sou · GQB318d1 · 2003-01-01 00:00:00 — I detta ingår bl.a. att arbets- givaren har rätt att bestämma hur arbetet skall organiseras och ut- föras, vilken maskinutrustning som skall användas samt att utfärda föreskrifter om ordningen på arbetsplatsen. Inget hindrar således att arbetsgivaren föreskriver att IT-verktygen får användas endast i tjänsten eller att arbetsgivaren på annat sätt begränsar den tillåtna användningen. Med andra ord kan en arbetstagare inte åberopa någon rätt att få använda arbetsgivarens IT-verktyg för privata 9 Utredningens definition av privata elektroniska uppgifter återfinns i avsnitt 5.4.1.4. Arbetstagarnas användning av informationsteknik Med arbetsledningsrätten hänger också samman en rätt för arbetsgivaren att kontrollera hur arbetet utförs eller om givna regler efterlevs. Det nu sagda innebär att det i praktiken förekommer en rad olika sätt på vilket frågan om arbetstagares möjligheter till privat använd- ning av IT-verktygen hanteras. Ytterligheterna är här å ena sidan att arbetsgivaren förbjuder all privat användning och å andra sidan att arbetsgivaren utan begränsningar tillåter privat användning. En tredje situation är att arbetsgivaren inte uttryckligen tagit ställning i frågan. Ytterligare en variant av att arbetsgivaren förbjuder all privat användning är att denne utfärdar mer eller mindre utförliga regler om tillåten användning, vilket i praktiken innebär ett förbud mot viss privat användning. Olika situationer innebär ett behov av att närma sig svårigheterna på olika sätt. Med stöd av den ovan beskrivna arbetsledningsrätten har en arbetsgivare alltså rätt att helt förbjuda privat användning av IT- verktygen. Ett sådant förbud kan antingen utgöras av ensidiga direktiv från arbetsgivarens sida eller av dokument eller avtal som utarbetats i samarbete med arbetstagarna eller deras organisationer. Oavsett formerna härför är arbetstagarna enligt arbetsrätten skyl- diga att följa de utfärdade reglerna. Detta innebär bl.a. att arbets- tagare som inte följer reglerna kan komma att drabbas av arbets- rättsliga påföljder, såsom t.ex. omplacering eller uppsägning. Det torde vara mycket vanligt förekommande att arbetsgivaren över huvud taget inte har utfärdat några regler eller riktlinjer be- träffande privat användning av IT-verktygen. jämförs privat användning av e-post med privat användning av arbetsgivarens telefon, där det förefaller vara kutym att arbetstagare får använda telefonen i begränsad utsträckning för privat bruk. Arbetstagaren bör då också ha rätt till skydd för sin personliga integritet vid sådan användning. En arbetsgivare som utan arbets- tagarens vetskap avlyssnar dennes telefonsamtal gör sig skyldig till brytande av telehemlighet. Avsaknad av uttryckliga regler för privat användning av IT-verktygen tycks enligt vad utredningen har er- farit allmänt uppfattas som att sådan användning kan bedömas enligt samma principer som telefonanvändning. Man bör därför kunna utgå från att avsaknaden av regler utfärdade av arbetsgivaren innebär att arbetsgivaren i viss begränsad omfattning godtar privat användning. Arbetstagarnas användning av informationsteknik 5.4.1.2Förutsättningar för arbetsgivarens rätt att kontrollera en arbetstagares privata elektroniska uppgifter I den ovan beskrivna arbetsledningsrätten ingår en rätt för arbets- givaren att utföra kontroller. Denna kontrollrätt är emellertid inte oinskränkt. Enligt Arbetsdomstolens (AD) praxis i näraliggande frågor skall en avvägning göras mellan å ena sidan arbetsgivarens intresse av kontrollen i fråga och å andra sidan arbetstagarens in- tresse av personlig integritet. Oavsett på vilken grund privat användning förekommer kan arbetsgivaren ha en rad olika intressen eller behov av att kontrollera om – och i så fall hur – privat användning sker. Vid den avvägning som enligt ovan skall göras torde flera omständigheter behöva be- aktas. Arbetsgivarens berättigade behov av att i kontrollsyfte ta del av en arbetstagares privata elektroniska uppgifter kan variera bl.a. beroende på om regler för användningen har utfärdats och i så fall hur de har utformats, men även karaktären av den verksamhet som arbetsgivaren bedriver kan inverka. Här kan också anmärkas att arbetsgivarens behov av att ha kontroll över den egna verksamheten kan innebära ett behov av att ta del av alla uppgifter – därmed även privata sådana. Behov av kontroll över uppgifter som hör till den egna verksamheten är, liksom säkerhetsskäl, behov som de flesta arbetsgivare kan åberopa. Exempel på andra faktorer som kan påverka bedömningen av en arbetsgivares rätt att kontrollera arbetstagare i detta avseende kan vara den privata användningens karaktär. Bl.a. är det rimligt att utgå från att arbetsgivaren kan ha större intresse av kontroller vid privat användning som kan misstänkas vara illojal eller rent av innefatta brottsligt beteende. Ett uppmärksammat problem är att en del arbetstagare besöker hemsidor med pornografiskt material och även lagrar pornografiskt material i arbetsgivarens IT-utrustning. Även om detta skulle förekomma i endast begränsad omfattning torde det vara fråga om ett beteende som arbetsgivare i allmänhet har anledning att reagera starkt emot. Ingripanden från arbets- givarens sida kan i många fall kräva möjligheter att kontrollera innehållet i enskilda filer. Motsvarande bör gälla om en arbetstagare hanterar material av rasistisk eller extrempolitisk karaktär. Där- emot bör troligen större restriktivitet iakttas vid kontroller om an- vändningen kan antas vara av normalt privat karaktär, såsom t.ex. vanliga, vardagliga privata meddelanden. Även andra faktorer kan på olika sätt komplicera bedömningen Arbetstagarnas användning av informationsteknik av det berättigade i arbetsgivares kontroll av en arbetstagares pri- vata elektroniska uppgifter. Som exempel på sådana kan nämnas följande. Ett meddelande som skickas till eller från en arbetstagare kan innehålla såväl privata uppgifter som verksamhetsrelaterade uppgifter. Praktiska svårigheter uppkommer då med hänsyn till att arbetsgivaren alltid torde vara berättigad att ta del av de uppgifter som rör verksamheten, men inte nödvändigtvis de privata. En lik- nande fråga om sammanblandning av privata och verksamhets- relaterade uppgifter uppkommer om arbetstagaren använder privat IT-utrustning, t.ex. vid arbete i hemmet. Vidare kan inkommande e-postmeddelanden här orsaka särskilda komplikationer eftersom man ofta inte på förhand kan veta vilket slags uppgifter meddelan- det innehåller. 5.4.1.3Särskilda förutsättningar i offentlig verksamhet Som kommer att framgå i redovisningen av den rättsliga reglering- en nedan intar offentliga arbetsgivare i vissa avseenden en särställ- ning när det gäller möjligheterna att ta del av en arbetstagares privata elektroniska uppgifter. För det första medför RF:s fri- och rättighetsregler att offentligt anställda har ett något starkare skydd mot ingrepp i privatlivet från arbetsgivarens sida än vad privat anställda har. För det andra ställs andra krav på offentliga arbetsgivare, bl.a. när det gäller allmän- hetens rätt till insyn och kontroll enligt offentlighetsprincipen. Som konstaterats ovan är det ofta svårt – eller omöjligt – att på förhand avgöra om innehållet i t.ex. ett e-post meddelande är privat eller inte. Den omständigheten medför att det uppenbarligen kan uppkomma svårigheter för en arbetsgivare som har att beakta allmänhetens rätt att ta del av allmänna offentliga handlingar. Lik- nande svårigheter kan uppkomma i det specialfallet att en offentlig- anställd skickar ett meddelande till exempelvis en journalist i avsikt att vissa uppgifter skall publiceras. Enligt TF och yttrandefrihets- grundlagen har var och en rätt att lämna sådana meddelanden (den s.k. meddelarfriheten) som det finns ett förbud för myndigheter och andra allmänna organ att efterforska den som lämnat meddelandet (det s.k. efterforskningsförbudet). Arbets- givaren måste alltså iaktta särskild försiktighet för att inte göra in- trång i en arbetstagares rättigheter enligt ovan. måste dock offentlighetens principer upprätthållas. Ett sätt att praktiskt hantera denna fråga är att offentliga arbets- Arbetstagarnas användning av informationsteknik givare vid användningen av informationsteknik strävar efter en god offentlighetsstruktur, och därigenom åstadkommer en möjlighet att skilja mellan olika typer av uppgifter (handlingar) utan att ta del av dessa. Frågan kommer att behandlas ytterligare nedan, avsnitt 5.4.2.8. 5.4.1.4Utredningens definition av privata elektroniska uppgifter En arbetstagares privata användning av arbetsgivarens IT-verktyg medför att dennes privata elektroniska uppgifter kommer att finnas bland sådana som rör verksamheten. Med utgångspunkten att för- söka åstadkomma ett skydd för arbetstagarens privata elektroniska uppgifter måste anges en definition för detta begrepp. Uttrycket uppgifter har i detta sammanhang samma betydelse som i allmänt språkbruk och fungerar som en neutral samlings- beteckning. Om uppgifterna har formen av text, bilder, ljud eller annat saknar betydelse. I detta avseende kan jämföras med skyddet för förtrolig kommunikation i 2 kap. 6 § RF, som omfattar med- delanden i alla dess former. I begreppet uppgifter som används i utredningen ryms således allt som förmedlar ett föreställnings- innehåll, oavsett den närmare karaktären av detta. Detta vidsträckta begrepp begränsas på två sätt: genom att uppgifterna skall vara dels elektroniska, dels arbetstagarens privata. De situationer som utredningens arbete omfattar är de där risker för integritetsintrång kan uppkomma i samband med en arbets- tagares användning av IT-verktyg. Mot den bakgrunden är det naturligt att de uppgifter som avses här utgörs av data i binär form som är läsbar med digital teknik. Den andra begränsningen i begreppet är att det skall vara fråga om privata elektroniska uppgifter. Här avses uppgifter som är privata i den meningen att de är hänförliga till arbetstagaren som privatperson i motsats till sådana uppgifter som är hänförliga till arbetet eller annars till arbetstagarens egenskap av just arbetstagare. Bedömningen av om vissa uppgifter är privata eller inte torde i de flesta fall vara okomplicerad, men gränsdragningen kan i vissa fall bli svår. I offentlig verksamhet förekommer en motsvarande gränsdrag- ning när det gäller allmänhetens rätt enligt offentlighetsprincipen att ta del av allmänna handlingar. Allmänna handlingar är enligt definitionen i 2 kap. 3 § TF sådana som förvaras hos myndighet Arbetstagarnas användning av informationsteknik och enligt 2 kap. 6 och 7 §§ är att anse som inkomna till eller upp- rättade hos myndigheten. Enligt 2 kap. 4 § TF skall som allmän handling anses även brev eller annat meddelande som är ställt till en befattningshavare om handlingen gäller ärende eller annan fråga som ankommer på myndigheten och inte är avsedd för mottagaren endast som innehavare av annan ställning. Som privata brev be- traktas därmed sådana som inte gäller ärende eller annan fråga som ankommer på myndigheten. Enligt vad som framgått ovan behandlas i detta avsnitt inte en- bart e-post och liknande meddelanden, utan även andra uppgifter som förvaras i arbetsgivarens IT-verktyg, som t.ex. texter eller bil- der. För att den typen av upptagningar skall bli allmänna handlingar förutsätts att de förvaras hos en myndighet och att de har upprättats hos eller inkommit till myndigheten. En handling kan komma att upprättas på olika sätt, men som en grundläggande förutsättning gäller att handlingen tillkommit som ett led i myndighetens verk- samhet. Privata handlingar som en arbetstagare tar med sig till arbetsplatsen blir naturligtvis inte att anse som allmänna bara för att de förvaras hos myndigheten, t.ex. i arbetstagarens tjänsterum. Samma sak torde enligt utredningens mening gälla upptagningar som en arbetstagare har tillfört IT-systemet och som inte rör ärende eller liknande hos myndigheten. Som exempel kan nämnas att en arbetstagare för helt privata ändamål från Internet hämtar och sparar en webbsida.10 I likhet med vad som i motsvarande fall gäller de privata handlingarna av traditionellt format torde även nu nämnda privata elektroniska uppgifter falla utanför TF:s reglering. I privat verksamhet gäller inte de beskrivna reglerna i TF. Vid bestämningen av vad som skall anses som privata uppgifter i sådan verksamhet kan man dock enligt utredningens mening söka ledning i de gränsdragningar som görs för allmänna handlingar. Det av- görande kan då vara t.ex. om uppgifterna är hänförliga till en be- stämd arbetsuppgift som arbetstagaren har att utföra eller till annat som faller inom arbetsgivarens normala verksamhetsområde. När man diskuterar en reglering av angrepp mot information i vid bemärkelse finns anledning att närmare överväga vilka objekt som 10 En cookie-fil eller historikfil, som innehåller uppgifter om vilka webbsidor som en användare har besökt, anses däremot som allmän handling enligt vad Regeringsrätten slagit fast i rättsfallet RÅ 1999 ref. 18. Arbetstagarnas användning av informationsteknik skall skyddas och mot vilka angrepps- eller intrångssätt som skyddet skall gälla. I betänkande före- kommer en del resonemang om skyddsobjektet för bestämmelser rörande olika slag av intrång i information.11 Något förenklat kan detta uttryckas som en skiljelinje mellan att å ena sidan anse upp- gifterna eller informationen som sådan som skyddsobjekt, eller å andra sidan att anse ett visst utrymme, där uppgifterna finns som skyddsobjekt. Oavsett val av synsätt uppkommer tillämpnings- svårigheter, särskilt när det gäller gränserna för de uppgifter eller de utrymmen som skall vara tillgängliga för arbetsgivaren. Utred- ningen har stannat för att som skyddsobjekt i detta sammanhang anse uppgifterna som sådana. Det avgörande är alltså att det är fråga om en arbetstagares privata elektroniska uppgifter enligt defi- nitionen ovan. I vilka fysiska lagringsmedia de data som represen- terar uppgifterna eller i vilka logiska förvar inom detta lagrings- medium som uppgifterna finns saknar därmed betydelse. Det avgörande vid utredningens ställningstagande har varit att det inte förefaller lämpligt att knyta arbetsgivarens möjligheter att ta del av uppgifter till sådana yttre omständigheter som i vilket elektroniskt utrymme dessa finns lagrade. En reglering som bygger på ett sådant synsätt skulle riskera att leda till att arbetsgivaren inte har möjlighet att komma åt uppgifter som rör verksamheten om dessa av misstag eller annan anledning har kommit att förvaras i ett skyddat utrymme.12 Med en sådan lösning skulle skyddet riskera att bli obefintligt för uppgifter som av någon anledning kommit att hamna utanför sådana utrymmen. Någon samlad rättslig reglering av de problem som kan uppkomma i samband med arbetstagares privata användning av IT-verktyg finns inte. Redovisningen av nuvarande regelsystem upptar därför en del rätt disparata regler som på olika sätt kan ha betydelse för en rättslig bedömning av frågorna. Redogörelsen inleds med det grundläggande konstitutionella integritetsskyddet och de speciella inskränkningar av detta som är av betydelse här. Härefter följer de bestämmelser i vanlig lag som är av intresse för de här aktuella frågorna. I vissa fall konstateras att bestämmelserna knappast är 11Se särskilt SOU 1992:110, 6 kap. 12I offentlig verksamhet förutsätter en riktig tillämpning av offentlighetsprincipen att arbetsgivaren har möjlighet att vid en arbetstagares frånvaro ta del av inkommande försändelser som adresserats till arbetstagaren personligen. Arbetstagarnas användning av informationsteknik direkt tillämpliga, men de har ändå tagits med i redogörelsen. Slut- ligen redovisas några bestämmelser som inte syftar till att ge arbetstagare ett integritetsskydd, men som ändå är av stor bety- delse för behandlingen av frågan om en offentlig arbetsgivares rätt att ta del av privata elektroniska uppgifter. Redovisningen av dessa bestämmelser rör den ovan beskrivna konflikten för en offentlig arbetsgivare att beakta å ena sidan en arbetstagares inte- gritetsskydd och å andra sidan allmänhetens rätt till insyn enligt offentlighetsprincipen. Bestämmelserna har därmed stor betydelse, inte minst när det gäller praktiska frågor kring hur ett sådant inte- gritetsskydd för offentligt anställda skall kunna utformas. Inom arbetsrätten gäller den allmänna rättsgrundsatsen att arbets- givaren inom ramen för anställningsavtalet bestämmer över arbets- ledningen och därmed har rätt att bestämma bl.a. vilket arbete som skall utföras, sättet och platsen härför samt den utrustning som skall användas. Arbetsgivarens rätt motsvaras av en skyldighet för arbetstagaren att utföra arbetet där vägran kan medföra uppsägning på grund av arbetsvägran. Arbetsledningsrätten betyder alltså bl.a. att det är arbetsgivaren som avgör vilken teknisk utrustning som skall finnas på arbets- platsen och hur den skall användas. Arbetsgivaren kan alltså själv- ständigt avgöra om utrustning såsom t.ex. datorer skall få användas av arbetstagaren för privata ändamål. En arbetsgivare är oförhind- rad att helt förbjuda privat användning liksom att ange särskilda villkor för sådan användning och arbetstagaren är skyldig att följa de anvisningar som arbetsgivaren har meddelat i detta avseende. Underlåtenhet att följa anvisningarna kan bedömas som avtalsbrott och medför att arbetsgivaren kan vidta de åtgärder som står till buds inom arbetsrätten, såsom t.ex. omplacering eller i allvarligare fall uppsägning och avsked. Av detta följer naturligtvis att arbets- tagaren inte kan göra gällande någon rätt att få använda arbets- givarens IT-verktyg för privata ändamål, utan att det är en fråga som arbetsgivaren helt och hållet disponerar över. Arbetsgivarens arbetsledningsrätt innefattar också en rätt att vidta kontrollåtgärder. Generellt kan som exempel på sådana näm- nas kontroll av mängden av utfört arbete, kontroll genom tids- stämpling eller in- och utpasseringskontroller. Arbetsgivarens rätt att påkalla läkarkontroller innefattas också i denna kontrollrätt. Arbetstagarnas användning av informationsteknik Även om arbetsgivarens kontrollrätt är vidsträckt och gäller som utgångspunkt, är den emellertid inte obegränsad. Arbetsgivarens kontroller får enligt praxis inte stå i strid med lag, god sed eller annars vara otillbörliga. Enligt vad AD har uttalat i mål där arbets- givarens kontrollrätt varit uppe till prövning skall vid bedömningen av om kontrollen står i strid med god sed eller annars är otillbörlig göras en avvägning mellan arbetsgivarens intresse av åtgärden och arbetstagarens intresse av att värna sin personliga integritet. Härvid måste intrånget i arbetstagarens personliga integritet stå i rimlig proportion till det intresse som arbetsgivaren vill tillgodose. Gränserna för arbetsgivarens kontrollrätt – dvs. när kontroller står i strid med lag, god sed eller annars är otillbörlig – har inte prövats i praxis när det gäller rätten att kontrollera arbetstagares privata elektroniska uppgifter. Innehållet i gällande rätt i konkreta situationer är därför inte möjligt att uttala sig säkert om. Det är en fråga för rättstillämpningen att, liksom i övrigt när det gäller kontrollrätten, genom praxis närmare precisera dessa gränser. Här kan dock följande antaganden göras. Att kontrollerna inte får strida mot lag bör innebära att sådana åtgärder från arbetsgivarens sida som strider mot de i avsnitt 5.4.2.2–5.4.2.9 angivna bestämmelserna innebär en begränsning av kontrollrätten. Dessa situationer skall inte upprepas här. Emellertid kan det vara värt att understryka PUL:s betydelse i detta samman- hang. För att en kontrollåtgärd inte skall stå i strid med PUL krävs bl.a. att uppgifterna samlas in endast för särskilda, uttryckligt an- givna och berättigade ändamål. Vidare måste arbetsgivaren i sam- band med insamlingen lämna arbetstagaren information om be- handlingen. Här kan märkas att även 10 § f) PUL innehåller en intresseavvägning. Enligt den bestämmelsen är behandling tillåten om ett ändamål som rör ett berättigat intresse hos arbetsgivaren väger tyngre än arbetstagarens intresse av skydd mot kränkning av den personliga integriteten. Utfallet av intresseavvägningen i en konkret situation borde bli densamma enligt arbetsledningsrätten. Utöver att en intresseavvägning skall göras torde allmänt kunna krävas att arbetsgivaren skall ha fog för åtgärden och att kontroller alltså inte sker helt godtyckligt. Åtgärden måste vara relevant i för- hållande till anställningsavtalet och får inte betingas av en allmän önskan att få kunskap om arbetstagarens privata angelägenheter. Kollektivavtal och branschpraxis får betydelse för bedömningen, liksom riktlinjer utfärdade av arbetsgivaren. Särskild betydelse kan riktlinjerna få om de innehåller väl avvägda åtgärder till skydd för Arbetstagarnas användning av informationsteknik arbetstagarens integritet vid kontrollen i fråga. När det gäller de syften som arbetsgivaren åberopar för kontrollen kan möjligen generellt sägas att utrymmet för säkerhetskontroller kan vara större än effektivitets- och ordningskontroller. artikel 8 stadgar om rätt till respekt för en- skilds privat- och familjeliv, hem och korrespondens. Enligt artikeln får offentlig myndighet inte inskränka rätten annat än genom lag och då endast om det i ett demokratiskt samhälle är nödvändigt med hänsyn till exempelvis den allmänna säkerheten, för att förebygga brott eller till skydd för andra personers fri- och rättigheter. Trots att det numera finns en del praxis från Europa- domstolen är det svårt att närmare bedöma vilken betydelse artikeln har för de här aktuella frågorna. Genom ett avgörande från domstolen, Halford-domen, har klarlagts att artikeln under vissa förutsättningar kan innebära ett förbud för en offentlig arbets- givare att avlyssna en arbetstagares privata telefonsamtal.13 Målet rörde en engelsk polischef, vars tjänstetelefon hade blivit avlyssnad av arbetsgivaren. Domstolen fann att arbetsgivaren inte hade någon generell rätt att avlyssna arbetstagarens telefon, särskilt med hän- syn till att telefonen även var avsedd för hennes personliga bruk och hon inte hade fått någon varning om att telefonen kunde komma att avlyssnas och således hade en befogad förväntan på respekt för personlig integritet. Domstolen fann också att arbets- givaren inte hade något lagstöd för avlyssning av telefonen, varför ett brott mot konventionens artikel 8 förelåg. Halford-domen avser tillämpningen av artikel 8 i förhållandet mellan en privatperson och det allmänna, här i egenskap av arbets- givare. Utgångspunkten för tillämpningen är att artikel 8 i första hand innebär förpliktelser för de anslutna staterna. I vilken mån den är tillämplig även i förhållandet mellan privata rättssubjekt är föremål för diskussion och beror på innehållet i nationell rätt.14 Att artikel 8 i princip kan ha effekt i förhållandet även mellan privata rättssubjekt har slagit fast i flera avgöranden. Räckvidden av rättsfallen är emellertid osäker och det går knappast att dra några slutsatser när det gäller förhållandet mellan privata arbetsgivare och arbetstagare i de frågor som här är aktuella. 13Se mot , dom . 14Se Lorenzen m.fl., Den Europæiske Menneskeretskonvention, s. 16 ff. Arbetstagarnas användning av informationsteknik 5.4.2.3Regeringsformen 2 kap. 6 § Enligt 2 kap. 6 § RF är enskilda gentemot det allmänna skyddade mot bl.a. husrannsakan och liknande intrång samt mot undersök- ning av brev eller annan förtrolig försändelse och mot hemlig av- lyssning eller upptagning av telefonsamtal eller annat förtroligt meddelande. Dessa fri- och rättigheter får begränsas på det sätt som föreskrivs i 2 kap. 12 § RF. Begränsning skall ske i lag och får göras endast för att tillgodose ändamål som är godtagbart i ett de- mokratiskt samhälle.