sou · GQB318d1 · 2003-01-01 00:00:00 — Bl.a. får personuppgifter inte be- handlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Det innebär dels att arbetsgivaren ut- tryckligen måste ange ändamålen med åtgärden att ta del av arbetstagarens privata elektroniska uppgifter, dels att arbetsgivaren är förhindrad att använda uppgifterna för andra ändamål än de an- givna. Kravet att ändamålen skall vara särskilda innebär att dessa inte kan anges alltför allmänt, utan måste vara relativt detaljerade. Vidare måste arbetsgivaren se till att insamlade uppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. 10 § PUL anger uttömmande när behandling av personuppgifter är tillåten. Först kan konstateras att samtycke alltid medför att behandling av personuppgifter är tillåten. Om en arbetsgivare i för- väg inhämtar samtycke från en arbetstagare finns inget hinder när det gäller rätten att ta del av arbetstagarens privata elektroniska uppgifter. Om samtycke inte har inhämtats får arbetsgivaren ta del av arbetstagarens privata elektroniska uppgifter enligt de i bestäm- melsen närmare angivna förutsättningarna. Ett grundläggande krav är att behandlingen är nödvändig. Arbetsgivare får behandla personuppgifter om arbetstagare om det är nödvändigt för att fullgöra ett avtal mellan parterna. Det är emellertid svårt att föreställa sig en situation där det är nödvändigt för arbetsgivaren att ta del av en arbetstagares privata elektroniska uppgifter för att fullgöra ett avtal dem emellan. Att en arbetsgivare tar del av en arbetstagares privata elek- troniska uppgifter kan vara nödvändigt för att fullgöra en rättslig skyldighet. Som exempel kan nämnas att en myndighet enligt offentlighetsprincipen kan vara skyldig att pröva om en elektronisk handling som förvaras hos myndigheten är en allmän handling eller inte. Enligt är det osäkert om en förpliktelse som arbetsgivaren har åtagit sig genom avtal med annan kan inne- bära en sådan skyldighet som avses i bestämmelsen. Vad sådana förpliktelser kan innebära i detta sammanhang är svårt att säga. Möjligen kan tänkas att en arbetsgivare i förhållande till en uppdragsgivare eller dylikt åtar sig att vidta sådana säkerhets- åtgärder att fullständig kontroll över alla elektroniska uppgifter Arbetstagarnas användning av informationsteknik upprätthålls, vilket skulle innebära att även arbetstagares privata elektroniska uppgifter skulle komma att kontrolleras. Slutligen får behandling av personuppgifter ske efter en intresse- avvägning av om arbetsgivarens berättigade intressen av behand- lingen väger tyngre än arbetstagarens intresse av integritetsskydd. I avsaknad av samtycke torde denna bestämmelse få stor betydelse. Bestämmelsen innebär att en arbetsgivare som vill ta del av en arbetstagares privata elektroniska uppgifter skall göra en avvägning mellan å ena sidan sina egna behov av åtgärden och å andra sidan det intrång i arbetstagarnas personliga integritet som denna med- för. Att närmare ange hur intresseavvägningen enligt PUL faller ut i enskilda fall är knappast möjligt. Generellt kan möjligen sägas att åtgärder som betingas av säkerhetsskäl i allmänhet väger tyngre än sådana som betingas av t.ex. företagsekonomiska effektivitetsskäl. PUL innehåller i 13–20 §§ särskilda bestämmelser om behandling av känsliga personuppgifter. Sådana privata elektroniska uppgifter som avses här – oavsett om det rör sig om ett e-postmeddelande eller annat – kan gälla vad som helst. Uppgifterna kan innehålla information om t.ex. arbetstagarens politiska eller religiösa över- tygelse eller sexuella läggning. Uppgifterna utgör då känsliga personuppgifter enligt PUL:s definition. De nämnda bestämmel- serna i PUL innebär att arbetsgivarens rätt att behandla känsliga personuppgifter är kraftigt begränsad. Här inställer sig emellertid den svårigheten att en arbetsgivare sällan kan avgöra på förhand om uppgifterna är känsliga personuppgifter eller inte. Hur det skall be- dömas om en arbetsgivare på detta sätt oavsiktligt i strid med PUL kommer att behandla känsliga uppgifter är oklart. I 23 § PUL finns de grundläggande reglerna om skyldigheter för arbetsgivare att självmant informera om behandling av person- uppgifter som samlas in från arbetstagaren själv och i 24 § finns motsvarande regler beträffande uppgifter som samlas in från annan. Enligt bestämmelserna skall information lämnas när uppgifterna samlas in respektive registreras. Den information som skall lämnas är enligt 25 § uppgift om den personuppgiftsansvariges – och dennes eventuella företrädares – identitet, ändamålet med behand- Arbetstagarnas användning av informationsteknik lingen och all ytterligare information som är nödvändig för att tillförsäkra den registrerade en korrekt behandling. Detta torde betyda att en arbetsgivare som avser att ta del av en arbetstagares privata elektroniska uppgifter måste uppfylla skyldig- heterna att lämna information. Bestämmelserna torde knappast innebära något krav på att information lämnas särskilt inför varje enskilt fall, utan informationen torde kunna lämnas generellt. Enligt 26 § är arbetsgivaren skyldig att på ansökan av arbets- tagare informera om bl.a. vilka uppgifter som behandlas, varifrån uppgifterna har hämtats och ändamålen med behandlingen. Skyldighet att föra förteckning Enligt 36 § är personuppgiftsansvariga skyldiga att – med vissa inskränkningar – anmäla helt eller delvis automatiserad behandling till Datainspektionen. Med stöd av 6 § personuppgiftsförordningen har Datainspektionen föreskrivit att anmälningsskyldigheten inte gäller för behandling av personuppgifter som avser registrerade med sådan anknytning till den personuppgiftsansvarige som bl.a. följer av anställning under förutsättning att den personuppgifts- ansvarige själv för en förteckning över behandlingarna med de upp- gifter som annars skulle ha anmälts.31 Undantaget gäller dock inte behandling av känsliga personuppgifter enligt 13 § PUL. De uppgifter som en arbetsgivare enligt ovan är skyldig att föra en förteckning över (eller anmäla till Datainspektionen om det gäller känsliga uppgifter) är enligt 6 § 1998:232 a)den personuppgiftsansvariges namn, adress, telefonnummer och organisationsnummer, b)ändamålet eller ändamålen med behandlingen, c)en beskrivning av den eller de kategorier av registrerade som berörs av behandlingen, d)en beskrivning av de uppgifter eller kategorier av uppgifter som skall behandlas om de registrerade, e)uppgift om mottagarna eller de kategorier av mottagare till vilka uppgifterna kan komma att lämnas ut, f)upplysning om överföringar av uppgifter till tredje land, g)en allmän beskrivning av de åtgärder som har vidtagits för att trygga säkerheten i behandlingen. 31Se 5 § a) 1998:2 (ändrad genom 1999:3 och 2001:1). 32Ändrad genom 1999:3.och 2001:1. Arbetstagarnas användning av informationsteknik En arbetsgivare som behandlar arbetstagares personuppgifter i strid med kan enligt 48 § bli skadeståndsskyldig gentemot arbetstagaren. Behandlingar som inte överensstämmer med PUL:s krav kan dessutom enligt 49 § vara straffbara. Enligt bestämmelsen är det straffbart för en personuppgiftsansvarig bl.a. att lämna osann uppgift i information till registrerade. Som nämnts ovan har olika aspekter av offentlighetsprincipen betydelse för offentliga arbetsgivares praktiska möjligheter att tillgodose arbetstagarnas intresse av personlig integritet beträffande privata elektroniska uppgifter. De bestämmelser som är av särskild betydelse i sammanhanget skall därför beskrivas här. Enligt definitionen av handlingsbegreppet i TF avses med hand- ling, förutom traditionella handlingar, även upptagning som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniskt hjälpmedel som myndigheten själv utnyttjar. Upptagningar för automatisk databehandling, vilket innefattar sådana elektroniska uppgifter som avses i detta avsnitt, skall således jämställas med traditionella handlingar när det gäller bl.a. offentlighet och sek- retess. Grundläggande bestämmelser om handlingars offentlighet finns i 2 kap. TF. En handling är enligt 2 kap. 3 § TF allmän om den för- varas hos en myndighet och om den är att anse som inkommen till eller upprättad hos myndighet. En allmän handling är, med vissa undantag, tillgänglig för alla att ta del av. För att säkerställa allmän- hetens möjlighet att ta del av allmänna handlingar har myndighet en skyldighet att registrera inkomna eller upprättade handlingar, se 15 kap. 1 § SekrL. Skyldigheten att registrera allmänna handlingar gäller alla typer av handlingar och alltså även upptagningar för automatisk databehandling. En myndighet är således i allmänhet skyldig att registrera och diarieföra ett e-postmeddelande som skickats till myndigheten. Samma sak gäller ett utgående e-post- meddelande eller annan elektroniskt lagrad information i myndig- hetens IT-system, under förutsättning att detta kan anses som en upprättad handling.33 33 Undantag gäller enligt TF 15 kap. 1 § om handlingarna hålls så ordnade att det utan svårighet kan fastställas om handling har kommit in eller upprättats. Frågor om vad som skall anses som allmänna handlingar är komplicerade, särskilt när det gäller upptagningar för Arbetstagarnas användning av informationsteknik Det nu sagda innebär att myndigheter måste ha fungerande ru- tiner för att bevaka att skrivelser och meddelanden som inkommer via e-post behandlas på ett adekvat sätt. Arbetsgivaren måste alltså ha ett system som ger möjlighet att vid en arbetstagares frånvaro ta del av handlingar som inkommit till myndigheten och som adresse- rats till arbetstagaren personligen.34 För att offentlighetsprincipen skall fungera i praktiken krävs bl.a. att myndigheterna håller sina allmänna handlingar ordnade eller registrerade på ett sådant sätt att det är möjligt för allmänheten att konstatera vilka handlingar som finns. Det är också viktigt att myndigheter förvarar sina handlingar på ett sådant sätt att ett utlämnande inte försvåras. Myndigheter är mot den angivna bak- grunden skyldiga att upprätthålla vad som kallas en god offentlig- hetsstruktur. Detta kommer till uttryck i 15 kap. 9 § sekretess- lagen, enligt vilken bestämmelse en myndighet som använder automatisk databehandling i verksamheten skall ordna denna med beaktande av rätten i TF att ta del av allmänna handlingar. Kravet på god offentlighetsstruktur preciseras därefter genom att bestämmelsen föreskriver bl.a. att allmänna handlingar bör hållas åtskilda från andra handlingar. Bestämmelsen är av betydelse framför allt när en myndighet skall införa ett nytt IT-system eller förändra ett befintligt. I förarbetena betonas också att utform- ningen av IT-systemen måste tillåtas att variera med hänsyn till de krav som myndigheternas verksamhet ställer, vilket innebär att även offentlighetsstrukturen måste tillåtas att variera. En allt för detaljerad reglering har därför inte ansetts möjlig.35 Hänsynen till offentlighetsprincipen måste dock vägas mot andra intressen, bl.a. tekniska och ekonomiska. En arbetstagares privata elektroniska uppgifter av det slag som avses här är inte en allmän handling i TF:s mening. Med tillämp- ning av 15 kap. 9 § sekretesslagen bör sådana upptagningar hållas åtskilda från allmänna handlingar. Offentliga arbetsgivare skall överväga hur IT-systemet bör utformas för att en sådan åtskillnad I detta sammanhang saknas emellertid anledning att gå in djupare på dessa frågor. I stället kan hänvisas till exempelvis , Offentlighetsprincipen. Även Statskontorets skrift E-post i förvaltningen ger en god överblick över olika frågeställningar kring myndigheters användning av e-post. 34Se , beslut , Dnr 4225-1998. 1990/91:60 s. 34 och 35. Arbetstagarnas användning av informationsteknik Ett sätt kan vara att i IT-systemet skapa sär- skilda elektroniska utrymmen, mappar, för olika typer av upptag- ningar. Exempelvis kan ett sådant utrymme då avdelas för att ge varje arbetstagare möjlighet att där förvara privata elektroniska uppgifter.36 Frågan kvarstår emellertid hur sådana förvar rent prak- tiskt skall hanteras. En handlings karaktär av allmän eller icke-all- män påverkas de facto inte av i vilket elektroniskt förvar den förvaras. 5.4.2.9Meddelar- och anskaffarfrihet enligt tryckfrihetsförordningen m.m. Till skyddet för förtroliga meddelanden i speciella situationer bör föras den s.k. meddelar- och anskaffarfriheten i TF och yttrande- frihetsgrundlagen. Enligt 1 kap. 1 § tredje stycket TF har var och en rätt att, med de begränsningar som följer av förordningen, att till författare, jour- nalister och nyhetsredaktioner m.fl. meddela uppgifter och under- rättelser i vilket ämne som helst för offentliggörande i tryckt skrift. Enligt samma lagrums fjärde stycke gäller skyddet även den som anskaffar uppgifter i angivet syfte. Skyddet gäller dock inte om förfarandet innebär att den som anskaffar eller meddelar upp- gifterna därigenom gör sig skyldig till bl.a. olika brott mot rikets säkerhet, såsom spioneri, och inte heller vid oriktigt utlämnande av allmän handling eller vid uppsåtligt åsidosättande av tystnadsplikt. I yttrandefrihetsgrundlagen, se 1 kap. 2 § och 2 kap. 4 §, finns bestämmelser om meddelar- och anskaffarfrihet som motsvarar bestämmelserna i . De nu redovisade bestämmelserna innebär att en offentlig arbetsgivare inte får efterforska meddelanden som en arbetstagare t.ex. har skickat med e-post till en tidningsredaktion. Även om detta knappast torde vara något mer omfattande problem, är det naturligtvis icke desto mindre angeläget att skyddet upprätthålls. Den komplikation som nämnts ovan, se avsnitt 5.4.2.7, att en offentlig arbetsgivare som uppfyller sina skyldigheter enligt offentlighetsprincipen kan komma att bereda sig tillgång till privata elektroniska uppgifter gäller förstås även meddelanden till journalister m.m. 36 Från vissa håll ifrågasätts om det över huvud taget ligger i linje med offentlig verksamhet att tillåta arbetstagarna att privat använda arbetsgivarens utrustning, se bl.a. Statskontoret, Offentlighet och IT, s. 55. Arbetstagarnas användning av informationsteknik 5.4.2.10 Sammanfattning av det rättsliga skyddet Arbetsgivarens arbetsledningsrätt och den däri ingående kontroll- rätten innebär att arbetsgivaren har en principiell rätt såväl att be- stämma över användningen av utrustningen som att kontrollera hur denna används. Kontrollrätten har emellertid betydelsefulla be- gränsningar med hänsyn till att kontroller inte får strida mot lag, god sed eller annars vara otillbörliga. Ovan har framgått att de åt- gärder som innebär att en arbetsgivare tar del av en arbetstagares privata elektroniska uppgifter utgör en behandling av person- uppgifter enligt PUL. Att gränserna för arbetsledningsrätten i förening med PUL därmed ger ett betydande skydd för arbets- tagarnas personliga integritet följer redan av att en arbetsgivares rätt att kontrollera förutsätter ett i förväg angivet särskilt och be- rättigat ändamål samt att information om kontrollåtgärderna har lämnats till arbetstagarna. Emellertid måste skyddet för anskaffare och meddelare enligt RF och YGL anses innebära en begränsning i denna kontrollrätt för offentliga arbetsgivare. Även god sed eller vad som annars är otillbörligt kan vidare få betydelse för en offent- lig arbetsgivares kontrollrätt, framför allt när det gäller metoderna för kontrollerna och omständigheterna i övrigt kring dessa. Vidare gäller även för offentliga arbetsgivare vad som ovan sagts om arbetsgivarens skyldighet enligt PUL. 5.4.3Behovet av ytterligare reglering Som framgått av redovisningen av gällande rätt torde arbetsgivarens arbetslednings- och kontrollrätt innebära ganska vidsträckta möjligheter för arbetsgivaren att kontrollera arbetstagarna när det gäller förekomsten av privata elektroniska uppgifter. Kontrollrätten är emellertid begränsad på ett sätt som ger skydd för arbetstagarnas personliga integritet. Det är dock svårt att se närmare var gränserna för skyddet går. Även om också PUL därutöver ger ett visst skydd är det oklart hur den lagens bestämmelser skall tolkas i enskilda situationer. Enligt vad utredningen har erfarit råder en stor osäker- het bland såväl arbetsgivare som arbetstagare i fråga om innehållet i gällande rätt och tycks osäkerheten medföra att kontroller sker efter arbetsgivarens gottfinnande. Enligt utredningens mening innebär redan den beskrivna osäker- heten att det finns ett behov av ytterligare reglering. För att åstad- komma ett stärkt skydd för arbetstagarnas personliga integritet bör en sådan reglering närmare precisera och därmed också inskränka Arbetstagarnas användning av informationsteknik gränserna för arbetsgivarens kontrollrätt. I enlighet med vad som i övrigt föreslås bör detta ske genom en bestämmelse som förbjuder arbetsgivaren att behandla personuppgifter av aktuellt slag annat än i särskilt angivna undantagssituationer. Utredningen föreslår: En bestämmelse bör införas som innebär att en arbetsgivare inte avsiktligt får ta del av en arbetstagares privata elektroniska uppgifter. Från denna huvudregel bör undantag göras vid samtycke från arbetstagaren. Undantag bör också göras om det är nödvändigt för arbetsgivarens verksam- het. Till ledning för bedömningen av om en åtgärd kan anses nödvändig för arbetsgivarens verksamhet anges i bestämmelsen en exemplifierande uppräkning av omständigheter där det kan vara nödvändigt för arbetsgivaren att ta del av en arbetstagares privata elektroniska uppgifter. De angivna omständigheterna är om det föreligger fara för informationssäkerheten eller om det finns skälig misstanke att arbetstagaren gjort sig skyldig till brott eller till sådant illojalt beteende som kan utgöra saklig grund för uppsägning eller föranleda skadeståndsskyldighet. Utredningen har tidigare konstaterat att rätten till skydd för den personliga integriteten är en mänsklig rättighet. Emellertid har också konstaterats att denna rätt inte är absolut, utan att den måste vägas mot andra motstående intressen. När det gäller frågan om arbetstagarens rätt till skydd för sådana privata elektroniska upp- gifter som är resultatet av privat användning av arbetsgivarens IT- verktyg tillkommer vissa aspekter som avviker från andra resone- mang kring mänskliga rättigheter. Till att börja med kan sägas att det inte är en mänsklig rättighet, eller ens ett befogat rättsligt an- språk, för en arbetstagare att få använda arbetsgivarens IT-verktyg för privata ändamål. Det är därför inte orimligt att omfattningen av de kontroller som får ske kan påverkas av arbetsgivaren. Vidare kan konstateras att en arbetstagare kan undvika de flesta situationer där integritetsrisker kan uppkomma, genom att t.ex. låta bli att använda IT-verktygen privat eller låta bli att med arbetsgivarens IT-verktyg hantera uppgifter som arbetstagaren vill skydda från insyn. Enligt vad som tidigare slagits fast bör alltså skyddet för den personliga integriteten i arbetslivet bestämmas genom en avvägning av arbets- Arbetstagarnas användning av informationsteknik givarens berättigade intresse av kontroll mot arbetstagaren anspråk på en skyddad personlig sfär. Den föreslagna bestämmelsen avser att precisera och därmed också inskränka arbetsgivarens kontrollrätt. Det bör dock upp- märksammas att detta inte innebär någon förändring i arbets- givarens arbetsledningsrätt i det avseendet att arbetsgivaren har rätt att bestämma över användningen av IT-verktygen och således om privat användning skall vara tillåten eller inte. Redan här kan också framhållas att den föreslagna bestämmelsen inte innebär ett absolut och heltäckande skydd för arbetstagarnas personliga integritet i detta avseende. Utredningen har övervägt olika lösningar, men funnit att ett mer heltäckande skydd för arbetstagarnas personliga integritet inte går att åstadkomma utan att detta skulle medföra orimliga konsekvenser för arbetsgivarens verksamhet. En förstärkning av integritetsskyddet jämfört med vad som gäller har dock skett genom att det i bestämmelsen an- förs exempel som till ledning för rättstillämpningen anger nivån för vad som krävs för att arbetsgivaren skall ha rätt att ta del av en arbetstagares privata elektroniska uppgifter. Avslutningsvis bör framhållas att den föreslagna bestämmelsen gäller oavsett om de privata uppgifterna har tillkommit som ett resultat av tillåten eller otillåten användning av arbetsgivaren . 5.4.4.1Förbud för arbetsgivare att ta del av arbetstagares privata elektroniska uppgifter Det naturliga vid utformningen av bestämmelsen är enligt utred- ningens uppfattning att utgå från ett förbud för arbetsgivaren att ta del av en arbetstagares privata elektroniska uppgifter. Detta mar- kerar att den grundläggande respekt för förtroliga meddelanden som föreskrivs i såväl internationella konventioner som i svensk grundlag skall gälla även i arbetslivet. Ett förbud kan emellertid inte vara absolut utan bör förses med nedan angivna undantag för att iaktta erforderlig hänsyn till arbetsgivarens verksamhet. Arbetstagarnas användning av informationsteknik 5.4.4.2Endast avsiktliga intrång omfattas Som nämnts ovan är det enligt utredningens mening inte möjligt att åstadkomma ett heltäckande skydd för arbetstagarnas privata elektroniska uppgifter. Bestämmelsens begränsning till privata elektroniska uppgifter innebär med hänsyn till teknikens utform- ning en särskild svårighet eftersom det ofta inte går att på förhand avgöra om vissa uppgifter är privata eller inte.37 Ett absolut skydd för privata uppgifter skulle medföra risker för att även uppgifter som rör arbetsgivarens verksamhet blir oåtkomliga för denne, vilket enligt utredningens mening inte vore acceptabelt. I detta sammanhang bör nämnas att den åtgärden att arbetsgivaren läser filnamn och relaterad information eller ärendemening, avsändare, mottagare, sändningstidpunkt osv. för exempelvis e-post inte inne- bär att arbetsgivaren tar del av uppgifterna på sätt som anges i be- stämmelsen. Genom att den föreslagna bestämmelsen föreskriver att arbets- givaren inte avsiktligen får ta del av en arbetstagares privata elek- troniska uppgifter finns möjlighet för denne att ta del av uppgifter så länge det inte framgår att dessa är privata. Så fort det står klart för arbetsgivaren att uppgifter, dvs. att hela eller delar av innehållet är privat, får denne dock inte ta del av uppgifterna.38 När det t.ex. inte framgår tydligt att ett e-postmeddelande är privat får alltså arbetsgivaren öppna detta för att undersöka om detta rör verksam- heten eller inte. Visserligen kan det i många fall vara så att arbets- givaren redan genom en sådan åtgärd har tagit del av hela innehållet och att integritetsintrånget då redan har skett. Enligt utredningens mening är detta emellertid oundvikligt. 5.4.4.3Rutiner för att undvika oavsiktliga intrång Med den ovan beskrivna konstruktionen finns det risker för att in- trång i en arbetstagares integritet kan komma att ske enbart för att arbetsgivaren skall kunna avgöra om vissa uppgifter rör verksam- heten eller inte. Utredningens anser mot den bakgrunden att det är önskvärt att både arbetsgivare och arbetstagare – med den före- slagna bestämmelsen som utgångspunkt – verkar för att riskerna för sådana oavsiktliga intrång begränsas och att hanteringen av 37Utredningens definition av begreppet privata elektroniska uppgifter återfinns på s. 101. 38En liknande konstruktion kan återfinnas i 27 kap. 12 § RB. Där föreskrivs att vissa typer av dokument som tas i beslag endast får undersökas av rätten, undersökningsledaren eller åklagaren. Om den som verkställer beslaget inte har rätt att undersöka handlingen, skall denne försegla handlingen. Arbetstagarnas användning av informationsteknik arbetstagarnas privata elektroniska uppgifter anpassas till vad som är lämpligt på varje arbetsplats. Enligt vad som ovan anförts i avsnitt 5.4.2.8 är offentliga arbets- givare skyldiga att uppfylla kraven på en god offentlighetsstruktur vid användning av informationsteknik.