sou · GQB318d2 · 2003-01-01 00:00:00 — Därför bör den enskilde, som drabbas av en olaglig behandling, ha rätt till ekonomisk kompensation för själva kränkningen förutom rätt till ersättning för ekonomisk skada. Ersättningen för kränkningen bör uppskattas efter skälighet mot bakgrund av samtliga omständigheter i det aktuella fallet.4 Utredningens förslag: En bestämmelse bör införas som innebär att arbetsgivare skall ersätta en arbetstagare eller en arbets- sökande för den skada och kränkning av den personliga integri- teten som behandling av personuppgifter i strid med har orsakat. Ersättningsskyldigheten bör i den utsträckning det är skäligt kunna jämkas, om arbetsgivaren visar att felet inte berodde på arbetsgivaren. Av redogörelsen för nuvarande reglering framgår att en arbets- tagare5 redan med gällande bestämmelser har vissa möjligheter till 1997/98:44 s. 106. 5Med arbetstagare avses här i förekommande fall även tidigare arbetstagare och arbetssökande. ersättning för skada i situationer som omfattas av . Möjlig- heterna är emellertid begränsade till sådana fall där arbetsgivaren gör sig skyldig till brott enligt andra straffstadganden. Vid flertalet överträdelser av skulle därmed en arbetstagare sakna rätt till skadestånd, vilket utredningen finner otillfreds- ställande. Utgångspunkten bör enligt utredningens mening vara densamma som i PUL, nämligen att alla överträdelser av lagens bestämmelser bör medföra rätt till ersättning för såväl skada som kränkning av arbetstagarens personliga integritet. Den föreslagna bestämmelsen innebär att en arbetstagare får rätt till ersättning för skada eller kränkning av den personliga integriteten vid alla brott mot . Förslaget har utformats i enlighet med 48 § PUL och omfattar sak- och personskada, ren förmögenhetsskada och kränkning. Eftersom det torde vara mycket sällsynt att ersättningsgilla rena förmögenhetsskador samt sak- och personskador uppkommer vid brott mot , är den praktiskt mest betydelsefulla skadeformen i bestämmelsen kränk- ning av den personliga integriteten. Detta är, som nämnts ovan, fråga om ett ideellt intresse som i många fall kan vara svårt att ange mer exakt. LIA:s utformning innebär emellertid att en gräns har dragits mellan vad som inom lagens tillämpningsområde är tillåtet och otillåtet i fråga om åtgärder som kan kränka en arbetstagares personliga integritet. Om en arbetsgivare går utöver vad som är tillåtet och alltså bryter mot måste en kränk- ning av den personliga integriteten ha uppkommit. Arbetsgivarens ansvar är strikt och gäller därmed oavsett uppsåt eller oaktsamhet från dennes sida. Arbetsgivaren blir ansvarig inte bara för egna åtgärder, utan även för åtgärder som t.ex. någon anställd vidtar mot en annan anställd eller som ett rekryteringsföretag har vidtagit under ett anställningsförfarande. Den möjlighet till jämkning som intagits i bestämmelsen innebär emellertid att arbetsgivaren kan bli fri från ansvar om han eller hon visar att skadan eller kränkningen har uppkommit på grund av fel som inte berodde på arbetsgivaren. Ansvaret bör kunna jämkas bl.a. om arbetsgivaren kan visa att han vidtagit tillräckliga åtgärder för att skall följas, men en kränk- ning trots det uppkommer på grund av att en arbetstagare eller ett rekryteringsföretag behandlar personuppgifter i strid med arbets- givarens riktlinjer. För en arbetstagare är det således tillräckligt att visa att personuppgifter har behandlats eller att annan åtgärd har vidtagits i strid med för att en kränkning skall anses ha uppkommit. arbetsgivaren häremot gör gällande att det föreligger skäl för jämkning, är det arbetsgivarens sak att visa att så är fallet. När det i övrigt gäller grunderna för jämkning eller bedömning av ersättningens storlek bör tillämpningen överensstämma med vad som gäller enligt PUL. Här bör särskilt påpekas att en tvist om skadestånd enligt bestämmelsen normalt skall handläggas enligt lagen (1974:371) om rättegången i arbetstvister, vilket närmare har redovisats i avsnitt 15.1.3Förhållandet till andra bestämmelser Enligt 1 kap. 1 § skadeståndslagen gäller lagen inte om annat är föreskrivet. I förhållande till 2 kap. 3 § skadeståndslagen är de före- slagna skadeståndsbestämmelserna i sådana specialbestämmel- ser som tar över de allmänna skadeståndsreglerna i skadestånds- lagen. Vid sådana förfaranden som utgör överträdelse av och utgör brott enligt andra straffbestämmelser kan ersätt- ning utgå enligt såväl som skadeståndslagens bestämmelser. Den omständigheten att arbetsgivarens åtgärder – förutom överträdelse av – också är straffbara på annan grund bör kunna beaktas vid bedömningen av allvaret i kränkningen. Skadeståndslagens karaktär av generell lag innebär att dess be- stämmelser tillämpas i den utsträckning en skadeståndsfråga inte berörs i . Således skall skadeståndslagen tillämpas bl.a. när det gäller skadeståndets beräkning (5 kap.) eller frågan om ansvaret när det finns flera skadeståndsskyldiga (6 kap. 3 §). Frågan om jämk- ning p.g.a. medvållande (6 kap. 1 §) får emellertid anses reglerad i den föreslagna bestämmelsen i . I likhet med vad som allmänt sagts beträffande förhållandet mellan och gäller även i fråga om skadestånd att LIA:s bestämmelse tar över PUL:s i de fall innebär en specialreglering av en skadegörande handling. Om en arbetsgivare t.ex. inhämtar personuppgifter från tredje man utan arbetstagarens samtycke, står det i strid med en särskild bestämmelse i , vilket medför att LIA:s skadeståndsbestämmelse tar över 48 § PUL. Om de i exemplet ovan inhämtade uppgifterna behandlas automatiserat och arbetsgivaren därvid exempelvis i strid med 33 § PUL överför personuppgifterna till tredje land rör det sig om en åtgärd som inte regleras särskilt i . Därmed skall skadeståndsbestämmelsen i PUL tillämpas. Således kan olika skadeståndsbestämmelser komma att tillämpas avseende olika skeden i behandlingen av en och samma person- uppgift. Detta har emellertid ingen materiell betydelse, eftersom LIA:s och innehållsmässigt överensstämmer med varandra. I 49 § PUL finns regler om straff för den som bryter mot vissa bestämmelser i lagen. De förfaranden som är straffbelagda är om någon uppsåtligen eller av oaktsamhet lämnar osanna uppgifter i vissa angivna fall, behandlar känsliga uppgifter eller uppgifter om lagöverträdelser i strid med lagen, överför personuppgifter till tredje land i strid med lagen eller underlåter att till tillsyns- myndigheten anmäla vilken behandling som sker. Straffbestämmel- sen riktar sig mot varje fysisk person som gör sig skyldig till den straffbara handlingen och är alltså inte särskilt knuten till den personuppgiftsansvarige. 15.2.2Behovet av ytterligare reglering För att föreslå nya straffbestämmelser bör krävas starka skäl, bl.a. att det är fråga om ett så allvarligt brott att en straffrättslig sanktion är befogad och att det inte finns andra sätt att reagera mot beteendet i fråga. Vidare måste en straffbestämmelse vara så preciserad att den enskilde klart kan förutse var gränserna för tillåtet beteende går. Utredningen föreslår att överträdelser av skall vara förenade med en skadeståndsskyldighet för arbetsgivaren. Vidare har i avsnitt redovisats hur frågor om arbetstagares integritetsskydd praktiskt bör komma att hanteras på arbets- platserna. Fackföreningarna förutses här få ett betydande inflytande. Förutsättningarna att ge de föreslagna bestämmelserna tillräcklig effektivitet utan att förena dem med en straffsanktion tycks därmed goda. Trots att det alltså enligt utredningens mening inte finns något självständigt behov av att straffsanktionera måste följande beaktas. I förhållande till PUL utgör en specialreglering när det gäller bl.a. behandling av personuppgifter om arbetstagares hälsa. Det innebär att om behandling av hälsouppgifter inte skall tillämpas inom LIA:s tillämpningsområde, dvs. i förhållandet mellan arbetsgivare och arbetstagare eller arbetssökande. Med hänsyn till att de paragrafer som straffbestämmelsen i PUL hänvisar till därmed inte är tillämpliga innebär de föreslagna bestämmelserna i i praktiken en avkriminalisering i de fall där behandlingen sker helt eller delvis automatiserat. Enligt utredningens mening är det inte lämpligt att här avkriminalisera lagstridig behandling av hälsouppgifter i arbetslivet, när sådan behandling är straffbar i andra sammanhang. Trots de ovan redovisade betänkligheterna beträffande kriminalisering anser utredningen därför att det är ofrånkomligt att i införa en straffbestämmelse som motsvarar vad som gäller enligt PUL. För att motsvara PUL:s tillämpningsområde är tillräckligt att i införa en bestämmelse som kriminaliserar brott mot 5 § . I förhållande till PUL innebär en specialreglering även t.ex. när det gäller behandling av personuppgifter om lagöverträdelser eller när det gäller arbetsgivarens skyldighet att lämna information till arbetstagarna eller att rätta felaktiga uppgifter. I dessa fall har emellertid direkt i de föreslagna bestämmelserna föreskrivits att motsvarande bestämmelser i fortfarande skall gälla vid helt eller delvis automatiserad behandling eller behandling i registerform. Därför gäller PUL:s straffbestämmelse och någon särskild reglering i behövs inte i de fallen. Utredningen föreslår: En straffbestämmelse föreslås, enligt vilken den som uppsåtligen eller av oaktsamhet behandlar personuppgifter i strid med 5 § kan dömas till böter eller fängelse eller, om brottet är grovt, till fängelse i högst . Det straffbara området är begränsat till behandling som sker helt eller delvis automatiserat eller i registerform, varför helt behandling undantas. Bestämmelsen straffsanktionerar förfaranden som innebär att en arbetsgivare behandlar en arbetstagares eller en arbetssökandes personuppgifter om hälsa eller droganvändning i strid med 5 §. Bestämmelsen utformas med 49 § PUL som förebild och avser därmed såväl uppsåtliga som oaktsamma förfaranden. I likhet vad som gäller enligt PUL är det den fysiska person som gjort sig skyldig till förfarandet som kan dömas till ansvar. Vilken person som i ett enskilt fall kan dömas till ansvar får bedömas utifrån allmänna straffrättsliga principer. Straffbestämmelsen i PUL gäller även i fortsättningen för sådana förfaranden som bestämmelsen avser, med undantag för de fall där innebär en specialreglering. I 9, 11, 12 och 13 §§ har uttryckligen angetts att PUL skall gälla även i fortsättningen vid behandling som sker helt eller delvis automatiserat eller i registerform. Därmed skall också 49 § PUL tillämpas i de fall det sker en straffbar överträdelse av 21 och 23–28 samt 30 och 31 §§ PUL. När det gäller förfaranden i strid med 3 § har tidigare anförts att sådana förfaranden kan vara att bedöma som dataintrång enligt 4 kap. 9 c § BrB. 16 Konsekvenser av förslagen Enligt 14 § kommittéförordningen (1998:1474) gäller att om förslagen i ett betänkande påverkar kostnaderna eller intäkterna för staten, kommuner, landsting, företag eller andra enskilda skall en beräkning av dessa konsekvenser redovisas i betänkandet och om förslagen innebär samhällsekonomiska konsekvenser i övrigt skall också dessa redovisas. När det gäller kostnadsökningar och intäktsminskningar för staten, kommuner eller landsting skall kommittén föreslå en finansiering. I 15 § nu nämnda förordning sägs att om förslagen i ett betänkande har betydelse för den kommunala självstyrelsen skall konsekvenserna i det avseendet anges i betänkandet. Detsamma gäller när ett förslag har betydelse för brottsligheten och det brottsförebyggande arbetet, för sysselsättningen och offentlig service i olika delar av landet, för små företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i förhållande till större företags, för jämställdheten mellan kvinnor och män eller möjligheterna att nå de integrationspolitiska målen. I 16 § sägs att regeringen anger närmare i utrednings- uppdraget vilka konsekvensbeskrivningar som skall finnas i ett betänkande. I har angetts att utredaren särskilt skall ta hänsyn till de små företagens arbetsförutsättningar, konkurrensförmåga och villkor i övrigt. Utredningens förslag till integritetsskyddande lag kommer att beröra de flesta arbetsgivares verksamhet. Det är därför önskvärt att både arbetsgivare och arbetstagare informeras om lagens innebörd. Enligt utredningens mening är det lämpligast att överlåta åt arbetsgivar- och arbetstagarorganisationerna att informera sina medlemmar på det sätt som är mest praktiskt och effektivt. För denna uppgift bör det utgå extra medel. Frågan om beloppets storlek får behandlas vid överläggningar mellan regeringen och berörda organisationer. I övrigt kan lagförslaget inte anses medföra några kostnader som bör täckas med särskilda anslag. Bestämmelserna om genomförandet av hälsoundersökningar och drogtester kan föranleda en mindre kostnad för de arbetsgivare som i syfte att uppfylla lagens krav ansluter sig till företags- hälsovården eller liknande inrättningar. Utredningen har fortlöpande bedrivit sitt arbete med hänsyn till att kvinnor och män skall behandlas lika. Uppmärksamheten har alltså kontinuerligt varit riktad mot jämställdhetsfrågor och utred- ningen anser att lagförslaget är helt i enlighet med intentionerna i jämställdhetslagstiftningen. Utredningen har också tagit del av rele- vanta EG-direktiv och avgöranden från angående familjeplaneringsfrågor och beaktat de resonemang som fram- kommit i avgörandena vid utformningen av såväl lagtext som betänkandetext. Enligt direktiven har utredningen att beakta de föreslagna bestämmelsernas konsekvens för de små företagens arbets- förutsättningar, konkurrensförmåga och villkor i övrigt. Utred- ningen anser inte att lagförslaget kommer att få verkningar som påverkar de mindre företagens förutsättningar i nämnda avseenden. Utredningen anser inte heller att förslaget får några konsekvenser i övrigt i de hänseenden som bör beaktas. Förslag till lag om skydd för personlig integritet i arbetslivet Syftet med denna lag är att med utgångspunkt i personuppgiftslagen (1998:204) stärka skyddet för den personliga integriteten i arbetslivet. Paragrafen är en s.k. portalparagraf som upplyser om att målsättningen med lagen är att stärka integriteten i arbetslivet. Förslaget motiveras utförligt i kapitel 3 i den allmänna motiveringen. Lagens tillämpningsområde 2 § Lagen tillämpas på arbetsgivares dokumenterade behandling av arbetstagares och arbetssökandes personuppgifter. Med arbetstagare förstås i förekommande fall även tidigare arbetstagare. Vid all behandling av personuppgifter som omfattas av denna lag tillämpas även 7–9 §§ personuppgiftslagen. Om det i en annan lag än personuppgiftslagen eller i en förordning finns bestämmelser som avviker från denna lag, skall de bestämmelserna gälla. I paragrafen finns bestämmelser om tillämpningsområdet för lagen. Bestämmelserna har ingående beskrivits i kapitel 4 i den allmänna motiveringen. Med begreppet behandling av personuppgifter avses detsamma som anges i 3 § PUL, nämligen varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. Med begreppet personuppgift avses, likaledes enligt 3 § PUL, all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Alla former av behandling av personuppgifter – och automatiserad – omfattas av . För det första krävs det dock att personuppgifterna är dokumenterade. En personuppgift är dokumenterad om den finns i en framställning i skrift eller bild eller i en upptagning som kan läsas, avlyssnas eller på annat sätt uppfattas med tekniskt hjälpmedel (jfr motsvarande krav i fråga om handlingar i 2 kap. 3 § första stycket TF). Personuppgifter som en arbetsgivare har fått muntligt och som inte därefter dokumenterats omfattas således inte. För det andra krävs att det är en arbetsgivare som behandlar personuppgifter om en person som är eller har varit arbetstagare hos arbetsgivaren eller söker eller har sökt anställning hos arbets- givaren. Lagen bygger på det civilrättsliga arbetstagarbegreppet. Med arbetssökande avses detsamma som enligt 45 § jämställdhets- lagen (1991:433). En arbetsgivare anses behandla personuppgifter om arbetsgivaren ensam eller tillsammans med annan bestämmer ändamålen med och medlen för behandlingen (jfr definitionen av personuppgiftsansvarig i 3 § PUL). Att en arbetsgivare som anlitar rekryteringsföretag eller liknande företag under vissa förutsättning- ar anses ansvarig enligt för företagets behandling av person- uppgifter har berörts i avsnitt i den allmänna motiveringen. Av paragrafen framgår vilken behandling av personuppgifter som omfattas av . I andra stycket föreskrivs att 7–9 §§ PUL skall tillämpas vid all behandling som omfattas av . Det innebär att dessa bestämmelser skall tillämpas också på sådan behand- ling som inte omfattas av 5 § PUL men som omfattas av , dvs. vad som i betänkandet benämns helt behandling. Vid tillämpning av 7–9 §§ PUL avses arbetsgivare med begreppet personuppgiftsansvarig och arbetstagare eller arbetssökande med begreppet registrerad. Den som är anställd och inom ramen för arbetsgivarens verksamhet behandlar personuppgifter är inte personuppgiftsansvarig. Arbetsgivaren är personuppgiftsansvarig och den anställde är medhjälpare och har som sådan inte något eget skadeståndsansvar gentemot andra anställda eller mot arbetssökande. I 9 § PUL slås fast grundläggande krav på behandlingen av personuppgifter. Paragrafen har följande lydelse: Den personuppgiftsansvarige skall se till att a)personuppgifter behandlas bara om det är lagligt, b)personuppgifter alltid behandlas på ett korrekt sätt och i enlighet med god sed, c)personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål, d)personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, e)de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen, f)att inte fler uppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen g)de personuppgifter som behandlas är riktiga och, om det är nödvändigt, aktuella h)alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen, i)personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. I fråga om första stycket d gäller dock att en behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte skall anses som oförenlig med de ändamål för vilka uppgifterna samlades in. Personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål än som sagts i första stycket i. Personuppgifterna får dock i sådana fall inte bevaras än vad som behövs för dessa ändamål. Personuppgifter för historiska, statistiska eller vetenskapliga ändamål får användas för att vidta åtgärder i fråga om den registrerade bara om den registrerade har lämnat sitt samtycke eller om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Bestämmelserna i 7 och 8 §§ PUL, som behandlar förhållandet till tryckfriheten, yttrandefriheten och offentlighetsprincipen, berörs i den allmänna motiveringen i avsnitt Av tredje stycket framgår att bestämmelserna i är subsidiära i förhållande till bestämmelser i andra lagar än PUL och i förordningar utfärdade av regeringen. Beslut som eller regeringen har fattat i annan form än lag eller förordning tar däremot inte över bestämmelserna i . Att bestämmelser i grundlag vid konflikt tar över bestämmel- serna i följer redan av den vedertagna principen om grundlags överhöghet. Frågan om en viss bestämmelse innefattar en avvikelse från vad som skall gälla enligt får avgöras med tillämpning av sedvanliga metoder för tolkning av författningar. En bestämmelse om att en arbetsgivare får eller skall registrera eller lämna ut vissa uppgifter kan t.ex. avvika från bestämmelserna i . Privat e-post och andra privata elektroniska uppgifter 3 § En arbetsgivare får inte avsiktligt ta del av en arbetstagares privata e- post eller andra privata elektroniska uppgifter. Första stycket gäller inte om arbetstagaren har lämnat sitt samtycke till åtgärden. Första stycket gäller inte heller om åtgärden är nödvändig för arbetsgivarens verksamhet. Vid bedömningen härav skall särskilt beaktas om det föreligger fara för informationssäkerheten eller om det finns skälig misstanke att arbetstagaren har gjort sig skyldig till brott vid användning av arbetsgivarens elektroniska utrustning eller till sådant illojalt beteende som kan utgöra saklig grund för uppsägning eller föranleda skadeståndsskyldighet. I första stycket slås fast som huvudregel att en arbetstagares privata e-post eller andra privata elektroniska uppgifter som finns i arbets- givarens IT-utrustning är skyddade från insyn från arbetsgivarens sida och att denne därmed inte får ta del av uppgifterna. Med hänsyn till de praktiska svårigheterna att på förhand avgöra om vissa uppgifter är privata eller inte har införts en begränsning till fall där arbetsgivaren avsiktligt tar del av uppgifterna. sen hindrar således inte att en arbetsgivare i oklara fall tar del av uppgifter för att undersöka om de är privata. Om det då visar sig att uppgifterna är privata får arbetsgivaren inte vidta några ytterligare åtgärder för att ta del av uppgifterna. Av andra stycket framgår dock att arbetsgivaren alltid har rätt att ta del av privata elektroniska uppgifter om arbetstagaren har sam- tyckt till åtgärden. Med samtycke avses detsamma som enligt PUL. I tredje stycket anges vidare att arbetsgivaren får ta del av en arbetstagares privata elektroniska uppgifter även i de fall att det är nödvändigt för verksamheten. Vilka omständigheter som kan göra detta berättigat har exemplifierats. Med uttrycket fara för informationssäkerheten avses ett påtagligt och betydande hot. Åt- gärden att ta del av uppgifterna måste också vid en objektiv bedömning framstå som nödvändig med hänsyn såväl till arbetsgivarens verksamhet som till den föreliggande faran. Vid misstanke om brott eller illojalt beteende krävs en konkret misstanke, vilket uttrycks på så sätt att det skall finnas en skälig misstanke. En arbetsgivares åtgärd att ta del av privat elektronisk information utgör enligt PUL behandling av personuppgifter om arbetstagaren. skall därför tillämpas vid sidan av den nu föreslagna bestämmelsen. I fråga om behandling av personuppgifter om arbetstagare som har samlats in helt eller delvis automatiserat (loggning) gäller vad som föreskrivs i personuppgiftslagen. Bestämmelsen har inget materiellt innehåll utan är endast en hänvisning till PUL. Motiven till att en hänvisning har ansetts erforderlig utvecklas i avsnitt 5.5.3. Personuppgifter om hälsa eller droganvändning En arbetsgivare får inte behandla personuppgifter om en arbetstagares eller en arbetssökandes hälsa eller droganvändning. Första stycket gäller inte om behandlingen är nödvändig för att bedöma om arbetstagaren eller arbetssökanden är lämpad för att utföra arbetsuppgifter i arbetsgivarens verksamhet eller för att bedöma arbetstagarens rätt till förmåner om arbetstagaren har begärt detta. De ställningstaganden som motiverar lagförslaget i detta avseende har redovisats i avsnitt och förslagets närmare utformning har redovisats i avsnitt. I första stycket anges huvudregeln som är ett förbud för arbetsgivaren att behandla de angivna personuppgifterna. Av andra stycket framgår de två undantagen från huvudregeln.