sou · GQB318d1 · 2003-01-01 00:00:00 — Begränsningen får aldrig gå utöver vad som vad som är nödvändigt med hänsyn till det ändamål som har föran- lett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar. Begränsningen får inte heller göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning. När det gäller meddelanden innebär skyddet att organ för det allmänna inte får bryta brev eller andra slutna försändelser, avlyssna telefonsamtal eller röja innehållet i telegram utan stöd av lag- bestämmelse.15 Med bestämmelsen avses meddelanden som sänds med posten eller på annat sätt som brev, telegram, bandinspel- ningar, videogram eller över huvud taget i sådan form att de kan bli föremål för beslag. Från tillämpningsområdet undantas meddelan- den med sådan form att någon förtrolighet inte kan anses råda, t.ex. affischer, reklamblad, vykort m.m.16 Skyddet gäller endast under tid då meddelandet är under beford- ran. Härefter har mottagaren möjlighet att disponera över det, t.ex. genom att förstöra det. Gör mottagaren inte det innebär skyddet mot bl.a. husrannsakan och liknande intrång att myndighet ändå inte utan lagstöd får bereda sig tillgång till meddelandet.17 Frågan om huruvida e-post omfattas har inte berörts vid be- stämmelsens tillkomst, vilket är naturligt med hänsyn till att tek- niken inte hade fått något allmänt genomslag . Som nämnts ovan omfattas dock alla meddelanden som kan tas i beslag. Mot den bakgrunden bör ett e-postmeddelande anses omfattat av tillämpningsområdet för 2 kap. 6 § RF och har därmed samma grundlagsskydd som ett traditionellt brev. Något krav på att brevet skall vara under befordran av särskilt post- eller telebefordringsföretag finns inte.18 Skyddet torde där- 15Se SOU 1972:15 s 159 f. 16Se SOU 1972:15 s 200 och m.fl., Grundlagarna, s. 91. 17Se SOU 1975:75 s 200. 18Jfr BrB 4 kap. 8 § om brytande av post- eller telehemlighet. Arbetstagarnas användning av informationsteknik med gälla även meddelanden som skickas endast inom ett begränsat nät, t.ex. en myndighets lokala nätverk. Det nu anförda innebär alltså ett förbud för offentliga arbets- givare att utan stöd i lag ta del av innehållet i förtroliga meddelan- den till eller från arbetstagare, oavsett om meddelandena har for- men av traditionella brev eller e-postmeddelanden. Skyldigheten för en offentlig arbetsgivare att enligt offentlig- hetsprincipen registrera och på begäran lämna ut allmänna handlingar innebär att arbetsgivaren i vissa fall kan behöva ta del av en arbetstagares privata elektroniska uppgifter. Detta kan emeller- tid enligt utredningens mening inte anses innefatta ett sådant lag- stöd för att ta del av ett förtroligt meddelande som avses i 2 kap. 12 § RF. Som framgått i det föregående gäller RF:s skydd för förtroliga meddelanden endast under tid då meddelandet är under befordran. Därefter omfattas meddelandet av skyddet i 2 kap. 6 § RF avseende husrannsakan och liknande intrång, under förutsättning att med- delandet förvaras på ett sådant ställe att skyddet verkar. De åtgärder som avses med husrannsakan har karaktären av undersökningar i särskilda situationer.19 Härmed torde i allmänhet avses sådana undersökningar som bl.a. polis och kronofogde- myndighet har att göra i framför allt processuella eller exekutiva syften. I vilken mån det skall anses falla in under begreppet hus- rannsakan eller liknande intrång att en offentlig arbetsgivare bere- der sig tillgång till utrymmen (fysiska eller logiska) i de egna lokalerna framgår inte av bestämmelsen. I likhet med vad som anfördes ovan beträffande Europa- konventionen, avser RF primärt endast förhållandet mellan en- skilda och det allmänna. Förpliktelserna i RF gäller alltså direkt offentliga arbetsgivare. Det svenska konstitutionella rättighets- skyddet anses, till skillnad från vad som gäller i flera andra EU- länder, inte ha någon direkt verkan mellan enskilda.20 19Se m.fl., Grundlagarna, s. 88. 20Se beträffande denna fråga Nergelius, Konstitutionellt rättighetsskydd, s. 730 ff, med där angivna hänvisningar. Arbetstagarnas användning av informationsteknik 5.4.2.4Inskränkningar i enskildas skydd enligt RF Rättigheterna enligt 2 kap. 6 § RF får inskränkas endast under de särskilda förutsättningar som framgår av 2 kap. 12 § RF. Bestäm- melser av särskilt intresse i detta sammanhang är reglerna om straffprocessuella tvångsmedel i (RB). Om det finns misstanke om brott på vilket fängelse kan följa får husrannsakan enligt 28 kap. 1 § RB göras i hus, rum eller slutet för- varingsställe för att eftersöka föremål som är underkastat beslag eller annars till utrönande av omständighet som kan ha betydelse för utredning om brottet. I 28 kap. RB finns ingående regler för hur och hos vem husrannsakan får ske. Beslag kan enligt bestämmelserna i 27 kap. RB avse föremål av alla slag. Vanliga handlingar omfattas naturligtvis. Vidare omfattas även upptagningar för vilka krävs ett tekniskt hjälpmedel för att informationen skall kunna uppfattas med mänskligt sinne. Även datalagrat material kan således bli föremål för beslag. Post- eller telegrafförsändelse, handelsbok eller annan enskild handling som anträffas och tagits i beslag vid husrannsakan får enligt 28 kap. 8 § undersökas endast enligt reglerna i 27 kap. 12 § RB. Enligt den bestämmelsen får nämnda handlingar undersökas endast av rätten, undersökningsledaren eller åklagaren. I 27 kap. 18 och 19 §§ RB finns även bestämmelser om hemlig teleavlyssning och hemlig teleövervakning. Hemlig teleavlyssning innebär att telemeddelanden, som befordras till eller från ett telefonnummer, en kod eller annan teleadress, i hemlighet avlyssnas eller tas upp genom ett tekniskt hjälpmedel för återgivning av innehållet i meddelandet. Hemlig teleövervakning innebär att upp- gifter i hemlighet hämtas in om telemeddelanden som har expedie- rats eller beställts till eller från en viss teleadress eller att sådana meddelanden hindras från att nå fram. Bestämmelserna utgår från begreppet telemeddelande, vilket innefattar också annan telekommunikation än muntlig, t.ex. data- kommunikation, telex och telefax. Med begreppet teleadress avses en identifiering av den icke fysiska adress som ett telemeddelande skickas till eller från. Adressen kan vara ett abonnemang, en enskild anknytning, adressen för elektronisk post, en kod eller någon annan tillförlitlig identifieringsmetod.21 Bestämmelserna omfattar endast meddelanden de befordras i ett allmänt till- gängligt telenät och alltså inte i mer begränsade, lokala, nät och inte 21 Se Fitger, s. 27:32. Arbetstagarnas användning av informationsteknik heller när ett meddelande har kommit fram till mottagaren. Beslut om ovan beskrivna tvångsmedel förutsätter misstanke om brott, som när det gäller hemlig teleavlyssning eller teleövervakning måste vara av allvarligt slag. I vissa fall skall beslut fattas av domstol efter ansökan av åklagare. En offentlig arbetsgivares möjligheter att kontrollera sina arbetstagare med dessa metoder skiljer sig därmed inte från arbetsgivare i övrigt, varför de nu nämnda undantagen från RF:s skydd torde sakna betydelse här. De ovan redovisade grundlagsbestämmelserna om enskildas rätt till respekt för privatliv innebär som nämnts en direkt förpliktelse för offentliga organ i förhållande till enskilda. Lagregler om skydd för förtroliga meddelanden och annan information finns i 4 kap. BrB. I förhållande till dessa utgör bestämmelserna om husrannsakan samt hemlig teleavlyssning och teleövervakning som beskrivits ovan naturligtvis undantag från det straffbara området. Brytande av post- eller telehemlighet I 4 kap. 8 § BrB straffbeläggs brytande av post- eller telehemlighet. Enligt bestämmelsen gör den sig skyldig till brytande av post- eller telehemlighet som olovligen bereder sig tillgång till ett meddelande som ett post- eller telebefordringsföretag förmedlar som postför- sändelse eller telemeddelande. Skyddet gäller kommunikations- formen som sådan och omfattar därmed meddelanden de är under befordran från avsändaren till mottagaren och under förutsättning att befordran sker av ett företag som på affärsmässiga grunder huvudsakligen förmedlar information i form av post- försändelser och olika former av telemeddelanden som andra läm- nar in för distribution. Genom rekvisitet att meddelandet skall vara under befordran av ett post- eller telebefordringsföretag undantas från tillämpningsområdet sådana fall där någon bereder sig tillgång till ett meddelande inom ett lokalt nät. En arbetsgivares e-postfunktion fungerar i allmänhet så att arbetsgivaren enkelt kan komma åt såväl inkommande som ut- gående e-postmeddelanden inom det egna nätverket. Det torde därför knappast förekomma att en arbetsgivare bereder sig tillgång till ett meddelande det är under befordran av ett all- mänt teleföretag. Bestämmelsen torde därför ha begränsad praktisk Arbetstagarnas användning av informationsteknik betydelse för de här aktuella fallen. I 4 kap. 9 § BrB finns en bestämmelse om ansvar för intrång i för- var, vilket föreligger då någon olovligen bryter brev eller telegram eller annars bereder sig tillgång till något som förvaras förseglat eller under lås eller eljest tillslutet. Enligt ordalydelsen är skydds- objektet något, vilket tyder på att tillämpningsområdet är vid- sträckt. Vid bestämmelsens tillkomst kretsade resonemangen fram- för allt kring handlingar och liknande informationsbärare. I för- arbetena till bestämmelsen om dataintrång har uttalats att obe- höriga förfaranden med datalagrat material kan falla under 4 kap. 9 §.22 En förutsättning för straffbarhet är att handlingen (eller annat skyddsobjekt som bestämmelsen omfattar) förvaras på något sätt tillsluten. Som exempel nämns att den är förseglad eller förvaras i låst utrymme. Enligt lagkommentaren omfattar bestämmelsen handlingar som ligger framme eller i en olåst låda endast under förutsättning att de på något sätt är tillslutna, t.ex. genom att de förvaras i ett förseglat kuvert eller genom att dörren till lokalen är låst.23 Varken förarbeten eller praxis ger någon ledning för bedöm- ningen av de närmare förutsättningarna för att en fil skall anses som ett sådant förvar som skyddas av bestämmelsen. Vid en sådan bedömning skulle man kunna utgå från traditionella fysiska ut- rymmen och förvar och göra analogier till logiska förvar i IT- miljön. En fil skulle då kunna betraktas som ett logiskt förvar eller utrymme i vilket viss elektroniskt lagrad information förvaras. Även med en sådan metod kan det emellertid vara svårt att nå någon klarhet i hur bestämmelsen skall tolkas. Det fallet att en fil är öppen och möjlig att ta del av på en påslagen dataskärm eller motsvarande torde utan problem kunna jämställas med att ta del av ett brev som ligger framme, vilket alltså inte är straffbart enligt be- stämmelsen. Vidare skulle det fallet att någon utan laga grund be- reder sig tillgång till en individuellt lösenordsskyddad eller krypte- rad fil kunna jämställas med den straffbara handlingen att någon forcerar ett lås eller öppnar ett förseglat kuvert. För personer med behörighet till ett nätverk är det i allmänhet mycket enkelt att ta 1973:33 s. 51. 23Se N-O m.fl., En kommentar, s. 4:38. Arbetstagarnas användning av informationsteknik del av de filer som finns lagrade där. Frågan är om ett sådant för- farande kan jämställas med att ta del av en handling som förvaras i ett förseglat kuvert eller motsvarande. Motsvarande resonemang om logiska förvar kan föras även beträffande sådana särskilda delar av en fysisk lagringsenhet som har avdelats som en arbetstagares personliga utrymme och där en mängd filer kan lagras. Det måste vidare vara olovligt att bereda sig tillgång, vilket ger upphov till särskilda tolkningsproblem när det gäller arbetsgivare som i någon mening ju har tillgång till sin egen utrustning. Dess- utom krävs uppsåt för straffbarhet. Sammantaget kan konstateras att det är mycket svårt att bedöma om – och i så fall under vilka förutsättningar – 4 kap. 9 § BrB kan tillämpas på elektroniskt lagrad information. Vid tolkning av straffbud måste viss försiktighet iakttas och det är tveksamt om en straffrättsligt tillåten analogi mellan fysiska förvar och elektroniska förvar överhuvudtaget kan dras.24 Här kan också nämnas att bestämmelsen om dataintrång i 4 kap. 9 c § BrB, som är subsidiärt tillämplig, troligen skulle täcka de nu nämnda situationerna. E-postmeddelanden och andra elektroniskt lagrade uppgifter av det slag som diskuteras här utgör sådan upptagning för automatisk databehandling som avses i bestämmelsen om dataintrång i 4 kap. 9 c § . Bestämmelsen omfattar därmed förfaranden med såväl e-postmeddelanden och annan information som avses i detta avsnitt. Enligt bestämmelsen gör den sig skyldig till data- intrång som olovligen bereder sig tillgång till upptagning för auto- matisk databehandling. Bestämmelsen är inte begränsad till att skydda personuppgifter eller i övrigt integritetskänsligt material, utan alla upptagningar för automatisk databehandling omfattas av bestämmelsen.25 Enligt bestämmelsen straffbeläggs alltså vissa förfaranden som innebär att någon olovligen bereder sig tillgång till upptagning för automatisk databehandling, vilket innefattar bl.a. e-post- meddelanden och annan elektroniskt lagrad information. 24Se Kring m.fl., Datalagen med kommentarer, s. 236. 1973:33 s. 144. Arbetstagarnas användning av informationsteknik fall torde det inte vålla några större svårigheter att avgöra frågan om olovlighet. Så är fallet när exempelvis någon helt utomstående bereder sig tillgång till en upptagning, oavsett om det sker på distans över nätverk eller att någon olovligen berett sig tillträde till en lokal och där använt en befintlig dator. Att bereda sig tillgång till en upptagning genom att utan tillåtelse ta sig förbi ett skydd i form av lösenord eller liknande torde också tveklöst vara att anse som olovligt. Olovlighet förutsätter dock i och för sig inte att sär- skilda åtgärder, som t.ex. att ta sig förbi ett lösenord, vidtas. I underrättspraxis har det bedömts som dataintrång när en arbets- tagare har berett sig tillgång till uppgifter i ett system som i och för sig var tillgängliga för denne utan särskild åtgärd. I dessa fall har intrånget bestått i att arbetstagaren har berett sig tillgång till lag- rade uppgifter genom att överträda sin befogenhet att använda IT- systemet enligt de bestämmelser som gällde på arbetsplatsen. I arbetslivet är det i regel så att arbetsgivaren har tillgång till den utrustning där de privata filerna finns lagrade. Därmed har arbets- givaren rätt att förfoga över utrustningen och har goda praktiska möjligheter att utan särskilda åtgärder komma åt lagrad information även om varje arbetstagare har ett eget lösenord för att komma åt IT-systemet. Frågan är om dessa omständigheter i sig medför en rätt att förfoga också över informationsinnehållet i arbetstagares privata filer. Av särskild betydelse för utredningen blir därmed om – och i så fall under vilka förutsättningar – arbets- givarens åtgärder med information som finns i den egna utrust- ningen kan anses olovliga. Om arbetsgivaren har utfärdat riktlinjer för när han eller hon kommer att ta del av information och sedan inte håller sig till sina egna riktlinjer, torde förfarandet vara olov- ligt. Till ledning för bedömningen av bestämmelsen om dataintrång uttalades i motiven att frågan om ett förfarande är olovligt bör knytas till om annan än den registeransvarige låg bakom åtgärden.26 Eftersom bestämmelsen vid dess tillkomst infördes i datalagen kunde det förefalla naturligt att knyta rätten till förfogande över uppgifterna till den som enligt lagen förfogade över ett register, dvs. har därefter föreslagit att bedöm- ningen i stället skall utgå från den som har rätt att förfoga över informationen och att gärningen skulle vara lovlig och därmed fri 26 Se prop. 1973:33 s. 51 och 104. Arbetstagarnas användning av informationsteknik från ansvar – oberoende av frågan om registeransvar – om samtycke föreligger från någon som har rätt att förfoga över informationen.27 föreslog vidare följande riktlinjer för bedömningen. Om en arbetsgivare klart har gett till känna att in- formationsbehandling inte får ske för privata ändamål, har han också rätt att bereda sig tillgång till data, vilka förvaras i de data- utrymmen han tillhandahåller, som behövs för att kontrollera om så sker. Om däremot den enskilde fått rätt att använda utrustning- en utanför arbetet – jämför att arbetsgivaren tillhandahåller lådor eller skåp med lås för den anställde – får arbetsgivaren inte bereda sig tillgång till dessa datautrymmen. När frågan är oklar föreslås en restriktiv hållning vid bestämmandet av i vilken omfattning anlägg- ningens innehavare får bereda sig tillgång till användarnas data.28 Man bör alltså kunna dra den slutsatsen att ett förfarande inte är olovligt om det finns samtycke från någon som har rätt att förfoga över upptagningen. De ovan redovisade resonemangen besvarar emellertid inte frågan vem som har rätt att förfoga över viss in- formation. I praktiken har både arbetsgivare och arbetstagare möjlighet att förfoga över en arbetstagares privata uppgifter som lagrats i arbetsgivarens utrustning. Avgörande för rätten att bereda sig tillgång till en upptagning – och därmed om ett förfarande är olovligt – kan emellertid inte vara en faktisk möjlighet att bereda sig tillgång till den. I stället måste det avgörande vara en på annat sätt grundad rätt att förfoga över upptagningen. Det torde vara klart att en arbetstagare har rätt att förfoga över sina privata elektroniska uppgifter genom att tillåta att arbets- givaren bereder sig tillgång till uppgifterna. Något hinder mot att arbetstagaren, t.ex. vid anställningens början, lämnar ett generellt samtycke till att arbetsgivaren får ta del av privata elektroniska uppgifter torde inte finnas. Frågan är emellertid om en arbetsgivare kan åberopa någon annan grund för en rätt att ta del av arbetstagarens privata filer. Att en arbetsgivare har en generell rätt att förfoga över sina IT-verktyg kan knappast i sig innebära en rätt att också ta del av privata upp- gifter i dessa. Här kan man möjligen jämföra med traditionella för- var. Att en arbetsgivare har rätt att förfoga över sina inventarier, såsom skrivbord och klädskåp, kan inte innebära en rätt att även ta del av eller bereda sig tillgång till de privata tillhörigheter som arbetstagare förvarar i sådana låsta utrymmen. 27SOU 1992:110 s. 194. 28SOU 1992:110 s. 560. Arbetstagarnas användning av informationsteknik rättsutredningens uppfattning har en arbetsgivare som förbjudit privat användning rätt att bereda sig tillgång till data som behövs för att kontrollera om sådan användning ändå sker.29 Datastraff- rättsutredningen anbefaller dock restriktivitet när frågan är oklar. Frågan gäller egentligen om arbetsgivarens förfarande att ta del av arbetstagarens privata elektroniska uppgifter är otillbörligt eller strider mot god sed på så sätt att det innebär en inskränkning i arbetsgivarens rätt att med stöd av arbetsledningsrätten vidta kontrollåtgärder. I avsaknad av publicerade domstolsavgöranden, där frågan om arbetsgivarens rätt att förfoga över arbetstagares privata uppgifter har prövats, är det osäkert hur dessa frågor skall bedömas.30 Den situationen att en arbetsgivare öppnar en fil och tar del av en arbetstagares privata elektroniska uppgifter är kanske inte vad man i första hand brukar avse med behandling av personuppgifter enligt PUL. Enligt lagens ordalydelse torde den dock vara tillämplig även på sådana fall. Personuppgifter är enligt 3 § PUL all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Av en fil med ett e-postmeddelande torde alltid framgå avsändare och mottagare. Om en arbetstagares personliga användaridentitet framgår av e-postadressen torde filen alltid innehålla information som kan hänföras till denne. Som behandling av personuppgifter avses enligt samma bestämmelse varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter. Genom att ta del av ett meddelande erhålls kunskap om att kommunikation med visst innehåll har ägt rum mellan avsändaren och mottagaren i fråga. Även om inga andra åtgärder vidtas bör ett sådant förfarande be- traktas som en form av användning av personuppgifterna och så- ledes som en behandling av personuppgifterna. Av 5 § PUL följer 29SOU 1992:110 s. 560. 30I Arbetsdomstolens mål AD 1999 nr 49 har emellertid arbetsgivarens kontroll av privata filer lett till uppsägning av en arbetstagare. Målet gällde en kanslist som påstods bl.a. ha använt arbetsgivarens dator för privat bruk i stor omfattning. Enligt redovisningen i domen framgår att arbetsgivaren, i samband med service på den dator som arbetstagaren använde, upptäckte att det i denna förekom omfattande dokumentation som var kanslistens privata. Det upptäcktes också att kanslisten från arbetsplatsen hade skickat privat korrespondens genom e-post. Av utredningen i målet framgår att arbetsgivaren hade gjort en mycket grundlig undersökning av innehållet i datorn och därigenom fått ingående kunskaper om arbetstagarens användning av denna. Om undersökningen även innefattade att arbetsgivaren tog del av innehållet i de privata filerna framgår dock inte. Arbetstagarnas användning av informationsteknik att lagen är tillämplig på sådan behandling av personuppgifter som är helt eller delvis automatiserad. All hantering av personuppgifter som sker datoriserat är sådan automatiserad behandling som avses. Det anförda innebär att är tillämpliga på åt- gärder som vidtas med ett e-postmeddelande. Även på många andra typer av privata filer torde ovanstående resonemang kunna tillämpas. Förutsättningen för detta är att det finns tillräcklig in- formation för att informationen direkt eller indirekt skall kunna hänföras till en enskild användare. Detta kan ske exempelvis genom att en fil automatiskt förses med information om vem som skapat den eller att informationen finns lagrad i ett sådant logiskt ut- rymme som en arbetstagare har exklusiv tillgång till. En särskild fråga här är om en arbetsgivare kan anses som personuppgiftsansvarig för en behandling som enbart innebär att denne tar del av innehållet i t.ex. ett e-postmeddelande. Enligt 3 § PUL är det den personuppgiftsansvarige som själv eller tillsammans med andra bestämmer ändamålen med och medlen för behand- lingen. Här är fråga enbart om den behandling som ligger i att öppna ett meddelande och ta del av det. Enligt utredningens mening bör den som vidtar åtgärden att ta del av innehållet i ett e- postmeddelande anses som personuppgiftsansvarig för den behand- lingen. En arbetsgivare som tar del av innehållet i en arbetstagares e-postmeddelande eller information i en annan fil bör därför anses som personuppgiftsansvarig enligt PUL även om innehållet är privat och således inte rör arbetsgivarens verksamhet. En tillämpning av PUL i detta sammanhang innebär därmed att arbetsgivaren endast får ta del av en arbetstagares privata elek- troniska uppgifter (dvs. behandla personuppgifter) om det är tillåtet enligt lagen. Grundläggande krav på behandlingen Som allmänna krav gäller att arbetsgivaren bara får behandla personuppgifter om det är lagligt samt om det sker på ett korrekt sätt och enligt god sed. Att behandlingen skall ske enligt god sed torde i detta sammanhang kunna innebära att man vid bedöm- ningen söker ledning i riktlinjer utarbetade av etablerade bransch- sammanslutningar eller hur andra ansvarsfulla arbetsgivare hanterar här aktuella frågor. Enligt 9 § PUL skall arbetsgivaren se till att personuppgifter samlas in bara för särskilda, uttryckligen angivna och berättigade Arbetstagarnas användning av informationsteknik Dessa ändamål får sedan betydelse för den fortsatta be- handlingen av personuppgifterna.