sou · GQB318d2 · 2003-01-01 00:00:00 — I 23 och 24 §§ PUL föreskrivs om informationsskyldighet för den personuppgiftsansvarige i samband med att denne samlar in information om den registrerade. I 23 § föreskrivs att om uppgifter om en person samlas in från personen själv, skall den personuppgiftsansvarige i samband därmed självmant lämna den registrerade information om behandlingen. Enligt 24 § skall information även lämnas till den registrerade när personuppgifter har samlats in från någon annan källa än denne. Den person- uppgiftsansvarige skall enligt 24 § även självmant lämna den regi- strerade information om behandlingen när uppgifterna registreras. Är uppgifterna avsedda att lämnas ut till tredje man, behöver dock inte informationen lämnas förrän uppgifterna lämnas ut . Från huvudregeln i första stycket finns vissa undantag. Information behöver inte lämnas till den registrerade om det i lag eller annan författning framgår vilken behandling av personuppgift- erna som kan bli aktuell. Den personuppgiftsansvarige behöver inte heller uppfylla informationsplikten om det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. 23 och 24 §§ kompletteras av 25 § som reglerar vilken information som den personuppgiftsansvarige skall lämna till den registrerade. Informationen skall innehålla uppgift om den personuppgiftsansvariges identitet, ändamålen med behandlingen, och all övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Information behöver dock inte lämnas om sådant som den registrerade redan känner till. I en del fall är avsikten att fortlöpande samla in uppgifter om en och samma person. Det bör då vara möjligt att lämna information – innan uppgifterna registreras – under förutsättning att den registrerade får information om bl.a. vilken kategori uppgifter som kommer att hämtas in och behandlas. Genom den information som lämnas innan den första registreringen får den registrerade kännedom om de behandlingar som kommer att utföras fortlöpande och vilka kategorier av uppgifter dessa kommer att avse. Den personuppgiftsansvarige har även enligt 26 § en skyldighet att till var och en som ansöker om det en gång gratis lämna besked i frågan om personuppgifter som rör sökanden har behand- lats. Har sådana uppgifter behandlats skall skriftlig information också lämnas om vilka uppgifter som behandlats, varifrån dessa uppgifter hämtats, vilka ändamålen med behandlingen är och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. I 27 § återfinns en gemensam undantagsregel från den personuppgiftsansvariges informationsskyldighet som innebär att bestämmelser om sekretess och tystnadsplikt har företräde framför PUL. I PUL finns i 28 § en bestämmelse om den personuppgifts- ansvariges skyldighet att korrigera personuppgifter som behandlas. Enligt bestämmelsen är den personuppgiftsansvarige skyldig att på den registrerades begäran rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats enligt lagen eller enligt föreskrifter som utfärdats med stöd av lagen. Dessutom föreskrivs att den personuppgiftsansvarige under vissa förutsättningar skall underrätta tredje man till vilka uppgifterna lämnats ut om åtgärden. Skyldigheten att korrigera uppgifter gäller endast på begäran av den registrerade själv. Här måste dock nämnas att 9 § innefattar en skyldighet för den personuppgiftsansvarige att endast behandla korrekta uppgifter, vilket indirekt betyder att den personuppgifts- ansvarige skall korrigera felaktiga eller ofullständiga uppgifter även om sådana uppmärksammas på annat sätt. Den personuppgifts- ansvarige är enligt 9 § också skyldig att vidta alla rimliga åtgärder för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen. En begäran om rättelse kan framställas formlöst och bör föranleda den personuppgiftsansvarige att skyndsamt utreda om de framförda anmärkningarna är befogade. Om det finns skäl för korrigering skall denna genomföras . Vilken av de alternativa metoderna rättelse, blockering eller utplånande, som skall användas får den personuppgiftsansvarige själv välja. Av omständigheterna kan dock följa att någon av metoderna är mer eller mindre naturlig. Rättelse innebär att en ursprunglig, felaktig eller ofullständig uppgift, ersätts av en ny korrekt. Om det inte är möjligt att ersätta uppgiften med en ny, skall i stället blockering eller utplåning ske. Blockering innebär att en uppgift förenas med information om att de är spärrade och om anledningen till detta. Utplåning innebär att uppgifter förstörs så att de inte kan återskapas. Skyldigheten att underrätta om vidtagna korrigeringsåtgärder innebär att den personuppgiftsansvarige under vissa förutsättningar skall lämna information om åtgärden till tredje män till vilka de korrigerade uppgifterna har lämnats ut. Sådan underrättelse skall ske dels på begäran av den registrerade, dels om mer betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en sådan underrättelse. En begäran från den registrerade kan ske formlöst. Även utan begäran från den registrerade skall den personuppgiftsansvarige alltså lämna sådan information om därigenom mer betydande skada eller olägenhet kan undvikas. Om så är fallet får bedömas i varje enskild situation. Vid bedömningen bör då beaktas bl.a. hur känsliga uppgifterna i fråga är och till vilka tredje män uppgifterna har lämnats ut. Utredningen föreslår: I bör införas två bestämmelser som avser information och rättelse. Förslagen har sin motsvarighet i PUL, men har förenklats något i . Bestämmelsen om information innebär att en arbetsgivare vid behandling av personuppgifter som omfattas av utan dröjsmål skall lämna en arbetstagare eller en arbetssökande information om sådana uppgifter om arbetstagaren eller arbetssökanden som arbetsgivaren behandlar och för vilket ändamål behandlingen sker. Bestämmelsen om rättelse innebär att en arbetsgivare i mot- svarande omfattning som gäller för informationsskyldigheten utan dröjsmål skall rätta eller utplåna sådana personuppgifter som inte har behandlats enligt denna lag eller föreskrifter som har utfärdats med stöd av lagen. om information och rättelse gäller för sådan behandling av arbetstagares personuppgifter som sker automatiserat eller i registerform enligt den lagen. Med de syften och den utformning som har är det ett naturligt inslag i integritetsskyddet att en arbetstagare eller en arbetssökande skall kunna få information om den behandling som förekommer och att ha rätt att få felaktiga eller ofullständiga personuppgifter korrigerade. Som beskrivits ovan finns denna möjlighet i PUL vid behandling av en arbetstagares personuppgifter enligt den lagen. Utanför detta skydd faller emellertid behandling som inte omfattas av PUL, antingen genom att en tillämpning av PUL är utesluten p.g.a. att behandlingen sker helt manuellt eller p.g.a. att innebär en specialreglering. Enligt utredningens uppfattning är det önskvärt att det även vid behandling av arbetstagares eller arbetssökandes personuppgifter enligt finns en rätt till såväl information som rättelse. i dessa avseenden är utformade utifrån de behov som finns vid automatiserad behandling. Enligt utredningens mening skall om information och rättelse gälla även vid sådan behandling enligt som sker automatiserat eller i registerform. För helt behandling däremot är det tillräckligt med mindre långtgående bestämmelser. Förslaget är en förenklad motsvarighet till om informationsskyldighet och rättelse. att arbetsgivaren är skyldig att lämna information om och rätta även sådana helt manuellt behandlade personuppgifter som omfattas av lagen. Med hänsyn till att det anges i bestämmelserna att åtgärderna skall ske utan dröjsmål framgår att information skall lämnas så fort den dokumenterade behandlingen påbörjas eller en felaktighet upptäcks. Ytterligare preciseringar när det gäller omfattningen av arbetsgivarens skyldigheter är inte behövliga. Viss ledning kan vid tillämpningen sökas i PUL:s motsvarande bestämmelser. De föreslagna bestämmelserna i innebär att frågan om informations- och korrigeringsskyldigheten specialregleras i förhållande till PUL. I enlighet med principen om lex-specialis skall då bestämmelserna gälla före PUL:s motsvarande bestämmelser. Avsikten är emellertid inte att inskränka en arbetsgivares skyldigheter enligt PUL i de fall arbetsgivaren som personuppgiftsansvarig behandlar personuppgifter automatiserat eller i registerform. Därför anges särskilt att PUL fortfarande gäller om behandlingen sker automatiserat eller i registerform. För att stärka integritetsskyddet bör möjligheterna för den som behandlar eller har behandlat uppgifter enligt att sprida dessa uppgifter begränsas. Detta stärker integritetsskyddet för arbetstagaren genom att uppgifterna inte sprids i större omfattning än nödvändigt på arbetsplatsen och att uppgifterna inte sprids till någon framtida arbetsgivare. I detta sammanhang är det av vikt att skilja mellan behovet av en rättslig reglering för allmän verksamhet och för privat verksamhet. Detta beror på att det finns bestämmelser i sekretesslagen som som de till viss del garanterar den enskilde ett integritetsskydd vid behandling av de uppgifter som regleras i , även uppfyller de krav på offentlighet som gäller för allmän verksamhet. I 30 § finns en bestämmelse som innebär att ett person- uppgiftsbiträde och den eller de som arbetar under biträdets eller den personuppgiftsansvariges ledning bara får behandla person- uppgifter i enlighet med instruktioner från den personuppgifts- ansvarige. Om en arbetsgivare instruerar en arbetstagare som för arbetsgivarens räkning behandlar personuppgifter om t.ex. andra arbetstagares hälsa att inte lämna ut dem, kan bestämmelsen sägas innebära en slags tystnadsplikt. Också andra bestämmelser i begränsar möjligheterna för en arbetsgivare och för den som för arbetsgivarens räkning arbetar med personuppgifter att lämna dem vidare. Av de grundläggande bestämmelserna i 9 § framgår att personuppgifter bara får lämnas ut om utlämnandet inte är oförenligt med de ändamål för vilka personuppgifterna samlades in. Personuppgifter om arbetstagarens hälsa får, i enlighet med bestämmelserna om behandling av känsliga personuppgifter, i vissa fall lämnas ut bara om det föreligger en arbetsrättslig skyldighet eller om den enskilde samtyckt. Skulle någon som arbetar för arbetsgivaren lämna ut person- uppgifter i strid med vad som gäller är det arbetsgivaren som bär det rättsliga ansvaret enligt PUL gentemot arbetstagaren. I vilken utsträckning arbetsgivaren i sin tur kan vidta någon åtgärd mot den som lämnat ut uppgiften i strid med givna instruktioner kan framgå av de bestämmelser som reglerar förhållandet dem emellan. Om arbetstagaren genomgår en undersökning eller ett test kan arbetsgivaren till följd av bestämmelser om sekretess vara för- hindrad att ta del av och därigenom att behandla de person- uppgifter som kommer fram vid undersökningen eller testet. Beroende på om arbetstagaren varit i kontakt med allmän eller enskild sjukvård följer sekretessen av olika bestämmelser. Enligt 7 kap. 1 § sekretesslagen gäller sekretess inom allmän hälso- och sjukvård för uppgifter om enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgifterna kan röjas utan att den enskilde eller någon närstående lider men. Sekretess till skydd för den enskilde gäller enligt 14 kap. 4 § inte i förhållande till den enskilde själv. Den kan också helt eller delvis efterges av honom eller henne. Vid en genomgång av regerings- rättens praxis framgår att det bara är i undantagsfall som domstolen frånkänt den enskildes samtycke rättsverkan vid en tillämpning av 14 kap. 4 §.1 Det är alltså i och för sig möjligt att sekretessen hävs i en situation där den enskilde är föremål för någon påverkan. Det samtycke som den enskilde lämnar för att efterge sekretessen behöver inte heller vara uttryckligt. Också ett tyst samtycke som grundas på den enskildes uppträdande kan vara tillräckligt för att förutsättningarna skall vara uppfyllda. Den enskildes rätt att efterge sekretessen gäller bara om inte annat följer av annan bestämmelse i sekretesslagen. Så kan vara fallet enligt 7 kap. 3 § i fråga om uppgifter om den enskildes RÅ 1991 not 167. hälsotillstånd om det med hänsyn till ändamålet med den vård eller behandling som den enskilde undergår är av synnerlig vikt att uppgifterna inte lämnas ut till honom eller henne. För hälso- och sjukvårdspersonal inom den enskilda hälso- och sjukvården gäller enligt 2 kap. 8 § lagen (1998:531) om yrkes- verksamhet på hälso- och sjukvårdens område tystnadsplikt för vad som framkommit i verksamheten om en enskilds hälsotillstånd eller andra personliga förhållanden. Tystnadsplikten gäller liksom i den allmänna sjukvården inte i förhållande till den enskilde själv, om det inte med hänsyn till ändamålet med hälso- och sjukvården är av synnerlig vikt att uppgifterna inte lämnas till patienten. Sekretess gäller enligt 7 kap. 11 § första stycket för bl.a. upp- gifter som hänför sig till psykologisk undersökning. Bestämmelsen omfattar inte de uppgifter som kan komma fram vid ett personlighetstest eller resultatet av ett sådant test. I förarbetena till sekretesslagen uttalas att användningen av sådana undersökningar i samband med anställning i offentlig civil tjänst bara förekommer i ytterst begränsad omfattning. I de fall där psykologiska test används i sådana sammanhang är det dessutom i regel inte myndigheten som har hand om testet. Detta genomförs i stället av utomstående organ. Till följd härav har det inte bedömts finnas behov av att låta sekretessen på det personaladministrativa området omfatta också psykologiska undersökningar.2 I 7 kap. 11 § tredje stycket sekretesslagen finns även bestämmelser som föreskriver om sekretess inom vissa delar av en myndighets personaladministrativa verksamhet. Enligt bestämmel- sen gäller sekretess för bl.a. uppgifter om en enskilds hälsotillstånd, om det kan antas att den enskilde eller någon honom eller henne närstående lider men om uppgifterna röjs. Personuppgifter som en myndighet hämtar in i samband med en arbetstagares sjukledighet eller om arbetstagarens hälsotillstånd i andra sammanhang kan hemlighållas med stöd av denna bestämmelse. Att märka är att sekretessen inte gäller i ett ärende om anställning. Uppgifter om hälsa som en arbetssökande lämnar eller som annars framkommer i ett anställningsärende är därför oftast offentliga. Bestämmelsen i 7 kap. 11 § utgör enligt 14 kap. 7 § inte hinder mot att en myndighet fullgör vad som i lag är föreskrivet om skyldighet att lämna information till företrädare för en arbetstagarorganisation eller till skyddsombud. 2 Se prop. 1979/80:2 del A, s. 203. Enligt 4 kap. 7 § arbetsmiljölagen kan regeringen eller, efter särskilt bemyndigande , föreskriva att det skall föras register vid hälsoundersökningar som föreskrivits med stöd av 4 kap. 5 eller 6 §§. I registret vid vissa typer av arbetsuppgifter antecknas namnet på den som undersökts och undersöknings- resultatet. I 3 § arbetsmiljöförordningen föreskrivs att register som avses i 4 kap. 7 § arbetsmiljölagen skall förvaras av arbetsgivaren . Det finns inte någon författningsreglerad tystnadsplikt för sådana uppgifter som skall föras in i register och som kan avse om arbetstagaren är tjänstbar eller exempelvis om arbetstagaren har bly i blodet. Utredningen föreslår: Det bör införas en bestämmelse i som innebär att den som hos en arbetsgivare med privat verksamhet behandlar eller har behandlat personuppgifter som avses i 3–5, 8 och 9 §§ inte obehörigen får röja eller utnyttja vad som därvid kommit fram. För den som hos en arbetsgivare med allmän verksamhet be- handlar eller har behandlat sådana personuppgifter gäller be- stämmelserna i sekretesslagen. Som påpekats inledningsvis är en viktig del av ett fungerande integritetsskydd att de uppgifter som arbetsgivaren behandlar inte sprids i större omfattning än vad som är nödvändigt. Detta är särskilt viktigt i de fall där en arbetsgivare enligt lag är tillåten att hämta in vissa särskilt känsliga uppgifter. Arbetstagaren bör därför vara säker på att den eller de personer som behandlar uppgifterna hos arbetsgivaren inte obehörigen får röja eller utnyttja vad som kommit fram. I bestämmelsen föreskrivs tystnadsplikt för privata arbetsgivares verksamhet beträffande samtliga de personuppgifter som omfattas av . Vad däremot gäller det allmännas verksamhet finns det bara i vissa fall förutsättningar att tillskapa ett ytterligare integritetsskydd genom att förhindra spridning av arbetstagares personuppgifter. För personuppgifter om enskildas hälsotillstånd inom myndig- heters personaladministrativa verksamhet gäller sekretess enligt 7 kap. 11 § tredje stycket sekretesslagen. Uppgifter som en myndighet hämtar in i samband med arbetstagarens sjukledighet kan alltså hemlighållas med stöd av denna bestämmelse. För att tillgodose kravet på offentlighet och insyn omfattar bestämmelsen inte arbetstagarens hälsouppgifter i ärende om anställning eller disciplinansvar. Visserligen är en av utredningens utgångspunkter att samma skyddsregler skall gälla för den offentliga och privata sektorn. I fråga om tystnadsplikt för arbetsgivarens anställda som behandlar hälsouppgifter är det emellertid inte lämpligt med en bestämmelse som undantagslöst föreskriver att de anställda inte får röja hälsouppgifterna, eftersom det inom den offentliga sektorn är nödvändigt att i vissa fall behålla rätten till insyn och offentlighet. Så är exempelvis fallet i ärende om anställning. 1999/2000:123 Lämplighetsprövning av personal inom förskole- verksamhet, skola och barnomsorg anmärks särskilt att det är en viktig princip att behålla offentligheten i sådana ärenden.3 Lagrådet har i sitt yttrande över detta lagstiftningsärende uttryckligen påpekat att frågan om undantag från denna princip bör prövas noga. Utredningen delar uppfattningen att det krävs en noggrann prövning av om förekomsten av hälsouppgifter i ett anställnings- ärende inom offentlig verksamhet motiverar ett utökat sek- retesskydd i förhållande till 7 kap. 11 § tredje stycket sekretess- lagen. Som tidigare konstaterats vid ett flertal tillfällen är arbetstagarens hälsouppgifter av känslig karaktär. Detta förhållande motiverar emellertid inte ensamt att det i införs en be- stämmelse som innebär ett avsteg från offentlighetsprincipen och begränsar möjligheterna till insyn i denna typ av ärenden. För att så långt som möjligt uppnå ett fullgott integritetsskydd för arbets- tagarens personuppgifter och iaktta intresset av offentlig- het inom det allmännas verksamhet föreslår utredningen därför att bestämmelsen i 7 kap. 11 § tredje stycket även fortsättningsvis skall gälla för det allmännas verksamhet och att det i införs en tystnadsplikt inom den verksamhet som bedrivs privat. I detta sammanhang bör erinras om bestämmelsen i 14 kap. 7 § sekretesslagen som innebär att 7 kap. 11 § samma lag inte utgör 3 Se prop. 1979/80:2 del A s. 200 ff. och prop. 1986/87:3 s. 8. hinder mot att en myndighet fullgör vad som i lag är föreskrivet om skyldighet att lämna information till företrädare för en arbetstagarorganisation eller till skyddsombud. För att inte inskränka privata arbetsgivares förhandlingsskyldighet bör mot- svarande ordning gälla inom den privata sektorn. Detta kommer till uttryck genom att förslaget bara tar sikte på obehörigt röjande av uppgifter. Personuppgifter om lagöverträdelser har inte samma sekretesskydd i myndighets personaladministrativa verksamhet som personuppgifter om hälsa eller droganvändning. De person- uppgifter som registreras i belastningsregistret omfattas av särskilda sekretessbestämmelser som tar sikte på registret. Vad där- emot gäller uppgifter om lagöverträdelser som framgår av belastningsregisterutdrag som getts in till exempelvis domstolar eller antecknats i domar och beslut är huvudregeln att offentlighet skall eftersträvas. För att utredningen skulle kunna föreslå en bestämmelse som garanterar ett integritetsskydd i denna fråga för den offentliga sektorn krävs alltså att det tillskapas en särskild bestämmelse. Vid en sådan lösning uppkommer emellertid frågan om det är möjligt att tillskapa ett fungerande integritetsskydd genom att införa en bestämmelse som är konstruerad på ett liknande sätt som övriga bestämmelser i sekretesslagen. I ett tidigare lagstiftningsärende har det framhållits att en sådan integritetsskyddande bestämmelse för uppgifter antecknade i belastningsregistret eventuellt kan komma att få motsatt effekt.4 Lagrådet påpekade i sitt yttrande att om en arbetstagare ger in ett registerutdrag som inte innehåller någon anteckning torde detta kunna lämnas ut oavsett om en bestämmelse är konstruerad med ett rakt eller ett omvänt skaderekvisit. Härigenom kommer ett nekande till att få ta del av en uppgift om lagöverträdelse i form av ett belastningsregisterutdrag innebära att det indirekt framgår att det finns en anteckning i arbetstagarens register. Lagrådet ansåg att det finns en klar risk för att det i dessa fall uppstår spekulationer kring vad som finns antecknat och att dessa kan leda till att arbetstagaren kränks.5 Därtill kommer som nämnts ovan att huvudregeln under anställningsförfaranden är att det skall råda offentlighet. Detta sett tillsammans med svårigheten att undvika att en sekretessbestämmelse skapar en integritetsproblematik snarare än stärker skyddet innebär att utredningen avstår från att föreslå en 1999/2000:123 s. 29. 1999/2000:123 s. 114. bestämmelse om sekretess för personuppgifter om lagöverträdelser inom personaladministrativ verksamhet i sekretesslagen. Sekretess gäller enligt 7 kap. 11 § första stycket för bl.a. uppgifter som hänför sig till psykologisk undersökning. Som redovisats ovan uttalades det i förarbetena till sekretesslagen att användningen av sådana undersökningar i samband med anställning i offentlig civil tjänst bara förekom i ytterst begränsad omfattning. I de fall där psykologiska test användes i sådana sammanhang var det dessutom i regel inte myndigheten som hade hand om testet utan detta utfördes av utomstående organ.6 Om en personlighetstest utförs i enlighet med vad som föreslås i torde det i större omfattning än vad som är fallet vara så att testet utförs av utomstående personal och att arbetsgivaren bara får en kortare muntlig eller skriftlig redovisning av testet. Huvuddelen av de uppgifter som arbetssökanden lämnat kommer alltså att sorteras bort. Trots detta är det enligt utredningens mening viktigt att de uppgifter som separat eller sammanställda som ett resultat presenteras för arbetsgivaren inte sprids i vidare omfattning än vad som är nödvändigt, varför det föreligger behov av att tillskapa en tystnadsplikt för sådana uppgifter. Med hänsyn till vad som sagts ovan om kravet på offentlighet i anställningsärenden inom allmän verksamhet torde det inte föreligga förutsättningar för att föra in en särskild bestämmelse om tystnadsplikt i sekretesslagen för de uppgifter som arbetsgivaren får del av i anledning av ett utfört personlighetstest. Däremot bör det enligt utredningens uppfattning införas en bestämmelse som gäller för den privata sektorn. Bestämmelsen i innebär att den som behandlar eller har behandlat sådana personuppgifter som avses i 3 och 4 §§, dvs. e- post och andra privata elektroniska uppgifter samt personuppgifter i s.k. loggar inte obehörigen får röja eller utnyttja vad som kommit fram. I denna del innebär bestämmelsen bl.a. en tystnadsplikt för systemadministratörer. För att stärka integriteten vid arbetstagares användning av IT-verktyg är det av vikt att spridningen av de uppgifter som avses i 3 och 4 §§ begränsas.