sou · GQB318d1 · 2003-01-01 00:00:00 — Gränserna mellan dessa olika säkerhetsaspekter kan naturligtvis vara flytande och ofta kan flera säkerhetsaspekter vara aktuella. Även om det nu är arbetsgivarens intresse av att värna säkerheten som lyfts fram, bör det dock framhållas att det i realiteten oftast torde vara ett gemensamt intresse för arbetsgivaren och arbetstagarna att värna om både den allmänna säkerheten och säkerheten hos arbetsgivarens verksamhet. En säkerhetsskada i något av dessa avseenden kan nämligen få allvarliga konsekvenser för verksamheten, t.ex. i form av en inskränkning av verksamheten eller t.o.m. en nedläggning av denna. Vad först avser den allmänna säkerheten anser utredningen det självklart att en arbetsgivare som driver en verksamhet som kan innebära risker för den allmänna säkerheten - dvs. risker för människors liv, personliga säkerhet eller hälsa eller för betydande skada på miljö eller egendom - skall ha rätt att få all relevant information om en arbetstagare vars arbetsuppgifter kan innefatta sådana risker, således även uppgifter om lagöverträdelser. Den allmänna säkerheten kan hotas på flera olika sätt t.ex. genom brand, explosion, översvämning, flyg- eller tågolycka eller utsläpp av gifter, föroreningar eller smittämnen. Som exempel på offentliga och privata arbetsgivare, som på grund av verksamhetens art bör ha rätt att behandla uppgifter om lagöverträdelser, kan nämnas kärnkraftverk och andra kraftverk, flygplatser, SAS och SJ m.fl. kommunikationsföretag, företag inom den kemiska industrin, processindustrin och livsmedelsindustrin samt vissa forsknings- institut. Här bör uppmärksammas att säkerhetsskyddsförfattningarna gäller för flera av dessa arbetsgivare, varför de redan på denna grund har rätt att behandla personuppgifter om lagöverträdelser. Det skulle därför kunna ifrågasättas om inte dessa författningar innebär att det egentligen inte behövs någon särskild bestämmelse i som ger arbetsgivaren rätt att behandla personuppgifter om lagöverträdelser med hänsyn till säkerheten för det allmänna. Säkerhetsskyddsförfattningarna är emellertid inriktade på att skydda samhället mot sabotage och andra brott som kan hota rikets säkerhet samt terrorism, varför övriga risker för den allmänna säkerheten i form av t.ex. olyckshändelser eller allmän brottslighet, faller utanför och bör fångas upp av . Vad sedan gäller arbetsgivarens behov av att värna om säkerheten för den egna verksamheten sammanfaller detta, som redan påpekats, ibland med arbetsgivarens intresse av att skydda den allmänna säkerheten. Även om säkerhetsriskerna mestadels torde begränsas till arbetsgivarens egen verksamhet kan de under vissa omständigheter indirekt eller i förlängningen också innebära ett hot mot den allmänna säkerheten. Sålunda kan skador på verksamheten hos ett kraftverk medföra risker för den allmänna elkraftförsörjningen, skador på verksamheten hos större transport- företag medföra risker för de allmänna kommunikationerna, skador på verksamheten hos nationella medier medföra risker för nyhetsförmedlingen etc. Säkerheten för arbetsgivarens verksamhet kan hotas i både fysiskt och ekonomiskt avseende. Det kan vara fråga om risk för fysisk åverkan på t.ex. byggnader, maskiner, annan material och produkter men också risk för stöld, bedrägeri och annan ekonomisk brottslighet. Arbetstagarna anförtros i många fall att hantera egendom av stort ekonomiskt värde eller att i övrigt ansvara för uppgifter vars rätta utförande har stor ekonomisk betydelse för arbetsgivaren. Inte minst hanteringen av den tekniska informationssäkerheten kan ha betydelse i detta sammanhang. Det finns också ett stort behov hos många arbetsgivare, både offentliga och privata, att värna om säkerheten för förtroendet för verksamheten. För vissa privata arbetsgivare kan förtroendet för deras verksamhet, deras s.k. goodwill, t.o.m. utgöra förutsättningen för verksamhetens fortsatta existens. Utredningen har försökt att precisera vilka arbetsgivare som skall anses ha sådana särskilda behov att värna om säkerheten för sin verksamhet att de får behandla personuppgifter om lagöver- trädelser men har funnit att det är föga meningsfullt att söka göra en sådan uttömmande och detaljerad uppräkning. Som exempel på sådana arbetsgivare kan dock, förutom de tidigare anförda, nämnas banker och andra institut inom den finansiella sektorn, vissa , företag inom bevakningsbranschen, företag som utför värdetransporter och kontor för valutaväxling. I övrigt har utredningen stannat för att frågan måste avgöras i varje enskilt fall, varvid arbetsgivaren har att beakta den stora restriktivitet som måste iakttas i fråga om behandlingen av dessa uppgifter. I arbetsgivarens verksamhet innefattas också säkerheten för övriga anställda och säkerheten på arbetsplatsen. Arbetsgivaren ansvarar för att arbetsförhållandena är sådana att de anställda inte utsätts för risk för ohälsa eller för den personliga säkerheten. Arbetsgivaren svarar även för att arbetsplatsen är säker för dem som besöker denna eller som i övrigt vistas där, t.ex. kunder och andra besökande. Statsmakterna har tidigare ansett att det krävs särskild lagstiftning för att göra intrång i den personliga integriteten av liknande skäl.1 Utredningen anser att även om man inte behöver gå så långt som att kräva särskild lagstiftning för vissa bestämda situationer bör det krävas starka skäl för att arbetsgivaren skall tillåtas behandla personuppgifter om lagöverträdelser. Det skydd för den personliga integriteten som bestämmelsen avser att garantera kan i annat fall komma att urholkas i sådan utsträckning att den blir meningslös. Tröskeln för att nödvändighetskravet skall anses vara uppfyllt bör alltså enligt utredningens mening sättas högt. Det bör t.ex. krävas att det har inträffat något som innebär att det verkligen finns orsak att ifrågasätta att en viss arbetstagare utgör en påtaglig säkerhetsrisk för andra anställda eller för arbetsplatsen i övrigt. Slutligen bör framhållas att den föreslagna bestämmelsen är uttömmande på så sätt att arbetsgivaren inte får behandla personuppgifter om lagöverträdelser för andra syften än dem som nämns i bestämmelsen. Inte ens om arbetstagaren samtycker har arbetsgivaren en större rätt till behandling. Det har visat sig att många privata arbetsgivare upplever ett ökat behov av att förvissa sig om att personer som 1 Lagen (2000:873) om registerkontroll av personal inom förskoleverksamhet, skola och barnomsorg. anställs inte har ett kriminellt förflutet som kan äventyra verksam- heten. Dessa arbetsgivare ställer därför ofta som villkor att den som skall anställas själv skall skaffa ett utdrag ur det rikstäckande belastningsregistret och överlämna detta till arbetsgivaren. Enligt vad utredningen erfarit är detta tillvägagångssätt mer eller mindre rutin inom den finansiella sektorn och inom säkerhets- och bevakningsbranschen men förekommer även i övrigt på hela arbets- marknaden. Eftersom det mestadels är fråga om en helt behandling är förfarandet inte lagstridigt och har visat sig vara ett effektivt sätt att kringgå de föreskrifter som omgärdar uppgifterna i belastningsregistret. Det beskrivna tillvägagångssättet har behandlats tidigare i lagstiftningssammanhang. I förarbetena till lagen om belastnings- register (prop.1997/98:97 s. 84) framhålls att den enskildes rätt att ta del av uppgifter om sig själv i registret i och för sig kan innebära att denna rätt kan komma att utnyttjas av t.ex. arbetsgivare. Man hänvisar till tidigare lagförarbeten (prop. 1987/88:122 s. 13 ff.) där risken diskuterades och där det uttalades att man fick följa utveck- lingen noga och reagera vid tecken på missbruk. Därefter konstate- ras att det dittills inte framkommit något som tyder på missbruk i sådan omfattning att någon annan utformning av lagen borde övervägas. Det finns även anledning att här uppmärksamma den införda lagen om registerkontroll av personal inom förskole- verksamhet, skola och barnomsorg. Där föreskrivs att den som er- bjuds anställning inom förskoleverksamhet, skola och barnsomsorg skall lämna ett registerutdrag till arbetsgivaren och att den som inte gör det inte får anställas. I detta fall har man infört en skyldighet för arbetsgivarna, såväl offentliga som privata, att inhämta register- utdrag från de arbetssökande i stället för att ge arbetsgivarna rätt att själva hämta uppgifter ur registret. Motiveringen till varför man använt denna metod är att den har ansetts innebära en mindre kränkning av de arbetssökandes integritet än om arbetsgivarna getts möjlighet att själva inhämta registerutdrag utan deras med- verkan. Det framhålls i förarbetena att valet av modell har gjorts med hänsyn till de förhållanden som gäller inom berörda verksamhetsområden och att det inte nödvändigtvis behöver passa andra sektorer i samhället. Enligt vad som upplysts från har ansök- ningarna från enskilda om utdrag ur belastningsregistret ökat kraftigt. Även om man räknar bort ansökningarna från dem som har sökt och söker arbete inom förskola och barnomsorg kan det konstateras att ökningen har antagit sådana proportioner att det finns en risk för att skyddet för den personliga integriteten har börjat eroderas. Utredningens förslag innebär att det nu beskrivna förfarandet får en påtaglig uppstramning. Om det inte kan visas att det är nöd- vändigt från säkerhetssynpunkt förbjuds alla arbetsgivare, såväl offentliga som privata, att samla in personuppgifter om lagöver- trädelser om arbetstagare. Inte ens om arbetstagaren på eget initia- tiv vill överlämna ett registerutdrag till arbetsgivaren får arbets- givaren behandla detta på ett sådant sätt som omfattas av . Skyddet för den personliga integriteten stärks således dels genom att missbruk av enskildas rätt att få uppgifter om sig själva ur belastningsregistret försvåras, dels genom att arbetstagaren behåller kontrollen över uppgifterna. Det kan anmärkas att den föreslagna bestämmelsen självfallet inte innebär någon inskränkning i den rätt att ta del av register- utdrag som myndigheter och enskilda har enligt belastnings- registerförfattningarna. Detta följer direkt av att dessa författ- ningar, i den mån de avviker från , skall gälla enligt 2 § . Utredningen har även övervägt om det finns skäl att förslå någon utökning av kretsen av dem som har rätt att få uppgifter direkt ur registret men anser inte att det finns tillräckliga skäl för detta. Utredningen delar den uppfattning som statsmakterna tidigare ut- talat i förarbetena till lagen om registerkontroll av personal inom föreskoleverksamhet, skola och barnomsorg, nämligen att den bästa ordningen är att den enskilde själv inhämtar registerutdrag och överlämnar detta till arbetsgivaren. Integritetskränkningen blir minst när den enskilde själv har kontroll över vilka uppgifter som lämnas ut till arbetsgivaren.2 Det bör för fullständighetens skull också sägas att det är en fri- villig handling av arbetstagaren att överlämna ett registerutdrag, arbetstagaren är inte skyldig att efterkomma en sådan uppmaning av arbetsgivaren utan kan vägra med hänsyn till att det skulle kränka den personliga integriteten. 8.3Förhållandet till PUL och dataskyddsdirektivet Enligt artikel 8 punkten 5 i dataskyddsdirektivet är huvudregeln att uppgifter om lagöverträdelser bara får behandlas under kontroll av 2 Se prop. 1999/2000:123 s. 25. Dock kan medlemsstaterna, om lämpliga skydds- åtgärder finns i nationell lag, tillåta ändringar med stöd av natio- nella bestämmelser som innehåller lämpliga och specifika skydds- åtgärder. Som ovan redovisats har i enlighet med bestämmelsen i dataskyddsdirektivet tagits in ett förbud i 21 § PUL för alla utom myndigheter att behandla sådana personuppgifter. Frågan är då om detta förbud bör gälla även enligt . Även om det i och för sig är möjligt att upphäva förbudet för arbetslivets del med stöd av undantagsbestämmelsen i artikel 8 punkten 5 finns det, som utredningen ser det, ingen anledning att göra detta så länge som förbudet fortfarande gäller för samhället i övrigt. Härvid beaktar utredningen även det förhållandet att det som regel inte torde finnas någon anledning för privata arbetsgivare att behandla personuppgifter om lagöverträdelser automatiserat eller i register- form. Utredningen anser att om förbudet skall hävas helt eller delvis bör detta ske genom en ändring i 21 § PUL så att ändringen gäller generellt. Utredningens uppdrag är dock begränsat till arbetslivets område så det ligger utom ramen för utredningens direktiv att överväga en sådan ändring. I bör därför tas in en hänvisning till 21 § PUL när det gäller automatiserad behandling eller behandling i registerform. Utredningens förslag innebär en inskränkning av arbetsgivares rätt att behandla personuppgifter om lagöverträdelser. Vad först avser helt behandling av personuppgifter om lagöver- trädelser måste alla arbetsgivare iaktta bestämmelserna i . Beträffande behandling som är helt eller delvis automatiserad eller i registerform föreslås att förbudet enligt 21 § PUL bör fortsätta att gälla. Vidare klargörs genom förslaget att myndigheter betraktas på samma sätt som andra arbetsgivare, dvs. att myndigheter får behandla en arbetstagares personuppgifter om lagöverträdelser bara om att det är nödvändigt för att bedöma tillförlitligheten hos arbetstagaren med hänsyn till säkerheten för det allmänna eller för myndighetens verksamhet. Förslaget i förevarande hänseende är enligt utredningens mening helt i överensstämmelse med dataskyddsdirektivet. 9Sättet för inhämtande av uppgifter Utredningen föreslår: För att ge en arbetstagare och en arbetssökande kontroll över och insyn i en arbetsgivares behandling av personuppgifter om hälsa och droganvändning samt lagöverträdelser bör det införas en bestämmelse som ålägger en arbetsgivare att i första hand hämta in sådana personuppgifter från arbetstagaren eller arbetssökanden själv. Bara om detta inte är möjligt och under förutsättning av arbetstagarens eller arbetssökandens samtycke får arbetsgivaren hämta in sådana personuppgifter från någon annan källa. saknas rättslig reglering som innebär begränsningar av arbetsgivarens rätt att hämta in personuppgifter från annan än arbetstagaren, varmed i detta kapitel avses även arbetssökanden. Att arbetsgivaren i första hand bör vända sig till arbetstagaren och först därefter bör vara tillåten att hämta in uppgifter från någon annan är emellertid en princip som klart stärker skyddet vid behandling av arbetstagarens uppgifter. Arbetstagaren ges härigenom kontroll över vilka uppgifter som hämtas in. Liknande bestämmelser finns t.ex. i förslag till riktlinjer Code of practice on the protection of workers personal data. Enligt utredningens mening bör en rättsligt bindande bestämmelse med detta innehåll också finnas med i . Huvudregeln bör vara att arbetsgivaren i första hand skall hämta in uppgifterna från arbetstagaren personligen och att arbetsgivaren skall vara tillåten att vända sig till annan bara när detta inte är möjligt. Arbetstagaren kan på så sätt dels välja vilka uppgifter som arbetsgivaren skall få del av, dels försäkra sig om att uppgifterna är korrekta. I syfte att garantera arbetstagaren detta även i de fall där Sättet för inhämtande av uppgifter det inte är möjligt att hämta in hälsouppgifter och uppgifter om lagöverträdelser från arbetstagaren själv bör det uppställas ett krav på att arbetstagaren skall samtycka till att arbetsgivaren vänder sig till annan källa. Behovet av det förhöjda skydd som arbetstagaren kommer i åtnjutande av i och med en denna regel uppstår bara i samband med att arbetsgivaren hämtar in personuppgifter om hälsa, droganvändning eller lagöverträdelser. Bestämmelsen har därför avgränsats till att avse dessa uppgifter. Personuppgifterna bör anses inhämtade från arbetstagaren personligen exempelvis när arbetstagaren själv lämnar över ett skriftligt formulär som arbetstagaren fyllt i och när arbetstagaren vidarebefordrar uppgifter om den egna personen genom att t.ex. överlämna resultatet av en hälsoundersökning eller ett drogtest som utförts av någon utomstående eller ett utdrag av belastningsregistret. Att uppgifterna skapats eller sammanställts av någon annan än arbetstagaren bör alltså inte innebära att informationen hämtats in från någon annan än arbetstagaren. Detta gäller under förutsättning att arbetstagaren själv lämnar över uppgifterna till arbetsgivaren på ett sätt som gör det möjligt för arbetstagaren att först ta del av uppgifterna och därigenom också kunna kontrollera dessa innan de vidarebefordras. Bara om arbetsgivaren av olika anledningar inte kan hämta in personuppgifter från arbetstagaren bör arbetsgivaren vara tillåten att vända sig till annan källa. Så kan exempelvis vara fallet när arbetstagaren inte längre har tillgång till vissa uppgifter som behandlas av en tidigare arbetsgivare. Att arbetsgivaren vänder sig till annan källa torde innefatta samtliga de fall där informationen inte kan anses vara hämtad från arbetstagaren personligen. Detta bör exempelvis vara fallet om sjukvårdspersonal inom företagshälsovården vidarebefordrar hälsouppgifter till arbetsgivaren eller när arbetsgivaren själv hämtar in personuppgifter ur olika register. Även i de fall där arbetstagaren lämnar över ett belastningsregisterutdrag i ett obrutet kuvert bör uppgifterna anses inhämtade från annan än arbetstagaren, eftersom arbetstagaren i detta fall inte ges insyn i vilka uppgifter som kommer att behandlas. Om arbetsgivaren med samtycke har hämtat in uppgifter från annan källa bör det inte komma i fråga att tillerkänna arbetstagaren skadestånd för kränkning bara för att det i och för sig hade varit möjligt att hämta in uppgifterna från arbetstagaren själv. Sättet för inhämtande av uppgifter Bestämmelsen tar sikte på arbetsgivarens åtgärd att hämta in uppgifter. Detta innebär att det är bara arbetsgivarens aktiva åtgärder för att hämta in personuppgifter som omfattas av bestämmelsen. Att arbetsgivaren utan att själv vidta åtgärder får del av information om arbetstagarens hälsa eller lagöverträdelser på annat sätt regleras inte i detta sammanhang. Det bör även nämnas att det i belastningsregisterförordningen ges möjlighet för vissa arbetsgivare att själva begära och få ta del av särskilda uppgifter ur registret. Enligt 2 § kommer denna möjlighet inte att förändras. 10 Förvaring av personuppgifter Utredningen föreslår: I bör införas en bestämmelse som innebär att en arbetsgivare skall förvara personuppgifter som arbetsgivaren behandlat enligt 3, 5, 8 och 9 §§ på ett betryggande sätt och åtskilda från övriga personuppgifter som arbetsgivaren behandlar. De kategorier av personuppgifter som omfattas av den föreslagna bestämmelsen får dessutom bara behandlas av en begränsad krets av personer. Om behandlingen sker helt eller delvis automatiserat eller i registerform skall även 30 och 31 §§ PUL gälla. För att skyddet för integriteten skall bibehållas efter det att uppgifterna hämtats in eller annars kommit arbetsgivaren till del bör det föreskrivas i att vissa personuppgifter skall förvaras på ett betryggande sätt och åtskilda från andra uppgifter samt att endast en begränsad krets av personer skall få ha tillgång till uppgifterna. Bestämmelsen tar sikte på sådana privata elektroniska uppgifter som arbetstagaren tagit del av enligt 3 §, personuppgifter om hälsa, droganvändning, lagöverträdelser och personuppgifter som hämtas in genom personlighetstester. Dessa uppgifter kan innehålla känslig information och arbetstagaren kan till följd därav ha ett mycket starkt intresse av att de inte blandas med andra uppgifter. När det gäller uppgifter som arbetsgivaren tagit del av enligt 3 § innebär bestämmelsen ingen skyldighet att hålla all sådan privat elektronisk information som avses i den paragrafen åtskild i särskilda förvar. Bestämmelsen tar endast sikte på de fall där arbetsgivaren faktiskt tar del av privat elektronisk information. arbetsgivaren tar del av informationen med stöd av 3 § eller i strid med denna saknar betydelse för bestämmelsens tillämpning. Arbetsgivaren har själv att avgöra vem och hur många som skall få ha tillgång till uppgifterna. Denna bedömning påverkas exempelvis av omständigheter som omfattningen av arbetsgivarens verksamhet, organisationen av arbetsgivarens verksamhet och i vilken utsträckning behandlingen faktiskt äger rum. Det är därvid inte nödvändigt att en krets som har tillgång till uppgifterna återfinns bland arbetsgivarens anställda, utan det kan också vara fråga om expertis som anlitas av arbetsgivaren i samband med hälsoundersökningar och drogtester. Hur förvaringen av uppgifterna rent praktiskt skall anordnas för att vara betryggande och för att uppgifterna skall förvaras åtskilda från andra uppgifter måste naturligtvis avgöras utifrån vad som är lämpligast för verksamheten och verksamhetens organisation. Generellt kan dock sägas att kravet för manuellt dokumenterade uppgifter bör innebära att de skall deponeras i ett låst skåp eller i ett liknande utrymme. Detta bör vara försett med en låsanordning som kräver t.ex. behörighetskod eller nyckel för att någon skall få tillträde. Naturligtvis avses med manuellt dokumenterade uppgifter även utskrifter av uppgifter som behandlas eller har behandlats automatiserat. Uppgifter som behandlas automatiserat bör förvaras på ett sätt som t.ex. kräver en särskild säkerhetskod för att någon skall få tillgång till uppgifterna. En betryggande förvaring kan också bestå i att arbetsgivaren förvarar uppgifterna på en separat persondator som inte ingår i ett större system. I detta sammanhang bör Datainspektionens allmänna råd om säkerhet för personuppgifter särskilt nämnas. När det gäller sådan behandling av personuppgifter som omfattas av PUL bör arbetsgivaren vara skyldig att tillämpa även de säkerhetsbestämmelser som följer av den lagen.