sou · GQB318d1 · 2003-01-01 00:00:00 — En sådan struktur skulle kunna bidra till ett stärkt integritetsskydd för arbetstagarna om IT- systemet utformas så att det går att skilja arbetstagarens privata elektroniska uppgifter från de allmänna handlingarna. Sådana åt- gärder vid utformningen av IT-systemet kan vara att tilldela arbetstagarna egna privata mappar i vilka privata uppgifter skall lag- ras. En annan åtgärd kan vara att för e-post ha officiella registratorsbrevlådor som används vid kommunikation av allmänna handlingar. Åtgärderna bör också innefatta information till arbets- tagarna och interna riktlinjer för användningen av IT-verktygen. Arbetstagaren bör då få del av tillräcklig information för att kunna minska riskerna för att drabbas av obefogade integritetsintrång. Sådana åtgärder skulle underlätta för arbetsgivaren att göra en rimlig bedömning av om uppgifter är privata eller inte. Även om reglerna om god offentlighetsstruktur inte gäller privata arbetsgivare torde det även i privat verksamhet finnas an- ledning att överväga liknande lösningar. Såväl offentliga som privata arbetsgivare har i relativt stor ut- sträckning interna riktlinjer för arbetstagarnas användning av IT- verktygen. Som anförts ovan är sådana värdefulla för att klargöra vilka regler som gäller på arbetsplatsen. Det måste dock framhållas att varken riktlinjer eller en viss struktur i fråga om IT-systemets utformning kan medföra en större rätt för arbetsgivaren att ta del av privata elektroniska uppgifter än vad som framgår av den före- slagna bestämmelsen. Skyddet för arbetstagarna kan dock självfallet utvidgas genom att en arbetsgivare uttryckligen frånsäger sig rätten att ta del av privata elektroniska uppgifter enligt vad som annars skulle gälla enligt lagen. Enligt utredningens mening bör arbetstagare kunna samtycka till att arbetsgivaren tar del av privata uppgifter. En reglering utan en sådan möjlighet skulle riskera att bli allt för rigid och svårhanterlig i praktisk tillämpning. Bl.a. kan man nog utgå från att sådana privata uppgifter som avses här i många fall inte är direkt förtroliga eller Arbetstagarnas användning av informationsteknik För sådana fall är det angeläget att ett samarbete i god anda kan ske på arbetsplatserna. Ett generellt samtycke som lämnas exempelvis vid anställningens början kan vara tillräckligt. I samband med att samtycke lämnas måste arbetstagaren så utförligt som möjligt informeras om vad åtgärderna avser, deras syfte och vilka konsekvenser som kan följa om samtycke inte lämnas. Detta överensstämmer med definitionen av samtycke enligt PUL. Att en arbetstagare vägrar att lämna samtycke till kontroller kan naturligtvis medföra att arbetsgivaren inte tillåter att arbetstagaren använder IT-verktygen för privata ändamål eller överhuvudtaget. Om arbetstagaren inte har lämnat samtycke får arbetsgivaren endast ta del av uppgifterna om förutsättningarna enligt de nedan beskrivna undantagen är uppfyllda. Om dessa förutsättningar är uppfyllda behöver en arbetsgivare inte heller först fråga efter samtycke. 5.4.4.5Undantag om det är nödvändigt för arbetsgivarens verksamhet Även om det står klart att vissa uppgifter är arbetstagarens privata kan det finnas behov för arbetsgivaren att ta del av dem. För dessa särskilda situationer föreslås i bestämmelsen att undantag från förbudet skall gälla om det är nödvändigt för arbets- givarens verksamhet. Att undantaget anknyter till arbetsgivarens verksamhet innebär att frågan om det är tillåtet att ta del av privata uppgifter skall bedömas utifrån verksamhetens behov i det enskilda fallet. Arbetsgivarens åtgärd skall således vid en objektiv bedöm- ning framstå som berättigad med hänsyn till verksamheten. Denna begränsning kan förvisso tyckas något opreciserad. Emellertid sker i bestämmelsen ytterligare precisering genom de exempel som anges. För att kontroller enligt undantagsbestämmelsen skall få ske krävs att åtgärden är nödvändig. Kravet innebär alltså att det för att t.ex. undvika säkerhetsrisken i fråga måste vara nödvändigt att ta del av vissa uppgifter. Om exempelvis ett virus kan oskadliggöras utan att arbetsgivaren tar del av privata uppgifter i den drabbade filen är det inte tillåtet enligt bestämmelsen att ta del av uppgifterna. Arbetstagarnas användning av informationsteknik Nödvändighetskravet kan ses som en förstärkning av det allmänna relevanskravet som beskrivits ovan, se avsnitt. 5.4.4.7Vid fara för informationssäkerheten Det allt starkare beroendet av informationsteknik i olika samman- hang har medfört att säkerheten vid användningen av sådan teknik blivit allt mer betydelsefull. Hoten mot informationssäkerheten kan vara såväl externa som interna och avse t.ex. virusangrepp, an- grepp från hackers, tekniska fel samt mer eller mindre oavsiktliga skadliga åtgärder från arbetstagares sida. Kraven på en tillfreds- ställande informationssäkerhet kan göra det nödvändigt för arbets- givaren att i vissa fall ta del av en arbetstagares privata elektroniska uppgifter. Exempelvis kan en indikation på att ett virus före- kommer i ett e-postmeddelande innebära att arbetsgivaren har be- hov av att ta del av detta för att undanröja hotet. Vilka typer av hot som kan förekomma varierar i olika verksamheter. Enligt bestämmelsen förutsätts dock att det föreligger en konkret fara för informationssäkerheten. Utredningen kan inte uttala sig om de närmare gränserna för vilka situationer och vilka åtgärder som är tillåtna enligt bestämmelsen. Det är dock arbetsgivaren som bestämmer vilken säkerhetsnivå som skall gälla i verksamheten, vilket får stor betydelse för bedömningen av de åtgärder som kan behöva vidtas. för informationssäkerhet i den mening som avses här inne- fattar således mer än rent tekniska hot mot informationen. Även sådana fall där en arbetstagare – avsiktligt eller oavsiktligt – t.ex. sprider eller ändrar information utgör en sådan fara som avses. 5.4.4.8Vid skälig misstanke om brott Även i det fallet att en arbetstagare ägnar sig åt brottslig verksam- het och arbetsgivaren därför behöver vidta åtgärder är det befogat att ge arbetsgivaren rätt att ta del av privata elektroniska uppgifter. Härför bör krävas att arbetsgivaren har en skälig misstanke om att arbetstagaren gör sig skyldig till brott vid användningen av IT- verktygen samt att det är av betydelse för att förhindra fortsatt brottslighet att arbetsgivaren också tar del av arbetstagarens privata uppgifter. Bestämmelsen är begränsad till sådana situationer där arbetsgivarens IT-verktyg används vid utförande av brott. Att med stöd av bestämmelsen vidta allmänt utredande eller bevissäkrande åtgärder vid varje misstanke om brott får inte förekomma. Arbetstagarnas användning av informationsteknik givaren får alltså inte ta del av en arbetstagares privata elektroniska uppgifter för att undersöka om arbetstagaren exempelvis i med- delande till annan röjer att han begått brott. Sådana brottsutred- ningar bör även i fortsättningen skötas av polis och åklagare. När det gäller brott eller illojalt beteende förutsätts att det finns skälig misstanke om sådant. Begreppet avses här ha samma innebörd som när det gäller att bedöma misstanke vid användning av straff- processuella tvångsmedel. Det är således klart att det måste finnas någon konkret indikation på att sådant beteende förekommer, men att närmare bedöma vad som krävs i enskilda fall får överlämnas åt rättstillämpningen. En lämplig ordning är enligt utredningens mening att arbets- givaren i första hand skall försöka få arbetstagarens samtycke till åtgärden. 5.4.4.9Vid skälig misstanke om illojalitet Som ett led i anställningsavtalet anses ingå ett krav på arbetstagaren att vara lojal mot arbetsgivaren. Med detta avses att arbetstagaren inte får vidta åtgärder som är ägnade att skada eller på annat sätt försvåra arbetsgivarens verksamhet. Vilka krav som är rimliga att ställa måste av naturliga skäl variera beroende bl.a. på den aktuella verksamhetens beskaffenhet, arbetsuppgifternas art, arbetstagarens ställning i företaget och om arbetstagaren på något sätt äventyrat något led i arbetsgivarens verksamhet. Som AD har uttalat39 kan man självfallet inte med någon enkel formel beskriva vad som åvilar arbetstagaren i normalfallet, men en gemensam synpunkt på dennes förpliktelser har angivits vara att arbetstagaren är skyldig att sätta arbetsgivarens intresse framför sitt eget samt att undvika lägen, där han eller hon kan komma i en pliktkollision. Om det finns skälig misstanke att en arbetstagare bryter mot lojalitetsplikten, t.ex. genom att bedriva konkurrerande verksamhet eller genom att sprida konfidentiell information, bör det vara befo- gat att arbetsgivaren har en möjlighet att ingripa. Även för sådana situationer ges därför en möjlighet för arbetsgivaren att ta del av privata elektroniska uppgifter. För att knyta tillämpningen av be- stämmelsen till arbetsrättslig praxis föreslås att bestämmelsen skall omfatta sådan illojalitet som kan medföra skadeståndsskyldighet eller utgöra saklig grund för uppsägning. 39 Se AD 1993 nr 18. Arbetstagarnas användning av informationsteknik Beträffande begreppet skälig misstanke hänvisas till vad som anförts i närmast föregående stycke. En lämplig ordning även i detta fall är enligt utredningens me- ning att arbetsgivaren i första hand skall försöka få arbetstagarens samtycke till åtgärden. 5.4.5Förhållandet till andra författningar Frågan är om den föreslagna bestämmelsen kan anses innehålla en sådan begränsning i enskildas fri- och rättigheter enligt 2 kap. 6 § RF som är tillåten endast om förutsättningarna i 2 kap. 12 § RF är uppfyllda. I avsnitt 5.4.2.3 ovan har konstaterats att 2 kap. 6 § inne- bär ett förbud för en offentlig arbetsgivare att ta del av en arbets- tagares privata e-postmeddelanden som meddelandet är under befordran. Enligt utredningens mening innebär bestämmelsens första stycke att förbudet i 2 kap. 6 § upprätthålls och att det därför inte är fråga om någon begränsning i enskildas fri- och rättigheter. Liksom 2 kap. 6 § förbjuds aktivt undersökande från det allmännas sida. Den omständligheten att bestämmelsen inte hindrar att en arbetsgivare vid genomgång av e-postmeddelanden av misstag kan komma att ta del av privata uppgifter ger därför inte anledning till annan bedömning. Tredje stycket däremot innebär en begränsning i enskildas fri- och rättigheter med hänsyn till att bestämmelsen under angivna förutsättningar tillåter att en arbetsgivare – medveten om att viss e- post är privat – ändå undersöker den med stöd av bestämmelsen. Enligt 2 kap. 12 § får rättigheterna i 2 kap. 6 § begränsas genom lag. Begränsning får göras endast för att tillgodose ändamål som är godtagbart i ett demokratiskt samhälle. Begränsningen får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar. Begränsningen får inte heller göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning. I detta fall innebär begränsningen att skyddet i 2 kap. 6 § mot undersökning av arbetstagares brev eller annan förtrolig försändelse inskränks i vissa särskilt angivna undantagsfall där arbetsgivarens IT-verktyg har använts vid kommunikationen. Arbetstagarnas användning av informationsteknik att syftet med begränsningen inte är att utgöra hinder mot viss kommunikation eller mot viss åsiktsbildning. Syftet är i stället att göra det möjligt för arbetsgivaren att tillgodose sina intressen när det gäller användningen av IT-verktygen och därmed att bedriva sin verksamhet. Det nu anförda innebär enligt utredningens mening att de be- gränsningar i fri- och rättigheterna som bestämmelsen medför är godtagbara enligt 2 kap. 12 §. Artikel 8 i har en utformning som mot- svarar 2 kap. 6 och 12 §§ RF. Det ovan förda resonemanget om RF är enligt utredningens mening tillämpligt även på Europakonven- tionen och således är förslaget förenligt även med Europa- konventionen. Vid sidan av bestämmelsen kommer det s.k. meddelar- och an- skaffarskyddet enligt TF och YGL att gälla, se ovan avsnitt 5.4.2.9. Vid tillämpning av bestämmelserna om meddelar- och anskaffar- frihet uppkommer problem som motsvarar vad som ovan disku- terats, nämligen att det på förhand kan vara svårt att avgöra om vissa uppgifter är sådana som omfattas av bestämmelserna. Säkert finns det därför betydande risker att en offentlig arbetsgivare vid hanteringen av uppgifter i IT-systemet oavsiktligt kan komma att ta del av meddelanden som skyddas av TF och YGL. Den före- slagna bestämmelsen i påverkar emellertid inte tillämpningen av TF eller YGL och eventuella tillämpningssvårigheter beträffande dessa bestämmelser får övervägas i annat sammanhang. Genom att bestämmelsen anger när det är olovligt för en arbets- givare att ta del av en arbetstagares privata elektroniska uppgifter kommer den att få betydelse för bedömningen av vad som kan anses som straffrättsligt olovligt. Som redovisats ovan i avsnitt 5.4.2.5 under rubriken , förutsätter brottet dataintrång enligt 4 kap. 9 c § BrB att någon olovligen bereder sig tillgång till upptagning för automatisk databehandling. Att bereda sig tillgång till en upptagning innefattar bl.a. att ta del av upptagningens inne- håll. Den föreslagna bestämmelsen kommer att definiera vad som skall anses olovligt i den situationen att en arbetsgivare tar del av en Arbetstagarnas användning av informationsteknik arbetstagares privata elektroniska uppgifter. Vid bedömningen av om ett förfarande utgör dataintrång bör alltså åtgärder som är tillåtna i enlighet med den föreslagna bestämmelsen inte kunna an- ses som olovliga i straffrättsligt hänseende. På motsvarande sätt torde åtgärder i strid med bestämmelsen vara att betrakta som olovliga och därmed som ett straffbart dataintrång.40 Som framgår i avsnitt 5.4.2.6, tillämpas PUL fullt ut på sådana åt- gärder som innebär att en arbetsgivare tar del av en arbetstagares privata elektroniska uppgifter. Av den föreslagna bestämmelsen framgår hur intresseavvägningen mellan arbetsgivarens och arbets- tagarnas respektive intressen skall göras och bestämmelsen innebär därmed en precisering av 10 § PUL. 3 § är således i detta avse- ende en specialreglering i förhållande till PUL och skall därmed gälla framför PUL. I övrigt skall en arbetsgivare som behandlar personuppgifter om en arbetstagare genom att ta del av dennes privata elektroniska uppgifter följa vad som föreskrivs i PUL.41 Som framgår av närmast föregående avsnitt innebär den föreslagna bestämmelsen en precisering av 10 § PUL och därmed en precise- ring av direktivets artikel 7. Något hinder emot att i nationell lag- stiftning precisera artikeln finns inte. Preciseringarna innebär inte att det fria flödet av personuppgifter mellan medlemsstaterna hind- ras. Inte heller innebär de att skyddet för enskildas personliga integritet sänks i strid med direktivet. Således utgör direktivet inget hinder mot den föreslagna bestämmelsen. Praktiskt taget all informations- och kommunikationsteknik inne- fattar en möjlighet att logga användarnas aktiviteter. Det innebär att utformning och användning av loggar varierar mycket. Inom begreppet loggning faller därmed en stor mängd disparata funk- tioner som bara har det gemensamt att de automatiserat registrerar aktiviteter i en IT-applikation. Det är givet att det vid en analys av de rättsliga frågorna kring loggning innebär vissa svårigheter att 40Jfr förhållandet mellan 44 § telelagen och 4 kap. 8 § BrB. 41Se närmare redogörelsen i avsnitt 5.4.2.6. Arbetstagarnas användning av informationsteknik göra en samlad redovisning av fall med så vitt skilda användnings- områden och så olika utformning som det här är fråga om. Att i stället försöka göra en systematisk uppdelning i t.ex. syften eller användningsområden för loggarna skulle emellertid också innebära vissa nackdelar. Bl.a. har många loggar flera möjliga användnings- områden, t.ex. såväl teknisk kontroll som kontroll av arbetstagares beteenden. Vidare måste beaktas att den tekniska utvecklingen innebär stora svårigheter att även för den närmaste framtiden för- utse hur loggning kan komma att utformas och användas. Mot denna bakgrund kommer i denna framställning alla former av logg- ning att behandlas gemensamt. Med loggning avses då all insamling av sådana elektroniska spår som innehåller information om aktivi- teter som har vidtagits av en fysisk person vid användning av en datoriserad tillämpning. Således kommer begreppet loggning här att avse så vitt skilda fall som relativt enkla loggar för teknisk över- vakning av nätverk, loggar i inpasseringssystem och loggar i avance- rade tillämpningar för prestationsmätning i exempelvis teletjänst- verksamhet. Risker för integritetsintrång torde endast förekomma om upp- giften om viss aktivitet går att hänföra till en bestämd fysisk person och uppgiften således är en personuppgift i PUL:s mening. Reso- nemangen kommer därför i det följande att begränsas till situatio- ner där uppgifterna i loggarna utgör personuppgifter. Med hänsyn till att personuppgifter behandlas automatiserat är PUL tillämplig enligt 5 § PUL. Det kan därför redan här nämnas att PUL är fullt ut tillämplig i de fall som avses nedan. En särskild fråga i detta sammanhang är när loggning av arbets- tagares arbetsinsatser får sådan omfattning att loggningen riskerar att negativt påverka arbetstagarens fysiska eller psykiska väl- befinnande. Som framgår nedan betraktar utredningen detta i första hand som en arbetsmiljöfråga, se nedan avsnitt 5.5.2.1. Även när det gäller loggning är naturligtvis arbetsgivarens arbets- lednings- och kontrollrätt av betydelse för de kontroller en arbets- givare kan göra. Arbetsledningsrätten ger som utgångspunkt arbetsgivaren en principiell rätt att bestämma när loggning skall ske. Arbetstagarnas användning av informationsteknik rätten torde följa att arbetsgivaren också som utgångspunkt har rätt att använda loggarna för att kontrollera enskilda arbetstagares bete- enden och prestationer. Att sådana kontroller inte får stå i strid med lag innebär bl.a. att arbetsgivaren vid behandlingen måste följa PUL och således ange ett särskilt och berättigat ändamål, att in- formera arbetstagarna om kontrollerna m.m. Av 9 § PUL följer som ett grundläggande krav att god sed måste iakttas vid all be- handling av personuppgifter. Detta torde innebära att kontroller inte får ske på ett sätt som innebär mycket närgången och om- fattande övervakning av arbetstagaren. Såsom anförts ovan behandlas här endast loggning som omfattas av . Det innebär att varje åtgärd som arbets- givaren företar med personuppgift i samband med loggning, dvs. insamling, bearbetning, användning m.m., måste uppfylla PUL:s krav. Med hänvisning till den stora variation som förekommer när det gäller loggning kan här inte lämnas en uttömmande redovisning av situationer där tillämpningen av PUL kan vålla problem. Inte heller eftersträvas någon fullständighet i redovisningen av . I avsnittet skall i stället ges exempel på situationer där PUL kan antas vara särskilt betydelsefull i samband med logg- ning. I det följande kommer redogörelsen att utgå från att den personuppgiftsansvarige är en arbetsgivare. Grundläggande krav på behandlingen Som allmänna krav gäller att arbetsgivaren bara får behandla personuppgifter om det är lagligt samt om det sker på ett korrekt sätt och enligt god sed. Att behandlingen skall ske enligt god sed torde i detta sammanhang kunna innebära att man vid bedöm- ningen söker ledning i riktlinjer utarbetade av etablerade bransch- sammanslutningar eller hur andra ansvarsfulla arbetsgivare hanterar frågor om loggning. Enligt 9 § PUL skall arbetsgivaren se till att personuppgifter samlas in bara för särskilda, uttryckligen angivna och berättigade ändamål. Dessa ändamål får sedan betydelse för den fortsatta behandlingen av personuppgifterna. Bl.a. får personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Det innebär dels att arbetsgivaren – redan Arbetstagarnas användning av informationsteknik när en loggningsfunktion tas i bruk – uttryckligen måste ha angett ändamålen med denna, dels att arbetsgivaren är förhindrad att an- vända uppgifterna i loggen för andra (oförenliga) ändamål. Kravet att ändamålen skall vara särskilda innebär att dessa inte kan anges alltför allmänt, utan måste vara relativt detaljerade. Om ändamålet med en viss loggning har angetts vara för att kontrollera en tillämpnings tekniska funktion, innebär PUL ett förbud mot att använda uppgifterna exempelvis för att kontrollera arbetstagares prestationer. Enligt 9 § krävs också att arbetsgivaren begränsar uppgifterna vid loggning till sådana som är adekvata och relevanta i förhållande till de angivna ändamålen. Slutligen måste arbetsgivaren se till att insamlade uppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålet med loggningen. 10 § PUL anger uttömmande när behandling av personuppgifter är tillåten. Först kan konstateras att ett frivilligt och informerat sam- tycke av arbetstagaren alltid medför att behandling av person- uppgifter är tillåten. Några begränsningar utöver vad som följer av 9 § PUL när det gäller vilka uppgifter som kan samlas in eller i övrigt behandlas vid loggning finns inte för en arbetsgivare som inhämtar samtycke från arbetstagarna. Även om samtycke inte har inhämtats får loggning ske enligt de i bestämmelsen närmare an- givna förutsättningarna. Ett grundläggande krav är att behand- lingen är nödvändig. I många fall där loggning sker för teknisk kontroll av viss tillämpning kan man ifrågasätta om vidtagna åt- gärder över huvud taget behöver kunna hänföras till enskild arbetstagare. Arbetsgivare får behandla personuppgifter om arbetstagare om det är nödvändigt för att fullgöra ett avtal mellan parterna. I allmän- het torde loggning inte utgöra sådan behandling som är nödvändig för fullgörelse av anställningsavtalet. Det kan dock tänkas att ett avtal om resultatlön eller ett system med individuella ackord kan innebära att det är nödvändigt att behandla personuppgifter som samlats in genom loggning. Att loggning skulle vara nödvändig för att fullgöra en rättslig skyldighet kan också förekomma. Som exempel kan nämnas att en myndighets särskilda skyldigheter beträffande inkomna handlingar Arbetstagarnas användning av informationsteknik kan medföra att det är nödvändigt att logga t.ex. inkommande e- post på visst sätt. Slutligen får personuppgifter behandlas efter en intresse- avvägning om arbetsgivarens berättigade intressen av behandlingen väger tyngre än arbetstagarens intresse av integritetsskydd. Denna bestämmelse torde komma att tillämpas i många fall vid bedömning av tillåtligheten av viss loggning. Bestämmelsen innebär att arbets- givaren för varje fall av loggning skall göra en avvägning mellan å ena sidan sina egna behov av loggningen och å andra sidan det in- trång i arbetstagarnas personliga integritet som denna medför. Arbetsgivarnas och arbetstagarnas respektive intressen har redo- visats ovan. Att närmare ange hur intresseavvägningen enligt PUL faller ut i enskilda fall är knappast möjligt. Generellt kan möjligen sägas att loggning som betingas av säkerhetsskäl i allmänhet väger tyngre än sådana som betingas av t.ex. företagsekonomiska effektivitetsskäl. PUL innehåller i 13 § särskilda bestämmelser om behandling av känsliga personuppgifter. I detta sammanhang uppkommer frågan om insamling av personuppgifter genom loggning kan utgöra behandling av sådana känsliga personuppgifter som avses. Vid till- komsten av dataskyddsdirektivet och PUL tycks inte detta ha be- rörts.