sou · GQB318d2 · 2003-01-01 00:00:00 — När den olagliga behandlingen beror på att den registrerade exempelvis lämnat felaktiga eller ofullständiga uppgifter kan den olagliga behandlingen i allmänhet inte anses bero på den personuppgiftsansvarige. Vid sådana förhållanden kan det vara skäligt att helt befria den personuppgiftsansvarige från ersättningsskyldighet för skada och kränkning som användningen av personuppgifterna kan ha förorsakat den registrerade. Bestämmelsen i 6 kap. 1 § skadeståndslagen om medvållande kan därvid komma att tillämpas om den personuppgiftsansvarige inte fullt ut lyckas visa att felet berodde på denne. En olaglig behandling av den personuppgiftsansvarige som beror på att denne hämtat in felaktiga eller ofullständiga uppgifter från annan personuppgiftsansvarig kan inte anses bero på den personuppgiftsansvarige om det inte funnits någon anledning att misstänka att uppgifterna var felaktiga eller ofullständiga. I vilken utsträckning ansvaret för den personuppgiftsansvarige skall mildras i sådana fall är en skälighetsfråga. En olaglig behandling på grund av att personuppgifter utan den personuppgiftsansvariges instruktioner har kommit ut till utomstående, t.ex. genom brottsligt intrång i ett datasystem, kan inte anses bero på den personuppgiftsansvarige, om denne i enlighet med tillämpliga bestämmelser har en skälig säkerhetsnivå och intrånget har kunnat komma till stånd genom att angriparen var beredd på att lägga ned mycket stora resurser för att komma åt informationen. I sådana fall kan det vara skäligt att mildra ansvaret. Har den personuppgiftsansvarige å andra sidan försummat säkerheten, får den olagliga behandlingen anses bero på denne. En olaglig behandling som beror på felaktighet i den utrustning som den personuppgiftsansvarige ansvarar för får som regel anses bero på den personuppgiftsansvarige. Endast i särpräglade fall kan den personuppgiftsansvarige anses oskyldig till den olagliga be- handlingen, t.ex. om uppgifterna på ett helt oförutsett vis för- vanskats till följd av blixtnedslag eller avbrott eller felaktigheter i ett publikt datanätverk. I sådana fall kan det vara skäligt att mildra ansvaret. Vid den skälighetsbedömning som skall göras i de fall där den olagliga behandlingen bevisligen inte beror på den personuppgifts- ansvarige bör beaktas också den registrerades behov av skadestånd och den personuppgiftsansvariges förmåga att betala skadestånd. Om en viss felaktig behandling har omfattat uppgifter om många människor, bör man dock kunna ta hänsyn till att den samlade ersättningsskyldigheten för den personuppgiftsansvarige inte blir orimligt stor.58 Beträffande denna bestämmelses betydelse för arbetstagarens integritetsskydd hänvisas till 49 §. Straff – 49 § Paragrafen innehåller bestämmelser om straff för den som bryter mot vissa bestämmelser i lagen. I bestämmelsen räknas de för- faranden upp som är straffbara enligt PUL. För ansvar krävs att handlandet antingen varit uppsåtligt eller oaktsamt. Att märka är att det inte utkrävs straffrättsligt ansvar av den personuppgiftsansvarige, utan av den person som gjort sig skyldig till ett förfarande som är straffbart enligt bestämmelsen. Enligt punkten a) inträder straffansvar för det fall någon lämnar osann uppgift i sådan information till den registrerade som föreskrivs i lagen enligt 23–27 §§ och 29 § andra stycket, i en an- mälan till tillsynsmyndigheten enligt 36 § eller till tillsyns- myndigheten när myndigheten begär information enligt 43 §. 58 Se prop. s. 105 f., 143 f. och 242 f. samt betänkande s. 158 och 429. Vidare är det enligt punkten b) straffbart att behandla känsliga personuppgifter och uppgifter om lagöverträdelser i strid med 13– 21 §§. Enligt punkten c) är det även straffbart att föra över personuppgifter till tredje land i strid med 33–35 §§. Kriminali- seringen av det sistnämnda förfarandet motiveras av att person- uppgifterna i praktiken försvinner utom räckhåll för svenska skyddsåtgärder. Slutligen stadgas i punkten d) att det är straffbart att underlåta att göra anmälan enligt 36 § första stycket eller enligt föreskrift som ha meddelats med stöd av 41 §. Vid en bedömning av om brottet är att rubricera som grovt bör beaktas bl.a. om de olagligt behandlade uppgifterna avsett förhållanden av avsevärd betydelse för den registrerade och om gärningsmannen insett detta, om gärningsmannen lämnat osanna uppgifter för att undkomma påföljd eller vinna någon annan fördel samt om det brottsliga utnyttjandet av uppgifterna annars framstår som hänsynslöst. Bara i undantagsfall torde en gärning som begåtts av oaktsamhet kunna bedömas som grovt brott. För brott av normalgraden stadgas böter eller fängelse och för grovt brott fängelse i högst . För brott som är att bedöma som ringa skall inte dömas till ansvar. För det fall en arbetsgivare vid behandling av arbetstagares personuppgifter inte iakttar de bestämmelser i som ger arbetstagare integritetsskydd kan denne, enligt vad som framgår ovan, bli såväl skadeståndsskyldig gentemot den registrerade som straffrättsligt ansvarig för sitt handlande. De skadestånds- och straffrättsliga bestämmelserna i får därigenom indirekt anses stärka arbetstagares och arbetssökandes integritetsskydd genom att sanktionera de bestämmelser som garanterar nu nämnda skydd.59 Bestämmelsens betydelse för utredningen Såväl 48 som 49 §§ innebär att integritetsskyddet sanktioneras rättsligt, vilket medför att skyddet för den enskilde stärks. I samband med den redovisning som ovan gjorts av har konsekvenserna av lagens tillämpning i arbetslivet i viss utsträckning kommenterats och exemplifierats. 59 Se prop. s. 108 f., 145 f. och 243 f. samt betänkande s. 158 f. och 437 f. konstateras att PUL, i de fall lagen är tillämplig, garanterar arbetsstagaren ett straffsanktionerat integritetsskydd som gäller alla anställningsförhållanden och som omfattar all slags information oavsett om det gäller resultat av hälsoundersökningar, uppgifter i loggar eller information som samlats in från tidigare arbetsgivare genom referenser. Vidare ger lagen ett integritetsskydd som sträcker sig från det att information samlas in under ett anställningsförfarande tills arbetsgivaren förvarar personuppgifter efter det att anställningsförhållandet har upphört. Den omständigheten att PUL inte är tillämplig på alla situationer i arbetslivet gör emellertid att omfattningen av integritetsskyddet kan variera på ett sätt som inte är sakligt motiverat. Som exempel kan nämnas att det som enligt 5 § är avgörande för om PUL blir tillämplig är sättet för arbetsgivarens behandling av personuppgifterna, dvs. om behandlingen sker automatiserat eller i registerform, vilket innebär att arbetsgivaren i praktiken kan välja om arbetstagarna skall få del av lagens skydd eller inte. Enligt nödvändighetskravet i 10 § är det dessutom så att arbetsgivaren har en skyldighet att i möjligaste mån undvika att PUL blir tillämplig. Sådana regler är naturliga i en lag med PUL:s generella karaktär. I arbetslivet kan emellertid antas att obefogade integritetsintrång i många fall kan ske även om uppgifter inte skall behandlas automatiserat eller i registerform. Som exempel kan nämnas att inhämtande av uppgifter genom av hälsokontroller eller drogtester kan utgöra ett allvarligt integritetsintrång och få stor betydelse även om uppgiften inte nedtecknas eller bara antecknas på en lös lapp. Vidare kan nämnas att 21 § innebär att vissa arbetsgivare, nämligen myndigheter, kan samla in information om lagöverträdelser m.m. medan andra arbetsgivare är förhindrade att göra det. Även om i vissa fall är mindre väl anpassade till integritetskyddsintressen i arbetslivet ger de dock uttryck för de grundläggande principer som måste gälla, nämligen relevansprincipen, finalitetsprincipen, personuppgiftsansvariges informationsskyldighet och restriktiviteten vid behandling av känsliga uppgifter. International labour organization () har ställning som ett av fackorgan. utarbetar konventioner och rekommendationer på arbetslivets område. Dessa innehåller minimistandarder som anger den lägsta godtagbara nivån i olika arbetsrättsliga hänseenden. Konventionerna blir bindande för genom ratificering. Som exempel på sådana för landet bindande konventioner kan nämnas konvention om arbetarskydd och arbetsmiljö1 samt konvention om företagshälsovård.2 I det följande redovisas de som är relevanta i förhållande till de frågor som tas upp i . Guiding principles on drug and alcohol testing in the workplace När det gäller medicinska undersökningar finns endast ett fåtal allmänna konventionsregler på detta område.3 Någon för bindande konvention som enbart eller mer i detalj berör dessa frågor finns inte. Inom pågår emellertid arbete med här aktuella frågor, vilket ännu inte fått formen av konventioner eller rekommendationer. Vad gäller drog- och alkoholtester kan exempelvis nämnas att det vid ett interregionalt expertmöte inom lagts fram vissa förslag till riktlinjer, Guiding principles on drug and alcohol testing in the workplace as adopted by the Interregional Tripartite Experts Meeting on Drug and Alcohol Testing in the Workplace, 10–14 1993, (Honesfoss), . 1Nr 55 ratificerad 1982. 2Nr 161 ratificerad 1986. 3Se de exempel som anges i not 52 och 53. juridiska och etiska frågeställningar, tekniska och vetenskapliga aspekter samt utformningen av drogprogram och drogplaner. I riktlinjerna förespråkas bl.a. att arbetsgivaren tillsammans med arbetstagarna och deras representanter utvärderar arbetsplatsens behov av åtgärder mot alkohol och narkotika samt beslutar vilka åtgärder som är lämpliga för arbetsplatsen. Om drogtesterna skall ingå i företagets strategi mot alkohol och droger, bör de utgöra en del av företagets program för att öka säkerheten på arbetsplatsen och för att förbättra företagets arbetsmiljö och produktivitet. En viktig del av företagets drogprogram bör vara drogpolicies. I denna del bör alla detaljer kring drogtesterna och testprocedurerna regleras, t.ex. syftet med testen, vad resultatet skall användas till, en beskrivning av test- och analysmetoder, sekretessbestämmelser samt vilka droger som företaget avser att testa för. I riktlinjerna behandlas också kraven på testprocedurens säkerhet och där rekommenderas att denna procedur skall följa de krav som () ställer på amerikanska laboratorier. I de föreslagna riktlinjerna föreslås också att tester för annat än droger, t.ex. för aids och andra sjukdomar eller graviditetstester, inte bör utföras. Vidare bör ett testresultat från en screening av urin alltid konfirmeras med en annan metod. Positiva resultat skall alltid utvärderas av oberoende medicinsk expertis för att utesluta alternativa orsaker till resultatet. Som ovan nämnts behandlar riktlinjerna också etiska och juridiska aspekter på drogtester. De etiska aspekterna innefattar framför allt att företagen måste väga behovet av tester mot det faktum att arbetstagarens integritet kränks av dessa och att företagen måste se till att sekretesskraven kring testresultaten uppfylls. De juridiska aspekterna kan sammanfattas på så sätt att testerna och testproceduren måste överensstämma med internationella överenskommelser och nationell lag. Slutligen understryks att det inte finns några undersökningar som visar att drogtestningsprogram minskar de problem som missbruk av alkohol och narkotika kan orsaka på en arbetsplats. Det finns inte heller några belägg för att drogtesterna innebär att produktiviteten eller säkerheten på arbetsplatsen ökar. har utarbetat en handledning om hanterandet av alkohol- och drogrelaterade problem på arbetsplatsen.4 Denna handledning behandlar bl.a. frågor om 4 Se revision 2, 31 January 1995. När det gäller drog- och alkoholtester hänvisas till riktlinjerna . Code of practice on the protection of workers personal data En expertgrupp inom , med företrädare för regeringar, arbetsgivare och arbetstagare, antog 1996 riktlinjer angående skydd för anställdas personuppgifter. tog riktlinjerna ad notam och beslöt att delge dem till medlemsstaternas regeringar samt till nationella och internationella arbetsgivar- och arbetstagarorganisationer. Riktlinjerna är inte rättsligt bindande men avsedda att tjäna som vägledning. De har publicerats i engelsk, fransk och spansk version som en Code of practice. Riktlinjerna omfattar både och automatiserad behandling av personuppgifter och är avsedda att tillämpas på arbetstagare, tidigare arbetstagare och arbetssökande. Det övergripande syftet med riktlinjerna är att begränsa behandlingen av personuppgifter i allmänhet och behandlingen av känsliga personuppgifter i synnerhet. Riktlinjerna innehåller rekommendationer i detta avseende som överensstämmer väl med internationella och nationella regler om dataskydd. Vad gäller de frågor som är av särskilt intresse för utredningen innehåller riktlinjerna följande. Information som har samlats in genom åtgärder som syftar till att garantera säkerhet eller korrekt användning av datasystem får inte användas för att kartlägga arbetstagarnas beteenden. Med hänsyn till riskerna för integritetsintrång får sådan information bara användas för ursprungligen bestämda syften, t.ex. för att motverka missbruk av datasystem. Undantag får dock göras om en arbetstagare har brutit mot säkerhetsföreskrifter och informationen därför måste behandlas för att disciplinära åtgärder skall kunna vidtas. Sådan användning skall anses överensstämma med ändamålet med insamlingen av uppgifterna. Automatiskt behandlade uppgifter får inte utgöra det enda underlaget vid beslut som gäller arbetstagare. Sådana uppgifter får inte heller utgöra det enda underlaget vid bedömningen av arbetstagares prestationer. Huvudregeln är att personuppgifter i första hand skall hämtas in från arbetstagaren själv. Om uppgifter hämtas från någon Bilaga 3 SOU 2002:18 utomstående skall arbetstagaren informeras och i förväg uttryckligen samtycka till förfarandet. Arbetsgivaren bör inte samla in personuppgifter om bl.a. lagöverträdelser. Undantag får dock göras om det är tillåtet enligt nationell lag och om uppgifterna är relevanta för anställningsförhållandet. I kommentaren till riktlinjerna sägs att en uppgift om fällande dom för övergrepp på barn är relevant om anställningen innefattar arbete med barn. En arbetstagare eller en arbetssökande är i sådant fall även skyldig att lämna arbetsgivaren uppgift om en sådan dom. Personuppgifter om medicinska förhållanden får inhämtas enligt nationell lagstiftning och i övrigt enligt god sed, under förutsättning att detta är nödvändigt för att avgöra om arbetstagaren är lämpad för en särskild anställning, för att uppfylla arbetsmiljökrav och krav på säkerhet samt för att bestämma och utge sociala förmåner. Om en arbetstagare eller en arbetssökande lämnar oriktiga uppgifter som svar på frågor som inte är relevanta i förhållande till arbetsuppgifterna får arbetsgivaren inte avsluta anställningen eller vidta andra disciplinära åtgärder. Sådana uppgifter som arbetstagaren eller arbetssökanden lämnar i övrigt får inte heller behandlas. Riktlinjerna innehåller även vissa restriktioner för sättet att inhämta personuppgifter. Med hänsyn till såväl den stora variationen av kontroller och tester som den snabba utvecklingen på området ges endast några typiska exempel. Lögndetektorer eller liknande får inte användas. Personlighetstester måste överensstämma med vad anges generellt i riktlinjerna och arbetstagaren måste kunna vägra att delta i ett sådant test. I kommentaren till riktlinjerna framhålls att man nationellt bör införa regler om kvalitetssäkring av tester och testanvändares kompetens. Genetiska tester får utföras endast i särskilda fall som angivits i nationell lagstiftning. Drogtester bör genomföras bara i enlighet med nationell lag och praxis eller enligt internationell standard. Vid teknisk övervakning av arbetstagare måste arbetsgivaren informera arbetstagarna i förväg om skälen till övervakningen och sättet för denna. Arbetsgivaren skall vidare se till att integritetsintrånget minimeras. Hemlig övervakning får bara ske i enlighet med nationell lag eller om det finns skälig misstanke om brott eller om annat felaktigt förfarande av allvarlig natur. tidsbegränsad övervakning bör bara tillåtas om det är nödvändigt av hälsoskäl eller för att skydda egendom. I övrigt innehåller riktlinjerna bestämmelser om förvar av personuppgifter, bl.a. anges att hälsouppgifter bör förvaras särskilda från övriga personuppgifter och behandlas bara av personer med tystnadsplikt. Vidare finns bestämmelser om arbetstagares rätt till information beträffande alla uppgifter hos arbetsgivaren som rör honom eller henne samt om arbetstagares rätt att begära rättelse eller utplåning av felaktiga uppgifter. Riktlinjerna innehåller också vissa bestämmelser om rättigheter för arbetstagarnas företrädare, t.ex. rätten att bli informerade och konsulterade inför förändringar som innefattar bl.a. behandling av arbetstagares personuppgifter och automatisk övervakning av arbetstagarna. Slutligen finns en bestämmelse som innebär att en arbetsgivare som anlitar en arbetsförmedling bör kräva att arbetsförmedlingen behandlar personuppgifter enligt riktlinjerna. Utredningen har under arbetet närmare studerat utländsk lagstiftning liknande den utredningen föreslagit. Av störst intresse har varit den lagstiftningsprocess som under arbete pågått i och som resulterat i lagen om integritetsskydd i arbetslivet samt den danska loven om brug af helbredsoplysningar m.v. Lag om integritetsskydd i arbetslivet Den finska lagen om integritetsskydd i arbetslivet trädde i kraft . Syftet med lagen är att genomföra de grundläggande fri- och rättigheter som tryggar skyddet för den personliga integriteten samt att främja utvecklingen och iakttagandet av god informationshantering när personuppgifter behandlas i arbetslivet. Lagen gäller alla anställningsförhållanden och med arbetstagare avses i lagen även arbetssökande. För behandlingen av person- uppgifter tillämpas dessutom den finska personuppgiftslagen. För tillämpningen av lagen gäller ett övergripande krav på direkt relevans. Arbetsgivaren får behandla endast sådana personuppgifter som har direkt relevans för arbetstagarens anställningsförhållande och som har att göra med hanteringen av rättigheter och skyldigheter för parterna i anställningsförhållandet eller med de förmåner som arbetsgivaren erbjuder arbetstagarna eller med arbetsuppgifternas särskilda natur. Avvikelser från kravet kan inte göras med arbetstagarens samtycke. I propositionen1 sägs att med personuppgifter som är direkt relevanta för anställningsförhållandet avses t.ex. uppgifter som behövs dels för att arbetstagaren skall kunna utföra sina arbetsuppgifter, dels för att vissa bestämmelser i arbets- och tjänstekollektivavtal skall kunna uppfyllas, dels för att lagstiftning skall kunna följas. Beträffande arbetsgivarens rätt att samla in personuppgifter om en arbetssökande i en anställningssituation sägs att bedömningen skall ske utifrån de arbetsuppgifter som sökanden vill ha, t.ex. uppgifter som visar att sökanden är behörig att inneha en viss tjänst. Vidare framhålls i propositionen att relevanskravet i lagen om integritetsskydd i arbetslivet är mer precist utformat än relevanskravet i personuppgiftslagen och på så sätt mer anpassat till de förhållanden som råder i arbetslivet. av personuppgifter föreskrivs i lagen att arbetsgivaren skall samla in sådana uppgifter i första hand från arbetstagaren själv. För att samla in uppgifter från annat håll måste arbetsgivaren har arbetstagarens samtycke. Samtycke krävs dock inte när arbetsgivaren hämtar in kredit- upplysningar eller straffregisteruppgifter för utredning av en arbetstagares tillförlitlighet. I dessa fall är arbetsgivaren dock skyl- dig att på förhand informera arbetstagaren om att sådana uppgifter samlas in. Om uppgifterna har samlats in från annat håll än från arbetstagaren själv är arbetsgivaren skyldig att informera arbets- tagaren om uppgifterna innan de används som underlag för beslut. Under förutsättning av arbetstagarens samtycke kan arbets- tagaren testas genom person- och lämplighetstester för att utreda hans eller hennes förutsättningar för att sköta arbetsuppgifterna eller behovet av utbildning och övrig utveckling inom yrket. Arbetsgivaren är skyldig att se till att tillförlitliga testmetoder används, att de utförs av sakkunniga och att de uppgifter som erhålls är korrekta med beaktande av testmetoden och dess beskaffenhet. Arbetstagaren har rätt att ta del av det skriftliga eller muntliga utlåtande som efter testet lämnas till arbetsgivaren. Vid genomförande av kontroller och tester beträffande arbetstagares hälsa samt provtagningar avseende alkohol och narkotika skall yrkesutbildade personer inom hälso- och sjukvården, personer med behörig laboratorieutbildning och hälso- och sjukvårdstjänster anlitas enligt hälso- och sjukvårdslagstiftningen. 1 RP 75/2000. I fråga om genetiska undersökningar är det förbjudet för arbetsgivaren att kräva att arbetstagaren skall delta i genetisk undersökning. Arbetsgivaren har inte heller rätt att få veta om arbetstagaren har genomgått en sådan undersökning. Arbetsgivaren får behandla personuppgifter om hälsa avseende en arbetstagare endast under vissa förutsättningar. Uppgifterna skall ha samlats in hos arbetstagaren själv eller med arbetstagarens skriftliga samtycke hos någon annan. Behandlingen skall erfordras för utbetalning av lön för sjukdomstid eller liknande eller för utredning av om det finns grundad anledning till frånvaron från arbetet. Vidare får behandling ske om arbetstagaren uttryckligen önskar att arbetsförmågan utreds på grund av uppgifter om hans eller hennes hälsotillstånd eller om behandling av hälsouppgifter föreskrivs i särskild lag. Personuppgifter om hälsotillstånd får behandlas endast av personer som med ledning av uppgifterna bereder eller fattar beslut om ett anställningsförhållande eller verkställer sådana beslut. Dessa personer har tystnadsplikt och denna gäller även efter det att anställningen har avslutats. Personuppgifter om hälsotillstånd skall förvaras åtskilda från andra personuppgifter. Vad avser den tekniska bevakningen av arbetstagarna (t.ex. kameraövervakning och in- och utpasseringskontroller), som grundas på arbetsgivarens arbetslednings- och övervakningsrätt, samt användningen av e-post och datanät skall syftet med dessa åtgärder först bli föremål för s.k. samarbetsförfarande enligt lagen om samarbete inom företag och lagen om samarbete inom och inrättningar. Arbetsgivaren skall bereda arbetstagare, som inte omfattas av dessa lagar, tillfälle att bli hörda beträffande åtgärderna. Arbetsgivaren skall därefter definiera ändamålet med och metoderna för den tekniska övervakningen samt informera arbetstagarna om syftet med, ianspråktagandet av och metoderna för denna och om användningen av e-post och datanät. Vidare föreskrivs i lagen att arbetsgivaren inte genom sina åtgärder får äventyra sekretessen beträffande arbetstagarens förtroliga meddelanden av privat natur vid användningen av e-post och datanät. Tillsyn över lagen utövas av arbetarskyddsmyndigheterna tillsammans med dataombudsmannen och lagen skall hållas tillgänglig för arbetstagarna på arbetsplatserna. För överträdelse av bestämmelser i lagen kan utgå skadestånd. Lov om brug af helbredsoplysningar m.v. I stadgas i Lov om brug af helbredsoplysningar m.v. på arbejdsmarknaden om användandet av hälsouppgifter i arbetslivet. Lagen, som är subsidiär i förhållande till befintlig lagstiftning på området, avser användningen av sådana uppgifter på arbetsmarknaden och har till syfte att säkerställa att hälsouppgifter inte används för att begränsa arbetstagarens möjligheter att få eller behålla en anställning. Lagen är tillämplig oavsett om uppgifterna hämtas in genom genetiska tester, allmänna undersökningar eller på annat sätt. Undersökningar som inte har till syfte att inhämta information om en persons sjukdomar eller symptom på sjukdomar omfattas inte av lagen.