sou · GQB318d1 · 2003-01-01 00:00:00 — Genom beslut bemyndigade regeringen statsrådet att tillkalla en särskild utredare med uppgift att se över behovet av lagstiftning eller andra åtgärder för att stärka skyddet av den enskildes personliga integritet i arbetslivet. förordnades f.d. kammarrättspresidenten att vara särskild utredare. Till sakkunniga förordnades fr.o.m. kanslirådet Bo Barrefelt, datarådet , f.d. generaldirek- tören , hovrättsassessorn (t.o.m. ), professorn (t.o.m. ), ge- neraldirektören och chefsjuristen , fr.o.m. hovrättsassessorn och överläkaren samt fr.o.m. den 27 septem- ber 2000 numera professorn . Till expert förordnades fr.o.m. IT-specialisten . Som sekreterare förordnades fr.o.m. hovrätts- assessorn och fr.o.m. hovrätts- assessorn . En referensgrupp med företrädare för arbetsmarknadens parter har knutits till utredningen. Utredningen har antagit namnet . Utredningen överlämnar härmed betänkandet (SOU 2002:18) Personlig integritet i arbetslivet. Uppdraget är därmed slutfört. I arbetet har samtliga sakkunniga och experten deltagit. har dessutom i betydande utsträckning bistått utredningen med såväl tänkbara förslag som faktagranskning av materialet. Till betänkandet fogas ett särskilt yttrande. Förslag till Lag om skydd för personlig integritet i arbetslivet ...... Utredningsuppdraget och dess genomförande................ Integriteten i ett förändrat arbetsliv........................................ 2.2Behovet av en särskild integritetsskyddande lag i 2.2.2Nuvarande rättsliga skydd för den personliga Finns det behov av en integritetsskyddande lag i arbetslivet?........................................................ Överväganden och förslag ....................................................... Förhållandet till dataskyddsdirektivet .................................... Överväganden och förslag....................................................... Förhållandet till andra författningar....................................... Förhållandet till PUL ........................................... Relevans-, finalitets- och Förhållandet till tryck- och yttrandefriheten samt till offentlighetsprincipen............................ Förhållandet till andra författningar m.m........... Vissa begrepp som används i ........................................... Personuppgift/dokumenterad personuppgift..... Arbetsgivare, arbetstagare och arbetssökande.... 4.4Ett förstärkt integritetsskydd för Ett förbud mot muntliga frågor?......................... Offentliganställda och privatanställda.................................... Arbetstagarnas användning av informationsteknik........... Privata elektroniska uppgifter och loggning.......................... 5.3.1Från stordatorer till integrerade informations- och kommunikationssystem........ Några viktigare begrepp och funktioner............. Särskilt om loggning.............................................. 5.4 Arbetstagares privata elektroniska uppgifter.......................... 5.4.1.1Förutsättningar för en arbetstagares rätt att använda arbetsgivarens IT-verktyg för 5.4.1.2Förutsättningar för arbetsgivarens rätt att kontrollera en arbetstagares privata Särskilda förutsättningar i offentlig 5.4.1.4Utredningens definition av privata Föremålet för integritetsskyddet ....................... Den rättsliga regleringen..................................... Regeringsformen 2 kap. 6 § ................................ Inskränkningar i enskildas skydd enligt RF ...... 5.4.2.9Meddelar- och anskaffarfrihet enligt Sammanfattning av det rättsliga skyddet........... Behovet av ytterligare reglering.......................... Överväganden och förslag .................................. 5.4.4.1Förbud för arbetsgivare att ta del av arbetstagares privata elektroniska uppgifter...... Endast avsiktliga intrång omfattas ..................... Rutiner för att undvika oavsiktliga intrång........ Undantag om det är nödvändigt för Vid fara för informationssäkerheten ................. Vid skälig misstanke om brott ........................... Vid skälig misstanke om illojalitet ..................... Förhållandet till andra författningar .................. Förhållandet till dataskyddsdirektivet ............... Den rättsliga regleringen .................................... Behovet av ytterligare rättslig reglering Arbetstagares intresse av integritetsskydd Arbetsgivarens intresse av att logga Personuppgifter .............om hälsa och droganvändning Vad avses med personuppgifter om hälsa och personuppgifter om droganvändning? Hälsoundersökningar av medicinska skäl och Betänkandet om Medicinska undersökningar 6.3 Den rättsliga regleringen........................................................ 6.3.1Regler för arbetsgivarens behandling av personuppgifter om hälsa eller 6.3.2Arbetstagarens skyldighet att genomgå hälsoundersökningar och drogkontroll ............. Lagen om fullmaktsanställning........................... 6.3.2.7Lagstiftning inom vissa yrkesområden med 6.3.5Europarådets rekommendation om skydd för personuppgifter som används för 6.4Behovet av ett utökat rättsligt integritetsskydd i 6.4.1Avvägningen mellan arbetsgivarens och 6.4.1.1Arbetstagarens rätt till integritet vid behandling av personuppgifter om hälsa eller 6.4.1.2Arbetsgivarens intressen av att kontrollera 6.4.1.3Balansen mellan arbetstagarens och 6.5 Överväganden och förslag ..................................................... 6.5.2Behandling av personuppgifter om hälsa eller 6.5.2.2Bedömning av om arbetstagaren eller arbetssökanden är lämpad för att utföra 6.5.3Förhållandet till PUL och Hälsoundersökningar och drogtester................ 6.5.4.2Arbetstagarens skyldighet att underkasta sig hälsoundersökningar och drogtester................. Genomförandet av hälsoundersökningar.......... Genomförandet av drogtester .............................. Överväganden och förslag..................................................... Personuppgifter om lagöverträdelser ........................... Den rättsliga regleringen....................................................... 8.1.6Lagen om registerkontroll av personal inom förskoleverksamhet, skola och barnomsorg ..... 8.2 Överväganden och förslag..................................................... 8.2.1Intresseavvägningen mellan arbetsgivare och 8.3 Förhållandet till PUL och dataskyddsdirektivet ................. Sättet för inhämtande av uppgifter ............................. Överväganden och förslag ..................................................... Förvaring av personuppgifter...................................... Överväganden och förslag ..................................................... Informationsskyldighet och rättelse ............................ Överväganden och förslag ..................................................... Den rättsliga regleringen........................................................ Överväganden och förslag ..................................................... Det fackliga inflytandet ............................................. 13.1.2En tvingande lag som inte kan frångås genom Rättegången i tvister............................................ Överväganden och förslag..................................................... Den rättsliga regleringen.................................... Överväganden och förslag.................................. Förhållandet till andra bestämmelser ................ Den rättsliga regleringen.................................... Behovet av ytterligare reglering......................... Överväganden och förslag.................................. Förhållandet till PUL ......................................... Konsekvenser av förslagen ......................................... Förslag till lag om skydd för personlig integritet i arbetslivet..... Viss utländsk rätt ............................................... De senaste årens snabba utveckling på såväl informationsteknikens som medicinens område har medfört dramatiskt ökade möjligheter för arbetsgivare att på olika sätt kontrollera arbetstagare. Riskerna för intrång i arbetstagarnas personliga integritet har därmed blivit avsevärt större. Detta har också föranlett de fackliga organisationerna att efterlysa ett förstärkt skydd för den personliga integriteten för arbetstagare och arbetssökande. Vid genomgången av gällande rätt har konstaterats att det inte finns någon samlad reglering till skydd för den personliga integriteten i arbetslivet. Inte heller finns det någon lagstiftning i detta avseende som har utformats med hänsyn till den tekniska och medicinska utvecklingen. Utredningen har i enlighet med sina direktiv inriktat arbetet framför allt på frågor kring risker för kränkningar av arbetstagarnas personliga integritet i samband med dels användningen av informationsteknik i arbetslivet, dels arbetsgivarens kontroller av arbetstagarnas hälsa eller droganvändning. Dessutom har utredningen tagit upp andra situationer där arbetstagarnas personliga integritet kan anses allvarligt hotad. Behovet av skydd för arbetssökande har särskilt uppmärksammats och i utredningens arbete har såväl arbetssökande som tidigare arbetstagare i förekommande fall jämställts med arbetstagare. Enligt vad utredningen funnit saknas det ett godtagbart, rättsligt bindande skydd för arbetstagares personliga integritet. Såväl internationellt som nationellt råder det dock bred enighet om att respekten för enskildas privatliv och skyddet för den personliga integriteten är en mänsklig rättighet som staten har en skyldighet att garantera. En sådan garanti kan bara ställas ut genom lagstiftning. Utredningen föreslår därför en lag om skydd för personlig integritet i arbetslivet (). Förslaget till lag om skydd för personlig integritet i arbetslivet Utredningen skall enligt direktiven se över behovet av lagstiftning eller andra åtgärder för att stärka skyddet av den enskildes personliga integritet i arbetslivet. De situationer som ingår i översynen utgörs av kontroller och andra åtgärder, varigenom arbetsgivaren avser att skaffa sig information i olika avseenden om arbetstagare eller arbetssökande. Risker för intrång i den personliga integriteten uppkommer då i samband med att uppgifter om enskilda samlas in eller behandlas på annat sätt. Utredningen har därför inriktat sitt arbete på att försöka begränsa arbetsgivarens rätt att behandla personuppgifter i de situationer där den personliga integriteten kan anses allvarligt hotad. Personuppgiftslagen (PUL), som gäller all behandling som sker automatiserat eller i registerform, är den lag som ger det bästa integritetsskyddet vid behandling av personuppgifter. Utredningen har funnit att det är naturligt och i praktiken även ofrånkomligt att tar sin utgångspunkt i PUL. Genom PUL har det s.k. dataskyddsdirektivet1 införts i svensk lagstiftning. Att nu tar sin utgångspunkt i PUL medför därför bl.a. att de grundläggande principer om relevans och finalitet, som varit styrande för utformningen av dataskyddsdirektivet och PUL, kommer att gälla även för . Dessa principer, som alltså genomsyrar hela lagförslaget, innebär i korthet –att de personuppgifter som samlas in måste vara adekvata och relevanta i förhållande till ändamålen med behandlingen, –att ändamålen måste vara särskilda, uttryckligt angivna och berättigade, och –att personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlats in. I förhållande till PUL är en speciallag, vilket innebär att bestämmelserna i i förekommande fall tar över vad som föreskrivs i PUL. begränsas dock inte till att utveckla och precisera de regler av särskilt intresse för arbetslivet som finns i PUL utan lagförslaget har ett något bredare anslag. Vid arbetsgivarens behandling av arbetstagares personuppgifter finns det risker för integritetskränkningar även om behandlingen 1 och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandlingen av personuppgifter och om det fria flödet av sådana uppgifter. sker helt manuellt. Utredningen föreslår därför att skall tillämpas även vid helt behandling av personuppgifter. Det innebär att behandling av alla dokumenterade personuppgifter, alltså även skriftliga anteckningar på lösa papperslappar, omfattas. omfattar även sättet för genomförande av olika åtgärder som kan innebära kränkningar av den personliga integriteten. Det föreslås t.ex. att personuppgifter i första hand skall inhämtas från arbetstagaren själv. Bara om detta inte är möjligt får arbetsgivaren efter samtycke från arbetstagaren inhämta uppgifter från någon annan källa. Vidare anges hur hälsoundersökningar, drogtester och personlighetstester skall genomföras för att så långt som möjligt skydda arbetstagarnas personliga integritet. föreslås gälla för både den offentliga och den privata sektorn av arbetsmarknaden och lagförslaget syftar till att stärka inte bara arbetstagarnas integritetsskydd utan även skyddet för arbetssökande och tidigare arbetstagare.2 Omfattningen av det skydd som erbjuder för den personliga integriteten i arbetslivet framgår genom kombinationen av de olika bestämmelser som utredningen föreslår. Användningen av informationsteknik i arbetslivet Den ökade användningen av informationsteknik i arbetslivet har medfört större risker än tidigare för intrång i arbetstagarnas personliga integritet och riskerna har även fått en något annan karaktär . Den tekniska utrustningen ger arbetsgivaren stora möjligheter till kontroller och dessa kan även lätt utföras utan att den arbetstagare som blir kontrollerad vet om det. Användningen av informationsteknik orsakar risker för arbetstagarnas personliga integritet framför allt i två typsituationer. Den ena, som också fått stor uppmärksamhet bl.a. i massmedia, rör frågan om vilken rätt en arbetsgivare har att ta del av privat e-post eller andra privata uppgifter som finns elektroniskt tillgängliga. Den andra situationen rör arbetsgivarens användning av loggningsfunktioner som automatiserat samlar in uppgifter om arbetstagarnas beteenden och aktiviteter. 2 Med arbetstagare avses i det följande i förekommande fall även arbetssökande och tidigare arbetstagare. Privat e-post och andra elektroniska uppgifter Utredningen konstaterar inledningsvis att arbetsgivaren har rätt att bestämma över användningen av sin tekniska utrustning. Det är alltså arbetsgivaren som avgör om och i vilken utsträckning som en arbetstagare får använda utrustningen för privat bruk. Riktlinjer och policies för privat användning av e-post och Internet finns numera på de flesta större företag och myndigheter och torde i regel medge de anställda att i begränsad omfattning använda arbetsgivarens dator för privat bruk. På arbetsmarknaden i övrigt förefaller dock frågan om privat användning av e-post och Internet i stor utsträckning ha lämnats oreglerad. En arbetstagares privata användning av arbetsgivarens dator medför att privata elektroniska uppgifter kan komma att lagras hos arbetsgivaren. Uppgifterna finns som regel i form av skickade och mottagna e-postmeddelanden men också i form av andra typer av filer, t.ex. text- eller bildfiler. Utredningens genomgång av gällande rätt visar att arbetsgivaren har stora möjligheter att göra kontroller som innebär att arbetsgivaren tar del av sådana uppgifter. Enligt vedertagen praxis i arbetslivet får kontrollerna dock inte strida mot lag, god sed eller annars vara otillbörliga. Eftersom en åtgärd som innebär att arbetsgivaren tar del av privata elektroniska uppgifter utgör en behandling av personuppgifter enligt PUL måste även den lagens bestämmelser följas. innehåller en bestämmelse som avser att precisera och begränsa arbetsgivarens rätt att ta del av sådana privata elektroniska uppgifter. Att tillförsäkra arbetstagarna ett absolut integritetsskydd för privat e-post eller andra privata elektroniska uppgifter genom en generell lagstiftning för hela arbetslivet har däremot visat sig ogörligt. En sådan reglering skulle medföra alltför stora negativa och svåröverskådliga konsekvenser för arbetsgivarna och därmed för hela samhället. I föreslås som en utgångspunkt ett förbud för arbetsgivaren att ta del av en arbetstagares privata e-post eller andra privata elektroniska uppgifter. För att arbetsgivaren skall kunna använda sina IT-verktyg på ett rationellt sätt gäller förbudet bara avsiktliga intrång, dvs. arbetsgivaren måste vara medveten om att uppgifterna är arbetstagarens privata. En arbetstagare skall också kunna samtycka till att arbetsgivaren tar del av sådana uppgifter. Vidare föreslås undantag från förbudet när det är nödvändigt för arbetsgivarens verksamhet att arbetsgivaren tar del av privata elektroniska uppgifter. Vilka dessa situationer är har inte uttryckligen angetts, däremot har de exemplifierats på ett sätt som förutsätter en restriktiv tillämpning av möjligheten till undantag från förbudet. Som exempel anges att det särskilt skall beaktas om det finns fara för informationssäkerheten eller om det finns skälig misstanke att arbetstagaren har gjort sig skyldig till brott vid användningen av arbetsgivarens utrustning eller till sådant illojalt beteende som kan utgöra saklig grund för uppsägning eller föranleda skadeståndsskyldighet. Den föreslagna bestämmelsen gäller oavsett om arbetstagaren har haft arbetsgivarens tillstånd att använda arbetsgivarens dator för privat e-post eller andra privata elektroniska uppgifter. Vid praktiskt taget all användning av informationsteknik sker loggning av de aktiviteter som förekommer vid användningen. De s.k. elektroniska spår som samlas in på detta sätt kan ofta knytas till en enskild individ och innehåller då information om den enskildes åtgärder och beteenden i olika avseenden. Uppgifterna kan gälla relativt harmlösa förhållanden, t.ex. den tidpunkt när en arbetstagare loggade in sin PC mot nätverket. Med mer avancerad teknik kan dock arbetsgivaren registrera en arbetstagares samtliga åtgärder vid användning av vissa IT-verktyg, vilket förekommer bl.a. vid prestationsmätning i teletjänstverksamhet. Vidare kan med användning av s.k. GPS-teknik registreras en arbetstagares fysiska vistelseort, vilket förekommer t.ex. i transportbranschen. En arbetsgivare har således relativt omfattande möjligheter att använda loggning för att kontrollera arbetstagare. Möjligheterna begränsas dock genom att kontrollerna inte får strida mot lag, god sed eller annars vara otillbörliga. Sådan loggning som innebär att insamlade uppgifter kan knytas till vissa enskilda arbetstagare utgör behandling av personuppgifter enligt PUL. Vid bedömningen av det integritetsskydd som PUL erbjuder har utredningen funnit att den lagen får anses ge ett tillfredsställande skydd för arbetstagares personliga integritet vid loggning. Den omständigheten, tillsammans med det förhållandet att loggning som företeelse knappast går att reglera i en generell bestämmelse, har medfört att utredningen avstår från att föreslå någon bestämmelse som materiellt reglerar loggning. finns det anledning att lyfta fram och tydliggöra det integritetsskydd som PUL innebär. Utredningen föreslår därför att det i tas in en hänvisning till . Personuppgifter om hälsa eller droganvändning Personuppgifter om hälsa eller droganvändning är känsliga uppgifter och det krävs därför att sådana uppgifter behandlas med stor restriktivitet. Av utredningens genomgång av gällande rätt framgår att det inte finns något heltäckande godtagbart integritetsskydd för arbetstagare i detta avseende. Med hänsyn till uppgifternas känsliga natur föreslår utredningen som huvudregel ett förbud för arbetsgivaren att behandla personuppgifter om arbetstagares hälsa eller droganvändning. Regeln ger inte något utrymme för samtycke av arbetstagaren. Undantag föreslås dock om det är nödvändigt att arbetsgivaren får behandla personuppgifter om en arbetstagares hälsa eller droganvändning för att bedöma om arbetstagaren är lämpad för att utföra arbetsuppgifter i arbetsgivarens verksamhet. Undantaget är avsett att tillämpas när det är nödvändigt för säkerheten för arbetstagaren själv, andra anställda, verksamheten eller allmänheten. Men även i andra fall när det bedöms nödvändigt för att bedöma om arbetstagaren är lämpad för att utföra arbetsuppgifter, t.ex. vid alkohol- eller droganvändning som inverkar påtagligt negativt på arbetstagarens arbetsförmåga eller på arbetsmiljön för övriga anställda. Arbetsgivaren får också behandla personuppgifter om en arbetstagares hälsotillstånd för att kunna bedöma om arbetstagaren har de fysiska förutsättningar, exempelvis beträffande syn eller hörsel, som krävs för arbetsuppgifterna. Vidare får undantag från förbudet även göras för att arbetsgivaren skall kunna bedöma en arbetstagares rätt till sådana förmåner som inte följer av lag, under förutsättning att arbetstagaren själv har begärt detta. Genomförandet av hälsoundersökningar och drogtester innehåller bestämmelser som avser att garantera arbetstagarna att hälsoundersökningar och drogtester utförs med tillförlitliga metoder. Hälsoundersökningar och drogtester får sålunda enligt bara utföras av personal inom hälso- och sjukvården eller under överinseende av sådan personal. Beträffande drogtester ställs det dessutom krav på att prov skall analyseras av ett laboratorium som är ackrediterat enligt lagen om teknisk kontroll. Detta gäller alla slags prov som kan ligga till grund för en analys av droganvändning, med undantag för utandningsprov. För att minska risken för att falska positiva resultat godtas som slutresultat föreslår utredningen vidare att prov som visar positivt resultat skall genomgå två analyssteg. Under utredningens arbete har det framförts önskemål från företrädare för de offentliga arbetsgivarna om utökade möjligheter för dessa arbetsgivare att beordra hälsoundersökningar och drogtester. Utredningen har förståelse för att det kan finnas ett sådant behov men har funnit att direktiven inte ger utredningen möjlighet att överväga något förslag i detta avseende. Från företrädare för de fackliga organisationerna har framförts kravet att en bestämmelse motsvarande 30 § lagen om offentlig anställning skall införas inom den privata sektorn av arbetsmarknaden. Även här kan det ifrågasättas om det ligger inom ramen för utredningens direktiv att föreslå sådana beordrade hälsoundersökningar. Med hänsyn till detta men även till den omständigheten att denna fråga inte har tagits upp vid centrala förhandlingar, i vart fall inte , anser utredningen att förhandlingsvägen bör prövas i första hand innan några lagstiftningsåtgärder aktualiseras. Personuppgifter om lagöverträdelser är i regel synnerligen känsliga och behandlingen av sådana uppgifter innebär en uppenbar risk för kränkningar av den personliga integriteten. Det är dessutom ett allmänt intresse att en person som har avtjänat sitt straff skall kunna gå vidare utan att diskrimineras eller särbehandlas till följd av tidigare brottslighet. Utredningen föreslår därför ett förbud för arbetsgivare att behandla personuppgifter om lagöverträdelser som avser arbetstagare. Undantag från förbudet föreslås endast för det fall att behandlingen är nödvändig för att bedöma en arbetstagares tillförlitlighet med hänsyn till säkerheten för det allmänna eller för arbetsgivarens verksamhet, vari innefattas även säkerheten för övriga anställda och för arbetsplatsen. Tillämpningen av undantaget bör enligt förslaget ske med stor restriktivitet. Det förekommer inte sällan att arbetsgivaren kräver utdrag ur belastningsregistret som villkor för en anställning. Registret omgärdas visserligen av sträng sekretess, men en enskild har alltid rätt att få uppgifter om sig själv ur registret. Enligt upplysningar av har ansökningar av enskilda om registerutdrag ökat kraftigt , vilket är en indikation på att det har blivit allt vanligare att arbetsgivare begär att få registerutdrag. Den föreslagna bestämmelsen innebär att en arbetsgivare inte längre mer eller mindre rutinmässigt skall kunna ställa krav på registerutdrag för en anställning.