sou · GQB318d2 · 2003-01-01 00:00:00 — I vilken mån insamling av uppgifter genom exempelvis loggning i datoriserade system eller insamling av uppgifter om anställdas ekonomiska förhållanden kan betraktas som nödvändiga för att fullgöra anställningsavtalet på det sätt som avses i bestämmelsen är emellertid oklart och får avgöras från fall till fall. Åtgärder vid anställningsförfarande bör betraktas som sådana åtgärder som i bestämmelsens mening vidtas innan ett avtal träffas. I likhet med vad som har sagts ovan är det klart att insamling och övrig behandling av en hel del personuppgifter är nödvändiga i detta sammanhang. Den närmare gränsdragningen får dock avgöras från fall till fall. Härvid torde man bl.a. behöva beakta vilken typ av arbete som ansökan avser. Personuppgifter får behandlas om behandlingen är nödvändig för att den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet som åvilar denne. Förpliktelser som ålagts genom såväl offentligrättsliga som civilrättsliga lagar och författningar av olika valör omfattas, liksom även förpliktelser som ålagts genom myndighetsbeslut i enskilda fall. Enligt är det oklart om en förpliktelse som någon åtagit sig genom avtal med annan kan vara en sådan rättslig skyldighet som avses i detta sammanhang.19 s. 65 f. och s. 121 f. samt betänkande s. 128 och 359. s. 65 f. och 121 f. resp. a.a. s. 128 och 360. Bestämmelsens betydelse för utredningen Även med stöd av denna bestämmelse kan det vara tillåtet för en arbetsgivare att behandla personuppgifter om arbetstagare. Här kan nämnas t.ex. att arbetsgivarens skyldighet att redovisa skatter och avgifter beträffande arbetstagarna gör det nödvändigt att behandla vissa personuppgifter. För vissa arbetstagare kan arbetsgivaren vara skyldig enligt arbetsmiljölagen och Arbetarskyddsstyrelsens föreskrifter att föra register över anställda som genomgått läkarundersökningar p.g.a. särskilda hälsorisker i arbetet. Vidare kan de civilrättsliga turordningsbestämmelserna som gäller vid uppsägning av arbetstagare p.g.a. arbetsbrist sägas innebära en rättslig skyldighet för arbetsgivare att upprätta listor över sina anställda. I många affärsmässiga avtal föreskrivs om skyldigheter för parterna att hantera information på visst sätt. Sådan information kan även innefatta personuppgifter. I finns en svensk standard för IT-säkerhet, SS 62 77 99. Syftet med denna är att företag och organisationer ska få fullgod kontroll över hanteringen av information och data samt skydd mot oönskade händelser och hot, såväl interna som externa. Som en del av det säkerhetsarbete som förutsätts enligt standarden ingår loggning av system och kontroll av de anställda i olika avseenden. I enlighet med vad som anförts ovan, är det oklart i vilken mån sådana åtaganden kan omfattas av bestämmelsen. Känsliga uppgifter får också behandlas om den registrerades eller annans vitala intressen skall kunnat skyddas. Det oklart om det bakomliggande dataskyddsdirektivet syftar bara på det som är livsviktigt – som gäller liv och död – eller om även sådant som är bara av grundläggande betydelse avses. Bestämmelsen i PUL har utformats så att den omfattar båda fallen.20 Personuppgifter får behandlas om det är nödvändigt för att utföra en arbetsuppgift av allmänt intresse. Sådan behandling får också ske om den är nödvändig för att utföra en arbetsuppgift i samband med myndighetsutövning. Myndighetsutövningen skall då utföras av den personuppgiftsansvarige själv eller av tredje man till vilken uppgifterna har lämnats ut. Som exempel på uppgifter som kan vara av allmänt intresse nämner arkivering, forskning och framställ- ning av statistik samt etablerade idrottsorganisationers registrering av personer som har vunnit svenska mästerskap eller innehar 20 Se prop. s. 65 och 121 samt betänkande s. 129 och 361. svenskt rekord i erkända sportgrenar. Också den registrering som sker av personer som har fått allmänt erkända utmärkelser, t.ex. , kan enligt vara en arbetsuppgift av allmänt intresse.21 Det är slutligen möjligt att tillåta behandling av personuppgifter efter en intresseavvägning. Behandlingen måste då vara nödvändig för ändamål som rör berättigade intressen hos den registeransvarige och dessa intressen får inte uppvägas av den registrerades intressen. Om en registrerad meddelar den personuppgiftsansvarige att han eller hon inte vill att behandlingen fortsätter får enligt den registrerades intresse av att slippa fortsatt behand- ling i allmänhet anses väga över. Bara i synnerliga undantagsfall bör den personuppgiftsansvariges intresse av fortsatt behandling väga över intresset hos en registrerad som uttryckligen har motsatt sig fortsatt behandling. Finns inte längre förutsättningar att behandla personuppgifter måste de behandlade uppgifterna förstöras eller avidentifieras eftersom även lagring av personuppgifter anses som en form av behandling.22 Vad som avses med berättigat intresse är inte klart. Som konstateras i lagkommentaren innebär redan de grundläggande kraven på all behandling att personuppgifter bara får samlas in för berättigade ändamål.23 Enligt 50 § a är avsikten att Datainspektionen skall meddela när- mare föreskrifter när det gäller de överväganden som skall göras vid intresseavvägningen. Några sådana föreskrifter har inte meddelats. Bestämmelsens betydelse för utredningen I 10 § punkten f) ges uttryck för den s.k. proportionalitets- principen. Denna princip är av stor betydelse vid utformningen av varje bestämmelse där integritetsskyddet skall bestämmas efter en avvägning mellan två motstående intressen. Proportionalitets- principen kommer också till uttryck i den modell för intresse- avvägning som Arbetsdomstolen tillämpat i de fall där det varit fråga om en av arbetsgivaren vidtagen kontrollåtgärder kränkt arbetstagarens integritet.24 Att det i förarbetena till PUL inte getts några hållpunkter för hur bedömningen skall göras innebär s. 65 och 121 samt betänkande s. 130 f. och 361. s. 65 och 121 resp. a.a. s. 130 f. och 362. 23Se lagkommentaren s. 72. 24Se bl.a. AD 2001 nr 3. naturligtvis att det inte mer preciserat går att resonera kring hur principen som den kommer till uttryck i PUL, skulle kunna tillämpas i arbetslivet. Fråga är emellertid om det vore möjligt att närmare ange några kriterier för hur en sådan bedömning bör göras. Återkallelse av samtycke – 12 § Bestämmelsen i 12 § reglerar vad som gäller när den registrerade återkallar ett redan lämnat samtycke till behandling av personuppgifter och i vilka fall den registrerade i övrigt skall ha rätt att motsätta sig sådan behandling. Bestämmelsens första stycke rör frågan om återkallelse av den registrerades samtycke i de fall där behandling av personuppgifter endast är tillåten efter sådant medgivande. En återkallelse av det slaget kan avges muntligen eller skriftligen till den person- uppgiftsansvarige eller någon som på laglig grund företräder denne t.ex. det personuppgiftsbiträde som för den personuppgifts- ansvariges räkning tagit emot samtycket. Sedan den person- uppgiftsansvarige mottagit och registrerat återkallelsen får ytter- ligare uppgifter om den registrerade inte samlas in eller annars behandlas. Behandlingen av redan insamlade uppgifter får trots återkallelsen fortsätta i enlighet med det ursprungligen lämnade samtycket, men uppgifterna får exempelvis inte uppdateras eller kompletteras.25 Enligt lagkommentaren kan de grundläggande kraven på kvalitet avseende behandlade personuppgifter enligt 9 § i detta hänseende komma att innebära att den personuppgiftsansvarige efter ett återkallat samtycke måste utplåna eller avidentifiera uppgifter sedan de blivit inaktuella eller ofullständiga.26 Regleringen i första stycket har ansetts innebära en lämplig avvägning mellan den registrerades och den personuppgifts- ansvariges intressen. Lösningen innebär att den registrerades självbestämmanderätt beträffande vilka uppgifter som får samlas in respekteras som den personuppgiftsansvariges befogade anspråk på att få behandla de uppgifter färdigt som denne kommit över med stöd av ett frivilligt lämnat samtycke kan tillgodoses.27 25 Se 10 § grundläggande krav på tillåten behandling, 15 § behandling av känsliga personuppgifter och 34 § överföring av personuppgifter till tredje land. 26Se lagkommentaren s. 77. 27Se betänkande s. 364. Bestämmelsens betydelse för utredningen Möjlighet att återkalla ett tidigare avgett samtycke kan innebära en begränsning för en arbetsgivare att behandla personuppgifter mot en arbetstagares vilja. Exempelvis ges en arbetssökande som vid en anställningsintervju gått med på att arbetsgivaren skall få samla in viss information som kräver samtycke möjlighet att i efterhand underrätta arbetsgivaren om att samtycket inte längre gäller. Det skydd som beskrivits inskränks av att arbetsgivaren trots en återkallelse av samtycket har rätt att avsluta behandling av personuppgifter som redan samlats in. När det gäller frågan om vilket integritetsskydd som PUL ger i arbetslivet bör även uppmärksammas bestämmelsens andra stycke, där det sägs att arbetsgivaren även utan arbetstagarens samtycke har rätt att behandla vissa personuppgifter. Beträffande sådana situationer kan hänvisas särskilt till 10 §. Förbud mot behandling av känsliga uppgifter Huvudregeln när det gäller känsliga uppgifter är, som framgår av 13 §, att behandling av sådana är förbjuden. I 14–20 §§ återfinns undantag från huvudregeln, där behandling under vissa förutsätt- ningar är tillåten. Känsliga uppgifter i lagens mening är sådana som rör ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt hälsa och sexualliv. Undantag från förbudet mot behandling av känsliga personuppgifter I kommentaren till PUL har undantagen sammanfattats enligt följande:28 N Den registrerades uttryckliga samtycke (15 §) N Den registrerades offentliggörande (15 §) N Behandling av den personuppgiftsansvarige inom arbetsrätten (16 §) N För att skydda vitala intressen (16 §) N För att kunna fastställa, göra gällande eller försvara rättsliga anspråk (16 §) 28 Se lagkommentaren s. 81. N Behandling inom ideella organisationer (17 §) N Behandling för hälso- och sjukvårdsändamål (18 §) N Behandling av personuppgifter som omfattas av hälso- och sjukvårdssekretess (18 §) N Behandling för forsknings- och statistikändamål (19 §) Denna uppräkning är uttömmande och annan behandling av känsliga uppgifter än sådan som tas upp i 15–20 § är inte tillåten. Vidare måste all behandling även vara tillåten enligt 9 och 10 §§ i enlighet med vad som redovisats ovan.29 För utredningens del är bestämmelserna i 17–20 §§ av så begränsat intresse att de i fortsättningen lämnas utanför denna redovisning. Förbudet att behandla känsliga personuppgifter gäller inte om den registrerade har lämnat sitt samtycke till behandlingen. Innebörden av begreppet samtycke har berörts ovan. Enligt dataskydds- direktivet finns en möjlighet för medlemsstaterna att bestämma att förbudet inte kan upphävas genom den registrerades samtycke.30 Denna möjlighet har inte utnyttjats i PUL, vilket innebär att ett samtycke enligt PUL alltid utgör en tillräcklig förutsättning för behandling av personuppgifter.31 Bestämmelsens betydelse för utredningen Vid bedömning av arbetstagares samtycke kan det finnas skäl att särskilt beakta att arbetstagare ibland kan ha en beroende ställning i förhållande till arbetsgivaren som gör att ett lämnat samtycke kanske inte ger uttryck för arbetstagarens verkliga vilja. Det är naturligtvis svårt att generellt uttala sig om förutsättningarna för att ett verkligt samtycke skall föreligga. Frågan får avgöras från fall till fall med tillämpning av vad som anförts ovan vid definitionen av begreppet samtycke. Här kan nämnas att vid remissbehandlingen av betänkande ansåg att lagen borde ge regeringen eller Datainspektionen möjlighet att i särskilda fall förbjuda behandling av känsliga personuppgifter även s. 67 f. och 124 samt betänkande s. 132 f., 295 f. och 369 f. 30Se direktivet artikel 8.2 a). s. 68 f. och 124 f. samt betänkande s. 132, 295 och 370. om det finns samtycke. Departementschefen ansåg emellertid inte att det, när någon har lämnat ett frivilligt samtycke till en viss behandling, kan finnas något integritetsskyddsintresse som gör det befogat att förbjuda den behandling som den registrerade och den personuppgiftsansvarige är överens om.32 Förbudet mot behandling av känsliga personuppgifter gäller inte heller om behandlingen rör uppgifter som den registrerade har offentliggjort på ett tydligt sätt. Det måste således vara fråga om uppgifter som den registrerade själv offentliggjort. Uppgifter om den registrerade som någon annan har avslöjat för offentligheten omfattas inte om inte den registrerade själv offentligt bekräftar uppgiften.33 Bestämmelsens betydelse för utredningen För förhållandena i arbetslivet innebär detta bl.a. att det kan vara tillåtet för en arbetsgivare att behandla en uppgift om medlemskap i fackförening om arbetstagaren såsom styrelseledamot e. d. har en sådan ställning i föreningen han får anses ha offentliggjort uppgiften. Enbart deltagande i möten anordnade av en fackförening kan dock knappast uppfylla kraven på ett tydligt offentliggörande av medlemskapet. Inte heller i sådana fall då en arbetstagare offentliggjort andra känsliga uppgifter, såsom t.ex. politisk åskåd- ning eller sexuell läggning, gäller förbudet enligt 13 § mot behand- ling av personuppgifterna. Som nämnts ovan måste emellertid behandlingen även uppfylla kraven i 9 § och vara tillåten enligt 10 §. Man kan anta att alla dessa förutsättningar är uppfyllda endast i rena undantagsfall när det gäller arbetsgivares behandling av personuppgifter om arbetstagare. I 16 § undantas från förbudet mot behandling av känsliga uppgifter sådana fall där behandlingen är nödvändig av de i paragrafen närmare angivna skälen. När det gäller nödvändighetskravet kan s. 68 f. och 124 f. samt betänkande s. 133, 295 och 370. hänvisas till vad som anförts ovan vid 10 §. Förutom de där angivna allmänna kraven tillkommer här att behandlingen måste vara nödvändig just för de syften som anges under punkterna a)–c) i bestämmelsens första stycke. För utredningens del förefaller punkterna b) och c) ha så begränsat intresse att de här kan bortses från. Enligt 16 § första stycket punkt a) får känsliga personuppgifter behandlas om behandlingen är nödvändig för att den person- uppgiftsansvarige skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter enligt arbetsrätten. konstaterar har arbetsrätten som rättsområde inte någon klar eller en gång för alla given gräns. Enligt bör emellertid inte uttrycket inom arbetsrätten ges en allt för snäv betydelse. I stort sett alla skyldigheter och rättigheter för arbetsgivare beträffande arbetstagare och deras organisationer bör enligt kommittén kunna innefattas.34 Bestämmelsens betydelse för utredningen I många fall följer det av lagstiftning inom arbetsrätten att vissa uppgifter måste behandlas för att lagstadgade skyldigheter skall kunna fullgöras, t.ex. i samband med sjuklön eller rehabilitering av arbetstagare eller fullgörande av förhandlingsskyldighet. Men även skyldigheter och rättigheter inom arbetsrätten som följer av avtal – kollektivavtal och andra avtal – eller myndighetsbeslut i enskilda fall omfattas av bestämmelsen. Har en arbetsgivare t.ex. åtagit sig att göra avdrag på lön för fackföreningsavgift, får enligt bestämmelsen uppgift om medlemskap i fackföreningen behandlas. Enligt 16 § andra stycket får uppgifter som behandlas med stöd av första stycket lämnas ut till tredje man endast om det inom arbetsrätten finns en skyldighet för den personuppgiftsansvarige att göra det eller om den registrerade uttryckligen har samtyckt till utlämnandet. Denna bestämmelse motiveras av att dataskydds- direktivet föreskriver att en behandling enligt ovan förutsätter att det i nationell lagstiftning finns lämpliga skyddsåtgärder. Genom bestämmelsen garanteras att den känsliga frågan om spridning av uppgifterna får särskild uppmärksamhet vid utformning av kollektivavtal och lagstiftning. Enligt innebär bestämmelsen att en arbetsgivare inte utan vidare får lämna ut 34 Se prop. s. 125 samt betänkande s. 132 och 370 f. uppgifter om en tidigare anställds sjukfrånvaro till en annan arbetsgivare.35 Bestämmelsens betydelse för utredningen En bestämmelse som innebär en rättslig skyldighet för arbetsgivaren att lämna ut känsliga uppgifter till tredje man är 11 § MBL, där den s.k. primära förhandlingsskyldigheten för arbets- givare återfinns. Denna innefattar en skyldighet för arbetsgivaren att inför viktigare förändringar av verksamheten förhandla med arbetstagarorganisation i förhållande till vilken han är bunden av kollektivavtal. I den mån förändringen avser t.ex. omplacering av arbetstagare är arbetsgivaren skyldig att lämna uppgifter om arbetstagaren till arbetstagarorganisationen. Detta gäller oavsett om arbetstagaren är medlem i organisationen och även oavsett om arbetstagaren motsätter sig ett utlämnande. Här bör också nämnas att det I jämställdhetslagen stadgas att arbetsgivare, som ett led i kartläggning av löneskillnader mellan kvinnor och män, kan bli skyldiga att till arbetstagarorganisation lämna ut uppgifter om enskilda arbetstagares löner, oavsett om dessa är medlemmar i organisationen. Som en lämplig avvägning gentemot arbetsgivarens och den berörde arbetstagarens intresse av att skydda uppgiften om lön föreslås att facklig företrädare som får del av informationen skall kunna beläggas med tystnadsplikt. Uppgifter om lagöverträdelser – 21 § I bestämmelsens första stycke stadgas som huvudregel ett förbud för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straff- processuella tvångsmedel eller administrativa frihetsberövanden. Annan än myndighet får emellertid behandla personuppgifter av det slaget om det framgår av särskilda författningsbestämmelser att detta är tillåtet eller om det beslutats om undantag i det enskilda fallet. Den registrerades samtycke medger inte undantag från det förbud som utgör huvudregeln. Enligt lagkommentaren omfattas endast överträdelse av förhållningsregler i lag för vilka straff är föreskrivna. Därigenom skulle osanktionerade överträdelser som endast för med sig 35 Se prop. s. 125 samt betänkande s. 370 f. administrativa sanktioner, tex. oriktigt uppgiftslämnande på skatteområdet, inte omfattas av förbudet.36 Av förarbetena framgår inte i vilken utsträckning överträdelse av utländsk lagstiftning omfattas av bestämmelsen. En upplysning om att någon har eller kan ha begått ett visst brott utgör en sådan uppgift om lagöverträdelse som omfattas av 21 §, även om överträdelsen inte varit föremål för prövning genom dom eller liknande förfarande.37 Även uppgifter om domar i brottmål omfattas av bestämmelsen. Enligt lagkommentaren gäller detta även om uppgifterna inte skulle innehålla någon uppgift om en viss lagöverträdelse. För det fall brottmålsdomen innefattar civilrättsliga frågor, t.ex. förordnande i skadeståndsfrågor, omfattas även dessa uppgifter av 21 §.38 Med straffprocessuella tvångsmedel avses exempelvis häktning, kvarstad i brottmål och beslag. Bestämmelsen omfattar slutligen även uppgifter om administra- tiva frihetsberövanden. Härmed avses uppgift om någon varit föremål för tvångsingripande enligt lagen (1990:52) med särskilda bestämmelser om vård av unga, lagen (1988:870) om vård av miss- brukare i vissa fall, lagen (1991:1128) om psykiatrisk tvångsvård, lagen (1991:1129) om rättspsykiatrisk vård, lagen (1967:940) an- gående omsorger om vissa psykiskt utvecklingsstörda och utlänningslagen (1989:529). Om 21 § även omfattar uppgifter om motsvarande frihetsberövanden enligt utländska lagstiftning framgår inte av förarbetena.39 I bestämmelsens andra och tredje stycke ges möjlighet för regeringen eller den myndighet regeringen bestämmer att meddela föreskrifter om undantag från förbudet i första stycket. Bestämmelsens betydelse för utredningen Bestämmelsen innebär ett förbud för statlig arbetsgivare som inte är myndighet och för arbetsgivare på den kommunala och privata sektorn att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Att exempelvis en privat arbetsgivare vid en anställningsintervju ställer frågor om kriminell belastning eller uppställer som krav att den arbetstagare själv skall 36Se lagkommentaren s. 101. s. 75 f. och 129 f. samt betänkande s. 136 och 378 f. 38Se lagkommentaren s. 101. s. 75 f. och 129 f. samt betänkande s. 136 och 378 f. ge in ett belastningsregisterutdrag står således i strid med PUL, för det fall arbetsgivaren inte har särskilt författningsstöd eller myndighetsstillstånd att behandla uppgifterna. Myndigheter som arbetsgivare träffas emellertid inte av förbudet. För det fall de grundläggande kraven för behandling av personuppgifter i övrigt är uppfyllda är det således tillåtet för en myndigheten att behandla sådana personuppgifter. I detta sammanhang bör nämnas att särskilda författnings- bestämmelser återfinns i bl.a. Datainspektionens föreskrifter och lagen (1998:620) om belastningsregister. I lagen om belastnings- register regleras bl.a. vilken information som får lämnas ut till arbetsgivare. Nämnas bör även lagen (2000:873) om register- kontroll av personal inom förskoleverksamhet, skola och barnomsorg där det sägs att arbetsgivaren skall genomföra registerkontroll vid vissa typer av anställningar och att underlaget för kontrollen skall tillhandahållas av den enskilde. Informationsskyldighet och rättelse – 23–28 §§ I 23 och 24 §§ föreskrivs om informationsskyldighet för den personuppgiftsansvarige i samband med att denne samlar in information om den registrerade. För att informationsskyldigheten skall inträda krävs att person- uppgifterna samlats in. Enligt lagkommentaren får detta anses innefatta samtliga tillvägagångssätt på vilka den personuppgifts- ansvarige kan få tillgång till personuppgifter för behandling som omfattas av lagen. Det är således inte möjligt att undgå informationsskyldigheten genom att hävda att personuppgifterna inte samlats in när de skickats in självmant av den registrerade.40 Om uppgifter om en person samlas in från personen själv, skall den personuppgiftsansvarige i samband därmed självmant lämna den registrerade information om behandlingen enligt 23 §. Samlar den personuppgiftsansvarige in uppgifterna från de registrerade utan att då berätta vad uppgifterna skall användas till, kan behandlingen av personuppgifterna inte anses korrekt. Det har inte föreskrivits något undantag från den personuppgiftsansvariges informationsplikt i denna situation. Att informationen skall lämnas i samband med att personuppgifterna samlas in torde enligt 40 Se lagkommentaren s. 124. lagkommentaren innebära att den registrerade får information innan det att uppgiften eller uppgifterna samlas in.41 Enligt 24 § första stycket skall information även lämnas till den registrerade när personuppgifter har samlats in från någon annan källa än den registrerade. Bestämmelsen är tillämplig både när personuppgifter hämtas in från en annan personuppgiftsansvarig, t.ex. genom samkörning, och när den personuppgiftsansvarige hämtar in information på annat sätt. Enligt lagkommentaren är det inte fråga om ett insamlande av personuppgifter när den person- uppgiftsansvarige använder redan insamlade personuppgifter för ett nytt ändamål som inte är oförenligt med det ursprungligen bestämda.42 Den personuppgiftsansvarige skall även enligt 24 § självmant lämna den registrerade information om behandlingen när uppgift- erna registreras. Är uppgifterna avsedda att lämnas ut till tredje man, behöver dock inte informationen lämnas förrän uppgifterna lämnas ut Om uppgifterna används för att vidta åtgärder som rör den registrerade, skall information lämnas senast i samband med förfarandet.43