sou · GQB318d2 · 2003-01-01 00:00:00 — Enligt punkt 19 i ingressen till dataskyddsdirektivet förutsätter etablering på en medlemsstats territorium en effektiv och faktisk verksamhet med hjälp av en stabil struktur. I samma punkt anges vidare att den berörda verksamhetens rättsliga form inte har avgörande betydelse, oavsett om det är fråga om en filial eller om ett dotterbolag som är en juridisk person.8 Bestämmelsens betydelse för utredningen Enligt är dataskyddsdirektivets bestämmelser svårtolkade, vilket kan leda till vissa svårigheter när det gäller att avgöra vilket lands lag som skall gälla t.ex. i de fall där en arbetsgivare bedriver verksamhet i flera länder inom EU. Detta är naturligtvis en fråga av betydelse för de frågor utredningen har att behandla bl.a. med hänsyn till näringslivets internationalisering. Emellertid bör man kunna utgå från att svenska arbetstagare i allt väsentligt är anställda av arbetsgivare som i PUL:s mening kan anses etablerade i . Behandling av personuppgifter som omfattas av lagen – 5 § Av 5 § framgår vilken behandling av personuppgifter som lagen avser att omfatta. Enligt bestämmelsen faller dels sådan behandling av personuppgifter som är helt eller delvis automatiserad, dels viss behandling av personuppgifter inom lagens tillämpnings- område. Genom att PUL kan omfatta såväl automatiserad som behandling har lagen gjorts teknikoberoende, vilket enligt hindrar den från att få en hämmande effekt på användningen av ny informationsteknik. När det gäller den behandling av uppgifter som är helt automatiserad innefattar denna personuppgifter som finns i dator- format (binär form) i datorer. Även överföring av personuppgifter till sådant format kan innefattas i begreppet. Enligt är det tveksamt om och i vilken utsträckning reglerna om automatiserad behandling skall tillämpas på behandling av 8 Se prop. s. 55 och 118 samt betänkande s. 347 f. personuppgifter som inte finns i datorformat, t.ex. vad gäller bilder och ljud som lagrats på ljud- eller videoband. Själva överföringen av en enskild persons utseende eller röst till ett ljud- eller videoband kan därvid inte ses som automatiserad behandling. Enligt anses det även tveksamt om rekvisitet automatiserad innefattar en analog upptagning av en persons utseende eller röst som påbörjas och avslutas utan att någon operatör är inblandad, t.ex. vid vissa former av videoövervakning och telefonavlyssning. Detta gäller även beträffande uppgifter som registreras mekaniskt såsom t.ex. vid användning av mekaniska stämpelklockor och kassaregister. Som tidigare nämnts innefattar lagen även delvis automatiserad behandling av personuppgifter. Om det till en samling av akter som innehåller personuppgifter finns ett datoriserat diarium med hänvisningar till akterna uppkommer frågan hur personuppgifterna i pappershandlingarna skall betraktas. Enligt krävs för att 5 § överhuvud skall vara tillämplig att den automatiserad delen av behandlingen omfattar personuppgifter. Det är således inte fråga om sådan behandling om man inte i diariet med hjälp av automatiserad behandling kan söka fram uppgifter om en individ. För det fall det datoriserade diariet är sökbart på personuppgifter, såsom namn, bör behandlingen anses vara automatiserad. De akter eller andra pappershandlingar som är knutna till diariet bör emellertid bedömas enligt bestämmelserna för behandling. När det gäller behandling av personuppgifter på papper omfattas endast sådana uppgifter av lagen som ingår i eller är avsedda att ingå i ett register. Med register avses därvid en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden. Eftersom ett register utgörs av en samling av personuppgifter bör det krävas att det finns uppgifter som avser mer än en person. Vidare bör krävas att samlingen har en viss beständighet. En hög med papper på ett skrivbord innefattas således inte i begreppet, även om de är sorterade i bokstavsordning efter namn. Däremot kan det inte uppställas som krav att handlingarna finns på ett och samma ställe. Om personuppgifterna i pappershandlingarna är utspridda på olika håll i landet, men tillgängligt enligt ett centralt index kan det alltså ändå vara fråga om ett enda register och personuppgifterna som ingår i registret omfattas således av lagen. Vidare uppställs som krav att samlingen av personuppgifter skall vara strukturerad. Personuppgifterna måste således vara ordnade efter något visst system. Det krävs därutöver även att uppgifterna i samlingen är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, vilket innebär att det måste vara möjligt att söka bland uppgifterna i samlingen för att det skall vara fråga om ett register. Ett manuellt register som innehåller personuppgifter men som inte är sökbart med hjälp av en sådan uppgift omfattas således inte av lagen. Enligt 5 § måste samlingen av personuppgifter vara sökbar på mer en ett kriterium för att betraktas som register. Av punkten 27 i ingressen till dataskyddsdirektivet framgår att nu nämnda kriterier skall avse enskilda personer och vara utformade för att lätt ge tillgång till personuppgifterna. En förteckning i bokstavsordning över personer som endast är sökbar på namnet skulle således inte vara att betrakta som ett register. Varken av lagtext eller av förarbeten framgår om kriterierna måste avse personuppgifter för att uppfylla kraven. När det gäller automatiserad övervakning är det tveksamt om vissa förfaranden kan anses falla inom PUL:s tillämpningsområde, bl.a. avser detta telefonavlyssning som sker helt automatiskt. Det är således inte säkert att personuppgifter om arbetstagare där behandlingen går till på det sättet omfattas av det integritetsskydd som ges i lagen. Detta gäller även vid t.ex. användandet av mekaniska stämpelklockor på arbetsplatser. Vid vissa former av insamling av personuppgifter genom övervakning och kontroll av arbetstagare bestäms således PUL:s tillämplighet av hur övervakningen eller kontrollen rent faktiskt organiserats.9 Bestämmelsens betydelse för utredningen Hur behandlingen av personuppgifter organiserats kan få en avgörande betydelse vid bedömningen av om personuppgifter är föremål för behandling. För det fall en arbetsgivare under ett anställningsförfarande samlar samtliga ansökningar i en hög på skrivbordet ordnade efter bokstavsordning kan det exempelvis ifrågasättas om samlingen har sådan beständighet att handlingarna kan anses ingå i ett register och om personuppgifterna till följd därav verkligen omfattas av PUL. 9 Se prop. s. 38 f. samt betänkande s. 116 f., 197 f, 339 f. och 343 f. För att 5 § skall vara tillämplig på behandling av personuppgifter krävs även att uppgifterna i samlingen skall vara tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Det är i detta sammanhang inte klart om personuppgifter om arbetstagare i ett register som endast är sökbart på den enskildes namn omfattas av PUL. Arbetsgivaren skulle således kunna välja att ordna register på ett sådant sätt att arbetstagaren inte får det integritetsskydd som garanterar. Här kan också hänvisas till att nödvändighetskravet i 10 § dessutom innebär en skyldighet för arbetsgivaren att om möjligt undvika sådan behandling som omfattas av PUL. För fullständighetens skull bör även påpekas att personuppgifter som arbetsgivaren samlar in men som denne aldrig har för avsikt att dokumentera vare sig automatiskt eller manuellt inte omfattas av PUL. Grundläggande krav på behandling av personuppgifter – 9 § I 9 § stadgas om de krav på behandlingen av personuppgifter som den personuppgiftsansvarige måste uppfylla. Det är emellertid inte tillräckligt att den personuppgiftsansvarige uppfyller dessa krav för att en behandling av personuppgifter skall vara laglig. Därutöver måste behandlingen även kunna hänföras till något av de fall som räknas upp 10 §. För det fall behandlingen avser känsliga personuppgifter måste behandlingen dessutom vara tillåten enligt 13–22 §§. Av bestämmelsen framgår att det är den personuppgiftsansvarige gentemot den registrerade som ansvarar för att de grundläggande kraven uppfylls och att detta måste vara fallet under hela den tid som behandlingen pågår. Den personuppgiftsansvarige har därvid enligt bestämmelsen att se till att a) – b) personuppgifter behandlas bara om det är lagligt samt att behandlingen skall ske på ett korrekt sätt och i enlighet med god sed När en behandling är laglig och korrekt framgår av PUL och anknytande lagstiftning. Det förefaller osäkert om den uttryckliga bestämmelsen i dataskyddsdirektivet om att personuppgifter skall behandlas på ett lagligt och korrekt sätt har någon självständig betydelse. Bestämmelsen har tagits med för säkerhets och fullständighetens skull. Att personuppgifter skall behandlas i enlighet med god sed har inte någon motsvarighet i dataskyddsdirektivet. Vad som är god sed vid behandling av personuppgifter får avgöras i rättstillämp- ningen mot bakgrund av bl.a. de mer preciserade föreskrifter som kan utfärdas med stöd av lagen, branschregler som kan ha ut- arbetats av etablerade branschorganisationer eller andra representa- tiva sammanslutningar och hur ansvarsfulla personuppgifts- ansvariga uppför sig.10 c)personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål Bestämmelsen ger uttryck för relevansprincipen och innebär att ändamålen med behandlingen av personuppgifterna måste bestämmas redan när uppgifterna samlas in. Ändamålen måste då anges uttryckligen. Det finns inget krav på att ändamålsangivelsen skall nedtecknas. Vad som stadgas om information till den registrerade i 23–25 §§ medför emellertid att information om ändamålen i de flesta fall måste lämnas i samband med att behandlingen påbörjas. Att ändamålen skall vara särskilda, innebär att en alltför allmänt hållen ändamålsangivelse inte kan godtas. Hur pass detaljerad ändamålsangivelsen skall vara för att uppfylla kravet på att vara särskild får avgöras i praxis och eventuella kompletterande föreskrifter. Det är möjligt att ange flera ändamål när uppgifterna samlas in. De ändamål för vilka uppgifterna samlas in skall även vara berättigade. I vilka fall det är berättigat att samla in och behandla personuppgifter framgår av lagen och anknytande lagstiftning. Det förefaller osäkert om bestämmelsen om berättigade ändamål har någon självständig betydelse. Den har, enligt vad som anges i betänkande, trots detta tagits med i lagen för säkerhets och fullständighets skull.11 d)personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in De insamlade personuppgifterna får behandlas för andra ändamål än de för vilka uppgifterna samlades in bara om de nya ändamålen inte är oförenliga med de ursprungliga ändamålen. Vad som är oförenligt med de ursprungliga ändamålen får bestämmas genom praxis och kompletterande föreskrifter. Även ett utlämnande till annan av uppgifter måste vara förenligt med de ursprungliga ändamålen. Det bör således inte vara möjligt att kringgå reglerna s. 120 f. och 143 f. samt betänkande s. 349. s. 63 f. och 120 f. resp. a.a. s. 125 f., 306 f. och 350 f. genom att en personuppgiftsansvarig lämnar ut uppgifterna till en annan, som vid sin insamling bestämmer ändamål som är oförenliga med de ursprungliga. Bestämmelsen ger uttryck för finalitetsprincipen och begränsar möjligheterna till samkörning av olika register som innehåller personuppgifter.12 e) – f) de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen och att inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen Bestämmelsen innebär att det inte är tillåtet att behandla personuppgifter som är ovidkommande. Det är vidare inte tillåtet att behandla fler personuppgifter än som är nödvändigt med hänsyn till ändamålet med behandlingen. Enligt lagkommentaren torde det vara den personuppgifts- ansvarige som skall göra bedömningen av om uppgifterna är relevanta och adekvata till ändamålet för behandlingen.13 g) – h) de personuppgifter som behandlas är riktiga och, om det är nödvändigt, aktuella och vidta alla rimliga åtgärder för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen De behandlade personuppgifterna skall vara riktiga och aktuella. De behandlade personuppgifterna behöver emellertid endast vara aktuella i de fall det är nödvändigt. Enligt lagkommentaren bör denna bedömning ske utifrån de för behandlingen angivna ändamålen. Vidare uttalas i lagkommentaren att en personuppgift är riktig i de fall då den överensstämmer med de verkliga förhållandena. I de fall det uppkommer svårighet att bedöma om så är fallet torde man få söka ledning i ändamålet med behandlingen av personuppgifterna. I lagkommentaren sägs i detta sammanhang även att i de fall där avsikten med behandlingen endast är att registrera uppgifter, t.ex. vid mottagande av en order, så får de registrerade personuppgifterna bedömas som riktiga om de stämmer överens med de uppgifter som getts in till den personuppgiftsansvarige. Detta oavsett om de ingivna uppgifterna stämmer överens med verkliga förhållanden.14 s. 63 f. och 120 f. samt betänkande s. 350 f. 13Se lagkommentaren s. 60 f. 14Se lagkommentaren s. 60 f. Enligt bestämmelsen åligger det den personuppgiftsansvarige att självmant rätta, blockera eller utplåna personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Bestämmelsen omfattar inte personuppgifter som är missvisande utan att vara felaktiga eller ofullständiga.15 i) personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen Personuppgifterna får endast lagras så länge som det är nödvändigt med hänsyn till de ändamål för vilka uppgifterna behandlas. Därefter måste personuppgifterna avidentifieras eller förstöras. Enligt lagkommentaren kan ändamålen med behandlingen i vissa fall göra det nödvändigt att bevara personuppgifter även sedan de inte längre används aktivt. Detta kan exempelvis vara fallet med bokföringsmaterial som måste bevaras till följd av skatte- och bokföringslagstiftning.16 Bestämmelsens betydelse för utredningen Vad inledningsvis gäller kravet på god sed finns det i arbetslivet ofta de föreslagna riktlinjer för datoranvändning som arbetsgivaren – eventuellt efter samråd med företrädare för arbetstagarna – har infört och som kan innefatta regler bl.a. för hur arbetsgivaren får logga arbetstagarnas datoranvändning. Sådana de föreslagna riktlinjer kan möjligen utgöra en utgångspunkt för att avgöra vad som är god sed i sammanhanget. Reglerna i 9 § innebär att stora krav ställs på en arbetsgivare när det gäller att redan från början bestämma ändamålet med insamling av personuppgifter om arbetstagare. När personuppgifter samlas in t.ex. om en arbetssökande måste arbetsgivaren redan vid insamlingen avgöra hur uppgifterna skall behandlas efter anställningsförfarandet, oavsett om den sökande blir anställd eller inte. En tillämpning av relevans- och finalitetsprinciperna i exempelvis en anställningssituation kan avsevärt begränsa arbets- givarens möjligheter att behandla personuppgifter beträffande en arbetssökande. Bestämmelserna kan t.ex. innebära att en arbetsgivare inte får ställa frågor som är ovidkommande för en bedömning av sökandens lämplighet för den tänkta anställningen s. 63 och 120 samt betänkande s. 126 och 353. 16Se lagkommentaren s. 61. eller att arbetsgivaren inte senare i anställningsförhållandet får behandla uppgifter som samlades in för att ligga till grund för anställningsbeslutet. Detta under förutsättning att uppgifterna behandlas på ett sätt som omfattas av lagen. Även vid insamling av uppgifter genom hälso- eller drogkontroller måste arbetsgivaren ange ett uttryckligt ändamål med insamlingen. Här har det mycket stor betydelse för arbetstagarnas integritetsskydd att det noga prövas om insamlingen är berättigad, att tydliga ändamål anges och att uppgifterna inte används för andra ändamål. Bestämmelsen gäller även sådana fall där utrustning hos arbetsgivaren loggar t.ex. arbetstagarnas Internetanvändning. Om uppgifterna i loggen innefattar personuppgifter bör bestämmelsen uppfattas så att arbetsgivaren är skyldig att innan insamlingen, dvs. i praktiken innan tillämpningen tas i bruk, uttryckligen bestämma ändamålet med behandlingen. Om arbetsgivaren har bestämt att ändamålet med loggningen är uteslutande teknisk övervakning av en tillämpning, torde bestämmelserna i 9 § utgöra hinder mot att använda loggen för att utreda arbetstagares missbruk av systemet. Den närmare omfattningen av det skydd som lagen ger är emellertid svår att klarlägga, eftersom innebörden och betydelsen av flera av de viktiga begreppen, t.ex. adekvans, relevans och berättigat, inte närmare har preciserats i lagtext eller förarbeten. Frågan är även hur integritetsskyddet påverkas av att det är den personuppgiftsansvarige som skall göra bedömningen av om uppgifterna är relevanta och adekvata i förhållande till ändamålet med behandlingen. Det kan exempelvis i en anställningssituation vara svårt för en enskild att bedöma om arbetsgivarens bedömning i dessa delar är riktig. Det kan även vara problematiskt för en arbetssökande att ifrågasätta arbetsgivarens bedömning om det klart framgår att denna är felaktig. Det skydd som 9 § ger mot ett integritetskränkande behandling av personuppgifter förstärks av att en enskild inte kan samtycka till en behandling av personuppgifter som står i strid med bestämmelsen. Detta medför exempelvis att en arbetssökande, under de pressade förhållanden som ett anställningsförfarande innebär, inte kan efterge sin rätt till integritetsskyddet genom att samtycka till att arbetsgivaren behandlar personuppgifter utöver vad som medges enligt 9 §. När behandling av personuppgifter är tillåten – 10 § I 10 § finns en uttömmande uppräkning av i vilka fall person- uppgifter får behandlas. Om behandlingen avser känsliga person- uppgifter, uppgifter om lagöverträdelser m.m. eller personnummer måste behandlingen dessutom vara tillåten enligt bestämmelserna i 13–22 §§. I 12 § andra stycket regleras den situationen att den registrerade återkallar ett redan lämnat samtycke. Personuppgifter får behandlas om den registrerade har lämnat sitt samtycke till behandlingen. Vad som förutsätts av ett samtycke har behandlats ovan. Behandling av personuppgifter är, med undantag för det fallet att samtycke har lämnats, tillåten endast under förutsättning att sådan behandling som omfattas av lagen är nödvändig. All behandling av personuppgifter utgör enligt definitionen i 3 § behandling av personuppgifter i lagens mening. I 10 § avses emellertid endast behandling som omfattas av PUL enligt 5 §, dvs. automatiserad behandling och behandling i registerform. Nödvändighetskravet innebär alltså att den personuppgiftsansvarige skall pröva om det är nödvändigt att behandlingen sker automatiserat eller i registerform. Om uppgifterna lika väl kan behandlas på annat sätt är nödvändighetskravet inte uppfyllt. I praktiken kan de flesta arbetsuppgifter rent faktiskt utföras utan att personuppgifter behandlas automatiserat eller i register- form, även om det kostar mer och tar . Enligt kan nödvändighetskravet inte rimligen innebära att det skall vara faktiskt omöjligt att utföra en uppgift utan att den innefattar behandling av personuppgift enligt lagen. Kan en uppgift däremot utföras nästan lika enkelt och billigt utan sådan behandling av personuppgifter som omfattas av lagen, kan det inte anses nödvändigt enligt 10 § att behandla personuppgifterna. Vid bedömning av nödvändigheten bör även prövas om syftet med behandlingen kan uppnås med användande av anonyma uppgifter.17 Bestämmelsens betydelse för utredningen Syftet med nödvändighetskravet är att, genom att undvika behand- ling som sker automatiserat eller i registerform, i möjligaste mån undanta behandling av personuppgifter från lagens tillämpnings- område. I arbetslivet är det troligen så att många uppgifter i 17 Se prop. s. 65 f. och 121 f. samt betänkande s. 359. praktiken kan behandlas manuellt. Detta gäller kanske särskilt behandling av uppgifter om arbetssökande, eftersom dessa ännu inte ingår i arbetsgivarens personalregister. I ett anställnings- förfarande kan man anta att uppgifter om arbetssökandes meriter o. d. i många fall kan behandlas lika enkelt manuellt som automatiserat. Även när det gäller anställda kan arbetsgivaren skapa sådana rutiner att olika typer av uppgifter om arbetstagare kan behandlas manuellt och utan att ingå i ett register. En behandling enligt PUL är i sådant fall inte nödvändig. De fall som redovisas i avsnitt Fel! Hittar inte referenskälla. innefattar en sådan automatiserad behandling att det i samtliga fall blir fråga om en behandling av personuppgifter inom PUL:s tillämpningsområde. Någon alternativ, icke-automatiserad, behand- ling kan därför inte förekomma. Däremot kan sådan loggning som sker i syfte att övervaka ett systems tekniska funktion i vissa fall ordnas på ett sådant sätt att det kan fungera lika väl med anonyma uppgifter, dvs. att det i loggfilen inte registreras vilken enskild användare som vidtagit olika åtgärder. Även kontroller av arbets- tagares arbetsprestationer som syftar till att uppskatta t.ex. personalbehov torde kunna ske utan att enskilda arbetstagare identifieras. När en arbetsgivare samlar in uppgifter om arbetstagare torde syftet i allmänhet vara att uppgifterna skall ligga till grund för olika bedömningar av betydelse för arbetstagaren. Att personuppgifter dokumenteras på ett systematiskt sätt är ofta en förutsättning för att arbetstagaren skall kunna få del av de uppgifter som är av betydelse för ett beslut eller någon annan bedömning beträffande arbetstagaren som arbetsgivaren har gjort eller avser att göra. Att uppgifter hålls utanför en personalakt kan vidare innebära att uppgifter som finns i akten blir ofullständiga eller rent av miss- visande. Om det t.ex. framgår eller är allmänt känt att en arbets- tagare har genomgått en drogkontroll, kan det vara av betydelse för helhetsbilden att det också framgår att arbetstagaren varit drogfri vid kontrollen. Nödvändighetskravet i 10 § kan därmed i vissa fall innebära en konflikt mellan olika integritetsintressen. Behandling av personuppgifter kan vara tillåten när det är nödvändigt för att fullgöra ett avtal med den registrerade eller för att på dennes begäran vidta åtgärder innan ett avtal träffas. När det gäller fullgörelse av ett avtal krävs det att den registrerade själv är avtalspart. Ett avtal mellan en personuppgiftsansvarig och en juridisk person kan således inte enligt denna bestämmelse medföra att behandling av personuppgifter, t.ex. beträffande anställda hos den juridiska personen, blir tillåten. När det gäller åtgärder som vidtas innan ett avtal träffas krävs det att den registrerade har begärt att de åtgärder som gör det nödvändigt att behandla personuppgifter skall vidtas. Vad som närmare avses med att behandlingen skall vara nödvändig för att fullgöra ett avtal är inte riktigt klart, utan får avgöras i praxis. Klart är emellertid att enbart förekomsten av ett avtal inte kan legitimera behandling av alla tänkbara personuppgifter.18 Bestämmelsens betydelse för utredningen I arbetslivet är det uppenbart att det kan vara nödvändigt för arbetsgivaren att behandla en hel del uppgifter för att avtalet mellan denne och arbetstagaren skall kunna fullgöras. Till fullgörelse av avtalet bör kunna hänföras bl.a. uppgifter om närvaro och – om lönen är resultatbaserad – arbetsprestation.