkerhetsprövning och inkluderar registerkontroll. Med sådan kontroll avses att uppgifter hämtas från belastningsregistret, misstankeregistret eller från ett register som omfattas av polisdatalagen. Med registerkontroll avses också att sådana personuppgifter hämtas som Rikspolisstyrelsen eller Säkerhetspolisen behandlar utan att de ingår i ett sådant register. Registerkontroll kan t.ex. komma i fråga för deltagande i verksamhet hos SJ, hos statliga forskningsinstitut, på flygplatser och på anläggningar inom elförsörjningen.
8.1.5 Sekretesslagen
Enligt 7 kap.17 §sekretesslagen (1980:100) gäller sekretess för uppgift som har tillförts register som förs enligt lagen om belastningsregister. Om utlämnande av sådan uppgift gäller vad som är föreskrivet i den lagen och i säkerhetsskyddslagen samt i för-
SOU 2002:18 Personuppgifter om lagöverträdelser
207
ordningar som har stöd i dessa lagar. I fråga om uppgift i allmän handling föreskrivs att sekretessen skall vara i högst sjuttio år.
Sekretessen gäller både hos Rikspolisstyrelsen och hos de myndigheter som kan göra utdrag ur belastningsregistret. Sekretessen är absolut, dvs. något skaderekvisit ställs inte upp som villkor för sekretessen, och den gäller även sådana uppgifter som har avförts från registret. Den enskilde själv har dock alltid insyn i all registrering av uppgifter som rör honom eller henne själv.
Enligt 7 kap. 11 § sekretesslagen gäller inte sekretess i myndighets personaladministrativa verksamhet beträffande ärenden om anställning eller disciplinansvar. Uppgifter om lagöverträdelser i sådana ärenden är därför som regel offentliga.
8.1.6 Lagen om registerkontroll av personal inom förskoleverksamhet, skola och barnomsorg
Enligt lagen (2000:873) om registerkontroll av personal inom förskoleverksamhet, skola och barnomsorg skall den som erbjuds en anställning inom förskoleverksamhet, skola och barnomsorg till den som erbjuder anställningen lämna ett utdrag, som är mindre än ett år gammalt, ur det register som förs enligt belastningsregisterlagen. För sådana ändamål används särskilda utdrag med ett begränsat innehåll. Den som inte har lämnat ett registerutdrag får inte anställas. Undantag görs för den som inom ett år erbjuds förnyad anställning hos samma arbetsgivare. På begäran av den som lämnat ett registerutdrag skall det återlämnas i original.
Bakgrunden till införandet av denna lag är vetskapen om att sexuella övergrepp på barn av personal överhuvudtaget förekommer och att regeringen vill minska risken för att sådana övergrepp sker. Regeringen för i propositionen (prop. 1999/2000:123 ) ett resonemang som i korthet återges enligt följande.
Ett kontrollförfarande i sig kan anses som ett intrång i den personliga integriteten, oavsett om personerna förekommer i registret eller inte. Utlämnande av en upplysning om att en viss person inte antecknats för något brottsligt kan dock knappast anses som någon nämnvärd integritetskränkning, men en registeruppgift som innehåller uppgifter om att en person begått ett brott är att betrakta som integritetskänslig. Vissa brott är dock av sådant slag att det starkt bör övervägas om personer som dömts för dessa brott bör arbeta med barn och ungdom och därför bör en lämplighetskontroll införas utan dröjsmål. En registerkontroll avhåller
Personuppgifter om lagöverträdelser SOU 2002:18
208
sannolikt personer som dömts för ifrågavarande brott att söka anställning inom de aktuella verksamheterna och kan också bidra till ökad medvetenhet inom verksamheterna om dessa brott och hur allvarligt myndigheterna ser på sådana händelser. Kontrollen bör ses som ett komplement till anställningsförfarandet i övrigt och bör vara det sista momentet i förfarandet. Den bästa ordningen är att den arbetssökande själv inhämtar registerutdrag. Integritetskränkningen blir minst när den arbetssökande har kontroll över vilka uppgifter som lämnas ut till den presumtive arbetsgivaren. Ett ytterligare skäl är att den valda modellen för registerkontroll rör ett stort område på arbetsmarknaden och ett mycket stort antal arbetsgivare och att det därför av integritetsskäl inte är möjligt att låta representanter för alla dessa arbetsgivare begära registerutdrag med risk för spridning av uppgifter till andra än den som skall ta emot uppgiften. Valet av modell är gjort med hänsyn till de förhållanden som gäller inom berörda verksamhetsområden och behöver inte nödvändigtvis passa andra sektorer i samhället.
8.1.7 ILO:s riktlinjer
I ILO:s riktlinjer angående skydd för arbetstagares personuppgifter sägs att en arbetsgivare i princip inte skall hämta in uppgifter om en arbetstagares lagöverträdelser. Under särskilda omständigheter får en arbetsgivare dock göra detta, nämligen om uppgifterna är direkt relevanta för anställningen och i överensstämmelse med nationell lagstiftning. Arbetsgivaren skall alltid hämta in sådana uppgifter från arbetstagaren själv och endast efter förhandsinformation och uttryckligt samtycke av arbetstagaren skall arbetsgivaren kunna vända sig till andra för sådana uppgifter. I kommentaren till riktlinjerna sägs att en uppgift om fällande dom för övergrepp på barn är relevant om anställningen innefattar arbete med barn. En arbetstagare eller en arbetssökande är i sådant fall även skyldig att lämna arbetsgivaren uppgift om en sådan dom.
SOU 2002:18 Personuppgifter om lagöverträdelser
209
8.2 Överväganden och förslag
Utredningen föreslår: En huvudregel bör införas som innebär att
en arbetsgivare inte får behandla personuppgifter om lagöverträdelser, som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Undantag från denna regel får göras bara om detta är nödvändigt för att bedöma en arbetssökandes eller en arbetstagares tillförlitlighet med hänsyn till säkerheten för det allmänna eller för arbetsgivarens verksamhet. Förbudet i 21 § PUL för andra än myndigheter att behandla sådana uppgifter bör kvarstå vid behandling som är helt eller delvis automatiserad eller i registerform.
Som framgått av redovisningen av den rättsliga regleringen definieras visserligen inte personuppgifter om lagöverträdelser som känsliga personuppgifter i PUL. Att personuppgifter om lagöverträdelser ofta berör känsliga förhållanden framgår dock av såväl dataskyddsdirektivet som PUL:s förarbeten. Detta har också resulterat däri att behandlingen av dessa uppgifter kringgärdas av sådana inskränkningar i PUL som visar att uppgifterna skall handhas med betydande återhållsamhet.
Det har redan nämnts inledningsvis i detta kapitel men förtjänar ändå att åter framhållas att det är viktigt att uppgifter om lagöverträdelser behandlas med stor restriktivitet för att den som har avtjänat sitt straff skall kunna gå vidare utan att i fortsättningen diskrimineras eller särbehandlas på annat sätt på grund av tidigare lagöverträdelser. Personuppgifter om lagöverträdelser rör som regel mycket privata förhållanden och är vanligtvis synnerligen känsliga. Uppgifterna kan också i sig ge mycket information om arbetstagaren, t.ex. om denne har haft missbruksproblem, ekonomiska problem eller sociala svårigheter. Med hänsyn till arbetstagarens beaktansvärda intresse av att ha ett gott skydd för den personliga integriteten i detta avseende anser utredningen att det finns skäl att utforma en klarare definition av integritetsskyddet än vad som kommer till uttryck i 21 § PUL. Utredningen föreslår därför att 21 § PUL kompletteras av en bestämmelse i LIA som innefattar en förstärkning av integritetsskyddet i detta avseende.
Personuppgifter om lagöverträdelser SOU 2002:18
210
8.2.1 Intresseavvägningen mellan arbetsgivare och arbetstagare
En arbetsgivare kan ha flera skäl för att vilja kontrollera om en arbetstagare är kriminellt belastad. Arbetsgivaren kan exempelvis ha intresse av att en person som tidigare gjort sig skyldig till förmögenhetsbrott inte anförtros att hantera pengar eller värdeföremål. Arbetsgivaren kan vidare med hänsyn till arbetsmiljön på arbetsplatsen och andra anställda har intresse av att kontrollera om arbetstagaren har gjort sig skyldig till narkotikabrott. Av samma skäl kan arbetsgivaren också vilja kontrollera om en arbetstagare har dömts för sexualbrott eller våldsbrott. Det kan även finnas andra intressen som innebär att arbetsgivaren anser sig ha ett behov av att kontrollera om arbetstagaren har gjort sig skyldig till lagöverträdelser.
En arbetsgivare kan alltså ha många skäl för att vilja behandla personuppgifter om lagöverträdelser. Mot arbetsgivarens intresse av att kontrollera om en arbetstagare är kriminellt belastad måste emellertid ställas den omständigheten att sådana uppgifter som regel är mycket känsliga och att en arbetstagare med fog kan förvänta sig att arbetsgivaren tillåts att behandla dessa uppgifter bara när det verkligen är nödvändigt. Avvägningen av arbetsgivarens intresse av kontroll mot arbetstagarens intresse av ett gott skydd för sin personliga integritet utfaller enligt utredningens mening på så sätt de enda skäl från arbetsgivarens sida som kan anses berättigade i detta sammanhang är säkerhetsskäl.
8.2.2 Nödvändighetskravet
9 § PUL gäller vid all behandling av personuppgifter enligt 2 § LIA. Det innebär bl.a. att en arbetsgivare bara får behandla personuppgifter som är adekvata och relevanta i förhållande till ändamålen med behandlingen. Relevanskravet skulle i och för sig vara tillräckligt för att hindra arbetsgivare från att behandla uppgifter om lagöverträdelser, om det inte krävs med hänsyn till de i bestämmelsen angivna säkerhetsaspekterna. Utredningen anser dock att det i detta sammanhang finns skäl att förstärka relevanskravet genom att i lagtexten föra in ordet nödvändigt. I bestämmelsen föreskrivs således att personuppgifter om lagöverträdelser får behandlas bara om det är nödvändigt för att bedöma arbetstagarens tillförlitlighet med hänsyn till säkerheten för det allmänna eller för arbetsgivarens verksamhet. Kravet på att behandlingen skall vara
SOU 2002:18 Personuppgifter om lagöverträdelser
211
nödvändig har tillkommit för att betona vikten av att arbetsgivaren inte i några andra fall än när det verkligen behövs på grund av de i bestämmelsen angivna säkerhetsskälen får behandla dessa personuppgifter.
8.2.3 Säkerhetsaspekter
När man skall överväga vilka former av säkerhet som kan berättiga en arbetsgivare att få behandla en arbetstagares personuppgifter om lagöverträdelser kommer i blickpunkten först den allmänna säkerheten, dvs. vad som i många sammanhang definieras som risk för människors liv, personliga säkerhet eller hälsa eller för betydande skada på miljö eller egendom. Men även säkerheten för arbetsgivarens egen verksamhet, vari då innefattas säkerheten för övriga anställda och för arbetsplatsen som sådan, måste kunna beaktas. Gränserna mellan dessa olika säkerhetsaspekter kan naturligtvis vara flytande och ofta kan flera säkerhetsaspekter samtidigt vara aktuella. Även om det nu är arbetsgivarens intresse av att värna säkerheten som lyfts fram, bör det dock framhållas att det i realiteten oftast torde vara ett gemensamt intresse för arbetsgivaren och arbetstagarna att värna om både den allmänna säkerheten och säkerheten hos arbetsgivarens verksamhet. En säkerhetsskada i något av dessa avseenden kan nämligen få allvarliga konsekvenser för verksamheten, t.ex. i form av en inskränkning av verksamheten eller t.o.m. en nedläggning av denna.
Vad först avser den allmänna säkerheten anser utredningen det självklart att en arbetsgivare som driver en verksamhet som kan innebära risker för den allmänna säkerheten - dvs. risker för människors liv, personliga säkerhet eller hälsa eller för betydande skada på miljö eller egendom - skall ha rätt att få all relevant information om en arbetstagare vars arbetsuppgifter kan innefatta sådana risker, således även uppgifter om lagöverträdelser.
Den allmänna säkerheten kan hotas på flera olika sätt t.ex. genom brand, explosion, översvämning, flyg- eller tågolycka eller utsläpp av gifter, föroreningar eller smittämnen. Som exempel på offentliga och privata arbetsgivare, som på grund av verksamhetens art bör ha rätt att behandla uppgifter om lagöverträdelser, kan nämnas kärnkraftverk och andra kraftverk, flygplatser, SAS och SJ m.fl. kommunikationsföretag, företag inom den kemiska industrin, processindustrin och livsmedelsindustrin samt vissa forskningsinstitut.
Personuppgifter om lagöverträdelser SOU 2002:18
212
Här bör uppmärksammas att säkerhetsskyddsförfattningarna gäller för flera av dessa arbetsgivare, varför de redan på denna grund har rätt att behandla personuppgifter om lagöverträdelser. Det skulle därför kunna ifrågasättas om inte dessa författningar innebär att det egentligen inte behövs någon särskild bestämmelse i LIA som ger arbetsgivaren rätt att behandla personuppgifter om lagöverträdelser med hänsyn till säkerheten för det allmänna. Säkerhetsskyddsförfattningarna är emellertid inriktade på att skydda samhället mot sabotage och andra brott som kan hota rikets säkerhet samt terrorism, varför övriga risker för den allmänna säkerheten i form av t.ex. olyckshändelser eller allmän brottslighet, faller utanför och bör fångas upp av LIA.
Vad sedan gäller arbetsgivarens behov av att värna om säkerheten för den egna verksamheten sammanfaller detta, som redan påpekats, ibland med arbetsgivarens intresse av att skydda den allmänna säkerheten. Även om säkerhetsriskerna mestadels torde begränsas till arbetsgivarens egen verksamhet kan de under vissa omständigheter indirekt eller i förlängningen också innebära ett hot mot den allmänna säkerheten. Sålunda kan skador på verksamheten hos ett kraftverk medföra risker för den allmänna elkraftförsörjningen, skador på verksamheten hos större transportföretag medföra risker för de allmänna kommunikationerna, skador på verksamheten hos nationella medier medföra risker för nyhetsförmedlingen etc.
Säkerheten för arbetsgivarens verksamhet kan hotas i både fysiskt och ekonomiskt avseende. Det kan vara fråga om risk för fysisk åverkan på t.ex. byggnader, maskiner, annan material och produkter men också risk för stöld, bedrägeri och annan ekonomisk brottslighet. Arbetstagarna anförtros i många fall att hantera egendom av stort ekonomiskt värde eller att i övrigt ansvara för uppgifter vars rätta utförande har stor ekonomisk betydelse för arbetsgivaren. Inte minst hanteringen av den tekniska informationssäkerheten kan ha betydelse i detta sammanhang. Det finns också ett stort behov hos många arbetsgivare, både offentliga och privata, att värna om säkerheten för förtroendet för verksamheten. För vissa privata arbetsgivare kan förtroendet för deras verksamhet, deras s.k. goodwill, t.o.m. utgöra förutsättningen för verksamhetens fortsatta existens.
Utredningen har försökt att precisera vilka arbetsgivare som skall anses ha sådana särskilda behov att värna om säkerheten för sin verksamhet att de får behandla personuppgifter om lagöver-
SOU 2002:18 Personuppgifter om lagöverträdelser
213
trädelser men har funnit att det är föga meningsfullt att söka göra en sådan uttömmande och detaljerad uppräkning. Som exempel på sådana arbetsgivare kan dock, förutom de tidigare anförda, nämnas banker och andra institut inom den finansiella sektorn, vissa ADBföretag, företag inom bevakningsbranschen, företag som utför värdetransporter och kontor för valutaväxling. I övrigt har utredningen stannat för att frågan måste avgöras i varje enskilt fall, varvid arbetsgivaren har att beakta den stora restriktivitet som måste iakttas i fråga om behandlingen av dessa uppgifter.
I arbetsgivarens verksamhet innefattas också säkerheten för övriga anställda och säkerheten på arbetsplatsen. Arbetsgivaren ansvarar för att arbetsförhållandena är sådana att de anställda inte utsätts för risk för ohälsa eller för den personliga säkerheten. Arbetsgivaren svarar även för att arbetsplatsen är säker för dem som besöker denna eller som i övrigt vistas där, t.ex. kunder och andra besökande. Statsmakterna har tidigare ansett att det krävs särskild lagstiftning för att göra intrång i den personliga integriteten av liknande skäl.1 Utredningen anser att även om man inte behöver gå så långt som att kräva särskild lagstiftning för vissa bestämda situationer bör det krävas starka skäl för att arbetsgivaren skall tillåtas behandla personuppgifter om lagöverträdelser. Det skydd för den personliga integriteten som bestämmelsen avser att garantera kan i annat fall komma att urholkas i sådan utsträckning att den blir meningslös. Tröskeln för att nödvändighetskravet skall anses vara uppfyllt bör alltså enligt utredningens mening sättas högt. Det bör t.ex. krävas att det har inträffat något som innebär att det verkligen finns orsak att ifrågasätta att en viss arbetstagare utgör en påtaglig säkerhetsrisk för andra anställda eller för arbetsplatsen i övrigt.
Slutligen bör framhållas att den föreslagna bestämmelsen är uttömmande på så sätt att arbetsgivaren inte får behandla personuppgifter om lagöverträdelser för andra syften än dem som nämns i bestämmelsen. Inte ens om arbetstagaren samtycker har arbetsgivaren en större rätt till behandling.
8.2.4 Registerkontroll
Det har på senare tid visat sig att många privata arbetsgivare upplever ett ökat behov av att förvissa sig om att personer som
1 Lagen (2000:873) om registerkontroll av personal inom förskoleverksamhet, skola och barnomsorg.
Personuppgifter om lagöverträdelser SOU 2002:18
214
anställs inte har ett kriminellt förflutet som kan äventyra verksamheten. Dessa arbetsgivare ställer därför ofta som villkor att den som skall anställas själv skall skaffa ett utdrag ur det rikstäckande belastningsregistret och överlämna detta till arbetsgivaren. Enligt vad utredningen erfarit är detta tillvägagångssätt mer eller mindre rutin inom den finansiella sektorn och inom säkerhets- och bevakningsbranschen men förekommer även i övrigt på hela arbetsmarknaden. Eftersom det mestadels är fråga om en helt manuell behandling är förfarandet inte lagstridigt och har visat sig vara ett effektivt sätt att kringgå de föreskrifter som omgärdar uppgifterna i belastningsregistret.
Det beskrivna tillvägagångssättet har behandlats tidigare i lagstiftningssammanhang. I förarbetena till lagen om belastningsregister (prop.1997/98:97 s. 84) framhålls att den enskildes rätt att ta del av uppgifter om sig själv i registret i och för sig kan innebära att denna rätt kan komma att utnyttjas av t.ex. arbetsgivare. Man hänvisar till tidigare lagförarbeten (prop. 1987/88:122 s. 13 ff.) där risken diskuterades och där det uttalades att man fick följa utvecklingen noga och reagera vid tecken på missbruk. Därefter konstateras att det dittills inte framkommit något som tyder på missbruk i sådan omfattning att någon annan utformning av lagen borde övervägas.
Det finns även anledning att här uppmärksamma den nyligen införda lagen om registerkontroll av personal inom förskoleverksamhet, skola och barnomsorg. Där föreskrivs att den som erbjuds anställning inom förskoleverksamhet, skola och barnsomsorg skall lämna ett registerutdrag till arbetsgivaren och att den som inte gör det inte får anställas. I detta fall har man infört en skyldighet för arbetsgivarna, såväl offentliga som privata, att inhämta registerutdrag från de arbetssökande i stället för att ge arbetsgivarna rätt att själva hämta uppgifter ur registret. Motiveringen till varför man använt denna metod är att den har ansetts innebära en mindre kränkning av de arbetssökandes integritet än om arbetsgivarna getts möjlighet att själva inhämta registerutdrag utan deras medverkan. Det framhålls i förarbetena att valet av modell har gjorts med hänsyn till de förhållanden som gäller inom berörda verksamhetsområden och att det inte nödvändigtvis behöver passa andra sektorer i samhället.
Enligt vad som upplysts från Rikspolisstyrelsen har ansökningarna från enskilda om utdrag ur belastningsregistret ökat kraftigt. Även om man räknar bort ansökningarna från dem som
SOU 2002:18 Personuppgifter om lagöverträdelser
215
har sökt och söker arbete inom förskola och barnomsorg kan det konstateras att ökningen har antagit sådana proportioner att det finns en risk för att skyddet för den personliga integriteten har börjat eroderas.
Utredningens förslag innebär att det nu beskrivna förfarandet får en påtaglig uppstramning. Om det inte kan visas att det är nödvändigt från säkerhetssynpunkt förbjuds alla arbetsgivare, såväl offentliga som privata, att samla in personuppgifter om lagöverträdelser om arbetstagare. Inte ens om arbetstagaren på eget initiativ vill överlämna ett registerutdrag till arbetsgivaren får arbetsgivaren behandla detta på ett sådant sätt som omfattas av LIA. Skyddet för den personliga integriteten stärks således dels genom att missbruk av enskildas rätt att få uppgifter om sig själva ur belastningsregistret försvåras, dels genom att arbetstagaren behåller kontrollen över uppgifterna.
Det kan anmärkas att den föreslagna bestämmelsen självfallet inte innebär någon inskränkning i den rätt att ta del av registerutdrag som myndigheter och enskilda har enligt belastningsregisterförfattningarna. Detta följer direkt av att dessa författningar, i den mån de avviker från LIA, skall gälla enligt 2 § LIA.
Utredningen har även övervägt om det finns skäl att förslå någon utökning av kretsen av dem som har rätt att få uppgifter direkt ur registret men anser inte att det finns tillräckliga skäl för detta. Utredningen delar den uppfattning som statsmakterna tidigare uttalat i förarbetena till lagen om registerkontroll av personal inom föreskoleverksamhet, skola och barnomsorg, nämligen att den bästa ordningen är att den enskilde själv inhämtar registerutdrag och överlämnar detta till arbetsgivaren. Integritetskränkningen blir minst när den enskilde själv har kontroll över vilka uppgifter som lämnas ut till arbetsgivaren.2
Det bör för fullständighetens skull också sägas att det är en frivillig handling av arbetstagaren att överlämna ett registerutdrag, arbetstagaren är inte skyldig att efterkomma en sådan uppmaning av arbetsgivaren utan kan vägra med hänsyn till att det skulle kränka den personliga integriteten.
8.3 Förhållandet till PUL och dataskyddsdirektivet
Enligt artikel 8 punkten 5 i dataskyddsdirektivet är huvudregeln att uppgifter om lagöverträdelser bara får behandlas under kontroll av
Personuppgifter om lagöverträdelser SOU 2002:18
216
myndighet. Dock kan medlemsstaterna, om lämpliga skyddsåtgärder finns i nationell lag, tillåta ändringar med stöd av nationella bestämmelser som innehåller lämpliga och specifika skyddsåtgärder. Som ovan redovisats har i enlighet med bestämmelsen i dataskyddsdirektivet tagits in ett förbud i 21 § PUL för alla utom myndigheter att behandla sådana personuppgifter.
Frågan är då om detta förbud bör gälla även enligt LIA. Även om det i och för sig är möjligt att upphäva förbudet för arbetslivets del med stöd av undantagsbestämmelsen i artikel 8 punkten 5 finns det, som utredningen ser det, ingen anledning att göra detta så länge som förbudet fortfarande gäller för samhället i övrigt. Härvid beaktar utredningen även det förhållandet att det som regel inte torde finnas någon anledning för privata arbetsgivare att behandla personuppgifter om lagöverträdelser automatiserat eller i registerform. Utredningen anser att om förbudet skall hävas helt eller delvis bör detta ske genom en ändring i 21 § PUL så att ändringen gäller generellt. Utredningens uppdrag är dock begränsat till arbetslivets område så det ligger utom ramen för utredningens direktiv att överväga en sådan ändring. I LIA bör därför tas in en hänvisning till 21 § PUL när det gäller automatiserad behandling eller behandling i registerform.
Utredningens förslag innebär en inskränkning av arbetsgivares rätt att behandla personuppgifter om lagöverträdelser. Vad först avser helt manuell behandling av personuppgifter om lagöverträdelser måste alla arbetsgivare iaktta bestämmelserna i LIA. Beträffande behandling som är helt eller delvis automatiserad eller i registerform föreslås att förbudet enligt 21 § PUL bör fortsätta att gälla. Vidare klargörs genom förslaget att myndigheter betraktas på samma sätt som andra arbetsgivare, dvs. att myndigheter får behandla en arbetstagares personuppgifter om lagöverträdelser bara om att det är nödvändigt för att bedöma tillförlitligheten hos arbetstagaren med hänsyn till säkerheten för det allmänna eller för myndighetens verksamhet.
Förslaget i förevarande hänseende är enligt utredningens mening helt i överensstämmelse med dataskyddsdirektivet.
217
9 Sättet för inhämtande av uppgifter
9.1 Överväganden och förslag
Utredningen föreslår: För att ge en arbetstagare och en
arbetssökande kontroll över och insyn i en arbetsgivares behandling av personuppgifter om hälsa och droganvändning samt lagöverträdelser bör det införas en bestämmelse som ålägger en arbetsgivare att i första hand hämta in sådana personuppgifter från arbetstagaren eller arbetssökanden själv. Bara om detta inte är möjligt och under förutsättning av arbetstagarens eller arbetssökandens samtycke får arbetsgivaren hämta in sådana personuppgifter från någon annan källa.
För närvarande saknas rättslig reglering som innebär begränsningar av arbetsgivarens rätt att hämta in personuppgifter från annan än arbetstagaren, varmed i detta kapitel avses även arbetssökanden. Att arbetsgivaren i första hand bör vända sig till arbetstagaren och först därefter bör vara tillåten att hämta in uppgifter från någon annan är emellertid en princip som klart stärker skyddet vid behandling av arbetstagarens uppgifter. Arbetstagaren ges härigenom kontroll över vilka uppgifter som hämtas in. Liknande bestämmelser finns t.ex. i ILO:s förslag till riktlinjer Code of practice on the protection of workers’ personal data. Enligt utredningens mening bör en rättsligt bindande bestämmelse med detta innehåll också finnas med i LIA.
Huvudregeln bör vara att arbetsgivaren i första hand skall hämta in uppgifterna från arbetstagaren personligen och att arbetsgivaren skall vara tillåten att vända sig till annan bara när detta inte är möjligt. Arbetstagaren kan på så sätt dels välja vilka uppgifter som arbetsgivaren skall få del av, dels försäkra sig om att uppgifterna är korrekta. I syfte att garantera arbetstagaren detta även i de fall där
Sättet för inhämtande av uppgifter SOU 2002:18
218
det inte är möjligt att hämta in hälsouppgifter och uppgifter om lagöverträdelser från arbetstagaren själv bör det uppställas ett krav på att arbetstagaren skall samtycka till att arbetsgivaren vänder sig till annan källa.
Behovet av det förhöjda skydd som arbetstagaren kommer i åtnjutande av i och med en denna regel uppstår bara i samband med att arbetsgivaren hämtar in personuppgifter om hälsa, droganvändning eller lagöverträdelser. Bestämmelsen har därför avgränsats till att avse dessa uppgifter.
Personuppgifterna bör anses inhämtade från arbetstagaren personligen exempelvis när arbetstagaren själv lämnar över ett skriftligt formulär som arbetstagaren fyllt i och när arbetstagaren vidarebefordrar uppgifter om den egna personen genom att t.ex. överlämna resultatet av en hälsoundersökning eller ett drogtest som utförts av någon utomstående eller ett utdrag av belastningsregistret. Att uppgifterna skapats eller sammanställts av någon annan än arbetstagaren bör alltså inte innebära att informationen hämtats in från någon annan än arbetstagaren. Detta gäller under förutsättning att arbetstagaren själv lämnar över uppgifterna till arbetsgivaren på ett sätt som gör det möjligt för arbetstagaren att först ta del av uppgifterna och därigenom också kunna kontrollera dessa innan de vidarebefordras.
Bara om arbetsgivaren av olika anledningar inte kan hämta in personuppgifter från arbetstagaren bör arbetsgivaren vara tillåten att vända sig till annan källa. Så kan exempelvis vara fallet när arbetstagaren inte längre har tillgång till vissa uppgifter som behandlas av en tidigare arbetsgivare. Att arbetsgivaren vänder sig till annan källa torde innefatta samtliga de fall där informationen inte kan anses vara hämtad från arbetstagaren personligen. Detta bör exempelvis vara fallet om sjukvårdspersonal inom företagshälsovården vidarebefordrar hälsouppgifter till arbetsgivaren eller när arbetsgivaren själv hämtar in personuppgifter ur olika register. Även i de fall där arbetstagaren lämnar över ett belastningsregisterutdrag i ett obrutet kuvert bör uppgifterna anses inhämtade från annan än arbetstagaren, eftersom arbetstagaren i detta fall inte ges insyn i vilka uppgifter som kommer att behandlas.
Om arbetsgivaren med samtycke har hämtat in uppgifter från annan källa bör det inte komma i fråga att tillerkänna arbetstagaren skadestånd för kränkning bara för att det i och för sig hade varit möjligt att hämta in uppgifterna från arbetstagaren själv.
SOU 2002:18 Sättet för inhämtande av uppgifter
219
Bestämmelsen tar sikte på arbetsgivarens åtgärd att hämta in uppgifter. Detta innebär att det är bara arbetsgivarens aktiva åtgärder för att hämta in personuppgifter som omfattas av bestämmelsen. Att arbetsgivaren utan att själv vidta åtgärder får del av information om arbetstagarens hälsa eller lagöverträdelser på annat sätt regleras inte i detta sammanhang.
Det bör även nämnas att det i belastningsregisterförordningen ges möjlighet för vissa arbetsgivare att själva begära och få ta del av särskilda uppgifter ur registret. Enligt 2 § LIA kommer denna möjlighet inte att förändras.
221
10 Förvaring av personuppgifter
10.1 Överväganden och förslag
Utredningen föreslår: I LIA bör införas en bestämmelse som
innebär att en arbetsgivare skall förvara personuppgifter som arbetsgivaren behandlat enligt 3, 5, 8 och 9 §§ på ett betryggande sätt och åtskilda från övriga personuppgifter som arbetsgivaren behandlar. De kategorier av personuppgifter som omfattas av den föreslagna bestämmelsen får dessutom bara behandlas av en begränsad krets av personer.
Om behandlingen sker helt eller delvis automatiserat eller i registerform skall även 30 och 31 §§ PUL gälla.
För att skyddet för integriteten skall bibehållas efter det att uppgifterna hämtats in eller annars kommit arbetsgivaren till del bör det föreskrivas i LIA att vissa personuppgifter skall förvaras på ett betryggande sätt och åtskilda från andra uppgifter samt att endast en begränsad krets av personer skall få ha tillgång till uppgifterna. Bestämmelsen tar sikte på sådana privata elektroniska uppgifter som arbetstagaren tagit del av enligt 3 §, personuppgifter om hälsa, droganvändning, lagöverträdelser och personuppgifter som hämtas in genom personlighetstester. Dessa uppgifter kan innehålla känslig information och arbetstagaren kan till följd därav ha ett mycket starkt intresse av att de inte blandas med andra uppgifter.
När det gäller uppgifter som arbetsgivaren tagit del av enligt 3 § LIA innebär bestämmelsen ingen skyldighet att hålla all sådan privat elektronisk information som avses i den paragrafen åtskild i särskilda förvar. Bestämmelsen tar endast sikte på de fall där arbetsgivaren faktiskt tar del av privat elektronisk information. Om
Förvaring av personuppgifter SOU 2002:18
222
arbetsgivaren tar del av informationen med stöd av 3 § eller i strid med denna saknar betydelse för bestämmelsens tillämpning.
Arbetsgivaren har själv att avgöra vem och hur många som skall få ha tillgång till uppgifterna. Denna bedömning påverkas exempelvis av omständigheter som omfattningen av arbetsgivarens verksamhet, organisationen av arbetsgivarens verksamhet och i vilken utsträckning behandlingen faktiskt äger rum. Det är därvid inte nödvändigt att en krets som har tillgång till uppgifterna återfinns bland arbetsgivarens anställda, utan det kan också vara fråga om expertis som anlitas av arbetsgivaren i samband med hälsoundersökningar och drogtester.
Hur förvaringen av uppgifterna rent praktiskt skall anordnas för att vara betryggande och för att uppgifterna skall förvaras åtskilda från andra uppgifter måste naturligtvis avgöras utifrån vad som är lämpligast för verksamheten och verksamhetens organisation. Generellt kan dock sägas att kravet för manuellt dokumenterade uppgifter bör innebära att de skall deponeras i ett låst skåp eller i ett liknande utrymme. Detta bör vara försett med en låsanordning som kräver t.ex. behörighetskod eller nyckel för att någon skall få tillträde. Naturligtvis avses med manuellt dokumenterade uppgifter även utskrifter av uppgifter som behandlas eller har behandlats automatiserat. Uppgifter som behandlas automatiserat bör förvaras på ett sätt som t.ex. kräver en särskild säkerhetskod för att någon skall få tillgång till uppgifterna. En betryggande förvaring kan också bestå i att arbetsgivaren förvarar uppgifterna på en separat persondator som inte ingår i ett större system. I detta sammanhang bör Datainspektionens allmänna råd om säkerhet för personuppgifter särskilt nämnas.
När det gäller sådan behandling av personuppgifter som omfattas av PUL bör arbetsgivaren vara skyldig att tillämpa även de säkerhetsbestämmelser som följer av den lagen.
223
11 Informationsskyldighet och rättelse
11.1 Informationsskyldighet
11.1.1 PUL
I 23 och 24 §§ PUL föreskrivs om informationsskyldighet för den personuppgiftsansvarige i samband med att denne samlar in information om den registrerade. I 23 § föreskrivs att om uppgifter om en person samlas in från personen själv, skall den personuppgiftsansvarige i samband därmed självmant lämna den registrerade information om behandlingen. Enligt 24 § skall information även lämnas till den registrerade när personuppgifter har samlats in från någon annan källa än denne. Den personuppgiftsansvarige skall enligt 24 § även självmant lämna den registrerade information om behandlingen när uppgifterna registreras. Är uppgifterna avsedda att lämnas ut till tredje man, behöver dock inte informationen lämnas förrän uppgifterna lämnas ut för första gången. Från huvudregeln i första stycket finns vissa undantag. Information behöver inte lämnas till den registrerade om det i lag eller annan författning framgår vilken behandling av personuppgifterna som kan bli aktuell. Den personuppgiftsansvarige behöver inte heller uppfylla informationsplikten om det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats.
23 och 24 §§ kompletteras av 25 § som reglerar vilken information som den personuppgiftsansvarige skall lämna till den registrerade. Informationen skall innehålla uppgift om den personuppgiftsansvariges identitet, ändamålen med behandlingen, och all övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter i samband med behandlingen,
Informationsskyldighet och rättelse SOU 2002:18
224
såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Information behöver dock inte lämnas om sådant som den registrerade redan känner till.
I en del fall är avsikten att fortlöpande samla in uppgifter om en och samma person. Det bör då vara möjligt att lämna information vid ett tillfälle – innan uppgifterna registreras för första gången – under förutsättning att den registrerade får information om bl.a. vilken kategori uppgifter som kommer att hämtas in och behandlas. Genom den information som lämnas innan den första registreringen får den registrerade kännedom om de behandlingar som kommer att utföras fortlöpande och vilka kategorier av uppgifter dessa kommer att avse.
Den personuppgiftsansvarige har även enligt 26 § en skyldighet att till var och en som ansöker om det en gång per år gratis lämna besked i frågan om personuppgifter som rör sökanden har behandlats. Har sådana uppgifter behandlats skall skriftlig information också lämnas om vilka uppgifter som behandlats, varifrån dessa uppgifter hämtats, vilka ändamålen med behandlingen är och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut.
I 27 § återfinns en gemensam undantagsregel från den personuppgiftsansvariges informationsskyldighet som innebär att bestämmelser om sekretess och tystnadsplikt har företräde framför PUL.
11.2 Rättelse
11.2.1 PUL
I PUL finns i 28 § en bestämmelse om den personuppgiftsansvariges skyldighet att korrigera personuppgifter som behandlas. Enligt bestämmelsen är den personuppgiftsansvarige skyldig att på den registrerades begäran rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats enligt lagen eller enligt föreskrifter som utfärdats med stöd av lagen. Dessutom föreskrivs att den personuppgiftsansvarige under vissa förutsättningar skall underrätta tredje man till vilka uppgifterna lämnats ut om åtgärden.
Skyldigheten att korrigera uppgifter gäller endast på begäran av den registrerade själv. Här måste dock nämnas att 9 § innefattar en
SOU 2002:18 Informationsskyldighet och rättelse
225
skyldighet för den personuppgiftsansvarige att endast behandla korrekta uppgifter, vilket indirekt betyder att den personuppgiftsansvarige skall korrigera felaktiga eller ofullständiga uppgifter även om sådana uppmärksammas på annat sätt. Den personuppgiftsansvarige är enligt 9 § också skyldig att vidta alla rimliga åtgärder för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen. En begäran om rättelse kan framställas formlöst och bör föranleda den personuppgiftsansvarige att skyndsamt utreda om de framförda anmärkningarna är befogade. Om det finns skäl för korrigering skall denna genomföras snarast. Vilken av de alternativa metoderna rättelse, blockering eller utplånande, som skall användas får den personuppgiftsansvarige själv välja. Av omständigheterna kan dock följa att någon av metoderna är mer eller mindre naturlig. Rättelse innebär att en ursprunglig, felaktig eller ofullständig uppgift, ersätts av en ny korrekt. Om det inte är möjligt att ersätta uppgiften med en ny, skall i stället blockering eller utplåning ske. Blockering innebär att en uppgift förenas med information om att de är spärrade och om anledningen till detta. Utplåning innebär att uppgifter förstörs så att de inte kan återskapas.
Skyldigheten att underrätta om vidtagna korrigeringsåtgärder innebär att den personuppgiftsansvarige under vissa förutsättningar skall lämna information om åtgärden till tredje män till vilka de korrigerade uppgifterna har lämnats ut. Sådan underrättelse skall ske dels på begäran av den registrerade, dels om mer betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en sådan underrättelse. En begäran från den registrerade kan ske formlöst. Även utan begäran från den registrerade skall den personuppgiftsansvarige alltså lämna sådan information om därigenom mer betydande skada eller olägenhet kan undvikas. Om så är fallet får bedömas i varje enskild situation. Vid bedömningen bör då beaktas bl.a. hur känsliga uppgifterna i fråga är och till vilka tredje män uppgifterna har lämnats ut.
Informationsskyldighet och rättelse SOU 2002:18
226
11.3 Överväganden och förslag
Utredningen föreslår: I LIA bör införas två bestämmelser som
avser information och rättelse. Förslagen har sin motsvarighet i PUL, men har förenklats något i LIA.
Bestämmelsen om information innebär att en arbetsgivare vid manuell behandling av personuppgifter som omfattas av LIA utan dröjsmål skall lämna en arbetstagare eller en arbetssökande information om sådana uppgifter om arbetstagaren eller arbetssökanden som arbetsgivaren behandlar och för vilket ändamål behandlingen sker.
Bestämmelsen om rättelse innebär att en arbetsgivare i motsvarande omfattning som gäller för informationsskyldigheten utan dröjsmål skall rätta eller utplåna sådana personuppgifter som inte har behandlats enligt denna lag eller föreskrifter som har utfärdats med stöd av lagen.
PUL:s regler om information och rättelse gäller för sådan behandling av arbetstagares personuppgifter som sker automatiserat eller i registerform enligt den lagen.
Med de syften och den utformning som LIA har är det ett naturligt inslag i integritetsskyddet att en arbetstagare eller en arbetssökande skall kunna få information om den behandling som förekommer och att ha rätt att få felaktiga eller ofullständiga personuppgifter korrigerade. Som beskrivits ovan finns denna möjlighet i PUL vid behandling av en arbetstagares personuppgifter enligt den lagen. Utanför detta skydd faller emellertid behandling som inte omfattas av PUL, antingen genom att en tillämpning av PUL är utesluten p.g.a. att behandlingen sker helt manuellt eller p.g.a. att LIA innebär en specialreglering.
Enligt utredningens uppfattning är det önskvärt att det även vid behandling av arbetstagares eller arbetssökandes personuppgifter enligt LIA finns en rätt till såväl information som rättelse. PUL:s bestämmelser i dessa avseenden är utformade utifrån de behov som finns vid automatiserad behandling. Enligt utredningens mening skall PUL:s regler om information och rättelse gälla även vid sådan behandling enligt LIA som sker automatiserat eller i registerform. För helt manuell behandling däremot är det tillräckligt med mindre långtgående bestämmelser.
Förslaget är en förenklad motsvarighet till PUL:s bestämmelser om informationsskyldighet och rättelse. Bestämmelserna innebär
SOU 2002:18 Informationsskyldighet och rättelse
227
att arbetsgivaren är skyldig att lämna information om och rätta även sådana helt manuellt behandlade personuppgifter som omfattas av lagen. Med hänsyn till att det anges i bestämmelserna att åtgärderna skall ske utan dröjsmål framgår att information skall lämnas så fort den dokumenterade behandlingen påbörjas eller en felaktighet upptäcks. Ytterligare preciseringar när det gäller omfattningen av arbetsgivarens skyldigheter är inte behövliga. Viss ledning kan vid tillämpningen sökas i PUL:s motsvarande bestämmelser.
De föreslagna bestämmelserna i LIA innebär att frågan om informations- och korrigeringsskyldigheten specialregleras i förhållande till PUL. I enlighet med principen om lex-specialis skall då bestämmelserna gälla före PUL:s motsvarande bestämmelser. Avsikten är emellertid inte att inskränka en arbetsgivares skyldigheter enligt PUL i de fall arbetsgivaren som personuppgiftsansvarig behandlar personuppgifter automatiserat eller i registerform. Därför anges särskilt att PUL fortfarande gäller om behandlingen sker automatiserat eller i registerform.
229
12 Tystnadsplikt
För att stärka integritetsskyddet bör möjligheterna för den som behandlar eller har behandlat uppgifter enligt LIA att sprida dessa uppgifter begränsas. Detta stärker integritetsskyddet för arbetstagaren genom att uppgifterna inte sprids i större omfattning än nödvändigt på arbetsplatsen och att uppgifterna inte sprids till någon framtida arbetsgivare. I detta sammanhang är det av vikt att skilja mellan behovet av en rättslig reglering för allmän verksamhet och för privat verksamhet. Detta beror på att det finns bestämmelser i sekretesslagen som samtidigt som de till viss del garanterar den enskilde ett integritetsskydd vid behandling av de uppgifter som regleras i LIA, även uppfyller de krav på offentlighet som gäller för allmän verksamhet.
12.1 Den rättsliga regleringen
12.1.1 PUL
I 30 § finns en bestämmelse som innebär att ett personuppgiftsbiträde och den eller de som arbetar under biträdets eller den personuppgiftsansvariges ledning bara får behandla personuppgifter i enlighet med instruktioner från den personuppgiftsansvarige. Om en arbetsgivare instruerar en arbetstagare som för arbetsgivarens räkning behandlar personuppgifter om t.ex. andra arbetstagares hälsa att inte lämna ut dem, kan bestämmelsen sägas innebära en slags tystnadsplikt.
Också andra bestämmelser i PUL begränsar möjligheterna för en arbetsgivare och för den som för arbetsgivarens räkning arbetar med personuppgifter att lämna dem vidare. Av de grundläggande bestämmelserna i 9 § framgår att personuppgifter bara får lämnas ut
Tystnadsplikt SOU 2002:18
230
om utlämnandet inte är oförenligt med de ändamål för vilka personuppgifterna samlades in.
Personuppgifter om arbetstagarens hälsa får, i enlighet med bestämmelserna om behandling av känsliga personuppgifter, i vissa fall lämnas ut bara om det föreligger en arbetsrättslig skyldighet eller om den enskilde samtyckt.
Skulle någon som arbetar för arbetsgivaren lämna ut personuppgifter i strid med vad som gäller är det arbetsgivaren som bär det rättsliga ansvaret enligt PUL gentemot arbetstagaren. I vilken utsträckning arbetsgivaren i sin tur kan vidta någon åtgärd mot den som lämnat ut uppgiften i strid med givna instruktioner kan framgå av de bestämmelser som reglerar förhållandet dem emellan.
12.1.2 Sekretesslagen m.m.
Om arbetstagaren genomgår en undersökning eller ett test kan arbetsgivaren till följd av bestämmelser om sekretess vara förhindrad att ta del av och därigenom att behandla de personuppgifter som kommer fram vid undersökningen eller testet. Beroende på om arbetstagaren varit i kontakt med allmän eller enskild sjukvård följer sekretessen av olika bestämmelser.
Enligt 7 kap. 1 § sekretesslagen gäller sekretess inom allmän hälso- och sjukvård för uppgifter om enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgifterna kan röjas utan att den enskilde eller någon närstående lider men.
Sekretess till skydd för den enskilde gäller enligt 14 kap. 4 § inte i förhållande till den enskilde själv. Den kan också helt eller delvis efterges av honom eller henne. Vid en genomgång av regeringsrättens praxis framgår att det bara är i undantagsfall som domstolen frånkänt den enskildes samtycke rättsverkan vid en tillämpning av 14 kap. 4 §.1 Det är alltså i och för sig möjligt att sekretessen hävs i en situation där den enskilde är föremål för någon påverkan. Det samtycke som den enskilde lämnar för att efterge sekretessen behöver inte heller vara uttryckligt. Också ett tyst samtycke som grundas på den enskildes uppträdande kan vara tillräckligt för att förutsättningarna skall vara uppfyllda.
Den enskildes rätt att efterge sekretessen gäller bara om inte annat följer av annan bestämmelse i sekretesslagen. Så kan vara fallet enligt 7 kap. 3 § i fråga om uppgifter om den enskildes
1 Se bl.a. RÅ 1991 not 167.
SOU 2002:18 Tystnadsplikt
231
hälsotillstånd om det med hänsyn till ändamålet med den vård eller behandling som den enskilde undergår är av synnerlig vikt att uppgifterna inte lämnas ut till honom eller henne.
För hälso- och sjukvårdspersonal inom den enskilda hälso- och sjukvården gäller enligt 2 kap. 8 § lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område tystnadsplikt för vad som framkommit i verksamheten om en enskilds hälsotillstånd eller andra personliga förhållanden. Tystnadsplikten gäller liksom i den allmänna sjukvården inte i förhållande till den enskilde själv, om det inte med hänsyn till ändamålet med hälso- och sjukvården är av synnerlig vikt att uppgifterna inte lämnas till patienten.
Sekretess gäller enligt 7 kap. 11 § första stycket för bl.a. uppgifter som hänför sig till psykologisk undersökning. Bestämmelsen omfattar inte de uppgifter som kan komma fram vid ett personlighetstest eller resultatet av ett sådant test. I förarbetena till sekretesslagen uttalas att användningen av sådana undersökningar i samband med anställning i offentlig civil tjänst bara förekommer i ytterst begränsad omfattning. I de fall där psykologiska test används i sådana sammanhang är det dessutom i regel inte myndigheten som har hand om testet. Detta genomförs i stället av utomstående organ. Till följd härav har det inte bedömts finnas behov av att låta sekretessen på det personaladministrativa området omfatta också psykologiska undersökningar.2
I 7 kap. 11 § tredje stycket sekretesslagen finns även bestämmelser som föreskriver om sekretess inom vissa delar av en myndighets personaladministrativa verksamhet. Enligt bestämmelsen gäller sekretess för bl.a. uppgifter om en enskilds hälsotillstånd, om det kan antas att den enskilde eller någon honom eller henne närstående lider men om uppgifterna röjs. Personuppgifter som en myndighet hämtar in i samband med en arbetstagares sjukledighet eller om arbetstagarens hälsotillstånd i andra sammanhang kan hemlighållas med stöd av denna bestämmelse. Att märka är att sekretessen inte gäller i ett ärende om anställning. Uppgifter om hälsa som en arbetssökande lämnar eller som annars framkommer i ett anställningsärende är därför oftast offentliga. Bestämmelsen i 7 kap. 11 § utgör enligt 14 kap. 7 § inte hinder mot att en myndighet fullgör vad som i lag är föreskrivet om skyldighet att lämna information till företrädare för en arbetstagarorganisation eller till skyddsombud.
2 Se prop. 1979/80:2 del A, s. 203.
Tystnadsplikt SOU 2002:18
232
12.1.3 Arbetsmiljölagen
Enligt 4 kap. 7 § arbetsmiljölagen kan regeringen eller, efter särskilt bemyndigande Arbetsmiljöverket, föreskriva att det skall föras register vid hälsoundersökningar som föreskrivits med stöd av 4 kap. 5 eller 6 §§. I registret vid vissa typer av arbetsuppgifter antecknas namnet på den som undersökts och undersökningsresultatet.
I 3 § arbetsmiljöförordningen föreskrivs att register som avses i 4 kap. 7 § arbetsmiljölagen skall förvaras av arbetsgivaren under viss tid. Det finns inte någon författningsreglerad tystnadsplikt för sådana uppgifter som skall föras in i register och som kan avse om arbetstagaren är tjänstbar eller exempelvis om arbetstagaren har bly i blodet.
12.2 Överväganden och förslag
Utredningen föreslår: Det bör införas en bestämmelse i LIA som
innebär att den som hos en arbetsgivare med privat verksamhet behandlar eller har behandlat personuppgifter som avses i 3–5, 8 och 9 §§ inte obehörigen får röja eller utnyttja vad som därvid kommit fram.
För den som hos en arbetsgivare med allmän verksamhet behandlar eller har behandlat sådana personuppgifter gäller bestämmelserna i sekretesslagen.
Som påpekats inledningsvis är en viktig del av ett fungerande integritetsskydd att de uppgifter som arbetsgivaren behandlar inte sprids i större omfattning än vad som är nödvändigt. Detta är särskilt viktigt i de fall där en arbetsgivare enligt lag är tillåten att hämta in vissa särskilt känsliga uppgifter. Arbetstagaren bör därför vara säker på att den eller de personer som behandlar uppgifterna hos arbetsgivaren inte obehörigen får röja eller utnyttja vad som kommit fram.
I bestämmelsen föreskrivs tystnadsplikt för privata arbetsgivares verksamhet beträffande samtliga de personuppgifter som omfattas av LIA:s bestämmelser. Vad däremot gäller det allmännas verksamhet finns det bara i vissa fall förutsättningar att tillskapa ett ytterligare integritetsskydd genom att förhindra spridning av arbetstagares personuppgifter.
SOU 2002:18 Tystnadsplikt
233
För personuppgifter om enskildas hälsotillstånd inom myndigheters personaladministrativa verksamhet gäller sekretess enligt 7 kap. 11 § tredje stycket sekretesslagen. Uppgifter som en myndighet hämtar in i samband med arbetstagarens sjukledighet kan alltså hemlighållas med stöd av denna bestämmelse. För att tillgodose kravet på offentlighet och insyn omfattar bestämmelsen inte arbetstagarens hälsouppgifter i ärende om anställning eller disciplinansvar.
Visserligen är en av utredningens utgångspunkter att samma skyddsregler skall gälla för den offentliga och privata sektorn. I fråga om tystnadsplikt för arbetsgivarens anställda som behandlar hälsouppgifter är det emellertid inte lämpligt med en bestämmelse som undantagslöst föreskriver att de anställda inte får röja hälsouppgifterna, eftersom det inom den offentliga sektorn är nödvändigt att i vissa fall behålla rätten till insyn och offentlighet. Så är exempelvis fallet i ärende om anställning. I prop. 1999/2000:123 Lämplighetsprövning av personal inom förskoleverksamhet, skola och barnomsorg anmärks särskilt att det är en viktig princip att behålla offentligheten i sådana ärenden.3 Lagrådet har i sitt yttrande över detta lagstiftningsärende uttryckligen påpekat att frågan om undantag från denna princip bör prövas noga.
Utredningen delar uppfattningen att det krävs en noggrann prövning av om förekomsten av hälsouppgifter i ett anställningsärende inom offentlig verksamhet motiverar ett utökat sekretesskydd i förhållande till 7 kap. 11 § tredje stycket sekretesslagen. Som tidigare konstaterats vid ett flertal tillfällen är arbetstagarens hälsouppgifter av känslig karaktär. Detta förhållande motiverar emellertid inte ensamt att det i LIA införs en bestämmelse som innebär ett avsteg från offentlighetsprincipen och begränsar möjligheterna till insyn i denna typ av ärenden. För att så långt som möjligt uppnå ett fullgott integritetsskydd för arbetstagarens personuppgifter och samtidigt iaktta intresset av offentlighet inom det allmännas verksamhet föreslår utredningen därför att bestämmelsen i 7 kap. 11 § tredje stycket även fortsättningsvis skall gälla för det allmännas verksamhet och att det i LIA införs en tystnadsplikt inom den verksamhet som bedrivs privat.
I detta sammanhang bör erinras om bestämmelsen i 14 kap. 7 § sekretesslagen som innebär att 7 kap. 11 § samma lag inte utgör
3 Se prop. 1979/80:2 del A s. 200 ff. och prop. 1986/87:3 s. 8.
Tystnadsplikt SOU 2002:18
234
hinder mot att en myndighet fullgör vad som i lag är föreskrivet om skyldighet att lämna information till företrädare för en arbetstagarorganisation eller till skyddsombud. För att inte inskränka privata arbetsgivares förhandlingsskyldighet bör motsvarande ordning gälla inom den privata sektorn. Detta kommer till uttryck genom att förslaget bara tar sikte på obehörigt röjande av uppgifter.
Personuppgifter om lagöverträdelser har inte samma sekretesskydd i myndighets personaladministrativa verksamhet som personuppgifter om hälsa eller droganvändning. De personuppgifter som registreras i belastningsregistret omfattas av särskilda sekretessbestämmelser som tar sikte på registret. Vad däremot gäller uppgifter om lagöverträdelser som framgår av belastningsregisterutdrag som getts in till exempelvis domstolar eller antecknats i domar och beslut är huvudregeln att offentlighet skall eftersträvas. För att utredningen skulle kunna föreslå en bestämmelse som garanterar ett integritetsskydd i denna fråga för den offentliga sektorn krävs alltså att det tillskapas en särskild bestämmelse. Vid en sådan lösning uppkommer emellertid frågan om det är möjligt att tillskapa ett fungerande integritetsskydd genom att införa en bestämmelse som är konstruerad på ett liknande sätt som övriga bestämmelser i sekretesslagen. I ett tidigare lagstiftningsärende har det framhållits att en sådan integritetsskyddande bestämmelse för uppgifter antecknade i belastningsregistret eventuellt kan komma att få motsatt effekt.4Lagrådet påpekade i sitt yttrande att om en arbetstagare ger in ett registerutdrag som inte innehåller någon anteckning torde detta kunna lämnas ut oavsett om en bestämmelse är konstruerad med ett rakt eller ett omvänt skaderekvisit. Härigenom kommer ett nekande till att få ta del av en uppgift om lagöverträdelse i form av ett belastningsregisterutdrag innebära att det indirekt framgår att det finns en anteckning i arbetstagarens register. Lagrådet ansåg att det finns en klar risk för att det i dessa fall uppstår spekulationer kring vad som finns antecknat och att dessa kan leda till att arbetstagaren kränks.5 Därtill kommer som nämnts ovan att huvudregeln under anställningsförfaranden är att det skall råda offentlighet. Detta sett tillsammans med svårigheten att undvika att en sekretessbestämmelse skapar en integritetsproblematik snarare än stärker skyddet innebär att utredningen avstår från att föreslå en
4 Se prop. 1999/2000:123 s. 29. 5 Se prop. 1999/2000:123 s. 114.
SOU 2002:18 Tystnadsplikt
235
bestämmelse om sekretess för personuppgifter om lagöverträdelser inom personaladministrativ verksamhet i sekretesslagen.
Sekretess gäller enligt 7 kap. 11 § första stycket för bl.a. uppgifter som hänför sig till psykologisk undersökning. Som redovisats ovan uttalades det i förarbetena till sekretesslagen att användningen av sådana undersökningar i samband med anställning i offentlig civil tjänst bara förekom i ytterst begränsad omfattning. I de fall där psykologiska test användes i sådana sammanhang var det dessutom i regel inte myndigheten som hade hand om testet utan detta utfördes av utomstående organ.6 Om en personlighetstest utförs i enlighet med vad som föreslås i LIA torde det i större omfattning än vad som i dag är fallet vara så att testet utförs av utomstående personal och att arbetsgivaren bara får en kortare muntlig eller skriftlig redovisning av testet. Huvuddelen av de uppgifter som arbetssökanden lämnat kommer alltså att sorteras bort. Trots detta är det enligt utredningens mening viktigt att de uppgifter som separat eller sammanställda som ett resultat presenteras för arbetsgivaren inte sprids i vidare omfattning än vad som är nödvändigt, varför det föreligger behov av att tillskapa en tystnadsplikt för sådana uppgifter.
Med hänsyn till vad som sagts ovan om kravet på offentlighet i anställningsärenden inom allmän verksamhet torde det inte föreligga förutsättningar för att föra in en särskild bestämmelse om tystnadsplikt i sekretesslagen för de uppgifter som arbetsgivaren får del av i anledning av ett utfört personlighetstest. Däremot bör det enligt utredningens uppfattning införas en bestämmelse som gäller för den privata sektorn.
Bestämmelsen i LIA innebär att den som behandlar eller har behandlat sådana personuppgifter som avses i 3 och 4 §§, dvs. epost och andra privata elektroniska uppgifter samt personuppgifter i s.k. loggar inte obehörigen får röja eller utnyttja vad som kommit fram. I denna del innebär bestämmelsen bl.a. en tystnadsplikt för systemadministratörer. För att stärka integriteten vid arbetstagares användning av IT-verktyg är det av vikt att spridningen av de uppgifter som avses i 3 och 4 §§ LIA begränsas. Med hänsyn till att det inte är möjligt att förutse vilka uppgifter som kommer att sekretessbeläggas föreligger det emellertid inte förutsättningar att föra in en sådan tystnadsplikt i sekretesslagen.
6 Se prop. 1979/80:2 del A, s. 203.
Tystnadsplikt SOU 2002:18
236
Bestämmelsen om tystnadsplikt i LIA kommer i likhet med 7 kap. 11 § tredje stycket sekretesslagen inte innebära någon inskränkning i den s.k. meddelarfriheten.
237
13 Det fackliga inflytandet
13.1 Överväganden
13.1.1 Inledning
PUL är utformad som en offentligrättslig lag med vissa privaträttsliga inslag och LIA föreslås vara en lag som tar sin utgångspunkt i PUL:s bestämmelser. I avsnitt 4.2.1 har lämnats en redogörelse för förhållandet mellan LIA och PUL och av denna framgår att båda lagarna bygger på samma grundläggande principer, att de är delvis sammanflätade och att de skall tillämpas jämsides när det gäller sådan behandling av personuppgifter som är helt eller delvis automatiserad eller i registerform. Med hänsyn till det nära sambandet mellan lagarna anser utredningen att utformningen av LIA så långt möjligt bör överensstämma med utformningen av PUL. Skärningspunkterna mellan LIA och PUL kan dock komma att orsaka vissa problem vid tillämpningen, och det är därför viktigt att LIA:s regler får en utformning som klargör och underlättar tillämpningen så långt som möjligt.
De fackliga företrädarna i utredningens referensgrupp har i en särskild skrivelse till utredningen framfört kravet att den integritetsskyddande lagstiftning som utredningen kan komma att föreslå skall utformas som en arbetsrättslig lag och sanktioneras med ogiltighet av sådana avtal som är oförenliga med lagen samt med skadestånd.
Arbetsmarknadens parter har centrala uppgifter när det gäller all lagstiftning som rör arbetslivet, och en sådan lag som LIA faller självklart inom organisationernas normala intresseområde. Utredningen vill också understryka att parternas ansvar och engagemang behövs för att lagen skall kunna ge arbetstagare och
Det fackliga inflytandet SOU 2002:18
238
arbetssökande det avsedda integritetsskyddet. Effektiviteten av LIA bygger i hög grad på ett fackligt engagemang.
Arbetstagarorganisationerna finns representerade på i stort sett alla arbetsplatser i landet och det är viktigt att de följer tillämpningen av den föreslagna lagen ute på arbetsplatserna och slår larm om den inte fungerar. Det är viktigt inte minst eftersom det är både mer praktiskt och mindre dramatiskt för en arbetstagare att ta kontakt med den lokala fackliga organisationen för att framföra sina klagomål än att vända sig till en tillsynsmyndighet. En felaktig tillämpning av lagen kan ofta bero på att arbetsgivaren saknar kunskap om lagen eller har missuppfattat dess innebörd och därför torde åtgärder som har vidtagits i strid med lagen i många fall kunna rättas till på ett enkelt sätt genom att informella kontakter tas mellan arbetsgivaren och den lokala fackliga organisationen.
Utredningen delar alltså i princip den inställning som uttrycks i skrivelsen från de fackliga representanterna och anser att en sådan lag som LIA som tar direkt sikte på förhållandena inom arbetslivet bör innehålla arbetsrättsliga inslag. I det följande diskuteras hur dessa lämpligen bör utformas.
13.1.2 En tvingande lag som inte kan frångås genom avtal
Den första fråga som uppkommer är om de föreslagna bestämmelserna i LIA bör vara tvingande eller dispositiva, dvs. om det kan överlämnas åt arbetsmarknadens parter att träffa kollektivavtal som avviker från bestämmelserna. Utredningen har inledningsvis som grund för sitt arbete slagit fast att skyddet för den personliga integriteten får anses vara en mänsklig rättighet. Som tidigare framhållits kan därav dras slutsatsen att det ankommer på staten att skapa ett tillfredsställande skydd för den personliga integriteten liksom man gör i övrigt beträffande skydd för mänskliga rättigheter. Staten bör alltså kunna garantera att det finns ett visst skydd för den personliga integriteten, vilket innebär att staten genom lagstiftning måste lägga fast en nivå för skyddet.
Dataskyddsdirektivet har lagt fast en bestämd nivå för skyddet av personuppgifter och bestämmelserna i PUL är i enlighet därmed tvingande i den meningen att de inte kan frångås genom kollektivavtal eller andra avtal. Det gäller oavsett om avtalet är mer eller mindre förmånligt för den registrerade än lagens
SOU 2002:18 Det fackliga inflytandet
239
bestämmelser. En annan sak är att den registrerades samtycke i vissa lägen har betydelse enligt lagen.
Det finns emellertid ett visst spelrum enligt dataskyddsdirektivet som lagstiftaren utnyttjat genom PUL, och det spelrummet skulle lagstiftaren kunna överlåta till avtalsreglering på LIA:s område. Det kan gälla sådant som preciseringar av hur bestämmelsen om att behandling av personuppgifter kan vara tillåten efter en intresseavvägning skall tillämpas på särskilda områden eller hos en viss personuppgiftsansvarig. LIA skall också gälla på områden där dataskyddsdirektivet inte är tillämpligt och där utrymmet för avvikande avtal skulle kunna vara ännu större.
Det blir enklare att tillämpa LIA och PUL parallellt om också LIA är tvingande i samma mening som PUL. Det är vidare svårt att veta exakt hur stort spelrummet enligt dataskyddsdirektivet är och det kan därför vara olämpligt att överlämna dessa svåra rättsliga överväganden till kollektivavtalsparter och enskilda parter. Det kan också vara svårt att bedöma vilka begränsningar som kan finnas i avtalsfriheten med hänsyn till den personliga integriteten (jfr t.ex. NJA 1975 s. 16).
Sammanfattningsvis finner utredningen att både principiella och praktiska skäl talar för att LIA skall vara tvingande på samma sätt som PUL. Avtal som strider mot LIA skall således inte kunna göras gällande.
Däremot finns det naturligtvis ingenting som hindrar att parterna med LIA som grund träffar kollektivavtal med bestämmelser som preciserar lagen i olika hänseenden, t.ex. genom att precisera vad som gäller enligt lagen med hänsyn till förhållandena inom skilda branscher eller lokala förhållanden på olika arbetsplatser. Tvärtom är det önskvärt att så sker och det är utredningens förhoppning att den föreslagna lagen skall kunna främja en sådan utveckling. LIA innehåller nämligen flera regler där det inte är på förhand alldeles givet hur de skall tillämpas på en arbetsplats.
För att parterna på arbetsmarknaden skall kunna träffa sådana preciserande kollektivavtal krävs det ingen särskild bestämmelse i lagen. Avtalen får nämligen inte stå i strid med lagen utan bara precisera den. Vid tvist om vad lagen innebär i ett visst fall kan sådana kollektivavtal antas få stor betydelse. Enligt 9 § PUL, som skall gälla vid all behandling av personuppgifter som omfattas av LIA, skall nämligen personuppgifter alltid behandlas i enlighet med god sed och vad som utgör god sed får avgöras med beaktande av de preciseringar som kan ha gjorts genom bl.a. kollektivavtal. Brott
Det fackliga inflytandet SOU 2002:18
240
mot kollektivavtal för också med sig skyldighet att betala skadestånd enligt MBL.
Avslutningsvis finns det anledning att erinra om att kollektivavtal givetvis bara kan träffas i frågor som är kollektivavtalsmässiga. Det kan t.ex. finnas begränsningar i fråga om möjligheten att träffa sådana avtal i frågor om förhållandet mellan arbetssökande och potentiella arbetsgivare. Inget hindrar emellertid att arbetstagarorganisationer och arbetsgivare eller deras organisationer träffar överenskommelser i annan form med preciserande bestämmelser.
13.2 Förslag
Utredningen föreslår: Det bör i LIA tas in en bestämmelse
utan materiell betydelse med hänvisning till arbetsgivares skyldighet att förhandla enligt 11–14 §§ lagen (1976:580) om medbestämmande i arbetslivet. Vidare bör det i LIA anges att mål om tillämpningen av lagen handläggs enligt lagen (1974:77) om rättegången i arbetstvister.
13.2.1 Arbetsgivares förhandlingsskyldighet
Enligt 11 § MBL skall en arbetsgivare innan han beslutar om viktigare förändring av sin verksamhet på eget initiativ förhandla med arbetstagarorganisation i förhållande till vilken han är bunden av kollektivavtal. Detsamma skall iakttas innan en arbetsgivare beslutar om viktigare förändring av arbets- eller anställningsförhållandena för arbetstagare som tillhör organisationen. Om synnerliga skäl föranleder det får arbetsgivaren enligt paragrafens andra stycke fatta och verkställa beslut innan han har fullgjort sin förhandlingsskyldighet enligt första stycket. Förhandlingen skall i första hand genomföras på lokal nivå, men den kan därefter enligt 14 § på begäran av arbetstagarsidan föras upp på förbundsnivå på den sidan. I frågor av mindre ingripande betydelse kan enligt 12 § initiativ till förhandling i stället tas från arbetstagarsidan. I 13 § finns en särskild regel om förhandlingsskyldighet för arbetsgivaren även gentemot en arbetstagarorganisation, som saknar kollektivavtal, om en fråga särskilt angår arbets- eller anställningsförhållandena för en arbetstagare som tillhör den organisationen.
SOU 2002:18 Det fackliga inflytandet
241
Det är inte prövat i vilken utsträckning det gäller förhandlingsskyldighet enligt 11–14 §§ MBL inför arbetsgivarbeslut i alla de frågor som regleras i LIA; frågor som bara berör förhållandet mellan arbetssökande och arbetsgivaren torde dock falla utanför MBL:s tillämpningsområde. Utredningen anser emellertid att det är så viktigt att förhandlingsskyldigheten enligt MBL inför arbetsgivarbeslut i frågor som regleras i LIA uppmärksammas att det i LIA bör tas in en hänvisning utan materiell betydelse till bestämmelserna i MBL.
13.2.2 Rättegången i tvister
Enligt 1 kap. 1 § lagen (1974:371) om rättegången i arbetstvister (LRA) tillämpas lagen på rättegången i tvister om kollektivavtal och andra tvister rörande förhållandet mellan arbetsgivare och arbetstagare. Från lagens tillämpning undantas enligt 1 kap. 2 § bl.a. mål om skadestånd i anledning av brott, om talan förs i samband med åtal för brottet.
Enligt LRA:s förarbeten skall lagen tillämpas på tvister som rör arbetsgivare och arbetstagare i denna deras egenskap. LRA är tillämplig på alla tvister som omfattas av definitionen arbetstvist och det behövs således inte någon särskild forumregel för att den skall tillämpas. Det avgörande är om tvisten har uppkommit i ett anställningsförhållande. Som exempel på tvister där LRA skall tillämpas anges i förarbetena sådana tvister som uppkommit i ett anställningsförhållande och som gäller tillämpningen av bl.a. avtalslagen eller skadeståndslagen.1
Mot den nu angivna bakgrunden och med hänsyn till LIA:s tillämpningsområde kan det konstateras att en tvist mellan en arbetstagare och en arbetsgivare om sådant som regleras i LIA definitionsmässigt är en arbetstvist, liksom tvister mellan arbetsgivare och arbetstagare om det som regleras enligt PUL. LRA skall därmed tillämpas. Talan kan gälla t.ex. skadestånd enligt LIA eller vara en talan om fastställelse om vad som gäller enligt LIA i ett visst konkret fall. Eftersom brott mot några av bestämmelserna i LIA är straffsanktionerade blir även de ovan nämnda reglerna i 1 kap. 2 § aktuella vid tillämpningen av LIA. En skadeståndstalan som handläggs tillsammans med ett åtal avseende brott mot PUL
Det fackliga inflytandet SOU 2002:18
242
skall alltså enligt 22 kap. RB handläggas tillsammans med brottmålet i allmän domstol.
Enligt 2 kap. 1 § LRA skall Arbetsdomstolen som första domstol ta upp och avgöra tvist som väcks av en arbetsgivar- eller arbetstagarorganisation eller av en arbetsgivare som själv slutit kollektivavtal under förutsättning att målet gäller dels tvist om kollektivavtal eller annan arbetstvist som avses i MBL, dels arbetstvist i övrigt under förutsättning att kollektivavtal gäller mellan parterna eller att enskild arbetstagare som berörs av tvisten sysselsätts i arbete som avses i kollektivavtal vilket arbetsgivaren är bunden av. I alla andra fall skall en arbetstvist enligt 2 kap. 2 § tas upp och avgöras av tingsrätt. Enligt 4 kap. 5 § LRA kan arbets- och arbetsgivarorganisation föra talan för medlem. Och i enlighet med 4 kap. 7 § LRA måste rättegången i Arbetsdomstolen föregås av föreskrivna fackliga tvisteförhandlingar.
Utredningen anser att det är ändamålsenligt att alla tvister om tillämpningen av LIA handläggs enligt LRA. Utredningen föreslår därför att det i LIA införs en bestämmelse härom och att det i den bestämmelsen – efter mönster från antidiskrimineringslagstiftningen – tas in en föreskrift om att därvid skall anses som arbetstagare också arbetssökande och som arbetsgivare också den som någon har sökt arbete hos. Brottmål och överklaganden av Datainspektionens beslut enligt PUL skall dock givetvis inte handläggas enligt LRA.
13.2.3 Sammanfattning
Sammanfattningsvis kan konstateras att det kommer att finnas väsentliga arbetsrättliga inslag vid tillämpningen av LIA. Sålunda kan kollektivavtal träffas i fråga om den närmare tillämpningen av lagen, förhandlingar skall föras enligt MBL och LRA gäller beträffande alla tvister som rör lagen, varvid organisation kan företräda medlem. Det är utredningens förhoppning att dessa inslag sammantaget skall främja ett aktivt deltagande av de fackliga organisationerna i det viktiga arbetet att se till att skyddet för den personliga integriteten effektiviseras och utvecklas enligt de intentioner som uttrycks i LIA.
243
14 Tillsyn
14.1 Inledning
Ett naturligt inslag i en lag med LIA:s karaktär är bestämmelser om tillsyn över lagens rätta tillämpning. Bl.a. kan det vara en stor fördel för den arbetstagare som anser att arbetsgivaren bryter mot lagen att kunna vända sig till en tillsynsmyndighet i stället för att vara hänvisad till att stämma arbetsgivaren eller anmäla denne till åtal. Med hänsyn till tillämpningsområdet kan det övervägas om tillsyn skall ske av antingen Datainspektionen (DI) eller Arbetsmiljöverket. Vidare bör övervägas om arbetstagarorganisationerna bör ges någon slags kontrollfunktion i detta avseende.
14.1.1 Datainspektionen
Enligt PUL:s regler om tillsyn har tillsynsmyndigheten, DI, rätt att på begäran få tillgång till de personuppgifter som behandlas, att få upplysningar om och dokumentation av behandlingen av personuppgifter och säkerheten vid denna samt att få tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter. Vidare har DI möjlighet att vid vite förbjuda fortsatt behandling av personuppgifter, undantaget lagring, om det inte är klart att behandlingen är laglig. DI kan också hos länsrätten ansöka om att sådana personuppgifter som har behandlats på ett olagligt sätt skall utplånas.
Tillsyn SOU 2002:18
244
14.1.2 Arbetsmiljöverket
Arbetsmiljöverket är central förvaltningsmyndighet för arbetsmiljö- och arbetstidsfrågor och har som övergripande mål att minska riskerna för ohälsa och olycksfall i arbetslivet och att förbättra arbetsmiljön från såväl fysisk, psykisk som social och arbetsorganisatorisk synpunkt. Verket skall, enligt förordningen (2000:1211) med instruktion för Arbetsmiljöverket, särskilt ha tillsyn över bl.a. arbetsmiljö- och arbetstidslagstiftningen samt, inom arbetsmiljöområdet, lagstiftningen om tobak.
Arbetsmiljölagen, som är den centrala lagen på arbetsmiljöområdet, har enligt 1 kap. 1 § till ändamål att förebygga ohälsa och olycksfall i arbetet samt att även i övrigt uppnå en god arbetsmiljö. Bestämmelsen avser inte enbart arbetsmiljö i fysiskt hänseende, utan en samlad bedömning skall göras, varvid även skall beaktas olika förhållanden som berör arbetets psykiska och sociala innehåll. Arbetsmiljölagens 7 kap. innehåller bestämmelser om tillsyn. Enligt dessa har Arbetsmiljöverket för sin tillsyn bl.a. rätt att få erforderliga upplysningar av arbetsgivaren och rätt till tillträde till arbetsställe. Polismyndighet skall lämna den handräckning som behövs för att tillsynen skall kunna utövas. Arbetsmiljöverket får meddela förelägganden eller förbud, vilka får förenas med vite.
14.1.3 Arbetstagarorganisationerna
Även om inte arbetstagarorganisationerna har någon formell tillsynsuppgift på ett sätt som motsvarar DI:s och Arbetsmiljöverkets, ligger det inom organisationernas intresseområde att bevaka att gällande regler tillämpas på ett sätt som gagnar medlemmarna.
Enligt 11–14 §§ MBL är en arbetsgivare i vissa angivna situationer skyldig att förhandla med arbetstagarorganisation innan beslut om förändringar som påverkar organisationens medlemmar fattas. T.ex. torde införande av kontroller av arbetstagarna i form av hälsokontroller och drogtester samt mer omfattande loggning i många fall vara sådana viktigare förändringar som avses i lagen. Redan enligt gällande bestämmelser har arbetstagarorganisationerna därmed inflytande över de aktuella frågorna.
Tillsyn
245
14.2 Överväganden och förslag
För vissa av de situationer som utredningen behandlar omfattar befintliga kontrollfunktioner även LIA:s tillämpning, genom Datainspektionens (DI) och Arbetsmiljöverkets tillsyn. Om man bortser från dessa fall finns emellertid också situationer där någon egentlig kontrollfunktion inte finns. Särskilt gäller det uppgifter om arbetstagare som behandlas manuellt och där behandlingen inte innebär vare sig risker för ohälsa eller viktigare förändringar av arbets- eller anställningsvillkoren.
När det gäller arbetstagares personuppgifter som behandlas automatiserat eller i registerform anser utredningen att DI:s befogenheter enligt PUL får anses tillräckliga. Att i LIA införa bestämmelser som skärper DI:s befogenheter vid sådan behandling i arbetslivet är därför inte påkallat. På motsvarande sätt har Arbetsmiljöverket långtgående befogenheter när det gäller situationer där verksamheten kan strida mot arbetsmiljölagen. Inte heller för dessa situationer finns därför något behov av att skärpa tillsynsbestämmelserna för arbetslivets del.
Mot den angivna bakgrunden är frågan om det finns något behov av tillsynsbestämmelser dels för situationer där personuppgifter behandlas helt manuellt och dels där behandlingen inte kan sägas utgöra ett arbetsmiljöproblem.
Vad först gäller DI:s uppgift som tillsynsmyndighet enligt PUL grundas denna på internationellt överenskomna regler om dataskydd. Även om det i viss mån skulle kunna vara befogat med särskilda regler om tillsyn också när det gäller helt manuellt behandlade uppgifter, torde intresset härav vara avsevärt mindre än när det gäller automatiserad behandling eller behandling i registerform. Vidare måste beaktas att bestämmelser i LIA som motsvarar PUL:s bestämmelser om tillsyn skulle innebära en rätt för DI att t.ex. få tillträde till alla lokaler där manuellt behandlade uppgifter kan finnas, vilket i praktiken torde innebära samtliga lokaler där arbetsgivaren bedriver verksamhet. En sådan utvidgning av föremålet för DI:s tillsyn skulle inte falla sig helt naturlig.
Liknande resonemang kan föras beträffande Arbetsmiljöverket. Myndighetens nuvarande tillsynsverksamhet motiveras av arbetsmiljöintressen. Att då utvidga tillsynen även till annat än sådant som kan utgöra risker för den psykiska arbetsmiljön ter sig därför i förstone inte särskilt naturligt. Arbetsmiljöverkets område omfattar emellertid till stor del frågor rörande hälsorisker, där
Tillsyn SOU 2002:18
246
hälsokontroller utgör ett viktigt inslag. Att utöka Arbetsmiljöverkets tillsyn till alla former av hälsokontroller och behandlingen av hälsouppgifter över huvud taget skulle därför kunna vara motiverat. Vidare kan beaktas att Arbetsmiljöverkets tillsyn redan omfattar vissa former av det som utredningen valt att benämna loggning, framför allt sådan som innefattar kvantitativa eller kvalitativa kontroller vid bildskärmsarbete.
Vid en samlad bedömning anser utredningen emellertid att värdet av att införa en särskild bestämmelse om tillsyn vore ringa. Mot den bakgrunden saknas det skäl att i LIA föreslå någon särskild tillsynsbestämmelse.
15 Sanktioner
15.1 Skadestånd
15.1.1 Den rättsliga regleringen 15.1.1.1 Skadeståndslagen
I skadeståndslagen (1972:207) återfinns grundläggande bestämmelser om skadestånd. Lagen är generellt tillämplig och gäller om inte annat är föreskrivet eller föranleds av avtal eller i övrigt följer av regler om skadestånd i avtalsförhållanden. Enligt ordalydelsen är lagen tillämplig också i avtalsförhållanden, även om modifikationer och undantag är vanliga i sådana fall. Inom arbetsrätten finns det flera sådana undantag som särskilt reglerar skadeståndsfrågor i förhållandet mellan arbetsgivare och arbetstagare. Här kan bara nämnas 54 § MBL och 38 § lagen (1982:80) om anställningsskydd som ett par av de viktigare.
När det gäller rätt till ersättning för ideella skador, eller kränkningar, intar svensk rätt en restriktiv hållning. I princip förutsätts att en sådan rätt framgår direkt av lag eller avtal.1 I skadeståndslagen 2 kap. 3 § finns en mer allmän bestämmelse om ersättning för kränkning. Rätten till ersättning enligt bestämmelsen är dock begränsad till allvarliga kränkningar som uppkommer genom vissa brott som riktar sig mot enskildas personliga integritet. Särskilda skadeståndsregler som ger rätt till ersättning för olika slag av integritetskränkningar finns också, t.ex. 48 § PUL, 18 § inkassolagen, 21 § kreditupplysningslagen och 7 § lagen (1998:714) om frihetsberövande och andra tvångsåtgärder. Även de ovan nämnda arbetsrättsliga skadeståndsbestämmelserna ger en rätt till ideell ersättning.
1 Se Jan Hellner, Svante Johansson, Skadeståndsrätt, 6 u, s. 371.
Sanktioner SOU 2002:18
248
Med hänsyn till att 17 § LIA föreskriver straff för vissa överträdelser av LIA kommer sådana förfaranden att definitionsmässigt utgöra av kränkningar genom brott. Frågan är i vilken mån kränkningarna är sådana som avses i 2 kap. 3 § skadeståndslagen och om den bestämmelsen därmed skulle kunna bli tillämplig vid överträdelser av LIA. 2 kap. 3 § skadeståndslagen tillämpas emellertid inte generellt på alla kränkningar av personlig integritet. Enligt bestämmelsens ordalydelse är skadeståndsskyldigheten begränsad till fall när någon allvarligt kränker någon annan genom brott som innefattar ett angrepp mot dennes person, frihet, frid eller ära. Angrepp mot annans frid avser enligt motiven främst den enskildes rätt att få vara i fred och hålla sitt privatliv okänt för andra.2 Som exempel på sådana brott anges i motiven bl.a. brytande av post- eller telehemlighet, intrång i förvar och olovlig avlyssning.
Att döma av förarbetena till bestämmelsen och av den praxis som bildats3 är det tveksamt ett brott mot LIA skulle komma att medföra rätt till skadestånd enligt bestämmelsen. Däremot kan tänkas fall där en arbetsgivares brott mot LIA samtidigt utgör t.ex. brottet ofredande eller sådana ärekränkande gärningar som avses med bestämmelsen. Så bör vara fallet om en arbetsgivares åtgärder direkt syftar till att exempelvis ofreda arbetstagaren eller att kränka dennes frid eller ära. Som redovisats ovan skulle en arbetsgivares åtgärd att ta del av en arbetstagares privata elektroniska uppgifter under vissa förutsättningar kunna bedömas som brytande av post- eller telehemlighet. I sådant fall blir också 2 kap. 3 § skadeståndslagen enligt sin ordalydelse tillämplig. Även om inte brottet dataintrång nämns särskilt i motiven, torde även det brottet kunna medföra skadeståndsskyldighet.
Sammanfattningsvis kan således 2 kap. 3 § skadeståndslagen bli tillämplig vid brott mot LIA, men endast om gärningen samtidigt utgör brott enligt andra straffstadganden. Att ett förfarande är straffbart enligt LIA innebär därmed i sig inte att 2 kap. 3 § skadeståndslagen blir tillämplig. Med hänsyn till att bestämmelsens ordalydelse ger visst utrymme åt rättstillämpningen bör dock framhållas att denna bedömning är något osäker.
2 Se prop. 2000/01:68 s. 64. 3 För en genomgång härav, se SOU 1992:84, Ersättning för kränkning genom brott, avsnitt 5.3.
SOU 2002:18 Sanktioner
249
15.1.1.2 PUL
Vid behandling av en arbetstagares personuppgifter som sker automatiserat eller i registerform och således omfattas av PUL, blir skadeståndsbestämmelsen i 48 § PUL tillämplig. Enligt den bestämmelsen är den personuppgiftsansvarige skyldig att ersätta den registrerade för skada och kränkning av den personliga integriteten som orsakats av en behandling i strid med lagen. Ersättningsskyldigheten förutsätter inte vare sig uppsåt eller vårdslöshet från den personuppgiftsansvariges sida, utan är ett strikt ansvar. Ersättningsskyldigheten kan dock jämkas om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. Enligt bestämmelsen kan skadestånd komma ifråga vid varje brott mot lagen. All ekonomisk skada skall ersättas, dvs. personskada, sakskada och ren förmögenhetsskada. Därutöver skall ersättning utgå för kränkning av den personliga integriteten. I förarbetena till PUL motiverades rätten till ersättning för kränkning med att rätten till personlig integritet är en immateriell rättighet och att det vid en kränkning av denna inte behöver uppkomma någon ekonomisk skada. Därför bör den enskilde, som drabbas av en olaglig behandling, ha rätt till ekonomisk kompensation för själva kränkningen förutom rätt till ersättning för ekonomisk skada. Ersättningen för kränkningen bör uppskattas efter skälighet mot bakgrund av samtliga omständigheter i det aktuella fallet.4
15.1.2 Överväganden och förslag
Utredningens förslag: En bestämmelse bör införas som innebär
att arbetsgivare skall ersätta en arbetstagare eller en arbetssökande för den skada och kränkning av den personliga integriteten som behandling av personuppgifter i strid med LIA har orsakat.
Ersättningsskyldigheten bör i den utsträckning det är skäligt kunna jämkas, om arbetsgivaren visar att felet inte berodde på arbetsgivaren.
Av redogörelsen för nuvarande reglering framgår att en arbetstagare5 redan med gällande bestämmelser har vissa möjligheter till
4 Se prop. 1997/98:44 s. 106. 5 Med arbetstagare avses här i förekommande fall även tidigare arbetstagare och arbetssökande.
Sanktioner SOU 2002:18
250
ersättning för skada i situationer som omfattas av LIA. Möjligheterna är emellertid begränsade till sådana fall där arbetsgivaren samtidigt gör sig skyldig till brott enligt andra straffstadganden. Vid flertalet överträdelser av LIA skulle därmed en arbetstagare sakna rätt till skadestånd, vilket utredningen finner otillfredsställande. Utgångspunkten bör enligt utredningens mening vara densamma som i PUL, nämligen att alla överträdelser av lagens bestämmelser bör medföra rätt till ersättning för såväl skada som kränkning av arbetstagarens personliga integritet.
Den föreslagna bestämmelsen innebär att en arbetstagare får rätt till ersättning för skada eller kränkning av den personliga integriteten vid alla brott mot LIA. Förslaget har utformats i enlighet med 48 § PUL och omfattar sak- och personskada, ren förmögenhetsskada och kränkning. Eftersom det torde vara mycket sällsynt att ersättningsgilla rena förmögenhetsskador samt sak- och personskador uppkommer vid brott mot LIA, är den praktiskt mest betydelsefulla skadeformen i bestämmelsen kränkning av den personliga integriteten. Detta är, som nämnts ovan, fråga om ett ideellt intresse som i många fall kan vara svårt att ange mer exakt. LIA:s utformning innebär emellertid att en gräns har dragits mellan vad som inom lagens tillämpningsområde är tillåtet och otillåtet i fråga om åtgärder som kan kränka en arbetstagares personliga integritet. Om en arbetsgivare går utöver vad som är tillåtet och alltså bryter mot LIA:s bestämmelser måste en kränkning av den personliga integriteten ha uppkommit. Arbetsgivarens ansvar är strikt och gäller därmed oavsett uppsåt eller oaktsamhet från dennes sida. Arbetsgivaren blir ansvarig inte bara för egna åtgärder, utan även för åtgärder som t.ex. någon anställd vidtar mot en annan anställd eller som ett rekryteringsföretag har vidtagit under ett anställningsförfarande. Den möjlighet till jämkning som intagits i bestämmelsen innebär emellertid att arbetsgivaren kan bli fri från ansvar om han eller hon visar att skadan eller kränkningen har uppkommit på grund av fel som inte berodde på arbetsgivaren. Ansvaret bör kunna jämkas bl.a. om arbetsgivaren kan visa att han vidtagit tillräckliga åtgärder för att LIA skall följas, men en kränkning trots det uppkommer på grund av att en arbetstagare eller ett rekryteringsföretag behandlar personuppgifter i strid med arbetsgivarens riktlinjer.
För en arbetstagare är det således tillräckligt att visa att personuppgifter har behandlats eller att annan åtgärd har vidtagits i strid med LIA för att en kränkning skall anses ha uppkommit. Om
SOU 2002:18 Sanktioner
251
arbetsgivaren häremot gör gällande att det föreligger skäl för jämkning, är det arbetsgivarens sak att visa att så är fallet.
När det i övrigt gäller grunderna för jämkning eller bedömning av ersättningens storlek bör tillämpningen överensstämma med vad som gäller enligt PUL.
Här bör särskilt påpekas att en tvist om skadestånd enligt bestämmelsen normalt skall handläggas enligt lagen (1974:371) om rättegången i arbetstvister, vilket närmare har redovisats i avsnitt
15.1.3 Förhållandet till andra bestämmelser
15.1.3.1 Skadeståndslagen
Enligt 1 kap. 1 § skadeståndslagen gäller lagen inte om annat är föreskrivet. I förhållande till 2 kap. 3 § skadeståndslagen är de föreslagna skadeståndsbestämmelserna i LIA sådana specialbestämmelser som tar över de allmänna skadeståndsreglerna i skadeståndslagen. Vid sådana förfaranden som utgör överträdelse av LIA och samtidigt utgör brott enligt andra straffbestämmelser kan ersättning utgå enligt såväl LIA som skadeståndslagens bestämmelser. Den omständigheten att arbetsgivarens åtgärder – förutom överträdelse av LIA – också är straffbara på annan grund bör kunna beaktas vid bedömningen av allvaret i kränkningen.
Skadeståndslagens karaktär av generell lag innebär att dess bestämmelser tillämpas i den utsträckning en skadeståndsfråga inte berörs i LIA. Således skall skadeståndslagen tillämpas bl.a. när det gäller skadeståndets beräkning (5 kap.) eller frågan om ansvaret när det finns flera skadeståndsskyldiga (6 kap. 3 §). Frågan om jämkning p.g.a. medvållande (6 kap. 1 §) får emellertid anses reglerad i den föreslagna bestämmelsen i LIA.
15.1.3.2 PUL
I likhet med vad som allmänt sagts beträffande förhållandet mellan LIA och PUL gäller även i fråga om skadestånd att LIA:s bestämmelse tar över PUL:s i de fall LIA innebär en specialreglering av en skadegörande handling. Om en arbetsgivare t.ex. inhämtar personuppgifter från tredje man utan arbetstagarens samtycke, står det i strid med en särskild bestämmelse i LIA, vilket
Sanktioner SOU 2002:18
252
medför att LIA:s skadeståndsbestämmelse tar över 48 § PUL. Om de i exemplet ovan inhämtade uppgifterna behandlas automatiserat och arbetsgivaren därvid exempelvis i strid med 33 § PUL överför personuppgifterna till tredje land rör det sig om en åtgärd som inte regleras särskilt i LIA. Därmed skall skadeståndsbestämmelsen i PUL tillämpas.
Således kan olika skadeståndsbestämmelser komma att tillämpas avseende olika skeden i behandlingen av en och samma personuppgift. Detta har emellertid ingen materiell betydelse, eftersom LIA:s och PUL:s skadeståndsbestämmelser innehållsmässigt överensstämmer med varandra.
15.2 Straff
15.2.1 Den rättsliga regleringen
15.2.1.1 PUL
I 49 § PUL finns regler om straff för den som bryter mot vissa bestämmelser i lagen. De förfaranden som är straffbelagda är om någon uppsåtligen eller av oaktsamhet lämnar osanna uppgifter i vissa angivna fall, behandlar känsliga uppgifter eller uppgifter om lagöverträdelser i strid med lagen, överför personuppgifter till tredje land i strid med lagen eller underlåter att till tillsynsmyndigheten anmäla vilken behandling som sker. Straffbestämmelsen riktar sig mot varje fysisk person som gör sig skyldig till den straffbara handlingen och är alltså inte särskilt knuten till den personuppgiftsansvarige.
15.2.2 Behovet av ytterligare reglering
För att föreslå nya straffbestämmelser bör krävas starka skäl, bl.a. att det är fråga om ett så allvarligt brott att en straffrättslig sanktion är befogad och att det inte finns andra sätt att reagera mot beteendet i fråga. Vidare måste en straffbestämmelse vara så preciserad att den enskilde klart kan förutse var gränserna för tillåtet beteende går.
Utredningen föreslår att överträdelser av LIA:s bestämmelser skall vara förenade med en skadeståndsskyldighet för arbetsgivaren.
SOU 2002:18 Sanktioner
253
Vidare har i avsnitt redovisats hur frågor om arbetstagares integritetsskydd praktiskt bör komma att hanteras på arbetsplatserna. Fackföreningarna förutses här få ett betydande inflytande. Förutsättningarna att ge de föreslagna bestämmelserna tillräcklig effektivitet utan att förena dem med en straffsanktion tycks därmed goda.
Trots att det alltså enligt utredningens mening inte finns något självständigt behov av att straffsanktionera LIA:s bestämmelser måste följande beaktas. I förhållande till PUL utgör LIA en specialreglering när det gäller bl.a. behandling av personuppgifter om arbetstagares hälsa. Det innebär att PUL:s bestämmelser om behandling av hälsouppgifter inte skall tillämpas inom LIA:s tillämpningsområde, dvs. i förhållandet mellan arbetsgivare och arbetstagare eller arbetssökande. Med hänsyn till att de paragrafer som straffbestämmelsen i PUL hänvisar till därmed inte är tillämpliga innebär de föreslagna bestämmelserna i LIA i praktiken en avkriminalisering i de fall där behandlingen sker helt eller delvis automatiserat. Enligt utredningens mening är det inte lämpligt att här avkriminalisera lagstridig behandling av hälsouppgifter i arbetslivet, när sådan behandling är straffbar i andra sammanhang.
Trots de ovan redovisade betänkligheterna beträffande kriminalisering anser utredningen därför att det är ofrånkomligt att i LIA införa en straffbestämmelse som motsvarar vad som gäller enligt PUL. För att motsvara PUL:s tillämpningsområde är tillräckligt att i LIA införa en bestämmelse som kriminaliserar brott mot 5 § LIA. I förhållande till PUL innebär LIA en specialreglering även t.ex. när det gäller behandling av personuppgifter om lagöverträdelser eller när det gäller arbetsgivarens skyldighet att lämna information till arbetstagarna eller att rätta felaktiga uppgifter. I dessa fall har emellertid direkt i de föreslagna bestämmelserna föreskrivits att motsvarande bestämmelser i PUL fortfarande skall gälla vid helt eller delvis automatiserad behandling eller behandling i registerform. Därför gäller PUL:s straffbestämmelse och någon särskild reglering i LIA behövs inte i de fallen.
Sanktioner SOU 2002:18
254
15.2.3 Överväganden och förslag
Utredningen föreslår: En straffbestämmelse föreslås, enligt
vilken den som uppsåtligen eller av oaktsamhet behandlar personuppgifter i strid med 5 § kan dömas till böter eller fängelse i högst sex månader eller, om brottet är grovt, till fängelse i högst två år. Det straffbara området är begränsat till behandling som sker helt eller delvis automatiserat eller i registerform, varför helt manuell behandling undantas.
Bestämmelsen straffsanktionerar förfaranden som innebär att en arbetsgivare behandlar en arbetstagares eller en arbetssökandes personuppgifter om hälsa eller droganvändning i strid med 5 §. Bestämmelsen utformas med 49 § PUL som förebild och avser därmed såväl uppsåtliga som oaktsamma förfaranden. I likhet vad som gäller enligt PUL är det den fysiska person som gjort sig skyldig till förfarandet som kan dömas till ansvar. Vilken person som i ett enskilt fall kan dömas till ansvar får bedömas utifrån allmänna straffrättsliga principer.
15.2.4 Förhållandet till PUL
Straffbestämmelsen i PUL gäller även i fortsättningen för sådana förfaranden som bestämmelsen avser, med undantag för de fall där LIA innebär en specialreglering. I 9, 11, 12 och 13 §§ har uttryckligen angetts att PUL skall gälla även i fortsättningen vid behandling som sker helt eller delvis automatiserat eller i registerform. Därmed skall också 49 § PUL tillämpas i de fall det sker en straffbar överträdelse av 21 och 23–28 samt 30 och 31 §§ PUL. När det gäller förfaranden i strid med 3 § har tidigare anförts att sådana förfaranden kan vara att bedöma som dataintrång enligt 4 kap. 9 c § BrB.
16 Konsekvenser av förslagen
16.1 Inledning
Enligt 14 § kommittéförordningen (1998:1474) gäller att om förslagen i ett betänkande påverkar kostnaderna eller intäkterna för staten, kommuner, landsting, företag eller andra enskilda skall en beräkning av dessa konsekvenser redovisas i betänkandet och om förslagen innebär samhällsekonomiska konsekvenser i övrigt skall också dessa redovisas. När det gäller kostnadsökningar och intäktsminskningar för staten, kommuner eller landsting skall kommittén föreslå en finansiering. I 15 § nu nämnda förordning sägs att om förslagen i ett betänkande har betydelse för den kommunala självstyrelsen skall konsekvenserna i det avseendet anges i betänkandet. Detsamma gäller när ett förslag har betydelse för brottsligheten och det brottsförebyggande arbetet, för sysselsättningen och offentlig service i olika delar av landet, för små företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i förhållande till större företags, för jämställdheten mellan kvinnor och män eller möjligheterna att nå de integrationspolitiska målen. I 16 § sägs att regeringen anger närmare i utredningsuppdraget vilka konsekvensbeskrivningar som skall finnas i ett betänkande.
I Integritetsutredningens direktiv har angetts att utredaren särskilt skall ta hänsyn till de små företagens arbetsförutsättningar, konkurrensförmåga och villkor i övrigt.
16.2 Ekonomiska konsekvenser
Utredningens förslag till integritetsskyddande lag kommer att beröra de flesta arbetsgivares verksamhet. Det är därför önskvärt
Konsekvenser av förslagen SOU 2002:18
256
att både arbetsgivare och arbetstagare informeras om lagens innebörd. Enligt utredningens mening är det lämpligast att överlåta åt arbetsgivar- och arbetstagarorganisationerna att informera sina medlemmar på det sätt som är mest praktiskt och effektivt. För denna uppgift bör det utgå extra medel. Frågan om beloppets storlek får behandlas vid överläggningar mellan regeringen och berörda organisationer.
I övrigt kan lagförslaget inte anses medföra några kostnader som bör täckas med särskilda anslag.
16.3 Övriga konsekvenser
Bestämmelserna om genomförandet av hälsoundersökningar och drogtester kan föranleda en mindre kostnad för de arbetsgivare som i syfte att uppfylla lagens krav ansluter sig till företagshälsovården eller liknande inrättningar.
Utredningen har fortlöpande bedrivit sitt arbete med hänsyn till att kvinnor och män skall behandlas lika. Uppmärksamheten har alltså kontinuerligt varit riktad mot jämställdhetsfrågor och utredningen anser att lagförslaget är helt i enlighet med intentionerna i jämställdhetslagstiftningen. Utredningen har också tagit del av relevanta EG-direktiv och avgöranden från EG-domstolen angående familjeplaneringsfrågor och beaktat de resonemang som framkommit i avgörandena vid utformningen av såväl lagtext som betänkandetext.
Enligt direktiven har utredningen att beakta de föreslagna bestämmelsernas konsekvens för de små företagens arbetsförutsättningar, konkurrensförmåga och villkor i övrigt. Utredningen anser inte att lagförslaget kommer att få verkningar som påverkar de mindre företagens förutsättningar i nämnda avseenden.
Utredningen anser inte heller att förslaget får några konsekvenser i övrigt i de hänseenden som bör beaktas.
257
17 Författningskommentar
Förslag till lag om skydd för personlig integritet i arbetslivet
Syftet med lagen
1 §
Syftet med denna lag är att med utgångspunkt i personuppgiftslagen (1998:204) stärka skyddet för den personliga integriteten i arbetslivet.
Paragrafen är en s.k. portalparagraf som upplyser om att målsättningen med lagen är att stärka integriteten i arbetslivet.
Förslaget motiveras utförligt i kapitel 3 i den allmänna motiveringen.
Lagens tillämpningsområde
2 §
Lagen tillämpas på arbetsgivares dokumenterade behandling av arbetstagares och arbetssökandes personuppgifter. Med arbetstagare förstås i förekommande fall även tidigare arbetstagare.
Vid all behandling av personuppgifter som omfattas av denna lag tillämpas även 7 – 9 §§ personuppgiftslagen .
Om det i en annan lag än personuppgiftslagen eller i en förordning finns bestämmelser som avviker från denna lag, skall de bestämmelserna gälla.
Författningskommentar SOU 2002:18
258
I paragrafen finns bestämmelser om tillämpningsområdet för lagen. Bestämmelserna har ingående beskrivits i kapitel 4 i den allmänna motiveringen.
Med begreppet behandling av personuppgifter avses detsamma som anges i 3 § PUL, nämligen varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring.
Med begreppet personuppgift avses, likaledes enligt 3 § PUL, all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet.
Alla former av behandling av personuppgifter – manuell och automatiserad – omfattas av LIA. För det första krävs det dock att personuppgifterna är dokumenterade. En personuppgift är dokumenterad om den finns i en framställning i skrift eller bild eller i en upptagning som kan läsas, avlyssnas eller på annat sätt uppfattas med tekniskt hjälpmedel (jfr motsvarande krav i fråga om handlingar i 2 kap. 3 § första stycket TF). Personuppgifter som en arbetsgivare har fått muntligt och som inte därefter dokumenterats omfattas således inte.
För det andra krävs att det är en arbetsgivare som behandlar personuppgifter om en person som är eller har varit arbetstagare hos arbetsgivaren eller söker eller har sökt anställning hos arbetsgivaren. Lagen bygger på det civilrättsliga arbetstagarbegreppet. Med arbetssökande avses detsamma som enligt 45 § jämställdhetslagen (1991:433). En arbetsgivare anses behandla personuppgifter om arbetsgivaren ensam eller tillsammans med annan bestämmer ändamålen med och medlen för behandlingen (jfr definitionen av personuppgiftsansvarig i 3 § PUL). Att en arbetsgivare som anlitar rekryteringsföretag eller liknande företag under vissa förutsättningar anses ansvarig enligt LIA för företagets behandling av personuppgifter har berörts i avsnitt i den allmänna motiveringen.
Av paragrafen framgår vilken behandling av personuppgifter som omfattas av LIA. I andra stycket föreskrivs att 7–9 §§ PUL skall tillämpas vid all behandling som omfattas av LIA. Det innebär att dessa bestämmelser skall tillämpas också på sådan manuell behandling som inte omfattas av 5 § PUL men som omfattas av LIA, dvs. vad som i betänkandet benämns helt manuell behandling.
SOU 2002:18 Författningskommentar
259
Vid tillämpning av 7–9 §§ PUL avses arbetsgivare med begreppet personuppgiftsansvarig och arbetstagare eller arbetssökande med begreppet registrerad. Den som är anställd och inom ramen för arbetsgivarens verksamhet behandlar personuppgifter är inte personuppgiftsansvarig. Arbetsgivaren är personuppgiftsansvarig och den anställde är medhjälpare och har som sådan inte något eget skadeståndsansvar gentemot andra anställda eller mot arbetssökande.
I 9 § PUL slås fast grundläggande krav på behandlingen av personuppgifter. Paragrafen har följande lydelse:
Den personuppgiftsansvarige skall se till att
a) personuppgifter behandlas bara om det är lagligt,
b) personuppgifter alltid behandlas på ett korrekt sätt och i enlighet
med god sed,
c) personuppgifter samlas in bara för särskilda, uttryckligt angivna
och berättigade ändamål,
d) personuppgifter inte behandlas för något ändamål som är
oförenligt med det för vilket uppgifterna samlades in,
e) de personuppgifter som behandlas är adekvata och relevanta i
förhållande till ändamålen med behandlingen,
f) att inte fler uppgifter behandlas än som är nödvändigt med
hänsyn till ändamålen med behandlingen
g) de personuppgifter som behandlas är riktiga och, om det är
nödvändigt, aktuella
h) alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna
sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen,
i) personuppgifter inte bevaras under en längre tid än vad som är
nödvändigt med hänsyn till ändamålen med behandlingen. I fråga om första stycket d gäller dock att en behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte skall anses som oförenlig med de ändamål för vilka uppgifterna samlades in.
Personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål under längre tid än som sagts i första stycket i. Personuppgifterna får dock i sådana fall inte bevaras under en längre tid än vad som behövs för dessa ändamål.
Personuppgifter för historiska, statistiska eller vetenskapliga ändamål får användas för att vidta åtgärder i fråga om den registrerade bara om den registrerade har lämnat sitt samtycke eller
Författningskommentar SOU 2002:18
260
om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen.
Bestämmelserna i 7 och 8 §§ PUL, som behandlar förhållandet till tryckfriheten, yttrandefriheten och offentlighetsprincipen, berörs i den allmänna motiveringen i avsnitt Av tredje stycket framgår att bestämmelserna i LIA är subsidiära i förhållande till bestämmelser i andra lagar än PUL och i förordningar utfärdade av regeringen. Beslut som riksdagen eller regeringen har fattat i annan form än lag eller förordning tar däremot inte över bestämmelserna i LIA. Att bestämmelser i grundlag vid konflikt tar över bestämmelserna i LIA följer redan av den vedertagna principen om grundlags överhöghet.
Frågan om en viss bestämmelse innefattar en avvikelse från vad som skall gälla enligt LIA får avgöras med tillämpning av sedvanliga metoder för tolkning av författningar. En bestämmelse om att en arbetsgivare får eller skall registrera eller lämna ut vissa uppgifter kan t.ex. avvika från bestämmelserna i LIA.
Privat e-post och andra privata elektroniska uppgifter
3 §
En arbetsgivare får inte avsiktligt ta del av en arbetstagares privata epost eller andra privata elektroniska uppgifter.
Första stycket gäller inte om arbetstagaren har lämnat sitt samtycke till åtgärden.
Första stycket gäller inte heller om åtgärden är nödvändig för arbetsgivarens verksamhet. Vid bedömningen härav skall särskilt beaktas om det föreligger fara för informationssäkerheten eller om det finns skälig misstanke att arbetstagaren har gjort sig skyldig till brott vid användning av arbetsgivarens elektroniska utrustning eller till sådant illojalt beteende som kan utgöra saklig grund för uppsägning eller föranleda skadeståndsskyldighet.
I första stycket slås fast som huvudregel att en arbetstagares privata e-post eller andra privata elektroniska uppgifter som finns i arbetsgivarens IT-utrustning är skyddade från insyn från arbetsgivarens sida och att denne därmed inte får ta del av uppgifterna. Med hänsyn till de praktiska svårigheterna att på förhand avgöra om vissa uppgifter är privata eller inte har införts en begränsning till fall där arbetsgivaren avsiktligt tar del av uppgifterna. Bestämmel-
SOU 2002:18 Författningskommentar
261
sen hindrar således inte att en arbetsgivare i oklara fall tar del av uppgifter för att undersöka om de är privata. Om det då visar sig att uppgifterna är privata får arbetsgivaren inte vidta några ytterligare åtgärder för att ta del av uppgifterna.
Av andra stycket framgår dock att arbetsgivaren alltid har rätt att ta del av privata elektroniska uppgifter om arbetstagaren har samtyckt till åtgärden. Med samtycke avses detsamma som enligt PUL.
I tredje stycket anges vidare att arbetsgivaren får ta del av en arbetstagares privata elektroniska uppgifter även i de fall att det är nödvändigt för verksamheten. Vilka omständigheter som kan göra detta berättigat har exemplifierats. Med uttrycket ”fara för informationssäkerheten” avses ett påtagligt och betydande hot. Åtgärden att ta del av uppgifterna måste också vid en objektiv bedömning framstå som nödvändig med hänsyn såväl till arbetsgivarens verksamhet som till den föreliggande faran. Vid misstanke om brott eller illojalt beteende krävs en konkret misstanke, vilket uttrycks på så sätt att det skall finnas en skälig misstanke.
En arbetsgivares åtgärd att ta del av privat elektronisk information utgör enligt PUL behandling av personuppgifter om arbetstagaren. PUL:s bestämmelser skall därför tillämpas vid sidan av den nu föreslagna bestämmelsen.
Loggning
4 §
I fråga om behandling av personuppgifter om arbetstagare som har samlats in helt eller delvis automatiserat (loggning) gäller vad som föreskrivs i personuppgiftslagen .
Bestämmelsen har inget materiellt innehåll utan är endast en hänvisning till PUL. Motiven till att en hänvisning har ansetts erforderlig utvecklas i avsnitt 5.5.3.
Författningskommentar SOU 2002:18
262
Personuppgifter om hälsa eller droganvändning
5 §
En arbetsgivare får inte behandla personuppgifter om en arbetstagares eller en arbetssökandes hälsa eller droganvändning.
Första stycket gäller inte om behandlingen är nödvändig för att bedöma om arbetstagaren eller arbetssökanden är lämpad för att utföra arbetsuppgifter i arbetsgivarens verksamhet eller för att bedöma arbetstagarens rätt till förmåner om arbetstagaren har begärt detta.
De ställningstaganden som motiverar lagförslaget i detta avseende har redovisats i avsnitt och förslagets närmare utformning har redovisats i avsnitt.
I första stycket anges huvudregeln som är ett förbud för arbetsgivaren att behandla de angivna personuppgifterna.
Av andra stycket framgår de två undantagen från huvudregeln. Det första undantaget, som innebär att arbetsgivaren får behandla personuppgifter om hälsa eller droganvändning för att bedöma om en arbetstagare eller en arbetssökande är lämpad för de aktuella arbetsuppgifterna, villkoras av att behandlingen av hälsouppgifterna skall vara nödvändig. Det är inte möjligt att hänvisa till att vissa verksamheter generellt är att betrakta som riskfyllda eller att en arbetstagare kan misstänkas få missbruksproblem framledes. Arbetsgivaren måste i stället i varje enskilt fall överväga om behandlingen är nödvändig för en bedömning av arbetstagarens möjligheter att utföra arbetsuppgifter. Om en arbetsgivare t.ex. behandlar uppgifter om arbetstagares droganvändning i syfte att förebygga risker på arbetsplatsen kan ofta informationsinsatser och en gemensamt utarbetad policy utgöra ett fullgott alternativ till behandlingen och denna kan då inte anses nödvändig.
Undantaget innebär att arbetsgivaren får behandla uppgifter om en arbetstagares eller en arbetssökandes hälsa för att kunna bedöma om han eller hon överhuvudtaget är i stånd att utföra arbetsuppgifter. Detta aktualiseras t.ex. när det ställs särskilda krav på arbetstagarens förmåga. I de flesta fall torde dock arbetsgivaren genom stöd och anpassningsåtgärder kunna utforma arbetsmiljön på ett sätt som innebär att det inte är nödvändigt att behandla hälsouppgifter enligt LIA.
Enligt det andra undantaget skall behandlingen föregås av en begäran från arbetstagaren. Denna kan framställas både muntligen
SOU 2002:18 Författningskommentar
263
och skriftligen eller framgå av s.k. konkludent handlande. En begäran anses också framställd om arbetstagaren ger in handlingar till arbetsgivaren, t.ex. i form av kvitton, eller om arbetstagaren uppträder på ett sätt som ger arbetsgivaren befogad anledning att anta att arbetstagaren önskar att få del av förmånen.
Hälsoundersökningar och drogtester
6 §
En arbetsgivare skall tillse att hälsoundersökningar avseende arbetstagare eller arbetssökande bara genomförs av personal inom hälso- och sjukvården eller under överinseende av sådan personal.
7 §
En arbetsgivare skall tillse att drogtester avseende arbetstagare eller arbetssökande bara genomförs med metoder som är tillförlitliga.
Arbetsgivaren skall därvid tillse att andra prover än utandningsprov bara tas av personal inom hälso- och sjukvården eller under överinseende av sådan personal samt att proven analyseras av ett laboratorium som är ackrediterat enligt lagen ( 1992:1119 ) om teknisk kontroll.
Förslagen i dessa bestämmelser har behandlats utförligt i den allmänna motiveringen i avsnitt.
Tillsynen över personal inom hälso- och sjukvården utövas av Socialstyrelsen enligt 6 kap. lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område.
Personlighetstester
8 §
En arbetsgivare får inte behandla personuppgifter om en arbetstagare eller en arbetssökande som har hämtats in genom ett personlighetstest annat än med samtycke.
Arbetsgivaren skall tillse att personlighetstester bara genomförs på ett betryggande sätt med testinstrument som är tillförlitliga och av personer med adekvat utbildning.
Författningskommentar SOU 2002:18
264
Förslaget har motiverats närmare i kapitel i den allmänna motiveringen.
I bestämmelsen uppställs som krav för att arbetsgivaren skall vara tillåten att använda personlighetstester att de skall vara tillförlitliga. De svårigheter som för närvarande föreligger vid en bedömning av om en metod är tillförlitlig har utvecklats särskilt i den allmänna motiveringen. Det bör uppmärksammas att även de principer som kommer till uttryck i 9 § PUL skall iakttas vid tillämpningen av bestämmelsen.
Personuppgifter om lagöverträdelser
9 §
En arbetsgivare får inte behandla personuppgifter om lagöverträdelser avseende arbetstagare eller arbetssökande som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden.
Första stycket gäller inte om behandlingen är nödvändig för att bedöma arbetstagarens eller arbetssökandens tillförlitlighet med hänsyn till säkerheten för det allmänna eller för arbetsgivarens verksamhet.
Om behandlingen sker helt eller delvis automatiserat eller i registerform skall även 21 § personuppgiftslagen gälla.
LIA:s definition av lagöverträdelser och straffprocessuella tvångsmedel överensstämmer med definitionen i 21 § PUL.
Beträffande sådan behandling av personuppgifter om lagöverträdelser som sker helt eller delvis automatiserat eller i registerform gäller fortfarande 21 § PUL. Detta utvecklas i kapitel 8 i den allmänna motiveringen.
Inhämtande av uppgifter
10 §
En arbetsgivare skall i första hand hämta in sådana personuppgifter som avses i 5 och 9 §§ från arbetstagaren eller arbetssökanden själv. Bara om detta inte är möjligt och under förutsättning av arbetstagarens eller arbetssökandens samtycke, får arbetsgivaren hämta in sådana personuppgifter från någon annan källa.
SOU 2002:18 Författningskommentar
265
I bestämmelsen slås fast att en arbetstagare eller en arbetssökande har rätt till kontroll över de uppgifter om honom eller henne som behandlas av arbetsgivaren. Även om arbetsgivaren vänder sig till en annan källa för att hämta in uppgifter om arbetstagaren eller arbetssökanden bibehålls rätten till kontroll genom att arbetstagaren eller arbetssökanden skall lämna sitt samtycke till åtgärden. I sistnämnda fall får också bestämmelserna om information i 12 § betydelse, eftersom arbetsgivaren är skyldig att informera arbetstagaren om samtliga omständigheter som behövs för att arbetstagaren eller arbetssökanden skall kunna ta tillvara sina rättigheter i samband med behandlingen.
Förvaring av personuppgifter
11 §
En arbetsgivare skall förvara sådana personuppgifter som avses i 3, 5, 8 och 9 §§ på ett betryggande sätt och åtskilda från övriga personuppgifter. Dessa personuppgifter får bara behandlas av en begränsad krets av personer.
Om behandlingen sker helt eller delvis automatiserat eller i registerform skall även 30 och 31 §§ personuppgiftslagen gälla.
Förslaget har behandlats närmare i kapitel i den allmänna motiveringen.
Information och rättelse
12 §
En arbetsgivare skall utan dröjsmål lämna information om sådana personuppgifter om en arbetstagare eller en arbetssökande som arbetsgivaren behandlar och om ändamålen med behandlingen.
Om behandlingen sker helt eller delvis automatiserat eller i registerform skall 23 – 27 §§ personuppgiftslagen gälla.
Författningskommentar SOU 2002:18
266
13 §
En arbetsgivare skall utan dröjsmål rätta eller utplåna sådana personuppgifter om en arbetstagare eller en arbetssökande som inte har behandlats enligt denna lag eller enligt föreskrifter som har utfärdats med stöd av lagen. Om behandlingen sker helt eller delvis automatiserat eller i registerform skall 28 § personuppgiftslagen gälla.
Bestämmelserna innebär en skyldighet för arbetsgivaren att dels informera en arbetstagare om pågående behandling av uppgifter beträffande denne, dels rätta eller utplåna uppgifter som är felaktiga eller har behandlats i strid med lagen. Eftersom PUL gäller behandling som sker automatiserat eller i registerform avser bestämmelserna endast helt manuell behandling. Utformningen är enklare än motsvarande bestämmelser i PUL. Att skyldigheten att lämna information eller att vidta rättelse inträder så snart behandlingen påbörjas eller ett fel upptäcks framgår av att det anges att åtgärden i fråga skall ske utan dröjsmål.
Tystnadsplikt
14 §
Den som hos en arbetsgivare med privat verksamhet behandlar eller har behandlat sådana personuppgifter som avses i 3–5, 8 och 9 §§ får inte obehörigen röja eller utnyttja vad som därvid kommit fram.
Bestämmelsen gäller bara obehörigt röjande eller utnyttjande av uppgifter. I avsnitt i den allmänna motiveringen har anförts att det inte är fråga om obehörigt förfarande i de fall där arbetsgivaren enligt lag har rätt att föra uppgifterna vidare. Det är inte heller fråga om obehörigt förfarande när arbetstagaren samtyckt till att uppgifterna förs vidare.
Den som behandlar uppgifter i strid med bestämmelsen kan göra sig skyldig till brott mot tystnadsplikt enligt 20 kap. 3 § brottsbalken och dömas till böter eller fängelse i högst ett år.
Motsvarande bestämmelser i fråga om offentlig verksamhet finns i 7 kap. 11 § sekretesslagen.
SOU 2002:18 Författningskommentar
267
MBL-förhandling
15 §
I fråga om arbetsgivarens skyldighet att förhandla före beslut som rör verksamheten gäller 11 – 14 §§ lagen ( 1976:580 ) om medbestämmande i arbetslivet.
I bestämmelsen har tagits in en hänvisning till MBL. Hänvisningen har ingen materiell betydelse utan syftet med paragrafen är att framhäva vikten av att arbetstagarnas inflytande uppmärksammas i de frågor som omfattas av LIA.
Skadestånd
16 §
En arbetsgivare skall ersätta en arbetstagare eller en arbetssökande för skada och kränkning av den personliga integriteten som en behandling i strid med denna lag har orsakat.
Ersättningsskyldigheten kan i den utsträckning det är skäligt jämkas, om arbetsgivaren visar att felet inte berodde på arbetsgivaren.
Paragrafen föreskriver ett strikt skadeståndsansvar för sak- och personskada, ren förmögenhetsskada samt för kränkning av den personliga integriteten. Enligt andra stycket kan emellertid ansvaret jämkas i den utsträckning det är skäligt.
Beträffande den närmare tillämpningen hänvisas till avsnitt 15.1 i den allmänna motiveringen.
Straff
17 §
Till böter eller fängelse i högst sex månader eller, om brottet är grovt, till fängelse i högst två år döms den som uppsåtligen eller av oaktsamhet behandlar personuppgifter i strid med 5 §. Första stycket gäller endast behandling som sker helt eller delvis automatiserat eller i registerform.
Författningskommentar SOU 2002:18
268
Paragrafen har införts för att möjligheterna att med straff beivra lagstridiga behandlingar inte skall vara mindre när det gäller en arbetsgivares behandling av arbetstagares eller arbetssökandes personuppgifter än vad som gäller i övrigt. Bestämmelsen omfattar således behandling av arbetstagares eller arbetssökandes personuppgifter som sker helt eller delvis automatiserat eller i registerform. Helt manuellt behandlade uppgifter faller utanför.
Straffansvaret åvilar den fysiska person som utför behandlingen. Bestämmelsen har utformats med 49 § PUL som förebild.
Överklagande av myndighetsbeslut
18 §
En myndighets beslut om att inte lämna information eller meddela rättelse enligt 12 och 13 §§ får överklagas hos allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten.
Paragrafen innehåller bestämmelser om sättet för överklagande av myndighets beslut i angivna frågor.
Rättegången
19 §
Mål om tillämpningen av denna lag skall, utom i fall som avses i 17 och 18 §§, handläggas enligt lagen ( 1974:371 ) om rättegången i arbetstvister. Därvid anses som arbetstagare också arbetssökande och som arbetsgivare också den som någon har sökt arbete hos.
Enligt huvudregeln i 1 kap. 1 § lagen (1974:371) om rättegången i arbetstvister (LRA) äger den lagen tillämpning på rättegången i tvister om kollektivavtal och andra tvister rörande förhållandet mellan arbetsgivare och arbetstagare (arbetstvister). Tvister som rör tillämpningen av LIA skall, med det undantag som anges i 1 kap. 2 § punkt 3 LRA, i enlighet därmed handläggas av Arbetsdomstolen.
269
Särskilt yttrande
Särskilt yttrande av Lena Svenaeus
En mycket viktig fråga för utredningen har varit vilken typ av lagstiftning som bör väljas för att uppnå målet: ett starkare integritetsskydd i arbetslivet. Det är enligt min mening en omväg att bygga upp ett skydd för arbetstagares och arbetssökandes personliga integritet genom att skapa en speciallag till personuppgiftslagen (PUL). Integritetsfrågorna rör relationen mellan arbetsgivare och arbetstagare. I denna relation är inte hanteringen av uppgifter det centrala – även om effektiva skyddsregler för sådan hantering är en viktig del i ett fungerande integritetsskydd – utan den handling varigenom arbetstagarens/arbetssökandens integritet hotas eller åsidosätts. En fokusering på behandlingen av personuppgifter får dessutom den olyckliga konsekvensen att situationer som inte innefattar eller leder till personuppgiftshantering helt hamnar utanför skyddszonen. Det finns utifrån det arbetsrättsliga synsättet inga bärande skäl till att en lag som ska skydda integriteten i arbetslivet utformas som en pendang till PUL. Integritetsfrågorna närliggande lagstiftning såsom diskrimineringslagarna bygger inte på PUL och det har såvitt känt aldrig hävdats att detta skulle skapa några problem.
En lag som handlar om skydd för den personliga integriteten ligger nära – och sammanfaller i viktiga delar – med lagstiftning om mänskliga rättigheter och lagstiftning till skydd mot diskriminering. Det talar starkt för att lagförslaget borde utformas som en rättighetslag med vissa starkt begränsade undantag från rätten till integritet. Eftersom det handlar om rättigheter för individen är det viktigt att lagstiftningen är lätt att tillämpa. Annars riskerar den att bli ineffektiv. Arbetsgivare och fackliga företrädare är vana att hantera traditionell arbetsrättslig lagstiftning. Däremot är det tveksamt om de besitter den kunskap om PUL:s regler som är nödvändig för att man ska kunna förstå och tillämpa
Särskilt yttrande SOU 2002:18
270
bestämmelserna om de utformas på sätt nu föreslås. PUL är svår att tränga in i också för juridiskt skolade personer.
Lagstiftning om skydd för den personliga integriteten måste ha viss dignitet. Enligt min mening ger den nu föreslagna regleringen (speciallag till PUL) inga sådana signaler. Den föreslagna lagen underordnas all annan lagstiftning än PUL. Det föreligger en klar risk för att en på detta sätt utformad lag ute i arbetslivet kommer att uppfattas som ”administrativa föreskrifter” för personalansvariga och inte som en skyddslag för den enskilde.
En lagstiftning som ska utgå från rättighetsbegreppet kan inte bygga på en balans mellan arbetsgivar- och arbetstagarintressen. Många arbetsrättsliga lagar såsom t.ex. lagen om anställningsskydd utgår från att intressekollisioner ska avgöras genom avvägningar från fall till fall mellan arbetsgivarens och arbetstagarens intressen och det är också den metod som används i rättskipningen. Det är emellertid inte en modell som är lämplig att använda i lagstiftning till skydd för personlig integritet lika litet som när det gäller skydd mot diskriminering. Skyddet ska vara absolut och undantagen relaterade till situationer som ska uppfylla samma kriterier oavsett arbetsplatsens storlek, arbetsgivarens ekonomiska resurser eller liknande. Arbetstagarens rätt till personlig integritet ska respekteras – inte balanseras. Detta kan tyckas vara en teoretisk lagteknisk aspekt utan praktiskt intresse. Jag menar dock att metoden att balansera arbetsgivarintressen mot arbetstagarintressen får praktiska konsekvenser. Respekten för arbetstagarens/arbetssökandens integritet tenderar hela tiden att komma i skymundan av de risker för skador och olägenheter som lätt kan målas upp av arbetsgivarsidan. Också denna utredning har fått en sådan slagsida. Vi har saknat material och närmare information om vilka fysiska, psykiska, ekonomiska och andra effekter integritetskränkande åtgärder kan förorsaka medan arbetsgivarens behov av kontroller är mera utförligt beskrivet.
Det råder delade meningar om var gränserna enligt gällande rätt går för arbetsgivarens rätt att leda och fördela arbetet. Oavsett om man, för att ta ett exempel, kommer fram till att gällande rätt innebär att privata arbetsgivare med stöd av arbetsledningsrätten i vissa situationer får beordra drogtestning – eller att sådana ingrepp under alla förhållanden ligger utanför arbetsledningsrätten – efterlyser jag en kritisk diskussion av rättstillämpningen på detta område.
SOU 2002:18 Särskilt yttrande
271
Så länge tillsvidareanställningar var den allt överskuggande anställningsformen hade arbetsgivaren ett långtgående ansvar för den anställde som i någon mån kunde rättfärdiga en långtgående lydnadsplikt. I dagens arbetsliv finns inte äldre tiders patriarkala åtaganden för arbetskraften. Samtidigt vill man gärna se arbetsgivare och arbetstagare som ”medarbetare” och jämbördiga parter. Det är i många avseenden en falsk bild. Arbetstagares och arbetssökandes utsatthet har ökat liksom risken att på mer eller mindre seriösa grunder bli bortsållad. Den tekniska utvecklingen har samtidigt inneburit att arbetsgivares möjligheter att övervaka de anställda ökat, vilket medfört särskilda risker för integritetskränkningar. Valet för den enskilde att motsätta sig integritetskränkande kontroller finns i praktiken inte, om man vill erhålla eller behålla en anställning. Denna utveckling motiverar i sig en annan och modernare syn på arbetsledningsrätten och med större respekt för individens integritet än som hittills kommit till uttryck i Arbetsdomstolens rättspraxis.
Sammanfattningsvis anser jag att en lag till skydd för den personliga integriteten i arbetslivet bör utformas som en rättighetslag och täcka alla typer av integritetskränkningar som kan drabba en arbetstagare/arbetssökande. Detta kan självklart medföra att vissa följdändringar måste göras i PUL inom de gränser som gällande EU-direktiv stipulerar. Jag kan inte se att detta skulle vara något allvarligt hinder för den utformning jag förordar. En sådan lag kunde lämpligen inledas med en målsättningsparagraf inspirerad av den finska lagen om integritetsskydd i arbetslivet (i kraft den 1 oktober 2001) alternativt en generell bestämmelse av förslagsvis följande lydelse.
Arbetsgivare får inte åsidosätta arbetssökandes och arbetstagares rätt till personlig integritet såvida det inte är nödvändigt av hänsyn till liv eller hälsa eller eljest finns synnerliga skäl. Syftet med denna lag är att stärka skyddet för den personliga integriteten.
275
Bilaga 1
Kommittédirektiv
Den personliga integriteten i arbetslivet
Dir.
1999:39
Beslut vid regeringssammanträde den 23 september 1999
Sammanfattning av uppdraget
En särskild utredare tillkallas för att se över behovet av lagstiftning eller andra åtgärder för att stärka skyddet av den enskildes personliga integritet i arbetslivet.
I översynen skall det i första hand ingå frågor om användning av drogtester och andra medicinska kontroller samt frågor om användning av persondatorer, elektronisk post (e-post) och Internet i arbetet. Även andra integritetsfrågor som kommer upp under utredningsarbetets gång och där skyddet för den personliga integriteten i arbetslivet kan vara allvarligt hotat skall tas upp av utredaren. Behovet av skydd för arbetssökande skall särskilt belysas.
Utredaren skall utnyttja det arbete som utförts av tidigare utredningar och beakta det underlag som redan finns, t.ex. i betänkandet Medicinska undersökningar i arbetslivet (SOU 1996:63).
Bakgrund
Övervakning och kontroll i arbetet
I de flesta verksamheter förekommer någon form av övervakning och kontroll av arbetet samt registrering av uppgifter om arbetet
Bilaga 1 SOU 2002:18
276
och de enskilda arbetstagarna. Det innebär att mer eller mindre omfattande uppgifter om arbetet och arbetstagarna registreras, lagras och bearbetas av arbetsgivaren. Övervakningen och kontrollen kan sägas vara ett led i utövandet av arbetsgivarens arbetsledningsrätt, dvs. rätten att leda och fördela arbetet samt att anställa och säga upp personal.
Kontrollen kan ha olika ändamål. Det kan handla om närvaro- och frånvaroregistrering och andra sedvanliga personaladministrativa åtgärder. Kontrollen kan vara av huvudsakligen produktionsteknisk natur och avse arbetsprocessen och produktionsflödet. Även om en sådan kontroll primärt inte syftar till att kontrollera de enskilda individerna kan registrerade uppgifter i vissa fall ändå hänföras till en enskild person. Tillträdes- och behörighetskontroll för att bl.a. skydda information och andra tillgångar förekommer i de flesta verksamheter. Medicinska kontroller av olika slag används i en hel del verksamheter inför och under anställningen. Hit hör drogtester för att kontrollera om de arbetssökande eller anställda använder narkotika eller andra droger.
I samband med rekrytering av personal används olika metoder för att granska arbetssökandes kompetens, egenskaper och lämplighet. Lämplighetstester av olika slag är därvid vanliga. Faktorer som minskad bemanning på arbetsplatserna, ökad betydelse av personliga egenskaper och höga krav på kompetens kan eventuellt leda till krav på ökad kontroll av de arbetssökande. Det har förekommit att arbetssökande ombetts att visa utdrag ur kriminalregistret eller att uppgifter hämtats in om förekomsten av betalningsförsummelser. Det har även förekommit att arbetssökande har avkrävts graviditetstest.
Den snabba utvecklingen av informationstekniken har förändrat produktionsprocesser och arbetsmetoder. Tekniken har blivit tillgänglig för allt fler. I stort sett alla, oberoende av var man arbetar, använder i dag en persondator eller annan datorutrustning i arbetet. Tekniken har också förändrat möjligheterna till kontroll. Stora mängder information om arbetet och om de enskilda arbetstagarna kan registreras och lagras elektroniskt. Verksamheter och system blir känsligare för störningar och risken för intrång och obehörigt utnyttjande av information ökar. Detta kan i sig leda till behov av ökad kontroll. I en allt hårdare konkurrens ökar vidare kraven på kostnadseffektivitet, kundanpassning och kvalitetssäkring. Även detta kan leda till ett ökat behov av mer
Bilaga 1
277
ingående kontroll. Den kontroll som sker genom registrering i datamedier är för den enskilde ofta dold och svår att upptäcka.
E-post och Internet används i arbetet av allt fler arbetstagare. Internet ger med sin öppenhet tillgång till en enorm informationsmängd och stora möjligheter att sprida information. Detta leder samtidigt till ett ökat behov för arbetsgivaren av att kontrollera användningen. Ett skäl för det kan vara skyddet mot att utomstående får obehörig åtkomst till uppgifter i verksamheten genom Internetuppkopplingen. Ett annat skäl kan vara en önskan att begränsa eller helt förhindra en privat användning av Internet på arbetsplatsen.
I de flesta datasystem ”loggas” transaktionerna i systemet som en del av behörighetskontrollen. Registreringen av användningen av e-postsystem och Internet innebär en mer komplicerad integritetsproblematik bl.a. av det skälet att meddelanden och uppgifter av privat natur kan bli registrerade. Liksom annan kontroll av användningen av datorsystem sker registreringen dessutom i regel utan någon direkt insyn från den enskilde.
Elektronisk övervakning kan också användas på ett mer sofistikerat sätt för att kontrollera den enskildes arbete. Electronic Performance Monitoring (EPM) handlar om system och program för att på elektronisk väg samla in information om och närmare analysera de anställdas aktiviteter. I bl.a. USA används sådana system i vissa telefonserviceföretag, t.ex. bokningscentraler, samt i bank- och telekommunikationsföretag.
En del av den registrering och kontroll som sker är en nödvändig följd av anställningsförhållandet, t.ex. för att lön och andra förmåner skall kunna betalas ut på ett korrekt sätt. Andra kontroller kan vara nödvändiga av säkerhetsskäl och i vissa fall rent av obligatoriska på grund av författningsbestämmelser.
Den kontroll och registrering som sker innebär att omfattande uppgifter om de enskilda arbetstagarna kan komma att registreras. Uppgifterna kan avse närvaro och frånvaro, mer eller mindre detaljerade uppgifter om arbetsprestationer, registrerad e-post och Internetanvändning, utbildning, förtjänst- och resultatuppgifter m.m. Under vissa förutsättningar kan även hälsouppgifter och uppgifter om resultatet av drogtester registreras. En hel del av dessa uppgifter är till karaktären integritetskänsliga. För den enskilde är situationen i arbetet normalt sådan att det inte är möjligt att påverka om och hur personuppgifterna skall registreras. Även om det finns en teoretisk valsituation, vilket är fallet för en
Bilaga 1 SOU 2002:18
278
arbetssökande, kan situationen ändå vara sådan att det i praktiken är svårt att avvisa en viss kontroll.
Generellt sett kan, på grund av de skyldigheter som följer av anställningsförhållandet, handlingsfriheten och den fredade sektorn för den enskilde betraktas som mer inskränkt i arbetslivet än i andra delar av samhällslivet. De enskilda arbetstagarna får i relativt stor utsträckning tåla att arbetsgivaren utför kontroll och har tillgång till en mängd uppgifter om dem och det arbete de har utfört. Arbetsgivarens berättigade intresse av kontroll för att kunna leda och fördela arbetet m.m. måste ställas mot arbetstagarnas anspråk på ett skydd för den personliga integriteten.
Den tidigare behandlingen av frågor om drogtestning och annan medicinsk kontroll
I september 1994 tillsattes en särskild utredare för att utreda vissa frågor om medicinska kontroller i arbetslivet. Utredaren redovisade i april 1996 sitt arbete i betänkandet Medicinska undersökningar i arbetslivet (SOU 1996:63). Utredaren bedömde att de dåvarande förhållandena inte motiverade någon begränsande lagstiftning vad gäller sedvanliga medicinska undersökningar i samband med eller under en anställning. När det gäller narkotikatester fann utredaren inte heller skäl att föreslå lagstiftning. Enligt utredaren borde frågan om narkotikatester lösas av arbetsmarknadens parter. Någon lagstiftning vad avser alkoholtester föreslogs inte heller. Betänkandet har remissbehandlats. Flera av remissinstanserna anser att frågan om en reglering av medicinska kontroller borde utredas ytterligare.
I svensk rätt finns det för närvarande ingen lagstiftning som direkt tar sikte på skyldigheten att genomgå narkotikatester eller andra drogtester i arbetslivet. Frågan om drogtester inom ramen för anställningen har dock i två fall varit uppe till Arbetsdomstolens (AD) prövning.
Det ena målet är från 1991 och det rörde montage av byggnadsställningar. I det målet fann AD, med utgångspunkt i arbetstagarnas medansvar för arbetsmiljön, att de anställda, som arbetade med montage av byggnadsställningar, var skyldiga enligt anställningsavtalet att underkasta sig provtagning för att utröna användning av cannabis (AD 1991 nr 45).
I det andra målet från hösten 1998 prövade AD om en städerska på kärnkraftsverket i Oskarshamn kunde anses skyldig att genomgå
Bilaga 1
279
alkohol- och narkotikatest (AD 1998 nr 97). AD ansåg att arbetsgivaren hade starka skäl för att genomföra narkotikatester på samtliga anställda och att städerskan därför var skyldig att genomgå sådana tester enligt den ordning som beslutats gälla på arbetsplatsen. Även i detta fall skedde bedömningen mot bakgrund av skyldigheter enligt arbetsmiljölagen. Domstolen kom dock av olika skäl till motsatt ståndpunkt när det gällde skyldigheten att genomgå alkoholtestning.
AD uttalade i domen från 1991 att mer vittsyftande bedömningar på det aktuella området inte borde göras på grundval enbart av förhållandena i en enskild tvist. Det naturliga var enligt domstolen att ett ämne som detta regleras i kollektivavtal eller i förekommande fall genom lagstiftning.
Lufträttsutredningen, som i mars 1999 avlämnade sitt slutbetänkande Ny luftfartslag (SOU 1999:42), har föreslagit att det i en ny luftfartslag tas in bestämmelser som gör det möjligt att föreskriva att den som fullgör tjänst som är av betydelse för flygsäkerheten skall genomgå drogtest.
Gentester
I betänkandet om medicinska undersökningar i arbetslivet behandlas även gentester, dvs. medicinska undersökningar med hjälp av genteknik. Utredaren gjorde bedömningen att gentester i arbetslivet borde förbjudas. Utredaren lämnade emellertid inget förslag i denna del utan hänvisade till det förslag till lag om genetisk integritet som hade lämnats i en rapport från Socialdepartementet (Ds 1996:13).
I oktober 1998 tillsattes en arbetsgrupp inom Regeringskansliet med uppgift att ytterligare analysera en rad frågor om genetisk integritet. Regeringen har i skrivelse (skr 1998/99:136) redogjort för beredningsarbetet bl.a. när det gäller frågorna om den genetiska integriteten i arbetslivet. Regeringen har bedömt att dessa frågor behöver övervägas ytterligare i ett större sammanhang. Avsikten är att en parlamentarisk kommitté skall tillkallas med uppgift att lägga fram ett samlat förslag till hur det på alla samhällsområden skall kunna garanteras att det inte sker någon diskriminering på grund av det genetiska arvet.
Bilaga 1 SOU 2002:18
280
Den tidigare behandlingen av frågor om elektronisk övervakning
I oktober 1988 tillsattes en arbetsgrupp inom dåvarande Arbetsmarknadsdepartementet för att göra en kartläggning av arbetsgivarnas användning av datatekniken för att leda, övervaka och kontrollera arbetet och de enskilda arbetstagarna. I kartläggningen ingick också att studera arbetstagarnas inflytande över inrättande och drift av datasystemen.
Arbetsgruppen presenterade i maj 1989 sitt arbete i rapporten Datatekniken och den personliga integriteten i arbetet - en kartläggning (Ds 1989:24). Arbetsgruppen fann att då gällande lagstiftning i princip gav tillfredsställande möjligheter till integritetsskydd och inflytande för arbetstagarna när det gäller personregistrering i arbetet. Gruppen ansåg dock att bl.a. frågan om arbetstagarnas rätt till insyn i vilka datasystem och personregister som arbetsgivaren har borde övervägas i en kommande översyn av datalagen. Gruppen uppmärksammade vidare bl.a. behovet av forskning och utbildning inom området.
Datalagen (1973:289) har sedermera ersatts av personuppgiftslagen (1998:204) som genomför Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Lagen omfattar all automatiserad behandling av personuppgifter och manuell behandling av personregister. Rent privat användning är dock undantagen.
Uppdraget
Allmänna utgångspunkter
En hel del frågor är obesvarade när det gäller behovet av lagstiftning om drogtester och andra medicinska kontroller och det finns fortfarande en betydande osäkerhet om rättsläget när det gäller möjligheterna att genomföra sådana kontroller. Det saknas också en gemensam grundsyn på arbetsmarknaden om när och hur t.ex. drogtester bör få utföras.
Som AD har uttalat bör mer vittsyftande bedömningar på det aktuella området inte göras på grundval enbart av förhållandena i en enskild tvist. Det bör därför övervägas om frågor som dessa bör regleras i lagstiftning eller kollektivavtal.
Bilaga 1
281
Användningen av persondatorer samt e-post och Internet i arbetet ger upphov till en hel del nya frågor när det gäller kontrollen och skyddet av den personliga integriteten i arbetet. Den utveckling som skett sedan frågorna om datatekniken och den personliga integriteten kartlades förra gången gör det motiverat att se över integritetsskyddet vid användning av datatekniken i arbetslivet med särskild tonvikt på användning av persondatorer, epost och Internet.
Den snabba utvecklingen av informationstekniken och möjligheterna att hämta in och samla omfattande information om enskilda individer, ökade krav på kostnadseffektivitet och ökade krav på den enskildes kompetens och personliga egenskaper i arbetslivet är faktorer som kan skapa behov av mer ingående kontroll. Integritetsfrågorna i arbetslivet behöver därför även i övrigt uppmärksammas.
Uppdraget till den särskilde utredaren
En särskild utredare tillkallas för att mot den angivna bakgrunden se över behovet av lagstiftning eller andra åtgärder för att stärka skyddet för den enskildes personliga integritet i arbetslivet. I översynen skall det i första hand ingå frågor om användning av drogtester och andra medicinska kontroller samt frågor om användning av persondatorer, e-post och Internet i arbetet. Även andra integritetsfrågor som kommer upp under utredningsarbetets gång och där skyddet för den personliga integriteten i arbetslivet kan vara allvarligt hotat skall tas upp av utredaren. Behovet av skydd för arbetssökande skall särskilt belysas.
Utredaren skall klarlägga de behov av kontroll och övervakning som arbetsgivarna har. De integritetsproblem som kontrollen och övervakningen leder till skall belysas. Utredaren skall därvid utnyttja det arbete som utförts av tidigare utredningar och beakta det underlag som redan finns, t.ex. i betänkandet Medicinska undersökningar i arbetslivet (SOU 1996:63).
Utredaren skall bedöma behovet av ny eller kompletterande lagstiftning till skydd för den personliga integriteten i arbetet och i det sammanhanget göra en avvägning mellan de berättigade behoven av kontroll och den enskildes integritetsskydd. En utgångspunkt för bedömningen bör vara att den tekniska och arbetsorganisatoriska utvecklingen i arbetslivet är positiv för tillväxten och för att få bättre arbetsvillkor och arbetsmiljö, men att
Bilaga 1 SOU 2002:18
282
en förutsättning för detta är att individen kan känna trygghet i arbetssituationen, vilket bl.a. förutsätter respekt för den personliga integriteten.
Utredaren skall beakta kollektivavtal på området och möjligheterna för arbetsmarknadens parter att träffa sådana avtal. Även andra åtgärder och initiativ från parterna bör beaktas.
Utredaren skall informera sig om hur andra länder har hanterat de aktuella frågorna. Även utvecklingen inom EU samt det arbete som har utförts inom ILO och andra internationella organisationer bör beaktas.
Om utredaren bedömer att det finns ett behov av reglering skall förslag om den närmare utformningen av regleringen lämnas.
Utredaren skall ange kostnaderna för sina förslag samt föreslå hur de skall finansieras.
Utredaren skall särskilt ta hänsyn till de små företagens arbetsförutsättningar, konkurrensförmåga och villkor i övrigt.
Arbetsformer
Utredaren skall i sitt arbete samråda med arbetsmarknadens parter, IT-kommissionen samt andra berörda myndigheter.
Redovisning av uppdraget
Utredaren skall redovisa resultatet av sitt uppdrag senast den 1 april 2001.
(Näringsdepartementet)
283
Bilaga 2
Inledning
Personuppgiftslagen (1998:204), nedan PUL, är den lag som för närvarande ger det mest heltäckande integritetsskyddet vid behandling av information om enskilda. Lagen är generellt tillämplig och gäller således även vid behandling av personuppgifter i arbetslivet.
För att på ett överskådligt sätt försöka visa på hur en tillämpning av PUL skulle kunna falla ut när lagen tillämpas i en arbetsgivare- och arbetstagarsituation respektive en arbetsgivare- och arbetssökandesituation redovisas nedan dels en allmän redogörelse för PUL:s bestämmelser, dels kommentarer och resonemang kring frågor som är av särskild betydelse för PUL:s tillämpning i arbetslivet. Framställningen har begränsats till de bestämmelser och de resonemang som varit av betydelse för utredningen.
Till grund för redovisningen ligger framför allt lagförarbetena, proposition 1997/98:44, Personuppgiftslag (nedan propositionen) och Datalagskommitténs betänkande Integritet Offentlighet
Informationsteknik, SOU 1997:39 (nedan Datalagskommitténs betänkande). Vidare har använts Personuppgiftslagen, En kommentar, 1 uppl. 1998, av Sören Öman och Hans-Olof
Lindblom (nedan lagkommentaren). I samband med redogörelserna för gällande rätt anges var i förarbetena respektive fråga diskuteras. Detta för att underlätta för läsaren om han eller hon själv vill ta del av det material som ligger till grund för utredningens redovisning.
Förutom i de fall där arbetssökandens situation särskilt diskuteras innefattar begreppet arbetstagare fortsättningsvis såväl arbetstagare som arbetssökande.
Bilaga 2 SOU 2002:18
284
Personuppgiftslagens bestämmelser
Definitioner – 3 §
I 3 § anges de i lagen viktigaste begreppens innebörd.
Begreppet personuppgifter innefattar enligt PUL all slags information som direkt eller indirekt kan hänföras till en person som är i livet. Att uppgifter som namn och personnummer är sådan information är uppenbart. Även olika typer av kundnummer och andra beteckningar som används för att särskilja individer utgör personuppgifter, så länge det går att identifiera en enskild utifrån uppgifterna. Att det inte direkt går att utläsa vilken individ som viss information avser hindrar inte att det ändå är en personuppgift. Även information som är krypterad eller på annat sätt avidentifierad omfattas av bestämmelsen. För att avgöra om en person är identifierbar skall man beakta alla hjälpmedel som i syfte att identifiera vederbörande rimligen kan komma att användas av den personuppgiftsansvarige eller av annan. Om uppgifter, som i sig är anonyma, med s.k. bakvägsidentifikation kan knytas till en viss individ omfattas de av bestämmelserna. Datalagskommittén har som exempel nämnt det fallet att ett trafikföretag registrerar resor med ett personligt och numrerat kort. Även om trafikföretaget inte har registrerat vem som är innehavare av kortet, kan sådana uppgifter finnas på annat håll, t.ex. på den skola eller socialförvaltning som delat ut kortet. Datalagskommittén har anfört att motsvarande resonemang kan föras beträffande uppgifter om s.k. nätnodsadresser och motsvarande elektroniska identiteter som den som driver elektroniska tjänster på Internet samlar in. Sådana uppgifter om användarna kan ofta hänföras till en individ med hjälp av de uppgifter som användarens Internetleverantör har tillgång till. I vissa fall kan det vara så att en mindre krets personer har tillgång till samma dator eller telefon och att man då med hjälp av andra uppgifter enkelt kan avgöra till vilken individ vissa uppgifter är hänförliga. Uppgifterna får även i det fallet betraktas som personuppgifter.1
Bestämmelsens betydelse för utredningen
De situationer som utredningen har att beakta inom ramen för uppdraget torde i allmänhet utgöra personuppgifter i lagens mening. I sådana fall där det finns risk för intrång i den personliga
1 Se prop. s. 116 f. och Datalagskommitténs betänkande s. 336 f.
Bilaga 2
285
integriteten förutsätts ju i allmänhet att personen i fråga kan identifieras.
Med hänsyn till ändamålen med hälso- och drogkontroller i arbetslivet ligger det i sakens natur att de inte kan vara anonyma, utan att uppgifterna som behandlas kan hänföras till enskilda individer. Samma sak gäller beträffande datoriserade kontroller i de fall där det finns ett ursprungligt syfte att kontrollera arbetstagarna, t.ex. så kallad EPM, eller där kontrollerna avser filer lagrade i personliga datorer eller andra personliga ”virtuella förvar”.
När det gäller kontroller eller övervakning med hjälp av loggfiler kan det förhålla sig annorlunda. Utformningen av loggfiler varierar mycket beroende på bl.a. i vilken typ av tillämpning de förekommer och vilket behov av uppgifter som har förutsetts när tillämpningen skapades. I vissa fall kan också användaren av en tillämpning genom inställningar i programmet välja vilka uppgifter som skall registreras i en loggfil. I många fall kan det således vara så att uppgifterna i en loggfil inte går att knyta till en enskild individ. Uppgifterna utgör då inte personuppgifter i lagens mening. Det normala i moderna nätverk torde emellertid vara att enskilda användares åtgärder kan identifieras och att därmed uppgifterna i en loggfil utgör personuppgifter. Frågan om loggfilen innehåller personuppgifter får avgöras i det enskilda fallet.
Inpasseringskontroller där passerkort och/eller kod är personliga torde förutsätta att uppgifter om kortets eller kodens innehavare finns registrerade hos arbetsgivaren. Om varje användning av kortet eller koden registreras i en loggfil innefattar registreringen behandling av personuppgift.
De ovan nämnda möjligheterna att identifiera enskilda användare förutsätter att användarna har försetts med vad som kan kallas en ”elektronisk identitet”, bestående av ett unikt användarnamn och lösenord. I praktiken finns det förstås möjligheter att sådana identiteter kan används av någon annan än den egentlige innehavaren, antingen efter medgivande från innehavaren eller genom ett obehörigt förfogande över identiteten. Detta kan naturligtvis i olika avseenden vara en komplikation för arbetsgivaren. Emellertid påverkar det knappast den omständigheten att de registrerade uppgifterna utgör personuppgifter avseende den rätte innehavaren av identiteten. Det förhållandet att den rätte innehavaren av identiteten i själva verket inte har vidtagit de registrerade åtgärderna innebär i detta sammanhang endast att de
Bilaga 2 SOU 2002:18
286
personuppgifter om honom eller henne som finns registrerade är felaktiga eller i vart fall missvisande.
Det kan förekomma att vissa – eller kanske alla – datorer i ett nätverk är allmänt tillgängliga, dvs. att det inte behövs något personligt lösenord för att använda dem. I så fall är informationen inte automatiskt knuten till en viss individ. Detta bör emellertid inte helt utesluta att uppgifter i en loggfil utgör personuppgifter. Frågan måste avgöras med ledning av omständigheterna i det enskilda fallet. Avgörande blir om man från de faktiska omständligheterna kan sluta sig till att vissa uppgifter är hänförliga till en viss individ. Exempelvis kan det vara så att en dator – även om den i och för sig är allmänt tillgänglig – rent faktiskt bara används av en arbetstagare. I ett sådant fall bör man nog i många fall kunna utgå från att innehållet i en loggfil knuten till den specifika datorn är hänförliga till den arbetstagare som använder datorn. Även om det är flera personer som använder datorn kan man ibland, som nämnts ovan, med hjälp av andra uppgifter sluta sig till vilken individ som vissa uppgifter är hänförliga.
Med behandling av personuppgifter avses varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte. Som exempel på sådana åtgärder nämns i bestämmelsen insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. Härigenom omfattar alltså begreppet all hantering av personuppgifter, såväl manuell som automatiserad. Enligt 5 § omfattas emellertid inte all behandling av personuppgifter, utan endast sådan som sker antingen automatiserat eller manuellt i registerform, se närmare nedan.2
Bestämmelsens betydelse för utredningen
Med hänsyn till att definitionen innefattar all hantering av personuppgifter utgör alla åtgärder som en arbetsgivare vidtar med personuppgifter sådan behandling som avses i PUL.
Som mottagare betecknas den till vilken personuppgift lämnas ut, oavsett om denne är någon som är nära knuten till den personuppgiftsansvarige eller någon helt utomstående. Även den regi-
2 Se prop. s. 116 f. och Datalagskommitténs betänkande s. 332.
Bilaga 2
287
strerade, personuppgiftsbiträdet och sådana personer som under den personuppgiftsansvariges eller personuppgiftsbiträdets direkta ansvar har befogenhet att behandla personuppgifter samt personuppgiftsombud kan betraktas som mottagare. Som mottagare betraktas emellertid inte en myndighet som får personuppgifter som ett led i tillsyn, kontroll eller revision som myndigheten i fråga är skyldig att sköta.3
Bestämmelsens betydelse för utredningen
I arbetslivet kan märkas att exempelvis av arbetsgivaren anställd personal som behandlar personuppgifter anses som mottagare. Även den registrerade arbetstagaren själv är mottagare i de fall han tar emot uppgifter som finns hos arbetsgivaren. Med de undantag som angetts ovan är även tredje man att anse som mottagare, vilket innebär att bl.a. fackliga företrädare anses som mottagare i de fall personuppgifter lämnas ut till sådan.
Personuppgiftsansvarig är den som själv eller tillsammans med annan bestämmer ändamålen med och medlen för behandlingen.
Vem som i ett enskilt fall är personuppgiftsansvarig för en viss behandling får avgöras med ledning av de faktiska omständligheterna. Vidare följer av 2 § att det genom lag eller förordning kan bestämmas vem som är personuppgiftsansvarig för en viss behandling. Enligt 4 § gäller bestämmelserna om personuppgiftsansvarig även för företrädare som utländska personuppgiftsansvariga ställer för sig. För varje behandling som sker finns det därmed alltid någon eller några som är personuppgiftsansvariga för den. Den personuppgiftsansvarige kan utse ett personuppgiftsbiträde för att för sin räkning utföra behandling av personuppgifter. Den personuppgiftsansvarige kan också förordna en fysisk person att självständigt se till att personuppgifter behandlas på ett korrekt och lagligt sätt. Denne fysiske person betecknas som personuppgiftsombud. Varken personuppgiftsbiträde eller personuppgiftsombud anses som tredje män.4
Bestämmelsens betydelse för utredningen
Vid behandling av personuppgifter beträffande arbetstagare i de fall utredningen har att beakta torde den personuppgiftsansvarige alltid
3 Se prop. s. 116 f. och Datalagskommitténs betänkande s. 332. 4 Se prop. s. 116 f. och Datalagskommitténs betänkande s. 333 f.
Bilaga 2 SOU 2002:18
288
utgöras av den fysiska person eller det organ hos en juridisk person som enligt allmänna principer är att betrakta som arbetsgivare. Var ansvaret närmare skall anses placerat torde ha en underordnad betydelse för behandlingen av frågor om intrång i den personliga integriteten.
Den registrerade är den som en personuppgift avser. Som nämnts ovan vid definitionen av personuppgift, förutsätts att en personuppgift avser en identifierbar fysisk person. Den registrerade är således den eller de personer som på ovan angivet sätt kan identifieras.5
Bestämmelsens betydelse för utredningen
Av intresse för utredningen är naturligtvis de fall där den registrerade är arbetstagare. Här kan emellertid märkas att vid behandling av uppgifter om arbetstagaren, kan samtidigt komma att behandlas uppgifter om dennes anhöriga, tidigare arbetskamrater eller andra. Även dessa är då registrerade enligt PUL:s definition.
Begreppet samtycke förekommer på flera ställen i PUL och innefattar enligt definitionen varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Samtycket innefattar alltså en tydlig viljeyttring från den registrerade. Det krävs inte att samtycket är skriftligt. Enligt Datalagskommittén måste det vara den registrerade som genom viljeyttringen godtar behandlingen av personuppgifter. Det är alltså inte tillräckligt att en organisation – t.ex. en fackförening – som den registrerade tillhör godtar behandling av uppgifter om sina medlemmar. Samtycket måste i den meningen vara individuellt. Datalagskommittén konstaterar att det är svårt att utifrån direktivet besvara frågan huruvida samtycket i alla lägen måste avges personligen, dvs. av den registrerade själv. Efter ett resonemang kring frågan drar Datalagskommittén den slutsatsen att det inte bör finnas något hinder mot att ett ombud eller ställföreträdare med generell behörighet att företräda den registrerade lämnar samtycke på dennes vägnar, även om den registrerade faktiskt inte har fått information om behandlingen.
Kravet på frivillighet är svårt att precisera med hänsyn till avsaknad av vägledning i dataskyddsdirektivet. Man kan tänka sig
5 a.a. s. 117 resp. a.a. s. 337 f.
Bilaga 2
289
den situationen att ett samtycke till viss uppgiftsbehandling uppställs som en förutsättning för att den registrerade skall få något som han eller hon önskar eller behöver, t.ex. ett telefonabonnemang en semesterresa, en livsnödvändig sjukvårdsbehandling, anställning, bostadsbidrag etc. Enligt Datalagskommittén kan samtycket inte gärna vara frivilligt om situationen är sådan att den registrerade i praktiken inte kan avstå, möjligen med undantag för det fallet det kan visas att den registrerade även utan ”tvånget” skulle ha lämnat uppgifterna.
Kravet på att samtycket skall vara särskilt innebär att ett generellt samtycke till uppgiftsbehandling inte godtas. Datalagskommittén har konstaterat att det förefaller rimligt att koppla samman kraven på information och särskilt samtycke. Den registrerade skall informeras om en eller flera tilltänkta behandlingar, och det är dessa och inga andra behandlingar som samtycket avser. Ett s.k. hypotetiskt samtycke kan inte godtas.6
I lagkommentaren anförs att inte heller s.k. tyst samtycke, där den registrerade informeras om en tilltänkt behandling och ges en viss frist att motsätta sig denna, kan godtas. Däremot torde s.k. konkludent handlande kunna konstituera ett samtycke, t.ex. när den registrerade lämnar efterfrågade uppgifter efter att ha fått information om den tilltänkta behandlingen och om att det är frivilligt att lämna uppgifter samt att ett uppgiftslämnande betraktas som ett samtycke.7
Bestämmelsens betydelse för utredningen
En fråga av särskild betydelse för arbetslivet är hur den omständigheten att arbetstagare ofta befinner sig i en beroende ställning i förhållande till arbetsgivaren skall beaktas vid bedömning av kravet på frivillighet. Detta särskilt med beaktande av de utvidgade möjligheterna till behandling av känsliga personuppgifter som ett samtycke enligt t.ex. 15 §§ kan ge i en arbetsgivare- och arbetstagarrelation.
Det territoriella tillämpningsområdet – 4 §
Enligt 4 § tillämpas PUL på sådana personuppgiftsansvariga som är etablerade i Sverige. Även när en personuppgiftsansvarig från tredje
6 Se prop. s. 116 f. och Datalagskommitténs betänkande s. 340. 7 Se lagkommentaren s. 37.
Bilaga 2 SOU 2002:18
290
land använder utrustning som finns i Sverige för behandling av personuppgifter skall som huvudregel den svenska lagen tillämpas. I sådant fall skall den ansvarige utse en företrädare för sig som är etablerad i Sverige.
Enligt punkt 19 i ingressen till dataskyddsdirektivet förutsätter etablering på en medlemsstats territorium en effektiv och faktisk verksamhet med hjälp av en stabil struktur. I samma punkt anges vidare att den berörda verksamhetens rättsliga form inte har avgörande betydelse, oavsett om det är fråga om en filial eller om ett dotterbolag som är en juridisk person.8
Bestämmelsens betydelse för utredningen
Enligt Datalagskommittén är dataskyddsdirektivets bestämmelser svårtolkade, vilket kan leda till vissa svårigheter när det gäller att avgöra vilket lands lag som skall gälla t.ex. i de fall där en arbetsgivare bedriver verksamhet i flera länder inom EU. Detta är naturligtvis en fråga av betydelse för de frågor utredningen har att behandla bl.a. med hänsyn till näringslivets internationalisering. Emellertid bör man kunna utgå från att svenska arbetstagare i allt väsentligt är anställda av arbetsgivare som i PUL:s mening kan anses etablerade i Sverige.
Behandling av personuppgifter som omfattas av lagen – 5 §
Av 5 § framgår vilken behandling av personuppgifter som lagen avser att omfatta. Enligt bestämmelsen faller dels sådan behandling av personuppgifter som är helt eller delvis automatiserad, dels viss manuell behandling av personuppgifter inom lagens tillämpningsområde. Genom att PUL kan omfatta såväl automatiserad som manuell behandling har lagen gjorts teknikoberoende, vilket enligt Datalagskommittén hindrar den från att få en hämmande effekt på användningen av ny informationsteknik.
När det gäller den behandling av uppgifter som är helt automatiserad innefattar denna personuppgifter som finns i datorformat (binär form) i datorer. Även överföring av personuppgifter till sådant format kan innefattas i begreppet. Enligt Datalagskommittén är det tveksamt om och i vilken utsträckning reglerna om automatiserad behandling skall tillämpas på behandling av
8 Se prop. s. 55 och 118 samt Datalagskommitténs betänkande s. 347 f.
Bilaga 2
291
personuppgifter som inte finns i datorformat, t.ex. vad gäller bilder och ljud som lagrats på ljud- eller videoband. Själva överföringen av en enskild persons utseende eller röst till ett ljud- eller videoband kan därvid inte ses som automatiserad behandling. Enligt Datalagskommittén anses det även tveksamt om rekvisitet automatiserad innefattar en analog upptagning av en persons utseende eller röst som påbörjas och avslutas utan att någon operatör är inblandad, t.ex. vid vissa former av videoövervakning och telefonavlyssning. Detta gäller även beträffande uppgifter som registreras mekaniskt såsom t.ex. vid användning av mekaniska stämpelklockor och kassaregister.
Som tidigare nämnts innefattar lagen även delvis automatiserad behandling av personuppgifter. Om det till en samling av akter som innehåller personuppgifter finns ett datoriserat diarium med hänvisningar till akterna uppkommer frågan hur personuppgifterna i pappershandlingarna skall betraktas. Enligt Datalagskommittén krävs för att 5 § överhuvud skall vara tillämplig att den automatiserad delen av behandlingen omfattar personuppgifter. Det är således inte fråga om sådan behandling om man inte i diariet med hjälp av automatiserad behandling kan söka fram uppgifter om en individ. För det fall det datoriserade diariet är sökbart på personuppgifter, såsom namn, bör behandlingen anses vara automatiserad. De akter eller andra pappershandlingar som är knutna till diariet bör emellertid bedömas enligt bestämmelserna för manuell behandling.
När det gäller manuell behandling av personuppgifter på papper omfattas endast sådana uppgifter av lagen som ingår i eller är avsedda att ingå i ett register. Med register avses därvid en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden. Eftersom ett register utgörs av en samling av personuppgifter bör det krävas att det finns uppgifter som avser mer än en person. Vidare bör krävas att samlingen har en viss beständighet. En hög med papper på ett skrivbord innefattas således inte i begreppet, även om de är sorterade i bokstavsordning efter namn. Däremot kan det inte uppställas som krav att handlingarna finns på ett och samma ställe. Om personuppgifterna i pappershandlingarna är utspridda på olika håll i landet, men tillgängligt enligt ett centralt index kan det alltså ändå vara fråga om ett enda register och personuppgifterna som
Bilaga 2 SOU 2002:18
292
ingår i registret omfattas således av lagen. Vidare uppställs som krav att samlingen av personuppgifter skall vara strukturerad. Personuppgifterna måste således vara ordnade efter något visst system. Det krävs därutöver även att uppgifterna i samlingen är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, vilket innebär att det måste vara möjligt att söka bland uppgifterna i samlingen för att det skall vara fråga om ett register. Ett manuellt register som innehåller personuppgifter men som inte är sökbart med hjälp av en sådan uppgift omfattas således inte av lagen. Enligt 5 § måste samlingen av personuppgifter vara sökbar på mer en ett kriterium för att betraktas som register. Av punkten 27 i ingressen till dataskyddsdirektivet framgår att nu nämnda kriterier skall avse enskilda personer och vara utformade för att lätt ge tillgång till personuppgifterna. En förteckning i bokstavsordning över personer som endast är sökbar på namnet skulle således inte vara att betrakta som ett register. Varken av lagtext eller av förarbeten framgår om kriterierna måste avse personuppgifter för att uppfylla kraven.
När det gäller automatiserad övervakning är det tveksamt om vissa förfaranden kan anses falla inom PUL:s tillämpningsområde, bl.a. avser detta telefonavlyssning som sker helt automatiskt. Det är således inte säkert att personuppgifter om arbetstagare där behandlingen går till på det sättet omfattas av det integritetsskydd som ges i lagen. Detta gäller även vid t.ex. användandet av mekaniska stämpelklockor på arbetsplatser. Vid vissa former av insamling av personuppgifter genom övervakning och kontroll av arbetstagare bestäms således PUL:s tillämplighet av hur övervakningen eller kontrollen rent faktiskt organiserats.9
Bestämmelsens betydelse för utredningen
Hur behandlingen av personuppgifter organiserats kan få en avgörande betydelse vid bedömningen av om personuppgifter är föremål för manuell behandling. För det fall en arbetsgivare under ett anställningsförfarande samlar samtliga ansökningar i en hög på skrivbordet ordnade efter bokstavsordning kan det exempelvis ifrågasättas om samlingen har sådan beständighet att handlingarna kan anses ingå i ett register och om personuppgifterna till följd därav verkligen omfattas av PUL.
9 Se prop. s. 38 f. samt Datalagskommitténs betänkande s. 116 f., 197 f, 339 f. och 343 f.
Bilaga 2
293
För att 5 § skall vara tillämplig på manuell behandling av personuppgifter krävs även att uppgifterna i samlingen skall vara tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Det är i detta sammanhang inte klart om personuppgifter om arbetstagare i ett register som endast är sökbart på den enskildes namn omfattas av PUL. Arbetsgivaren skulle således kunna välja att ordna register på ett sådant sätt att arbetstagaren inte får det integritetsskydd som PUL:s bestämmelser garanterar. Här kan också hänvisas till att nödvändighetskravet i 10 § dessutom innebär en skyldighet för arbetsgivaren att om möjligt undvika sådan behandling som omfattas av PUL.
För fullständighetens skull bör även påpekas att personuppgifter som arbetsgivaren samlar in men som denne aldrig har för avsikt att dokumentera vare sig automatiskt eller manuellt inte omfattas av PUL.
Grundläggande krav på behandling av personuppgifter – 9 §
I 9 § stadgas om de krav på behandlingen av personuppgifter som den personuppgiftsansvarige måste uppfylla. Det är emellertid inte tillräckligt att den personuppgiftsansvarige uppfyller dessa krav för att en behandling av personuppgifter skall vara laglig. Därutöver måste behandlingen även kunna hänföras till något av de fall som räknas upp 10 §. För det fall behandlingen avser känsliga personuppgifter måste behandlingen dessutom vara tillåten enligt 13–22 §§.
Av bestämmelsen framgår att det är den personuppgiftsansvarige gentemot den registrerade som ansvarar för att de grundläggande kraven uppfylls och att detta måste vara fallet under hela den tid som behandlingen pågår. Den personuppgiftsansvarige har därvid enligt bestämmelsen att se till att
a) – b) personuppgifter behandlas bara om det är lagligt samt att behandlingen skall ske på ett korrekt sätt och i enlighet med god sed
När en behandling är laglig och korrekt framgår av PUL och anknytande lagstiftning. Det förefaller osäkert om den uttryckliga bestämmelsen i dataskyddsdirektivet om att personuppgifter skall behandlas på ett lagligt och korrekt sätt har någon självständig betydelse. Bestämmelsen har tagits med för säkerhets och fullständighetens skull.
Bilaga 2 SOU 2002:18
294
Att personuppgifter skall behandlas i enlighet med god sed har inte någon motsvarighet i dataskyddsdirektivet. Vad som är god sed vid behandling av personuppgifter får avgöras i rättstillämpningen mot bakgrund av bl.a. de mer preciserade föreskrifter som kan utfärdas med stöd av lagen, branschregler som kan ha utarbetats av etablerade branschorganisationer eller andra representativa sammanslutningar och hur ansvarsfulla personuppgiftsansvariga uppför sig.10
c) personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål
Bestämmelsen ger uttryck för relevansprincipen och innebär att ändamålen med behandlingen av personuppgifterna måste bestämmas redan när uppgifterna samlas in. Ändamålen måste då anges uttryckligen. Det finns inget krav på att ändamålsangivelsen skall nedtecknas. Vad som stadgas om information till den registrerade i 23–25 §§ medför emellertid att information om ändamålen i de flesta fall måste lämnas i samband med att behandlingen påbörjas. Att ändamålen skall vara särskilda, innebär att en alltför allmänt hållen ändamålsangivelse inte kan godtas. Hur pass detaljerad ändamålsangivelsen skall vara för att uppfylla kravet på att vara särskild får avgöras i praxis och eventuella kompletterande föreskrifter. Det är möjligt att ange flera ändamål när uppgifterna samlas in. De ändamål för vilka uppgifterna samlas in skall även vara berättigade. I vilka fall det är berättigat att samla in och behandla personuppgifter framgår av lagen och anknytande lagstiftning. Det förefaller osäkert om bestämmelsen om berättigade ändamål har någon självständig betydelse. Den har, enligt vad som anges i Datalagskommitténs betänkande, trots detta tagits med i lagen för säkerhets och fullständighets skull.11
d) personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in
De insamlade personuppgifterna får behandlas för andra ändamål än de för vilka uppgifterna samlades in bara om de nya ändamålen inte är oförenliga med de ursprungliga ändamålen. Vad som är oförenligt med de ursprungliga ändamålen får bestämmas genom praxis och kompletterande föreskrifter. Även ett utlämnande till annan av uppgifter måste vara förenligt med de ursprungliga ändamålen. Det bör således inte vara möjligt att kringgå reglerna
10 Se prop. s. 120 f. och 143 f. samt Datalagskommitténs betänkande s. 349. 11 a.a. s. 63 f. och 120 f. resp. a.a. s. 125 f., 306 f. och 350 f.
Bilaga 2
295
genom att en personuppgiftsansvarig lämnar ut uppgifterna till en annan, som vid sin insamling bestämmer ändamål som är oförenliga med de ursprungliga.
Bestämmelsen ger uttryck för finalitetsprincipen och begränsar möjligheterna till samkörning av olika register som innehåller personuppgifter.12
e) – f) de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen och att inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen
Bestämmelsen innebär att det inte är tillåtet att behandla personuppgifter som är ovidkommande. Det är vidare inte tillåtet att behandla fler personuppgifter än som är nödvändigt med hänsyn till ändamålet med behandlingen.
Enligt lagkommentaren torde det vara den personuppgiftsansvarige som skall göra bedömningen av om uppgifterna är relevanta och adekvata till ändamålet för behandlingen.13
g) – h) de personuppgifter som behandlas är riktiga och, om det är nödvändigt, aktuella och vidta alla rimliga åtgärder för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen
De behandlade personuppgifterna skall vara riktiga och aktuella. De behandlade personuppgifterna behöver emellertid endast vara aktuella i de fall det är nödvändigt. Enligt lagkommentaren bör denna bedömning ske utifrån de för behandlingen angivna ändamålen. Vidare uttalas i lagkommentaren att en personuppgift är riktig i de fall då den överensstämmer med de verkliga förhållandena. I de fall det uppkommer svårighet att bedöma om så är fallet torde man få söka ledning i ändamålet med behandlingen av personuppgifterna. I lagkommentaren sägs i detta sammanhang även att i de fall där avsikten med behandlingen endast är att registrera uppgifter, t.ex. vid mottagande av en order, så får de registrerade personuppgifterna bedömas som riktiga om de stämmer överens med de uppgifter som getts in till den personuppgiftsansvarige. Detta oavsett om de ingivna uppgifterna stämmer överens med verkliga förhållanden.14
12 Se prop. s. 63 f. och 120 f. samt Datalagskommitténs betänkande s. 350 f. 13 Se lagkommentaren s. 60 f. 14 Se lagkommentaren s. 60 f.
Bilaga 2 SOU 2002:18
296
Enligt bestämmelsen åligger det den personuppgiftsansvarige att självmant rätta, blockera eller utplåna personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Bestämmelsen omfattar inte personuppgifter som är missvisande utan att vara felaktiga eller ofullständiga.15
i) personuppgifter inte bevaras under längre tid än vad som är nödvändigt med hänsyn till ändamålen med behandlingen
Personuppgifterna får endast lagras så länge som det är nödvändigt med hänsyn till de ändamål för vilka uppgifterna behandlas. Därefter måste personuppgifterna avidentifieras eller förstöras.
Enligt lagkommentaren kan ändamålen med behandlingen i vissa fall göra det nödvändigt att bevara personuppgifter även sedan de inte längre används aktivt. Detta kan exempelvis vara fallet med bokföringsmaterial som måste bevaras till följd av skatte- och bokföringslagstiftning.16
Bestämmelsens betydelse för utredningen
Vad inledningsvis gäller kravet på god sed finns det i arbetslivet ofta de föreslagna riktlinjer för datoranvändning som arbetsgivaren – eventuellt efter samråd med företrädare för arbetstagarna – har infört och som kan innefatta regler bl.a. för hur arbetsgivaren får logga arbetstagarnas datoranvändning. Sådana de föreslagna riktlinjer kan möjligen utgöra en utgångspunkt för att avgöra vad som är god sed i sammanhanget.
Reglerna i 9 § innebär att stora krav ställs på en arbetsgivare när det gäller att redan från början bestämma ändamålet med insamling av personuppgifter om arbetstagare. När personuppgifter samlas in t.ex. om en arbetssökande måste arbetsgivaren redan vid insamlingen avgöra hur uppgifterna skall behandlas efter anställningsförfarandet, oavsett om den sökande blir anställd eller inte. En tillämpning av relevans- och finalitetsprinciperna i exempelvis en anställningssituation kan avsevärt begränsa arbetsgivarens möjligheter att behandla personuppgifter beträffande en arbetssökande. Bestämmelserna kan t.ex. innebära att en arbetsgivare inte får ställa frågor som är ovidkommande för en bedömning av sökandens lämplighet för den tänkta anställningen
15 Se prop. s. 63 och 120 samt Datalagskommitténs betänkande s. 126 och 353. 16 Se lagkommentaren s. 61.
Bilaga 2
297
eller att arbetsgivaren inte senare i anställningsförhållandet får behandla uppgifter som samlades in för att ligga till grund för anställningsbeslutet. Detta under förutsättning att uppgifterna behandlas på ett sätt som omfattas av lagen.
Även vid insamling av uppgifter genom hälso- eller drogkontroller måste arbetsgivaren ange ett uttryckligt ändamål med insamlingen. Här har det mycket stor betydelse för arbetstagarnas integritetsskydd att det noga prövas om insamlingen är berättigad, att tydliga ändamål anges och att uppgifterna inte används för andra ändamål.
Bestämmelsen gäller även sådana fall där utrustning hos arbetsgivaren loggar t.ex. arbetstagarnas Internetanvändning. Om uppgifterna i loggen innefattar personuppgifter bör bestämmelsen uppfattas så att arbetsgivaren är skyldig att innan insamlingen, dvs. i praktiken innan tillämpningen tas i bruk, uttryckligen bestämma ändamålet med behandlingen. Om arbetsgivaren har bestämt att ändamålet med loggningen är uteslutande teknisk övervakning av en tillämpning, torde bestämmelserna i 9 § utgöra hinder mot att använda loggen för att utreda arbetstagares missbruk av systemet.
Den närmare omfattningen av det skydd som lagen ger är emellertid svår att klarlägga, eftersom innebörden och betydelsen av flera av de viktiga begreppen, t.ex. adekvans, relevans och berättigat, inte närmare har preciserats i lagtext eller förarbeten.
Frågan är även hur integritetsskyddet påverkas av att det är den personuppgiftsansvarige som skall göra bedömningen av om uppgifterna är relevanta och adekvata i förhållande till ändamålet med behandlingen. Det kan exempelvis i en anställningssituation vara svårt för en enskild att bedöma om arbetsgivarens bedömning i dessa delar är riktig. Det kan även vara problematiskt för en arbetssökande att ifrågasätta arbetsgivarens bedömning om det klart framgår att denna är felaktig.
Det skydd som 9 § ger mot ett integritetskränkande behandling av personuppgifter förstärks av att en enskild inte kan samtycka till en behandling av personuppgifter som står i strid med bestämmelsen. Detta medför exempelvis att en arbetssökande, under de pressade förhållanden som ett anställningsförfarande innebär, inte kan efterge sin rätt till integritetsskyddet genom att samtycka till att arbetsgivaren behandlar personuppgifter utöver vad som medges enligt 9 §.
Bilaga 2 SOU 2002:18
298
När behandling av personuppgifter är tillåten – 10 §
I 10 § finns en uttömmande uppräkning av i vilka fall personuppgifter får behandlas. Om behandlingen avser känsliga personuppgifter, uppgifter om lagöverträdelser m.m. eller personnummer måste behandlingen dessutom vara tillåten enligt bestämmelserna i 13–22 §§. I 12 § andra stycket regleras den situationen att den registrerade återkallar ett redan lämnat samtycke.
Personuppgifter får behandlas om den registrerade har lämnat sitt samtycke till behandlingen. Vad som förutsätts av ett samtycke har behandlats ovan.
Behandling av personuppgifter är, med undantag för det fallet att samtycke har lämnats, tillåten endast under förutsättning att sådan behandling som omfattas av lagen är nödvändig. All behandling av personuppgifter utgör enligt definitionen i 3 § behandling av personuppgifter i lagens mening. I 10 § avses emellertid endast behandling som omfattas av PUL enligt 5 §, dvs. automatiserad behandling och behandling i registerform. Nödvändighetskravet innebär alltså att den personuppgiftsansvarige skall pröva om det är nödvändigt att behandlingen sker automatiserat eller i registerform. Om uppgifterna lika väl kan behandlas på annat sätt är nödvändighetskravet inte uppfyllt.
I praktiken kan de flesta arbetsuppgifter rent faktiskt utföras utan att personuppgifter behandlas automatiserat eller i registerform, även om det kostar mer och tar längre tid. Enligt Datalagskommittén kan nödvändighetskravet inte rimligen innebära att det skall vara faktiskt omöjligt att utföra en uppgift utan att den innefattar behandling av personuppgift enligt lagen. Kan en uppgift däremot utföras nästan lika enkelt och billigt utan sådan behandling av personuppgifter som omfattas av lagen, kan det inte anses nödvändigt enligt 10 § att behandla personuppgifterna. Vid bedömning av nödvändigheten bör även prövas om syftet med behandlingen kan uppnås med användande av anonyma uppgifter.17
Bestämmelsens betydelse för utredningen
Syftet med nödvändighetskravet är att, genom att undvika behandling som sker automatiserat eller i registerform, i möjligaste mån undanta behandling av personuppgifter från lagens tillämpningsområde. I arbetslivet är det troligen så att många uppgifter i
17 Se prop. s. 65 f. och 121 f. samt Datalagskommitténs betänkande s. 359.
Bilaga 2
299
praktiken kan behandlas manuellt. Detta gäller kanske särskilt behandling av uppgifter om arbetssökande, eftersom dessa ännu inte ingår i arbetsgivarens personalregister. I ett anställningsförfarande kan man anta att uppgifter om arbetssökandes meriter o. d. i många fall kan behandlas lika enkelt manuellt som automatiserat. Även när det gäller anställda kan arbetsgivaren skapa sådana rutiner att olika typer av uppgifter om arbetstagare kan behandlas manuellt och utan att ingå i ett register. En behandling enligt PUL är i sådant fall inte nödvändig.
De fall som redovisas i avsnitt Fel! Hittar inte referenskälla. innefattar en sådan automatiserad behandling att det i samtliga fall blir fråga om en behandling av personuppgifter inom PUL:s tillämpningsområde. Någon alternativ, icke-automatiserad, behandling kan därför inte förekomma. Däremot kan sådan loggning som sker i syfte att övervaka ett systems tekniska funktion i vissa fall ordnas på ett sådant sätt att det kan fungera lika väl med anonyma uppgifter, dvs. att det i loggfilen inte registreras vilken enskild användare som vidtagit olika åtgärder. Även kontroller av arbetstagares arbetsprestationer som syftar till att uppskatta t.ex. personalbehov torde kunna ske utan att enskilda arbetstagare identifieras.
När en arbetsgivare samlar in uppgifter om arbetstagare torde syftet i allmänhet vara att uppgifterna skall ligga till grund för olika bedömningar av betydelse för arbetstagaren. Att personuppgifter dokumenteras på ett systematiskt sätt är ofta en förutsättning för att arbetstagaren skall kunna få del av de uppgifter som är av betydelse för ett beslut eller någon annan bedömning beträffande arbetstagaren som arbetsgivaren har gjort eller avser att göra. Att uppgifter hålls utanför en personalakt kan vidare innebära att uppgifter som finns i akten blir ofullständiga eller rent av missvisande. Om det t.ex. framgår eller är allmänt känt att en arbetstagare har genomgått en drogkontroll, kan det vara av betydelse för helhetsbilden att det också framgår att arbetstagaren varit drogfri vid kontrollen. Nödvändighetskravet i 10 § kan därmed i vissa fall innebära en konflikt mellan olika integritetsintressen.
Behandling av personuppgifter kan vara tillåten när det är nödvändigt för att fullgöra ett avtal med den registrerade eller för att på dennes begäran vidta åtgärder innan ett avtal träffas. När det gäller fullgörelse av ett avtal krävs det att den registrerade själv är avtalspart. Ett avtal mellan en personuppgiftsansvarig och en juridisk person kan således inte enligt denna bestämmelse medföra
Bilaga 2 SOU 2002:18
300
att behandling av personuppgifter, t.ex. beträffande anställda hos den juridiska personen, blir tillåten. När det gäller åtgärder som vidtas innan ett avtal träffas krävs det att den registrerade har begärt att de åtgärder som gör det nödvändigt att behandla personuppgifter skall vidtas. Vad som närmare avses med att behandlingen skall vara nödvändig för att fullgöra ett avtal är inte riktigt klart, utan får avgöras i praxis. Klart är emellertid att enbart förekomsten av ett avtal inte kan legitimera behandling av alla tänkbara personuppgifter.18
Bestämmelsens betydelse för utredningen
I arbetslivet är det uppenbart att det kan vara nödvändigt för arbetsgivaren att behandla en hel del uppgifter för att avtalet mellan denne och arbetstagaren skall kunna fullgöras. Till fullgörelse av avtalet bör kunna hänföras bl.a. uppgifter om närvaro och – om lönen är resultatbaserad – arbetsprestation. I vilken mån insamling av uppgifter genom exempelvis loggning i datoriserade system eller insamling av uppgifter om anställdas ekonomiska förhållanden kan betraktas som nödvändiga för att fullgöra anställningsavtalet på det sätt som avses i bestämmelsen är emellertid oklart och får avgöras från fall till fall.
Åtgärder vid anställningsförfarande bör betraktas som sådana åtgärder som i bestämmelsens mening vidtas innan ett avtal träffas. I likhet med vad som har sagts ovan är det klart att insamling och övrig behandling av en hel del personuppgifter är nödvändiga i detta sammanhang. Den närmare gränsdragningen får dock avgöras från fall till fall. Härvid torde man bl.a. behöva beakta vilken typ av arbete som ansökan avser.
Personuppgifter får behandlas om behandlingen är nödvändig för att den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet som åvilar denne. Förpliktelser som ålagts genom såväl offentligrättsliga som civilrättsliga lagar och författningar av olika valör omfattas, liksom även förpliktelser som ålagts genom myndighetsbeslut i enskilda fall. Enligt Datalagskommittén är det oklart om en förpliktelse som någon åtagit sig genom avtal med annan kan vara en sådan rättslig skyldighet som avses i detta sammanhang.19
18 Se prop. s. 65 f. och s. 121 f. samt Datalagskommitténs betänkande s. 128 och 359. 19 a.a. s. 65 f. och 121 f. resp. a.a. s. 128 och 360.
Bilaga 2
301
Bestämmelsens betydelse för utredningen
Även med stöd av denna bestämmelse kan det vara tillåtet för en arbetsgivare att behandla personuppgifter om arbetstagare. Här kan nämnas t.ex. att arbetsgivarens skyldighet att redovisa skatter och avgifter beträffande arbetstagarna gör det nödvändigt att behandla vissa personuppgifter. För vissa arbetstagare kan arbetsgivaren vara skyldig enligt arbetsmiljölagen och Arbetarskyddsstyrelsens föreskrifter att föra register över anställda som genomgått läkarundersökningar p.g.a. särskilda hälsorisker i arbetet. Vidare kan de civilrättsliga turordningsbestämmelserna som gäller vid uppsägning av arbetstagare p.g.a. arbetsbrist sägas innebära en rättslig skyldighet för arbetsgivare att upprätta listor över sina anställda. I många affärsmässiga avtal föreskrivs om skyldigheter för parterna att hantera information på visst sätt. Sådan information kan även innefatta personuppgifter. I Sverige finns sedan 1999 en svensk standard för IT-säkerhet, SS 62 77 99. Syftet med denna är att företag och organisationer ska få fullgod kontroll över hanteringen av information och data samt skydd mot oönskade händelser och hot, såväl interna som externa. Som en del av det säkerhetsarbete som förutsätts enligt standarden ingår loggning av system och kontroll av de anställda i olika avseenden. I enlighet med vad som anförts ovan, är det oklart i vilken mån sådana åtaganden kan omfattas av bestämmelsen.
Känsliga uppgifter får också behandlas om den registrerades eller annans vitala intressen skall kunnat skyddas. Det oklart om det bakomliggande dataskyddsdirektivet syftar bara på det som är livsviktigt – som gäller liv och död – eller om även sådant som är ”bara” av grundläggande betydelse avses. Bestämmelsen i PUL har utformats så att den omfattar båda fallen.20
Personuppgifter får behandlas om det är nödvändigt för att utföra en arbetsuppgift av allmänt intresse. Sådan behandling får också ske om den är nödvändig för att utföra en arbetsuppgift i samband med myndighetsutövning. Myndighetsutövningen skall då utföras av den personuppgiftsansvarige själv eller av tredje man till vilken uppgifterna har lämnats ut.
Som exempel på uppgifter som kan vara av allmänt intresse nämner Datalagskommittén arkivering, forskning och framställning av statistik samt etablerade idrottsorganisationers registrering av personer som har vunnit svenska mästerskap eller innehar
20 Se prop. s. 65 och 121 samt Datalagskommitténs betänkande s. 129 och 361.
Bilaga 2 SOU 2002:18
302
svenskt rekord i erkända sportgrenar. Också den registrering som sker av personer som har fått allmänt erkända utmärkelser, t.ex. Nobelpris, kan enligt Datalagskommittén vara en arbetsuppgift av allmänt intresse.21
Det är slutligen möjligt att tillåta behandling av personuppgifter efter en intresseavvägning. Behandlingen måste då vara nödvändig för ändamål som rör berättigade intressen hos den registeransvarige och dessa intressen får inte uppvägas av den registrerades intressen. Om en registrerad meddelar den personuppgiftsansvarige att han eller hon inte vill att behandlingen fortsätter får enligt Datalagskommittén den registrerades intresse av att slippa fortsatt behandling i allmänhet anses väga över. Bara i synnerliga undantagsfall bör den personuppgiftsansvariges intresse av fortsatt behandling väga över intresset hos en registrerad som uttryckligen har motsatt sig fortsatt behandling. Finns inte längre förutsättningar att behandla personuppgifter måste de behandlade uppgifterna förstöras eller avidentifieras eftersom även lagring av personuppgifter anses som en form av behandling.22
Vad som avses med ”berättigat intresse” är inte klart. Som konstateras i lagkommentaren innebär redan de grundläggande kraven på all behandling att personuppgifter bara får samlas in för berättigade ändamål.23
Enligt 50 § a är avsikten att Datainspektionen skall meddela närmare föreskrifter när det gäller de överväganden som skall göras vid intresseavvägningen. Några sådana föreskrifter har inte meddelats.
Bestämmelsens betydelse för utredningen
I 10 § punkten f) ges uttryck för den s.k. proportionalitetsprincipen. Denna princip är av stor betydelse vid utformningen av varje bestämmelse där integritetsskyddet skall bestämmas efter en avvägning mellan två motstående intressen. Proportionalitetsprincipen kommer också till uttryck i den modell för intresseavvägning som Arbetsdomstolen tillämpat i de fall där det varit fråga om en av arbetsgivaren vidtagen kontrollåtgärder kränkt arbetstagarens integritet.24 Att det i förarbetena till PUL inte getts några hållpunkter för hur bedömningen skall göras innebär
21 Se prop. s. 65 och 121 samt Datalagskommitténs betänkande s. 130 f. och 361. 22 a.a. s. 65 och 121 resp. a.a. s. 130 f. och 362. 23 Se lagkommentaren s. 72. 24 Se bl.a. AD 2001 nr 3.
Bilaga 2
303
naturligtvis att det inte mer preciserat går att resonera kring hur principen som den kommer till uttryck i PUL, skulle kunna tillämpas i arbetslivet. Fråga är emellertid om det vore möjligt att närmare ange några kriterier för hur en sådan bedömning bör göras.
Återkallelse av samtycke – 12 §
Bestämmelsen i 12 § reglerar vad som gäller när den registrerade återkallar ett redan lämnat samtycke till behandling av personuppgifter och i vilka fall den registrerade i övrigt skall ha rätt att motsätta sig sådan behandling.
Bestämmelsens första stycke rör frågan om återkallelse av den registrerades samtycke i de fall där behandling av personuppgifter endast är tillåten efter sådant medgivande. En återkallelse av det slaget kan avges muntligen eller skriftligen till den personuppgiftsansvarige eller någon som på laglig grund företräder denne t.ex. det personuppgiftsbiträde som för den personuppgiftsansvariges räkning tagit emot samtycket. Sedan den personuppgiftsansvarige mottagit och registrerat återkallelsen får ytterligare uppgifter om den registrerade inte samlas in eller annars behandlas. Behandlingen av redan insamlade uppgifter får trots återkallelsen fortsätta i enlighet med det ursprungligen lämnade samtycket, men uppgifterna får exempelvis inte uppdateras eller kompletteras.25
Enligt lagkommentaren kan de grundläggande kraven på kvalitet avseende behandlade personuppgifter enligt 9 § i detta hänseende komma att innebära att den personuppgiftsansvarige efter ett återkallat samtycke måste utplåna eller avidentifiera uppgifter sedan de blivit inaktuella eller ofullständiga.26
Regleringen i första stycket har ansetts innebära en lämplig avvägning mellan den registrerades och den personuppgiftsansvariges intressen. Lösningen innebär att den registrerades självbestämmanderätt beträffande vilka uppgifter som får samlas in respekteras samtidigt som den personuppgiftsansvariges befogade anspråk på att få behandla de uppgifter färdigt som denne kommit över med stöd av ett frivilligt lämnat samtycke kan tillgodoses.27
25 Se 10 § grundläggande krav på tillåten behandling, 15 § behandling av känsliga personuppgifter och 34 § överföring av personuppgifter till tredje land. 26 Se lagkommentaren s. 77. 27 Se Datalagskommitténs betänkande s. 364.
Bilaga 2 SOU 2002:18
304
Bestämmelsens betydelse för utredningen
Möjlighet att återkalla ett tidigare avgett samtycke kan innebära en begränsning för en arbetsgivare att behandla personuppgifter mot en arbetstagares vilja. Exempelvis ges en arbetssökande som vid en anställningsintervju gått med på att arbetsgivaren skall få samla in viss information som kräver samtycke möjlighet att i efterhand underrätta arbetsgivaren om att samtycket inte längre gäller. Det skydd som nu beskrivits inskränks av att arbetsgivaren trots en återkallelse av samtycket har rätt att avsluta behandling av personuppgifter som redan samlats in.
När det gäller frågan om vilket integritetsskydd som PUL ger i arbetslivet bör även uppmärksammas bestämmelsens andra stycke, där det sägs att arbetsgivaren även utan arbetstagarens samtycke har rätt att behandla vissa personuppgifter. Beträffande sådana situationer kan hänvisas särskilt till 10 §.
Förbud mot behandling av känsliga uppgifter
Huvudregeln när det gäller känsliga uppgifter är, som framgår av 13 §, att behandling av sådana är förbjuden. I 14–20 §§ återfinns undantag från huvudregeln, där behandling under vissa förutsättningar är tillåten.
Känsliga uppgifter i lagens mening är sådana som rör ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt hälsa och sexualliv.
Undantag från förbudet mot behandling av känsliga personuppgifter
I kommentaren till PUL har undantagen sammanfattats enligt följande:28
N Den registrerades uttryckliga samtycke (15 §) N Den registrerades offentliggörande (15 §) N Behandling av den personuppgiftsansvarige inom
arbetsrätten (16 §) N För att skydda vitala intressen (16 §) N För att kunna fastställa, göra gällande eller försvara rättsliga
anspråk (16 §)
28 Se lagkommentaren s. 81.
Bilaga 2
305
N Behandling inom ideella organisationer (17 §) N Behandling för hälso- och sjukvårdsändamål (18 §) N Behandling av personuppgifter som omfattas av hälso- och
sjukvårdssekretess (18 §) N Behandling för forsknings- och statistikändamål (19 §) Denna uppräkning är uttömmande och annan behandling av känsliga uppgifter än sådan som tas upp i 15–20 § är inte tillåten. Vidare måste all behandling även vara tillåten enligt 9 och 10 §§ i enlighet med vad som redovisats ovan.29
För utredningens del är bestämmelserna i 17–20 §§ av så begränsat intresse att de i fortsättningen lämnas utanför denna redovisning.
Samtycke
Förbudet att behandla känsliga personuppgifter gäller inte om den registrerade har lämnat sitt samtycke till behandlingen. Innebörden av begreppet samtycke har berörts ovan. Enligt dataskyddsdirektivet finns en möjlighet för medlemsstaterna att bestämma att förbudet inte kan upphävas genom den registrerades samtycke.30Denna möjlighet har inte utnyttjats i PUL, vilket innebär att ett samtycke enligt PUL alltid utgör en tillräcklig förutsättning för behandling av personuppgifter.31
Bestämmelsens betydelse för utredningen
Vid bedömning av arbetstagares samtycke kan det finnas skäl att särskilt beakta att arbetstagare ibland kan ha en beroende ställning i förhållande till arbetsgivaren som gör att ett lämnat samtycke kanske inte ger uttryck för arbetstagarens verkliga vilja. Det är naturligtvis svårt att generellt uttala sig om förutsättningarna för att ett verkligt samtycke skall föreligga. Frågan får avgöras från fall till fall med tillämpning av vad som anförts ovan vid definitionen av begreppet samtycke. Här kan nämnas att Arbetsmiljöverket vid remissbehandlingen av Datalagskommitténs betänkande ansåg att lagen borde ge regeringen eller Datainspektionen möjlighet att i särskilda fall förbjuda behandling av känsliga personuppgifter även
29 Se prop. s. 67 f. och 124 samt Datalagskommitténs betänkande s. 132 f., 295 f. och 369 f. 30 Se direktivet artikel 8.2 a). 31 Se prop. s. 68 f. och 124 f. samt Datalagskommitténs betänkande s. 132, 295 och 370.
Bilaga 2 SOU 2002:18
306
om det finns samtycke. Departementschefen ansåg emellertid inte att det, när någon har lämnat ett frivilligt samtycke till en viss behandling, kan finnas något integritetsskyddsintresse som gör det befogat att förbjuda den behandling som den registrerade och den personuppgiftsansvarige är överens om.32
Offentliggörande
Förbudet mot behandling av känsliga personuppgifter gäller inte heller om behandlingen rör uppgifter som den registrerade har offentliggjort på ett tydligt sätt. Det måste således vara fråga om uppgifter som den registrerade själv offentliggjort. Uppgifter om den registrerade som någon annan har avslöjat för offentligheten omfattas inte om inte den registrerade själv offentligt bekräftar uppgiften.33
Bestämmelsens betydelse för utredningen
För förhållandena i arbetslivet innebär detta bl.a. att det kan vara tillåtet för en arbetsgivare att behandla en uppgift om medlemskap i fackförening om arbetstagaren såsom styrelseledamot e. d. har en sådan ställning i föreningen han får anses ha offentliggjort uppgiften. Enbart deltagande i möten anordnade av en fackförening kan dock knappast uppfylla kraven på ett tydligt offentliggörande av medlemskapet. Inte heller i sådana fall då en arbetstagare offentliggjort andra känsliga uppgifter, såsom t.ex. politisk åskådning eller sexuell läggning, gäller förbudet enligt 13 § mot behandling av personuppgifterna. Som nämnts ovan måste emellertid behandlingen även uppfylla kraven i 9 § och vara tillåten enligt 10 §. Man kan anta att alla dessa förutsättningar är uppfyllda endast i rena undantagsfall när det gäller arbetsgivares behandling av personuppgifter om arbetstagare.
Nödvändig behandling
I 16 § undantas från förbudet mot behandling av känsliga uppgifter sådana fall där behandlingen är nödvändig av de i paragrafen närmare angivna skälen. När det gäller nödvändighetskravet kan
32 Se prop. s. 69. 33 Se prop. s. 68 f. och 124 f. samt Datalagskommitténs betänkande s. 133, 295 och 370.
Bilaga 2
307
hänvisas till vad som anförts ovan vid 10 §. Förutom de där angivna allmänna kraven tillkommer här att behandlingen måste vara nödvändig just för de syften som anges under punkterna a)–c) i bestämmelsens första stycke. För utredningens del förefaller punkterna b) och c) ha så begränsat intresse att de här kan bortses från.
Enligt 16 § första stycket punkt a) får känsliga personuppgifter behandlas om behandlingen är nödvändig för att den personuppgiftsansvarige skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter enligt arbetsrätten. Såsom Datalagskommittén konstaterar har arbetsrätten som rättsområde inte någon klar eller en gång för alla given gräns. Enligt Datalagskommittén bör emellertid inte uttrycket ”inom arbetsrätten” ges en allt för snäv betydelse. I stort sett alla skyldigheter och rättigheter för arbetsgivare beträffande arbetstagare och deras organisationer bör enligt kommittén kunna innefattas.34
Bestämmelsens betydelse för utredningen
I många fall följer det av lagstiftning inom arbetsrätten att vissa uppgifter måste behandlas för att lagstadgade skyldigheter skall kunna fullgöras, t.ex. i samband med sjuklön eller rehabilitering av arbetstagare eller fullgörande av förhandlingsskyldighet. Men även skyldigheter och rättigheter inom arbetsrätten som följer av avtal – kollektivavtal och andra avtal – eller myndighetsbeslut i enskilda fall omfattas av bestämmelsen. Har en arbetsgivare t.ex. åtagit sig att göra avdrag på lön för fackföreningsavgift, får enligt bestämmelsen uppgift om medlemskap i fackföreningen behandlas.
Enligt 16 § andra stycket får uppgifter som behandlas med stöd av första stycket lämnas ut till tredje man endast om det inom arbetsrätten finns en skyldighet för den personuppgiftsansvarige att göra det eller om den registrerade uttryckligen har samtyckt till utlämnandet. Denna bestämmelse motiveras av att dataskyddsdirektivet föreskriver att en behandling enligt ovan förutsätter att det i nationell lagstiftning finns ”lämpliga skyddsåtgärder”. Genom bestämmelsen garanteras att den känsliga frågan om spridning av uppgifterna får särskild uppmärksamhet vid utformning av kollektivavtal och lagstiftning. Enligt Datalagskommittén innebär bestämmelsen att en arbetsgivare inte utan vidare får lämna ut
34 Se prop. s. 125 samt Datalagskommitténs betänkande s. 132 och 370 f.
Bilaga 2 SOU 2002:18
308
uppgifter om en tidigare anställds sjukfrånvaro till en annan arbetsgivare.35
Bestämmelsens betydelse för utredningen
En bestämmelse som innebär en rättslig skyldighet för arbetsgivaren att lämna ut känsliga uppgifter till tredje man är 11 § MBL, där den s.k. primära förhandlingsskyldigheten för arbetsgivare återfinns. Denna innefattar en skyldighet för arbetsgivaren att inför viktigare förändringar av verksamheten förhandla med arbetstagarorganisation i förhållande till vilken han är bunden av kollektivavtal. I den mån förändringen avser t.ex. omplacering av arbetstagare är arbetsgivaren skyldig att lämna uppgifter om arbetstagaren till arbetstagarorganisationen. Detta gäller oavsett om arbetstagaren är medlem i organisationen och även oavsett om arbetstagaren motsätter sig ett utlämnande.
Här bör också nämnas att det I jämställdhetslagen stadgas att arbetsgivare, som ett led i kartläggning av löneskillnader mellan kvinnor och män, kan bli skyldiga att till arbetstagarorganisation lämna ut uppgifter om enskilda arbetstagares löner, oavsett om dessa är medlemmar i organisationen. Som en lämplig avvägning gentemot arbetsgivarens och den berörde arbetstagarens intresse av att skydda uppgiften om lön föreslås att facklig företrädare som får del av informationen skall kunna beläggas med tystnadsplikt.
Uppgifter om lagöverträdelser – 21 §
I bestämmelsens första stycke stadgas som huvudregel ett förbud för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Annan än myndighet får emellertid behandla personuppgifter av det slaget om det framgår av särskilda författningsbestämmelser att detta är tillåtet eller om det beslutats om undantag i det enskilda fallet. Den registrerades samtycke medger inte undantag från det förbud som utgör huvudregeln.
Enligt lagkommentaren omfattas endast överträdelse av förhållningsregler i lag för vilka straff är föreskrivna. Därigenom skulle osanktionerade överträdelser som endast för med sig
35 Se prop. s. 125 samt Datalagskommitténs betänkande s. 370 f.
Bilaga 2
309
administrativa sanktioner, tex. oriktigt uppgiftslämnande på skatteområdet, inte omfattas av förbudet.36 Av förarbetena framgår inte i vilken utsträckning överträdelse av utländsk lagstiftning omfattas av bestämmelsen. En upplysning om att någon har eller kan ha begått ett visst brott utgör en sådan uppgift om lagöverträdelse som omfattas av 21 §, även om överträdelsen inte varit föremål för prövning genom dom eller liknande förfarande.37
Även uppgifter om domar i brottmål omfattas av bestämmelsen. Enligt lagkommentaren gäller detta även om uppgifterna inte skulle innehålla någon uppgift om en viss lagöverträdelse. För det fall brottmålsdomen innefattar civilrättsliga frågor, t.ex. förordnande i skadeståndsfrågor, omfattas även dessa uppgifter av 21 §.38
Med straffprocessuella tvångsmedel avses exempelvis häktning, kvarstad i brottmål och beslag.
Bestämmelsen omfattar slutligen även uppgifter om administrativa frihetsberövanden. Härmed avses uppgift om någon varit föremål för tvångsingripande enligt lagen (1990:52) med särskilda bestämmelser om vård av unga, lagen (1988:870) om vård av missbrukare i vissa fall, lagen (1991:1128) om psykiatrisk tvångsvård, lagen (1991:1129) om rättspsykiatrisk vård, lagen (1967:940) angående omsorger om vissa psykiskt utvecklingsstörda och utlänningslagen (1989:529). Om 21 § även omfattar uppgifter om motsvarande frihetsberövanden enligt utländska lagstiftning framgår inte av förarbetena.39
I bestämmelsens andra och tredje stycke ges möjlighet för regeringen eller den myndighet regeringen bestämmer att meddela föreskrifter om undantag från förbudet i första stycket.
Bestämmelsens betydelse för utredningen
Bestämmelsen innebär ett förbud för statlig arbetsgivare som inte är myndighet och för arbetsgivare på den kommunala och privata sektorn att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Att exempelvis en privat arbetsgivare vid en anställningsintervju ställer frågor om kriminell belastning eller uppställer som krav att den arbetstagare själv skall
36 Se lagkommentaren s. 101. 37 Se prop. s. 75 f. och 129 f. samt Datalagskommitténs betänkande s. 136 och 378 f. 38 Se lagkommentaren s. 101. 39 Se prop. s. 75 f. och 129 f. samt Datalagskommitténs betänkande s. 136 och 378 f.
Bilaga 2 SOU 2002:18
310
ge in ett belastningsregisterutdrag står således i strid med PUL, för det fall arbetsgivaren inte har särskilt författningsstöd eller myndighetsstillstånd att behandla uppgifterna.
Myndigheter som arbetsgivare träffas emellertid inte av förbudet. För det fall de grundläggande kraven för behandling av personuppgifter i övrigt är uppfyllda är det således tillåtet för en myndigheten att behandla sådana personuppgifter.
I detta sammanhang bör nämnas att särskilda författningsbestämmelser återfinns i bl.a. Datainspektionens föreskrifter och lagen (1998:620) om belastningsregister. I lagen om belastningsregister regleras bl.a. vilken information som får lämnas ut till arbetsgivare. Nämnas bör även lagen (2000:873) om registerkontroll av personal inom förskoleverksamhet, skola och barnomsorg där det sägs att arbetsgivaren skall genomföra registerkontroll vid vissa typer av anställningar och att underlaget för kontrollen skall tillhandahållas av den enskilde.
Informationsskyldighet och rättelse – 23–28 §§
I 23 och 24 §§ föreskrivs om informationsskyldighet för den personuppgiftsansvarige i samband med att denne samlar in information om den registrerade.
För att informationsskyldigheten skall inträda krävs att personuppgifterna samlats in. Enligt lagkommentaren får detta anses innefatta samtliga tillvägagångssätt på vilka den personuppgiftsansvarige kan få tillgång till personuppgifter för behandling som omfattas av lagen. Det är således inte möjligt att undgå informationsskyldigheten genom att hävda att personuppgifterna inte samlats in när de skickats in självmant av den registrerade.40
Om uppgifter om en person samlas in från personen själv, skall den personuppgiftsansvarige i samband därmed självmant lämna den registrerade information om behandlingen enligt 23 §. Samlar den personuppgiftsansvarige in uppgifterna från de registrerade utan att då berätta vad uppgifterna skall användas till, kan behandlingen av personuppgifterna inte anses korrekt. Det har inte föreskrivits något undantag från den personuppgiftsansvariges informationsplikt i denna situation. Att informationen skall lämnas i samband med att personuppgifterna samlas in torde enligt
40 Se lagkommentaren s. 124.
Bilaga 2
311
lagkommentaren innebära att den registrerade får information innan det att uppgiften eller uppgifterna samlas in.41
Enligt 24 § första stycket skall information även lämnas till den registrerade när personuppgifter har samlats in från någon annan källa än den registrerade. Bestämmelsen är tillämplig både när personuppgifter hämtas in från en annan personuppgiftsansvarig, t.ex. genom samkörning, och när den personuppgiftsansvarige hämtar in information på annat sätt. Enligt lagkommentaren är det inte fråga om ett insamlande av personuppgifter när den personuppgiftsansvarige använder redan insamlade personuppgifter för ett nytt ändamål som inte är oförenligt med det ursprungligen bestämda.42
Den personuppgiftsansvarige skall även enligt 24 § självmant lämna den registrerade information om behandlingen när uppgifterna registreras. Är uppgifterna avsedda att lämnas ut till tredje man, behöver dock inte informationen lämnas förrän uppgifterna lämnas ut för första gången Om uppgifterna används för att vidta åtgärder som rör den registrerade, skall information lämnas senast i samband med förfarandet.43
Från huvudregeln i första stycket finns vissa undantag. Enligt andra stycket behöver information inte lämnas till den registrerade om det i lag eller annan författning framgår vilken behandling av personuppgifterna som kan bli aktuell. Den som enligt lag eller föreskrift har skyldighet att registrera vissa uppgifter behöver inte lämna information när uppgifterna hämtas in från annat håll än den registrerade själv. Inte heller den som enligt en sådan föreskrift har rätt att få ut vissa uppgifter behöver informera om sin efterföljande behandling. Däremot kan den som lämnar ut uppgifterna vara skyldig att lämna information i samband med att uppgifterna samlas in.
Den personuppgiftsansvarige behöver enligt tredje stycket inte heller uppfylla informationsplikten för de fall där det visar sig vara omöjligt eller innebära en oproportionerligt stor arbetsinsats. I artikel 11.2 i dataskyddsdirektivet talas om en oproportionerligt stor ansträngning i stället för en oproportionerligt stor arbetsinsats. Enligt punkt 40 i ingressen till direktivet finns vissa de föreslagna riktlinjer för bedömningen av när det kan innebära en oproportionerligt stor ansträngning att lämna information. Vid
41 a.a. s. 125. 42 Se lagkommentaren s. 126. 43 Se prop. s. 78 f. och 130 f. samt Datalagskommitténs betänkande s. 139 f. och 383 f.
Bilaga 2 SOU 2002:18
312
denna bedömning kan bl.a. beaktas antalet registrerade, uppgifternas ålder och de kompensatoriska åtgärder som kan vidtas. Av mötesprotokollet framgår att rådet och kommissionen anser att man vid denna bedömning måste ta i beaktande vikten av det allmänna intresse för vilken uppgifterna behandlas. I kommissionens förklaring anges vidare att frågan om informationslämnandet i praktiken får bero på de särskilda omständigheter under vilka informationen samlas in från de registrerade. I lagkommentaren uttalas att arbetsinsatsen bör sättas i relation till arten av personuppgifterna, behandlingens ändamål, de särskilda integritetsrisker som kan vara förknippade med behandlingen och det intresse de registrerade kan antas ha av att bli informerade om behandlingen.44
Bestämmelserna i 23 och 24 §§ kompletteras av 25 § som reglerar vilken information som den personuppgiftsansvarige skall lämna till den registrerade.
Enligt 25 § första stycket skall den registrerade få uppgifter om den personuppgiftsansvariges identitet. Härmed avses förmodligen att uppgift skall lämnas om namn och adress beträffande den fysiska eller juridiska person som är personuppgiftsansvarig. Vidare skall den registrerade få uppgift om ändamålen med behandlingen. Slutligen skall även lämnas upplysningar om all övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse.
I dataskyddsdirektivet finns en exemplifiering av den information som skall lämnas i sistnämnda hänseende. Beträffande det fallet att uppgifterna samlas in från den registrerade själv anges som exempel information om mottagarna eller kategorier av mottagare, information om huruvida det är obligatoriskt eller frivilligt att besvara frågorna och om eventuella följder av att inte svara samt information om förekomsten av rättigheter att få tillgång till och att få rättelse av uppgifterna. För det fallet uppgifterna hämtas in på annat sätt anges som exempel information om de kategorier av uppgifter som behandlingen gäller, information om mottagarna eller de kategorier som mottar uppgifterna samt information om förekomsten av rättigheter att få tillgång till och att få rättelse av uppgifterna.
44 Se lagkommentaren s. 129.
Bilaga 2
313
Det finns inte någon skyldighet för en personuppgiftsansvarig att lämna information vid mer än ett tillfälle. De insamlade uppgifterna kan således under den tid det är nödvändigt behandlas för de ändamål som angetts vid insamlingen och för alla andra ändamål som inte är oförenliga med de ursprungliga ändamålen utan att den registrerade behöver informeras på nytt. Ny information behöver vidare inte lämnas varje gång uppgifterna lämnas ut till tredje man under förutsättning att information om åtminstone de aktuella kategorierna av mottagare har lämnats. Lämnas uppgifterna ut till tredje man för vidare behandling måste givetvis denne informera den registrerade om sin behandling av uppgifterna i den mån de registrerade inte redan känner till informationen t.ex. genom den information de fått från den förste personuppgiftsansvarige.
I en del fall är avsikten att fortlöpande samla in uppgifter om en och samma person. Det bör då vara möjligt att lämna information vid ett tillfälle – innan uppgifterna registreras för första gången – under förutsättning att den registrerade får information om bl.a. vilken kategori uppgifter som kommer att hämtas in och behandlas. Genom den information som lämnas innan den första registreringen får den registrerade kännedom om de behandlingar som kommer att utföras fortlöpande och vilka kategorier av uppgifter dessa kommer att avse.
När det gäller insamling av personuppgifter i samband med användning av Internet och liknande elektroniska tjänster t.ex. i form av s.k. loggar är det viktigt att de personer som utnyttjar tjänsterna informeras om utnyttjandet av de s.k. elektroniska spår som de omedvetet kan ha lämnat.
Det finns inte något krav på att informationen skall lämnas skriftligen. Det emellertid den personuppgiftsansvarige som har att visa att varje registrerad har fått den information som krävs om det blir tvist om saken, vilket kan antas medföra att de flesta väljer att om möjligt lämna informationen skriftligen och på en framträdande plats.45
Enligt andra stycket behöver information inte lämnas om sådant som den registrerade redan känner till. På vilket sätt den registrerade fått tillgång till informationen spelar i sammanhanget ingen roll. Enligt Datalagskommittén omfattar detta undantag bl.a. att allmänna handlingar kan lämnas ut till den som begär det enligt
45 Se prop. s. 78 f och 131 samt Datalagskommitténs betänkande s. 140 och 385 f.
Bilaga 2 SOU 2002:18
314
offentlighetsprincipen. Detta motiveras av att utlämnande av handlingar enligt offentlighetsprincipen sedan lång tid tillbaka är föreskriven i svensk grundlag och att det kan förutsättas att allmänheten redan känner till att handlingar kan komma att lämnas ut med stöd av denna princip.46
Den personuppgiftsansvarige har även enligt 26 § en skyldighet att till var och en som ansöker om det en gång per år gratis lämna besked i frågan om personuppgifter som rör sökanden har behandlats. Har sådana uppgifter behandlats skall skriftlig information också lämnas om vilka uppgifter som behandlats, varifrån dessa uppgifter hämtats, vilka ändamålen med behandlingen är och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. I bestämmelsen föreskrivs vissa undantag från den personuppgiftsansvariges skyldigheter i detta avseende.47
I 27 § återfinns en gemensam undantagsregel från den personuppgiftsansvariges informationsskyldighet. Enligt paragrafen har bestämmelser om sekretess och tystnadsplikt företräde framför PUL. Enligt första meningen gäller inte 23–26 §§ om det bl.a. i lag eller annan författning är särskilt föreskrivet att uppgifterna inte får lämnas ut till den registrerade. Med beslut som meddelats med stöd av författning avses t.ex. beslut om förbehåll enligt 14 kap. 9 och 10 §§sekretesslagen.48
I andra meningen föreskrivs att även en personuppgiftsansvarig som inte är myndighet får vägra att lämna information till den registrerade i motsvarande fall som avses i sekretesslagen. Bestämmelsen motiveras av att enskilda i lika hög grad som myndigheter kan ha ett befogat intresse av att hemlighålla personanknuten information som t.ex. samlats inför en domstolsprocess om det kan antas att ett utlämnande av informationen skulle försämra den enskildes ställning som part i rättegången. Samma hänsyn gör sig exempelvis gällande i försäkringsverksamhet där det inte sällan registreras uppgifter om personer som misstänks för försäkringsbedrägeri eller annan brottslig verksamhet.49
Enligt 28 § är den personuppgiftsansvarige skyldig att på begäran av den registrerade snarast rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med lagen eller föreskrifter som utfärdats med stöd av lagen. Den personuppgifts-
46 Se prop. s 78 f och 131 samt Datalagskommitténs betänkande s. 140 och 385 f. 47 a.a. s. 81 f. och 131 f. resp. a.a. s. 141 f., 144 f., 313 f. och 389 f. 48 a.a. s. 80, 84 f., 133 och 241 f. resp. a.a. s. 144 f. och 394 f. 49 Se prop. s. 80, 84 f., 133 och 241 f. samt Datalagskommitténs betänkande s. 144 f. och 394 f.
Bilaga 2
315
ansvarige skall även underrätta tredje man som uppgifterna lämnats ut till om åtgärden, om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. Någon sådan underrättelse behöver dock inte lämnas, om det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats.
Enligt första meningen föreskrivs en korrigeringsskyldighet för den personuppgiftsansvarige. Den registrerades begäran om korrigering eller underrättelse till tredje man kan framställas formlöst till den personuppgiftsansvarige eller någon som företräder denne. Det räcker att det av begäran framgår att den registrerade är missnöjd med behandlingen i något visst avseende och vill att korrigering skall vidtas. Framställs en sådan begäran bör den personuppgiftsansvarige skyndsamt utreda om de framförda anmärkningarna är befogade och, om så skulle vara fallet, snarast vidta korrigering. Omfattningen av utredningen får bero av de anmärkningar den registrerade framställt. Uppkommer oenighet mellan den personuppgiftsansvarige och den registrerade om uppgifterna skall korrigeras eller inte, kan den registrerade anmäla förhållandet till tillsynsmyndigheten, som har möjlighet att förelägga vite om lagen inte följs, och ansöka om utplånande av uppgifterna, eller själv väcka talan om saken vid allmän domstol. En personuppgiftsansvarig som efter utredning inte är övertygad om att det är nödvändigt att korrigera uppgifterna behöver således inte självmant göra det.50
Enligt lagkommentaren måste förmodligen en begäran avse korrigering beträffande personuppgifter som faktiskt behandlats vid den tidpunkt då begäran framställts. Detta innebär att det inte borde vara möjligt att begära korrigering av personuppgifter som den personuppgiftsansvarige skall behandla i framtiden.51
Korrigeringsskyldigheten kan uppfyllas genom rättelse, blockering och utplåning av personuppgifter. Det är i princip den personuppgiftsansvarige som själv väljer korrigeringsmetod. Av annan lagstiftning eller av sakens natur kan dock följa att vissa korrigeringsmetoder inte kan användas i vissa fall, t.ex. när det gäller korrigering av personuppgifter i bokföring. Att en uppgift rättas innebär att den ursprungliga, felaktiga, missvisande eller ofullständiga uppgiften ersätts av en uppgift om de rätta
50 Se prop. s. 46 f., 86 f. och 133 f. samt Datalagskommitténs betänkande s. 143, 217 f.., 316 och 396 f. 51 Se lagkommentaren s. 150 f.
Bilaga 2 SOU 2002:18
316
förhållandena eller att uppgifterna annars kompletteras. Det finns inte något krav på att den felaktiga uppgiften skall utplånas. Det bör vara upp till den som är ansvarig för behandlingen att avgöra hur rättelsen skall göras. Det enda kravet är att det i alla sammanhang klart skall framgå att den felaktiga uppgiften har ersatts av en annan uppgift och vilka de rätta förhållandena är. Med utplåna avses att personuppgifterna förstörs så att de inte kan återskapas. Beträffande definitionen av begreppet blockera hänvisas till vad som redovisats om 3 §.52
Enligt andra meningen åvilar det den personuppgiftsansvarige en viss underrättelseskyldighet beträffande korrigering av personuppgifter. Underrättelseskyldigheten är därvid begränsad till korrigeringar som vidtagits med stöd av första meningen. Den personuppgiftsansvarige är således inte skyldig att lämna underrättelse om en vidtagen åtgärd för det fall korrigeringen skett självmant.
Den personuppgiftsansvarige är under alla förhållanden skyldig att underrätta tredje man om korrigering av personuppgifter om det kan antas att en underrättelse skulle kunna innebära att mer betydande skada eller olägenhet för den registrerade kan undvikas. En felaktig, känslig personuppgift som lämnats ut till tredje man, t.ex. om att den registrerade är sjuk eller har en extrem politisk eller religiös övertygelse, kan regelmässigt antas föranleda sådan skada eller olägenhet som avses. Gäller det däremot mer harmlösa uppgifter t.ex. den registrerades adress, bör det som regel krävas någon särskild omständighet för att man skall kunna anta att en underrättelse skulle kunna undvika sådan skada eller olägenhet som avses. Det måste vidare kunna antas att underrättelsen medför att skada eller olägenhet kan undvikas. Detta är inte fallet när det är känt att aktuella tredje män redan korrigerat uppgiften.
Inte heller för underrättelse till tredje man om korrigering uppställs något formkrav. I underrättelsen skall emellertid anges den åtgärd som den personuppgiftsansvarige har vidtagit beträffande personuppgifterna. I detta krav på att åtgärden skall anges innefattas att information skall lämnas om anledningen till åtgärden t.ex. att de tidigare uppgifterna varit felaktiga eller ofullständiga. Har en felaktig uppgift rättats måste vidare, om det är nödvändigt, underrättelse lämnas om såväl den tidigare felaktiga uppgiften som den nya, riktiga uppgiften. Avsikten med
52 Se prop. s. 46 f., 86 f. och 133 f. samt Datalagskommitténs betänkande s. 143, 217 f.., 316 och 396 f.
Bilaga 2
317
underrättelseskyldigheten är att de som tagit emot en uppgift som korrigerats i sin tur skall kunna på lämpligt sätt korrigera de mottagna uppgifterna och eventuella åtgärder som har vidtagits med ledning av uppgiften. Underrättelsen bör därför innehålla sådan information som gör detta möjligt. Rör felaktigheten exempelvis en uppgift som mottagaren kan antas använda som enda sökbegrepp, t.ex. namn eller personnummer, är det nödvändigt att den felaktiga uppgiften anges för att mottagaren i praktiken skall kunna göra en rättelse i sin tur.
Det finns inte någon formell skyldighet att självmant underrätta i flera led. Det får dock förutsättas att de personuppgiftsansvariga frivilligt på lämpligt sätt ser till att mildra skadeverkningarna av felaktiga eller ofullständiga uppgifter som självmant rättats.53
Enligt tredje meningen behöver inte underrättelse lämnas om det visar sig omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats.54
Bestämmelsernas betydelse för utredningen
Enligt bestämmelserna i 23 och 24 §§ garanteras arbetstagare information om behandlingen av de personuppgifter som arbetsgivaren samlar in. För det fall arbetsgivaren exempelvis vid en anställningsintervju samlar in information från en arbetssökande måste arbetsgivaren enligt PUL informera om vad personuppgifterna skall användas till. Det åligger även arbetsgivaren en skyldighet att informera den arbetssökande om det är obligatoriskt att svara på en fråga, och därigenom lämna personuppgifter, och vilka följderna blir om den arbetssökande vägrar att göra detta. PUL garanterar även en arbetssökande information för det fall arbetsgivaren väljer att inhämta referenser från tredje man. Även här måste arbetsgivaren lämna information om bl.a. vilka uppgifter som samlats in och ändamålet med att personuppgifterna samlas in.
Även när det gäller datorrelaterade kontroller av arbetstagare kan arbetsgivarens informationsskyldighet enligt PUL vara av betydelse. Detta gäller bl.a. när arbetsgivaren i loggar samlar in personuppgifter i samband med användning av bl.a. Internet. Arbetsgivaren skall i detta sammanhang lämna information om hur arbetsgivaren avser att behandla sådana uppgifter.
53 Se prop. s. 46 f., 86 f. och 133 f. samt Datalagskommitténs betänkande s. 143, 217 f.., 316 och 396 f. 54 Ibid.
Bilaga 2 SOU 2002:18
318
Att arbetsgivaren i egenskap av personuppgiftsansvarig ålagts den informationsskyldighet som framgår av 23 och 24 §§ innebär att arbetstagaren ges möjlighet till insyn beträffande den behandling av personuppgifter som äger rum. Detta ger ökat utrymme att utnyttja de kontrollmöjligheter som står till buds i 26 § och att utnyttja möjligheten till korrigering i 28 §.
Säkerhetsåtgärder – 31 §
Den personuppgiftsansvarige skall enligt första stycket vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna skall åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheterna som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna och hur känsliga de behandlade personuppgifterna är. Som exempel på en faktor som berör de särskilda risker som finns med behandling nämns i Datalagskommitténs betänkande antalet personer som de behandlade uppgifterna avser. Skadorna av ett eventuellt angrepp kan givetvis bli mer omfattande när det är uppgifter om många personer som behandlas på en gång. Vad avser bedömningen av känsligheten av de behandlade personuppgifterna bör de regler i PUL som särskilt reglerar behandling av personuppgifter eller liknande tas som riktmärke.
Även om de tekniska möjligheterna skall beaktas är det väsentliga att en lämplig säkerhetsnivå uppnås oavsett om denna kommer till stånd genom tekniska hjälpmedel eller genom organisatoriska åtgärder. Det måste alltid bli fråga om en avvägning för att åstadkomma en lämplig säkerhetsnivå, dvs. en säkerhet som med beaktande av samtliga omständigheter får anses tillräcklig.
De allmänt hållna reglerna i bestämmelsen beskriver på ett kortfattat sätt de överväganden som måste göras i fråga om säkerhetsåtgärder. Reglerna ger dock inte tillräcklig vägledning för den personuppgiftsansvarige för att avgöra vilka säkerhetsåtgärder som bör vidtas i det enskilda fallet för att nå upp till en lämplig säkerhetsnivå. Avsikten är att regeringen eller den myndighet som regeringen bestämmer skall meddela de närmare föreskrifter om säkerhetsåtgärder som behövs. Tillsynsmyndigheten bör även i rimlig utsträckning lämna råd i säkerhetsfrågor. I Datainspektionens allmänna råd – Säkerhet för personuppgifter, lämnas
Bilaga 2
319
bl.a. rekommendationer om den personuppgiftsansvariges organisation, säkerhetsnivå och säkerhetsåtgärder.
Bestämmelser om säkerhetsåtgärder kan även finnas i annan lagstiftning, t.ex. i arkivlagen med anknytande författningar. Dessa bestämmelser gäller vid sidan av de bestämmelser om skyddsåtgärder som framgår av PUL med anknytande författningar och beslut. Den personuppgiftsansvarige måste uppfylla alla de regler om säkerhets- och skyddsåtgärder som kan ha meddelats för den berörda verksamheten.55
I andra stycket föreskrivs att den personuppgiftsansvarige skall förvissa sig om att ett anlitat personuppgiftsbiträde kan genomföra de säkerhetsåtgärder som måste vidtas och se till att biträdet verkligen vidtar åtgärderna. Det är dock den personuppgiftsansvarige som har ansvaret gentemot den registrerade avseende behandlingen även när ett personuppgiftsbiträde har anlitats. I vilken utsträckning den personuppgiftsansvarige i sin tur kan utkräva ansvar av ett anlitat personuppgiftsbiträde följer av avtalet med denne och allmänna bestämmelser.56
Bestämmelsens betydelse för utredningen
Enligt bestämmelsen skall en arbetsgivare vidta åtgärder för att uppnå en viss säkerhetsnivå beträffande de personuppgifter som behandlas. Vad som avses med lämplig säkerhetsnivå eller hur detta skall ske är inte närmare preciserat i lagtext eller förarbeten. Av naturliga skäl är detta heller inte möjligt, eftersom PUL reglerar behandling av personuppgifter i vitt skilda verksamheter och för ett stort antal ändamål. Bestämmelsen i 31 § om säkerhetsåtgärder får trots detta anses innebära ett viktigt skydd för de integritetskänsliga uppgifter som kan samlas in och behandlas under ett anställningsförfarande och anställningsförhållande.
Skadestånd – 48 §
Reglerna om skadestånd i PUL utgör specialbestämmelser som tar över de allmänna skadeståndsreglerna i skadeståndslagen. I den mån en skadeståndsfråga inte berörs i PUL, tex. vad gäller beräkning av skadestånd för personskada eller sakskada eller fråga om ansvaret i en situation med flera skadeståndsskyldiga, bör
55 Se prop. s. 90 f. och 136 samt Datalagskommitténs betänkande s. 146 f. och 409 f. 56 Se vad som anförts om regressansvar vid 48 §.
Bilaga 2 SOU 2002:18
320
emellertid de allmänna skadeståndsrättsliga reglerna tillämpas. Bestämmelsen i 48 § gäller vidare endast skadestånd vid behandling av personuppgifter i strid med PUL. Detta får bl.a. till följd att skadestånd med stöd av 48 § inte kan utgå vid brott mot bestämmelse i de s.k. särskilda registerförfattningar som enligt 2 § gäller framför PUL. Det torde således krävas en uttrycklig hänvisning i nu nämnda författningar till bestämmelsen i PUL för att detta skall vara tillämpliga.
Av första stycket framgår att den personuppgiftsansvarige är ersättningsskyldig gentemot den registrerade så snart behandling har skett i strid med någon bestämmelse i lagen. Detta inbegriper även att den personuppgiftsansvarige är skyldig att iaktta god sed enligt 9 §. För att ersättningsskyldighet enligt första stycket skall föreligga behöver den registrerade således endast bevisa att det från den personuppgiftsansvariges sida har förekommit en olaglig behandling av den registrerades personuppgifter och att denna behandling kränkt den registrerade. Skadeståndsskyldigheten avser ersättning för personskada, sakskada och ren förmögenhetsskada samt kränkning av den personliga integriteten. Det är därvid endast skada eller kränkning som den olagliga behandlingen har fört med sig som ersätts. Detta framgår uttryckligen genom att det av lagtexten framgår att behandlingen av uppgifterna skall ha orsakat skada respektive kränkning. Orsakssambandet skall naturligtvis vara adekvat.
När det gäller ersättningen för kränkning får denna uppskattas efter skäligheten mot bakgrund av samtliga omständigheter i det aktuella fallet. I det sammanhanget kan beaktas bl.a. sådana faktorer som om det funnits risk för otillbörlig spridning av känsliga eller felaktiga uppgifter och om den registrerade på grund av den felaktiga behandlingen blivit utsatt för något beslut eller några åtgärder som kunnat innebära något negativt. Har den registrerade själv lämnat en oriktig eller ofullständig uppgift till den personuppgiftsansvarige, kan den personuppgiftsansvariges behandling av uppgiften inte anses innebära någon sådan kränkning av den personliga integriteten som bör föranleda ersättning enligt bestämmelsen. Kränkningsersättningen bör i princip fastställas för varje kränkt registrerad för sig.57
I andra stycket finns bestämmelser om jämkning av den ovan beskrivna ersättningsskyldigheten. Jämkningsbestämmelserna inne-
57 Se prop. s. 105 f., 143 f. och 242 f. samt Datalagskommitténs betänkande s. 158 och 429.
Bilaga 2
321
bär att den personuppgiftsansvariges ersättningsskyldighet kan sättas ned eller falla bort. Om den registrerade lyckas bevisa att det från den personuppgiftsansvariges sida förekommit en olaglig behandling av den registrerades personuppgifter och att denna behandling föranlett en kränkning är det upp till den personuppgiftsansvarige att bevisa att den olagliga behandlingen inte berodde på denne. Lyckas den personuppgiftsansvarige med detta får i sista hand domstol bedöma om och i vilken omfattning det kan vara skäligt att jämka ersättningsskyldigheten.
Den personuppgiftsansvarige är gentemot den registrerade i och för sig ansvarig för all den behandling som denne har ansvaret för, även i de fall den personuppgiftsansvarige anlitat ett personuppgiftsbiträde eller annan hjälp. Ett fel av ett anlitat personuppgiftsbiträde får således anses bero på den personuppgiftsansvarige. Den personuppgiftsansvarige torde emellertid i allmänhet kunna få ersättning av ett försumligt personuppgiftsbiträde för den ersättning som måste betalas till den registrerade. Däremot kan den personuppgiftsansvarige som regel inte med framgång kräva försumlig arbetstagare på ersättning, se 4 kap 1 § skadeståndslagen.
När den olagliga behandlingen beror på att den registrerade exempelvis lämnat felaktiga eller ofullständiga uppgifter kan den olagliga behandlingen i allmänhet inte anses bero på den personuppgiftsansvarige. Vid sådana förhållanden kan det vara skäligt att helt befria den personuppgiftsansvarige från ersättningsskyldighet för skada och kränkning som användningen av personuppgifterna kan ha förorsakat den registrerade. Bestämmelsen i 6 kap. 1 § skadeståndslagen om medvållande kan därvid komma att tillämpas om den personuppgiftsansvarige inte fullt ut lyckas visa att felet berodde på denne.
En olaglig behandling av den personuppgiftsansvarige som beror på att denne hämtat in felaktiga eller ofullständiga uppgifter från annan personuppgiftsansvarig kan inte anses bero på den personuppgiftsansvarige om det inte funnits någon anledning att misstänka att uppgifterna var felaktiga eller ofullständiga. I vilken utsträckning ansvaret för den personuppgiftsansvarige skall mildras i sådana fall är en skälighetsfråga.
En olaglig behandling på grund av att personuppgifter utan den personuppgiftsansvariges instruktioner har kommit ut till utomstående, t.ex. genom brottsligt intrång i ett datasystem, kan inte anses bero på den personuppgiftsansvarige, om denne i
Bilaga 2 SOU 2002:18
322
enlighet med tillämpliga bestämmelser har en skälig säkerhetsnivå och intrånget har kunnat komma till stånd genom att angriparen var beredd på att lägga ned mycket stora resurser för att komma åt informationen. I sådana fall kan det vara skäligt att mildra ansvaret. Har den personuppgiftsansvarige å andra sidan försummat säkerheten, får den olagliga behandlingen anses bero på denne.
En olaglig behandling som beror på felaktighet i den utrustning som den personuppgiftsansvarige ansvarar för får som regel anses bero på den personuppgiftsansvarige. Endast i särpräglade fall kan den personuppgiftsansvarige anses oskyldig till den olagliga behandlingen, t.ex. om uppgifterna på ett helt oförutsett vis förvanskats till följd av blixtnedslag eller avbrott eller felaktigheter i ett publikt datanätverk. I sådana fall kan det vara skäligt att mildra ansvaret.
Vid den skälighetsbedömning som skall göras i de fall där den olagliga behandlingen bevisligen inte beror på den personuppgiftsansvarige bör beaktas också den registrerades behov av skadestånd och den personuppgiftsansvariges förmåga att betala skadestånd. Om en viss felaktig behandling har omfattat uppgifter om många människor, bör man dock kunna ta hänsyn till att den samlade ersättningsskyldigheten för den personuppgiftsansvarige inte blir orimligt stor.58
Beträffande denna bestämmelses betydelse för arbetstagarens integritetsskydd hänvisas till 49 §.
Straff – 49 §
Paragrafen innehåller bestämmelser om straff för den som bryter mot vissa bestämmelser i lagen. I bestämmelsen räknas de förfaranden upp som är straffbara enligt PUL. För ansvar krävs att handlandet antingen varit uppsåtligt eller oaktsamt. Att märka är att det inte utkrävs straffrättsligt ansvar av den personuppgiftsansvarige, utan av den person som gjort sig skyldig till ett förfarande som är straffbart enligt bestämmelsen.
Enligt punkten a) inträder straffansvar för det fall någon lämnar osann uppgift i sådan information till den registrerade som föreskrivs i lagen enligt 23–27 §§ och 29 § andra stycket, i en anmälan till tillsynsmyndigheten enligt 36 § eller till tillsynsmyndigheten när myndigheten begär information enligt 43 §.
58 Se prop. s. 105 f., 143 f. och 242 f. samt Datalagskommitténs betänkande s. 158 och 429.
Bilaga 2
323
Vidare är det enligt punkten b) straffbart att behandla känsliga personuppgifter och uppgifter om lagöverträdelser i strid med 13– 21 §§. Enligt punkten c) är det även straffbart att föra över personuppgifter till tredje land i strid med 33–35 §§. Kriminaliseringen av det sistnämnda förfarandet motiveras av att personuppgifterna i praktiken försvinner utom räckhåll för svenska skyddsåtgärder. Slutligen stadgas i punkten d) att det är straffbart att underlåta att göra anmälan enligt 36 § första stycket eller enligt föreskrift som ha meddelats med stöd av 41 §.
Vid en bedömning av om brottet är att rubricera som grovt bör beaktas bl.a. om de olagligt behandlade uppgifterna avsett förhållanden av avsevärd betydelse för den registrerade och om gärningsmannen insett detta, om gärningsmannen lämnat osanna uppgifter för att undkomma påföljd eller vinna någon annan fördel samt om det brottsliga utnyttjandet av uppgifterna annars framstår som hänsynslöst. Bara i undantagsfall torde en gärning som begåtts av oaktsamhet kunna bedömas som grovt brott.
För brott av normalgraden stadgas böter eller fängelse i högst sex månader och för grovt brott fängelse i högst två år. För brott som är att bedöma som ringa skall inte dömas till ansvar.
För det fall en arbetsgivare vid behandling av arbetstagares personuppgifter inte iakttar de bestämmelser i PUL som ger arbetstagare integritetsskydd kan denne, enligt vad som framgår ovan, bli såväl skadeståndsskyldig gentemot den registrerade som straffrättsligt ansvarig för sitt handlande. De skadestånds- och straffrättsliga bestämmelserna i PUL får därigenom indirekt anses stärka arbetstagares och arbetssökandes integritetsskydd genom att sanktionera de bestämmelser som garanterar nu nämnda skydd.59
Bestämmelsens betydelse för utredningen
Såväl 48 som 49 §§ innebär att integritetsskyddet sanktioneras rättsligt, vilket medför att skyddet för den enskilde stärks.
Avslutning
I samband med den redovisning som ovan gjorts av PUL:s regler har konsekvenserna av lagens tillämpning i arbetslivet i viss utsträckning kommenterats och exemplifierats. Det kan
59 Se prop. s. 108 f., 145 f. och 243 f. samt Datalagskommitténs betänkande s. 158 f. och 437 f.
Bilaga 2 SOU 2002:18
324
konstateras att PUL, i de fall lagen är tillämplig, garanterar arbetsstagaren ett straffsanktionerat integritetsskydd som gäller alla anställningsförhållanden och som omfattar all slags information oavsett om det gäller resultat av hälsoundersökningar, uppgifter i loggar eller information som samlats in från tidigare arbetsgivare genom referenser. Vidare ger lagen ett integritetsskydd som sträcker sig från det att information samlas in under ett anställningsförfarande tills arbetsgivaren förvarar personuppgifter efter det att anställningsförhållandet har upphört.
Den omständigheten att PUL inte är tillämplig på alla situationer i arbetslivet gör emellertid att omfattningen av integritetsskyddet kan variera på ett sätt som inte är sakligt motiverat. Som exempel kan nämnas att det som enligt 5 § är avgörande för om PUL blir tillämplig är sättet för arbetsgivarens behandling av personuppgifterna, dvs. om behandlingen sker automatiserat eller i registerform, vilket innebär att arbetsgivaren i praktiken kan välja om arbetstagarna skall få del av lagens skydd eller inte. Enligt nödvändighetskravet i 10 § är det dessutom så att arbetsgivaren har en skyldighet att i möjligaste mån undvika att PUL blir tillämplig.
Sådana regler är naturliga i en lag med PUL:s generella karaktär. I arbetslivet kan emellertid antas att obefogade integritetsintrång i många fall kan ske även om uppgifter inte skall behandlas automatiserat eller i registerform. Som exempel kan nämnas att inhämtande av uppgifter genom av hälsokontroller eller drogtester kan utgöra ett allvarligt integritetsintrång och få stor betydelse även om uppgiften inte nedtecknas eller bara antecknas på en lös lapp. Vidare kan nämnas att 21 § innebär att vissa arbetsgivare, nämligen myndigheter, kan samla in information om lagöverträdelser m.m. medan andra arbetsgivare är förhindrade att göra det.
Även om PUL:s bestämmelser i vissa fall är mindre väl anpassade till integritetskyddsintressen i arbetslivet ger de dock uttryck för de grundläggande principer som måste gälla, nämligen relevansprincipen, finalitetsprincipen, personuppgiftsansvariges informationsskyldighet och restriktiviteten vid behandling av känsliga uppgifter.
325
Bilaga 3
ILO:s riktlinjer
Inledning
International labour organization (ILO) har sedan 1946 ställning som ett av Förenta Nationernas fackorgan. ILO-konferensen utarbetar konventioner och rekommendationer på arbetslivets område. Dessa innehåller minimistandarder som anger den lägsta godtagbara nivån i olika arbetsrättsliga hänseenden. Konventionerna blir bindande för Sverige genom ratificering. Som exempel på sådana för landet bindande konventioner kan nämnas 1981 års konvention om arbetarskydd och arbetsmiljö
1
samt 1985
års konvention om företagshälsovård.
2
I det följande redovisas de som är relevanta i förhållande till de frågor som tas upp i Integritetsutredningens direktiv.
Guiding principles on drug and alcohol testing in the workplace
När det gäller medicinska undersökningar finns endast ett fåtal allmänna konventionsregler på detta område.
3
Någon för Sverige
bindande konvention som enbart eller mer i detalj berör dessa frågor finns inte.
Inom ILO pågår emellertid arbete med här aktuella frågor, vilket ännu inte fått formen av konventioner eller rekommendationer. Vad gäller drog- och alkoholtester kan exempelvis nämnas att det vid ett interregionalt expertmöte inom ILO lagts fram vissa förslag till riktlinjer, ”Guiding principles on drug and alcohol testing in the workplace as adopted by the ILO Interregional Tripartite Experts Meeting on Drug and Alcohol Testing in the Workplace, 10–14 May 1993, Oslo (Honesfoss), Norway”. Riktlinjerna behandlar
1 Nr 55 ratificerad 1982. 2 Nr 161 ratificerad 1986. 3 Se de exempel som anges i not 52 och 53.
Bilaga 3 SOU 2002:18
326
juridiska och etiska frågeställningar, tekniska och vetenskapliga aspekter samt utformningen av drogprogram och drogplaner.
I riktlinjerna förespråkas bl.a. att arbetsgivaren tillsammans med arbetstagarna och deras representanter utvärderar arbetsplatsens behov av åtgärder mot alkohol och narkotika samt beslutar vilka åtgärder som är lämpliga för arbetsplatsen. Om drogtesterna skall ingå i företagets strategi mot alkohol och droger, bör de utgöra en del av företagets program för att öka säkerheten på arbetsplatsen och för att förbättra företagets arbetsmiljö och produktivitet. En viktig del av företagets drogprogram bör vara drogpolicies. I denna del bör alla detaljer kring drogtesterna och testprocedurerna regleras, t.ex. syftet med testen, vad resultatet skall användas till, en beskrivning av test- och analysmetoder, sekretessbestämmelser samt vilka droger som företaget avser att testa för.
I riktlinjerna behandlas också kraven på testprocedurens säkerhet och där rekommenderas att denna procedur skall följa de krav som National Institute on Drug Abuse (NIDA) ställer på amerikanska laboratorier. I de föreslagna riktlinjerna föreslås också att tester för annat än droger, t.ex. för aids och andra sjukdomar eller graviditetstester, inte bör utföras. Vidare bör ett testresultat från en screening av urin alltid konfirmeras med en annan metod. Positiva resultat skall alltid utvärderas av oberoende medicinsk expertis för att utesluta alternativa orsaker till resultatet.
Som ovan nämnts behandlar riktlinjerna också etiska och juridiska aspekter på drogtester. De etiska aspekterna innefattar framför allt att företagen måste väga behovet av tester mot det faktum att arbetstagarens integritet kränks av dessa och att företagen måste se till att sekretesskraven kring testresultaten uppfylls. De juridiska aspekterna kan sammanfattas på så sätt att testerna och testproceduren måste överensstämma med internationella överenskommelser och nationell lag.
Slutligen understryks att det inte finns några undersökningar som visar att drogtestningsprogram minskar de problem som missbruk av alkohol och narkotika kan orsaka på en arbetsplats. Det finns inte heller några belägg för att drogtesterna innebär att produktiviteten eller säkerheten på arbetsplatsen ökar.
ILO har under 1994 och 1995 utarbetat en handledning om hanterandet av alkohol- och drogrelaterade problem på arbetsplatsen.
4
Denna handledning behandlar bl.a. frågor om
4 Se revision 2, 31 January 1995.
Bilaga 3
327
drogpolicys. När det gäller drog- och alkoholtester hänvisas till riktlinjerna från 1993.
Code of practice on the protection of workers’ personal data
En expertgrupp inom ILO, med företrädare för regeringar, arbetsgivare och arbetstagare, antog 1996 riktlinjer angående skydd för anställdas personuppgifter. ILO:s styrelse tog riktlinjerna ad notam och beslöt att delge dem till medlemsstaternas regeringar samt till nationella och internationella arbetsgivar- och arbetstagarorganisationer. Riktlinjerna är inte rättsligt bindande men avsedda att tjäna som vägledning. De har publicerats i engelsk, fransk och spansk version som en ILO Code of practice.
Riktlinjerna omfattar både manuell och automatiserad behandling av personuppgifter och är avsedda att tillämpas på arbetstagare, tidigare arbetstagare och arbetssökande. Det övergripande syftet med riktlinjerna är att begränsa behandlingen av personuppgifter i allmänhet och behandlingen av känsliga personuppgifter i synnerhet. Riktlinjerna innehåller rekommendationer i detta avseende som överensstämmer väl med internationella och nationella regler om dataskydd.
Vad gäller de frågor som är av särskilt intresse för utredningen innehåller riktlinjerna följande.
Information som har samlats in genom åtgärder som syftar till att garantera säkerhet eller korrekt användning av datasystem får inte användas för att kartlägga arbetstagarnas beteenden. Med hänsyn till riskerna för integritetsintrång får sådan information bara användas för ursprungligen bestämda syften, t.ex. för att motverka missbruk av datasystem. Undantag får dock göras om en arbetstagare har brutit mot säkerhetsföreskrifter och informationen därför måste behandlas för att disciplinära åtgärder skall kunna vidtas. Sådan användning skall anses överensstämma med ändamålet med insamlingen av uppgifterna.
Automatiskt behandlade uppgifter får inte utgöra det enda underlaget vid beslut som gäller arbetstagare. Sådana uppgifter får inte heller utgöra det enda underlaget vid bedömningen av arbetstagares prestationer.
Huvudregeln är att personuppgifter i första hand skall hämtas in från arbetstagaren själv. Om uppgifter hämtas från någon
Bilaga 3 SOU 2002:18
328
utomstående skall arbetstagaren informeras och i förväg uttryckligen samtycka till förfarandet.
Arbetsgivaren bör inte samla in personuppgifter om bl.a. lagöverträdelser. Undantag får dock göras om det är tillåtet enligt nationell lag och om uppgifterna är relevanta för anställningsförhållandet. I kommentaren till riktlinjerna sägs att en uppgift om fällande dom för övergrepp på barn är relevant om anställningen innefattar arbete med barn. En arbetstagare eller en arbetssökande är i sådant fall även skyldig att lämna arbetsgivaren uppgift om en sådan dom.
Personuppgifter om medicinska förhållanden får inhämtas enligt nationell lagstiftning och i övrigt enligt god sed, under förutsättning att detta är nödvändigt för att avgöra om arbetstagaren är lämpad för en särskild anställning, för att uppfylla arbetsmiljökrav och krav på säkerhet samt för att bestämma och utge sociala förmåner.
Om en arbetstagare eller en arbetssökande lämnar oriktiga uppgifter som svar på frågor som inte är relevanta i förhållande till arbetsuppgifterna får arbetsgivaren inte avsluta anställningen eller vidta andra disciplinära åtgärder. Sådana uppgifter som arbetstagaren eller arbetssökanden lämnar i övrigt får inte heller behandlas.
Riktlinjerna innehåller även vissa restriktioner för sättet att inhämta personuppgifter. Med hänsyn till såväl den stora variationen av kontroller och tester som den snabba utvecklingen på området ges endast några typiska exempel. Lögndetektorer eller liknande får inte användas. Personlighetstester måste överensstämma med vad anges generellt i riktlinjerna och arbetstagaren måste kunna vägra att delta i ett sådant test. I kommentaren till riktlinjerna framhålls att man nationellt bör införa regler om kvalitetssäkring av tester och testanvändares kompetens. Genetiska tester får utföras endast i särskilda fall som angivits i nationell lagstiftning. Drogtester bör genomföras bara i enlighet med nationell lag och praxis eller enligt internationell standard.
Vid teknisk övervakning av arbetstagare måste arbetsgivaren informera arbetstagarna i förväg om skälen till övervakningen och sättet för denna. Arbetsgivaren skall vidare se till att integritetsintrånget minimeras. Hemlig övervakning får bara ske i enlighet med nationell lag eller om det finns skälig misstanke om brott eller om annat felaktigt förfarande av allvarlig natur. Icke
Bilaga 3
329
tidsbegränsad övervakning bör bara tillåtas om det är nödvändigt av hälsoskäl eller för att skydda egendom.
I övrigt innehåller riktlinjerna bestämmelser om förvar av personuppgifter, bl.a. anges att hälsouppgifter bör förvaras särskilda från övriga personuppgifter och behandlas bara av personer med tystnadsplikt. Vidare finns bestämmelser om arbetstagares rätt till information beträffande alla uppgifter hos arbetsgivaren som rör honom eller henne samt om arbetstagares rätt att begära rättelse eller utplåning av felaktiga uppgifter.
Riktlinjerna innehåller också vissa bestämmelser om rättigheter för arbetstagarnas företrädare, t.ex. rätten att bli informerade och konsulterade inför förändringar som innefattar bl.a. behandling av arbetstagares personuppgifter och automatisk övervakning av arbetstagarna.
Slutligen finns en bestämmelse som innebär att en arbetsgivare som anlitar en arbetsförmedling bör kräva att arbetsförmedlingen behandlar personuppgifter enligt riktlinjerna.
331
Bilaga 4
Viss utländsk rätt
Inledning
Utredningen har under arbetet närmare studerat utländsk lagstiftning liknande den utredningen föreslagit. Av störst intresse har varit den lagstiftningsprocess som under Integritetsutredningens arbete pågått i Finland och som resulterat i lagen om integritetsskydd i arbetslivet samt den danska loven om brug af helbredsoplysningar m.v. på arbejdsmarknaden.
1. Finland
Lag om integritetsskydd i arbetslivet
Den finska lagen om integritetsskydd i arbetslivet trädde i kraft den 1 oktober 2001. Syftet med lagen är att genomföra de grundläggande fri- och rättigheter som tryggar skyddet för den personliga integriteten samt att främja utvecklingen och iakttagandet av god informationshantering när personuppgifter behandlas i arbetslivet.
Lagen gäller alla anställningsförhållanden och med arbetstagare avses i lagen även arbetssökande. För behandlingen av personuppgifter tillämpas dessutom den finska personuppgiftslagen.
För tillämpningen av lagen gäller ett övergripande krav på direkt relevans. Arbetsgivaren får behandla endast sådana personuppgifter som har direkt relevans för arbetstagarens anställningsförhållande och som har att göra med hanteringen av rättigheter och skyldigheter för parterna i anställningsförhållandet eller med de förmåner som arbetsgivaren erbjuder arbetstagarna eller med arbetsuppgifternas särskilda natur. Avvikelser från kravet kan inte göras med arbetstagarens samtycke.
Bilaga 4 SOU 2002:18
332
I propositionen1 sägs att med personuppgifter som är direkt relevanta för anställningsförhållandet avses t.ex. uppgifter som behövs dels för att arbetstagaren skall kunna utföra sina arbetsuppgifter, dels för att vissa bestämmelser i arbets- och tjänstekollektivavtal skall kunna uppfyllas, dels för att lagstiftning skall kunna följas. Beträffande arbetsgivarens rätt att samla in personuppgifter om en arbetssökande i en anställningssituation sägs att bedömningen skall ske utifrån de arbetsuppgifter som sökanden vill ha, t.ex. uppgifter som visar att sökanden är behörig att inneha en viss tjänst. Vidare framhålls i propositionen att relevanskravet i lagen om integritetsskydd i arbetslivet är mer precist utformat än relevanskravet i personuppgiftslagen och på så sätt mer anpassat till de förhållanden som råder i arbetslivet.
Beträffande insamling av personuppgifter föreskrivs i lagen att arbetsgivaren skall samla in sådana uppgifter i första hand från arbetstagaren själv. För att samla in uppgifter från annat håll måste arbetsgivaren har arbetstagarens samtycke.
Samtycke krävs dock inte när arbetsgivaren hämtar in kreditupplysningar eller straffregisteruppgifter för utredning av en arbetstagares tillförlitlighet. I dessa fall är arbetsgivaren dock skyldig att på förhand informera arbetstagaren om att sådana uppgifter samlas in. Om uppgifterna har samlats in från annat håll än från arbetstagaren själv är arbetsgivaren skyldig att informera arbetstagaren om uppgifterna innan de används som underlag för beslut.
Under förutsättning av arbetstagarens samtycke kan arbetstagaren testas genom person- och lämplighetstester för att utreda hans eller hennes förutsättningar för att sköta arbetsuppgifterna eller behovet av utbildning och övrig utveckling inom yrket. Arbetsgivaren är skyldig att se till att tillförlitliga testmetoder används, att de utförs av sakkunniga och att de uppgifter som erhålls är korrekta med beaktande av testmetoden och dess beskaffenhet. Arbetstagaren har rätt att ta del av det skriftliga eller muntliga utlåtande som efter testet lämnas till arbetsgivaren.
Vid genomförande av kontroller och tester beträffande arbetstagares hälsa samt provtagningar avseende alkohol och narkotika skall yrkesutbildade personer inom hälso- och sjukvården, personer med behörig laboratorieutbildning och hälso- och sjukvårdstjänster anlitas enligt hälso- och sjukvårdslagstiftningen.
1 RP 75/2000.
Bilaga 4
333
I fråga om genetiska undersökningar är det förbjudet för arbetsgivaren att kräva att arbetstagaren skall delta i genetisk undersökning. Arbetsgivaren har inte heller rätt att få veta om arbetstagaren har genomgått en sådan undersökning.
Arbetsgivaren får behandla personuppgifter om hälsa avseende en arbetstagare endast under vissa förutsättningar. Uppgifterna skall ha samlats in hos arbetstagaren själv eller med arbetstagarens skriftliga samtycke hos någon annan. Behandlingen skall erfordras för utbetalning av lön för sjukdomstid eller liknande eller för utredning av om det finns grundad anledning till frånvaron från arbetet. Vidare får behandling ske om arbetstagaren uttryckligen önskar att arbetsförmågan utreds på grund av uppgifter om hans eller hennes hälsotillstånd eller om behandling av hälsouppgifter föreskrivs i särskild lag.
Personuppgifter om hälsotillstånd får behandlas endast av personer som med ledning av uppgifterna bereder eller fattar beslut om ett anställningsförhållande eller verkställer sådana beslut. Dessa personer har tystnadsplikt och denna gäller även efter det att anställningen har avslutats. Personuppgifter om hälsotillstånd skall förvaras åtskilda från andra personuppgifter.
Vad avser den tekniska bevakningen av arbetstagarna (t.ex. kameraövervakning och in- och utpasseringskontroller), som grundas på arbetsgivarens arbetslednings- och övervakningsrätt, samt användningen av e-post och datanät skall syftet med dessa åtgärder först bli föremål för s.k. samarbetsförfarande enligt lagen om samarbete inom företag och lagen om samarbete inom statens ämbetsverk och inrättningar. Arbetsgivaren skall bereda arbetstagare, som inte omfattas av dessa lagar, tillfälle att bli hörda beträffande åtgärderna. Arbetsgivaren skall därefter definiera ändamålet med och metoderna för den tekniska övervakningen samt informera arbetstagarna om syftet med, ianspråktagandet av och metoderna för denna och om användningen av e-post och datanät. Vidare föreskrivs i lagen att arbetsgivaren inte genom sina åtgärder får äventyra sekretessen beträffande arbetstagarens förtroliga meddelanden av privat natur vid användningen av e-post och datanät.
Tillsyn över lagen utövas av arbetarskyddsmyndigheterna tillsammans med dataombudsmannen och lagen skall hållas tillgänglig för arbetstagarna på arbetsplatserna.
För överträdelse av bestämmelser i lagen kan utgå skadestånd.
Bilaga 4 SOU 2002:18
334
2. Danmark
Lov om brug af helbredsoplysningar m.v. på arbejdsmarknaden
I Danmark stadgas i Lov om brug af helbredsoplysningar m.v. på arbejdsmarknaden om användandet av hälsouppgifter i arbetslivet. Lagen, som är subsidiär i förhållande till befintlig lagstiftning på området, avser användningen av sådana uppgifter på arbetsmarknaden och har till syfte att säkerställa att hälsouppgifter inte används för att begränsa arbetstagarens möjligheter att få eller behålla en anställning. Lagen är tillämplig oavsett om uppgifterna hämtas in genom genetiska tester, allmänna undersökningar eller på annat sätt. Undersökningar som inte har till syfte att inhämta information om en persons sjukdomar eller symptom på sjukdomar omfattas inte av lagen. Till den kategorin av undersökningar hör bl.a. alkohol- eller drogtester i kontrollerande syfte. Huruvida sådana tester kan anses berättigade ses istället en allmän arbetsrättslig fråga.
Som huvudregel gäller att en arbetsgivare i samband med eller under en anställning bara får begära uppgifter om en arbetstagares hälsa, om syftet med detta är att få klarlagt om arbetstagaren lider av eller lidit av en sjukdom eller har eller har haft symptom på en sjukdom som kan ha en väsentlig betydelse för dennes arbetsförmåga i det aktuella arbetet. Lagen förbjuder i princip en arbetsgivare att inhämta eller använda hälsouppgifter som rör arbetstagarens risk för att utveckla eller få en sjukdom. Undantag kan dock medges bl.a. p.g.a. arbetsmiljöförhållanden eller för att tillgodose ”vaesentlig hensyn til virksomhedens drift”. I det sistnämnda fallet krävs att avtal träffats mellan arbetsgivaren eller arbetsgivarorganisationen och arbetstagarorganisationen.
Arbetstagaren har vidare en skyldighet att i samband med anställningen eller på fråga av arbetsgivaren informera om huruvida han lider av eller har symptom på en sjukdom som kan ha väsentlig betydelse för hans arbetsförmåga i det aktuella arbetet. Det förhållandet att en person är HIV-positiv skall inte omfattas av arbetstagarens upplysningsplikt.
En begäran om undersökning skall genom arbetstagaren och efter arbetstagarens val överlämnas antingen till den läkare som arbetstagaren vanligen besöker eller till en sakkunnig vid den företagshälsovård till vilken arbetsgivarens verksamhet är knuten. Den som mottar en begäran om undersökning ansvarar för att
Bilaga 4
335
denna utförs med tillräcklig sakkunskap och att resultatet av denna överlämnas till arbetstagaren.
Innan en hälsoundersökning genomförs skall den som utför undersökningen försäkra sig om att arbetstagaren är både skriftligt och muntligt informerad om bl.a. undersökningens ändamål, art och metod. Eftersom en undersökning endast får ske om arbetstagaren skriftligen samtyckt till detta har arbetstagaren en betänketid om två dagar från det att han fått del av informationen om undersökningen.
Lagen innehåller även bestämmelser om ett sakkunnigt råd, som i vissa riskfall med hänsyn bl.a. till konsumentsäkerhet skall kunna medge att uppgifter hämtas in i vidare mån än vad lagen föreskriver. Vidare finns bestämmelser om tystnadsplikt för de läkare, kliniker, laboratorier och myndigheter som medverkat vid en undersökning.
Utöver nu nämnd lagstiftning återfinns vissa bestämmelser om medicinska undersökningar i Lov om arbejdsmiljø (AML). Av denna lag framgår att arbetsministern är bemyndigad att föreskriva om hälsoundersökningar för verksamheter som är farliga för de anställdas hälsa. Sådana föreskrifter finns bl.a. rörande arbete med asbest, bly och joniserande strålning.