sou · GQB318d2 · 2003-01-01 00:00:00 — Det första undantaget, som innebär att arbetsgivaren får behandla personuppgifter om hälsa eller droganvändning för att bedöma om en arbetstagare eller en arbetssökande är lämpad för de aktuella arbetsuppgifterna, villkoras av att behandlingen av hälsouppgifterna skall vara nödvändig. Det är inte möjligt att hänvisa till att vissa verksamheter generellt är att betrakta som riskfyllda eller att en arbetstagare kan misstänkas få missbruksproblem framledes. Arbetsgivaren måste i stället i varje enskilt fall överväga om behandlingen är nödvändig för en bedömning av arbetstagarens möjligheter att utföra arbetsuppgifter. Om en arbetsgivare t.ex. behandlar uppgifter om arbetstagares droganvändning i syfte att förebygga risker på arbetsplatsen kan ofta informationsinsatser och en gemensamt utarbetad policy utgöra ett fullgott alternativ till behandlingen och denna kan då inte anses nödvändig. Undantaget innebär att arbetsgivaren får behandla uppgifter om en arbetstagares eller en arbetssökandes hälsa för att kunna bedöma om han eller hon överhuvudtaget är i stånd att utföra arbets- uppgifter. Detta aktualiseras t.ex. när det ställs särskilda krav på arbetstagarens förmåga. I de flesta fall torde dock arbetsgivaren genom stöd och anpassningsåtgärder kunna utforma arbetsmiljön på ett sätt som innebär att det inte är nödvändigt att behandla hälsouppgifter enligt . Enligt det andra undantaget skall behandlingen föregås av en begäran från arbetstagaren. Denna kan framställas både muntligen och skriftligen eller framgå av s.k. konkludent handlande. En begäran anses också framställd om arbetstagaren ger in handlingar till arbetsgivaren, t.ex. i form av kvitton, eller om arbetstagaren uppträder på ett sätt som ger arbetsgivaren befogad anledning att anta att arbetstagaren önskar att få del av förmånen. Hälsoundersökningar och drogtester 6 § En arbetsgivare skall tillse att hälsoundersökningar avseende arbetstagare eller arbetssökande bara genomförs av personal inom hälso- och sjukvården eller under överinseende av sådan personal. En arbetsgivare skall tillse att drogtester avseende arbetstagare eller arbetssökande bara genomförs med metoder som är tillförlitliga. Arbetsgivaren skall därvid tillse att andra prover än utandnings- prov bara tas av personal inom hälso- och sjukvården eller under överinseende av sådan personal samt att proven analyseras av ett laboratorium som är ackrediterat enligt lagen (1992:1119) om teknisk kontroll. Förslagen i dessa bestämmelser har behandlats utförligt i den allmänna motiveringen i avsnitt. Tillsynen över personal inom hälso- och sjukvården utövas av enligt 6 kap. lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område. En arbetsgivare får inte behandla personuppgifter om en arbetstagare eller en arbetssökande som har hämtats in genom ett personlighetstest annat än med samtycke. Arbetsgivaren skall tillse att personlighetstester bara genomförs på ett betryggande sätt med testinstrument som är tillförlitliga och av personer med adekvat utbildning. Förslaget har motiverats närmare i kapitel i den allmänna motiveringen. I bestämmelsen uppställs som krav för att arbetsgivaren skall vara tillåten att använda personlighetstester att de skall vara tillförlitliga. De svårigheter som föreligger vid en bedömning av om en metod är tillförlitlig har utvecklats särskilt i den allmänna motiveringen. Det bör uppmärksammas att även de principer som kommer till uttryck i 9 § PUL skall iakttas vid tillämpningen av bestämmelsen. Personuppgifter om lagöverträdelser 9 § En arbetsgivare får inte behandla personuppgifter om lagöverträdelser avseende arbetstagare eller arbetssökande som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Första stycket gäller inte om behandlingen är nödvändig för att bedöma arbetstagarens eller arbetssökandens tillförlitlighet med hänsyn till säkerheten för det allmänna eller för arbetsgivarens verksamhet. Om behandlingen sker helt eller delvis automatiserat eller i registerform skall även 21 § personuppgiftslagen gälla. LIA:s definition av lagöverträdelser och straffprocessuella tvångsmedel överensstämmer med definitionen i 21 § PUL. Beträffande sådan behandling av personuppgifter om lagöver- trädelser som sker helt eller delvis automatiserat eller i registerform gäller fortfarande 21 § PUL. Detta utvecklas i kapitel 8 i den allmänna motiveringen. Inhämtande av uppgifter 10 § En arbetsgivare skall i första hand hämta in sådana personuppgifter som avses i 5 och 9 §§ från arbetstagaren eller arbetssökanden själv. Bara om detta inte är möjligt och under förutsättning av arbetstagarens eller arbetssökandens samtycke, får arbetsgivaren hämta in sådana personuppgifter från någon annan källa. I bestämmelsen slås fast att en arbetstagare eller en arbetssökande har rätt till kontroll över de uppgifter om honom eller henne som behandlas av arbetsgivaren. Även om arbetsgivaren vänder sig till en annan källa för att hämta in uppgifter om arbetstagaren eller arbetssökanden bibehålls rätten till kontroll genom att arbets- tagaren eller arbetssökanden skall lämna sitt samtycke till åtgärden. I sistnämnda fall får också bestämmelserna om information i 12 § betydelse, eftersom arbetsgivaren är skyldig att informera arbets- tagaren om samtliga omständigheter som behövs för att arbets- tagaren eller arbetssökanden skall kunna ta tillvara sina rättigheter i samband med behandlingen. Förvaring av personuppgifter 11 § En arbetsgivare skall förvara sådana personuppgifter som avses i 3, 5, 8 och 9 §§ på ett betryggande sätt och åtskilda från övriga personuppgifter. Dessa personuppgifter får bara behandlas av en begränsad krets av personer. Om behandlingen sker helt eller delvis automatiserat eller i registerform skall även 30 och 31 §§ personuppgiftslagen gälla. Förslaget har behandlats närmare i kapitel i den allmänna motiveringen. Information och rättelse 12 § En arbetsgivare skall utan dröjsmål lämna information om sådana personuppgifter om en arbetstagare eller en arbetssökande som arbetsgivaren behandlar och om ändamålen med behandlingen. Om behandlingen sker helt eller delvis automatiserat eller i registerform skall 23–27 §§ personuppgiftslagen gälla. En arbetsgivare skall utan dröjsmål rätta eller utplåna sådana personuppgifter om en arbetstagare eller en arbetssökande som inte har behandlats enligt denna lag eller enligt föreskrifter som har utfärdats med stöd av lagen. Om behandlingen sker helt eller delvis automatiserat eller i registerform skall 28 § personuppgiftslagen gälla. Bestämmelserna innebär en skyldighet för arbetsgivaren att dels informera en arbetstagare om pågående behandling av uppgifter beträffande denne, dels rätta eller utplåna uppgifter som är felaktiga eller har behandlats i strid med lagen. Eftersom PUL gäller behandling som sker automatiserat eller i registerform avser bestämmelserna endast helt behandling. Utformningen är enklare än motsvarande bestämmelser i . Att skyldigheten att lämna information eller att vidta rättelse inträder så snart behandlingen påbörjas eller ett fel upptäcks framgår av att det anges att åtgärden i fråga skall ske utan dröjsmål. Den som hos en arbetsgivare med privat verksamhet behandlar eller har behandlat sådana personuppgifter som avses i 3–5, 8 och 9 §§ får inte obehörigen röja eller utnyttja vad som därvid kommit fram. Bestämmelsen gäller bara obehörigt röjande eller utnyttjande av uppgifter. I avsnitt i den allmänna motiveringen har anförts att det inte är fråga om obehörigt förfarande i de fall där arbetsgivaren enligt lag har rätt att föra uppgifterna vidare. Det är inte heller fråga om obehörigt förfarande när arbetstagaren samtyckt till att uppgifterna förs vidare. Den som behandlar uppgifter i strid med bestämmelsen kan göra sig skyldig till brott mot tystnadsplikt enligt 20 kap. 3 § och dömas till böter eller fängelse i högst . Motsvarande bestämmelser i fråga om offentlig verksamhet finns i 7 kap. 11 § sekretesslagen. I fråga om arbetsgivarens skyldighet att förhandla före beslut som rör verksamheten gäller 11–14 §§ lagen (1976:580) om medbestämmande i arbetslivet. I bestämmelsen har tagits in en hänvisning till MBL. Hänvisningen har ingen materiell betydelse utan syftet med paragrafen är att framhäva vikten av att arbetstagarnas inflytande uppmärksammas i de frågor som omfattas av . En arbetsgivare skall ersätta en arbetstagare eller en arbetssökande för skada och kränkning av den personliga integriteten som en behandling i strid med denna lag har orsakat. Ersättningsskyldigheten kan i den utsträckning det är skäligt jämkas, om arbetsgivaren visar att felet inte berodde på arbetsgivaren. Paragrafen föreskriver ett strikt skadeståndsansvar för sak- och personskada, ren förmögenhetsskada samt för kränkning av den personliga integriteten. Enligt andra stycket kan emellertid ansvaret jämkas i den utsträckning det är skäligt. Beträffande den närmare tillämpningen hänvisas till avsnitt 15.1 i den allmänna motiveringen. Till böter eller fängelse eller, om brottet är grovt, till fängelse i högst döms den som uppsåtligen eller av oaktsamhet behandlar personuppgifter i strid med 5 §. Första stycket gäller endast behandling som sker helt eller delvis automatiserat eller i registerform. Paragrafen har införts för att möjligheterna att med straff beivra lagstridiga behandlingar inte skall vara mindre när det gäller en arbetsgivares behandling av arbetstagares eller arbetssökandes personuppgifter än vad som gäller i övrigt. Bestämmelsen omfattar således behandling av arbetstagares eller arbetssökandes personuppgifter som sker helt eller delvis automatiserat eller i registerform. Helt manuellt behandlade uppgifter faller utanför. Straffansvaret åvilar den fysiska person som utför behandlingen. Bestämmelsen har utformats med 49 § PUL som förebild. En myndighets beslut om att inte lämna information eller meddela rättelse enligt 12 och 13 §§ får överklagas hos allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. Paragrafen innehåller bestämmelser om sättet för överklagande av myndighets beslut i angivna frågor. Mål om tillämpningen av denna lag skall, utom i fall som avses i 17 och 18 §§, handläggas enligt lagen (1974:371) om rättegången i arbetstvister. Därvid anses som arbetstagare också arbetssökande och som arbetsgivare också den som någon har sökt arbete hos. Enligt huvudregeln i 1 kap. 1 § lagen (1974:371) om rättegången i arbetstvister (LRA) äger den lagen tillämpning på rättegången i tvister om kollektivavtal och andra tvister rörande förhållandet mellan arbetsgivare och arbetstagare (arbetstvister). Tvister som rör tillämpningen av skall, med det undantag som anges i 1 kap. 2 § punkt 3 LRA, i enlighet därmed handläggas av Arbetsdomstolen. En mycket viktig fråga för utredningen har varit vilken typ av lagstiftning som bör väljas för att uppnå målet: ett starkare integritetsskydd i arbetslivet. Det är enligt min mening en omväg att bygga upp ett skydd för arbetstagares och arbetssökandes personliga integritet genom att skapa en speciallag till personuppgiftslagen (PUL). Integritetsfrågorna rör relationen mellan arbetsgivare och arbetstagare. I denna relation är inte hanteringen av uppgifter det centrala – även om effektiva skyddsregler för sådan hantering är en viktig del i ett fungerande integritetsskydd – utan den handling varigenom arbetstagarens/arbetssökandens integritet hotas eller åsidosätts. En fokusering på behandlingen av personuppgifter får dessutom den olyckliga konsekvensen att situationer som inte innefattar eller leder till personuppgiftshantering helt hamnar utanför skyddszonen. Det finns utifrån det arbetsrättsliga synsättet inga bärande skäl till att en lag som ska skydda integriteten i arbetslivet utformas som en pendang till PUL. Integritetsfrågorna närliggande lagstiftning såsom diskrimineringslagarna bygger inte på PUL och det har såvitt känt aldrig hävdats att detta skulle skapa några problem. En lag som handlar om skydd för den personliga integriteten ligger nära – och sammanfaller i viktiga delar – med lagstiftning om mänskliga rättigheter och lagstiftning till skydd mot diskriminering. Det talar starkt för att lagförslaget borde utformas som en rättighetslag med vissa starkt begränsade undantag från rätten till integritet. Eftersom det handlar om rättigheter för individen är det viktigt att lagstiftningen är lätt att tillämpa. Annars riskerar den att bli ineffektiv. Arbetsgivare och fackliga företrädare är vana att hantera traditionell arbetsrättslig lagstiftning. Däremot är det tveksamt om de besitter den kunskap om som är nödvändig för att man ska kunna förstå och tillämpa bestämmelserna om de utformas på sätt nu föreslås. PUL är svår att tränga in i också för juridiskt skolade personer. Lagstiftning om skydd för den personliga integriteten måste ha viss dignitet. Enligt min mening ger den nu föreslagna regleringen (speciallag till PUL) inga sådana signaler. Den föreslagna lagen underordnas all annan lagstiftning än PUL. Det föreligger en klar risk för att en på detta sätt utformad lag ute i arbetslivet kommer att uppfattas som administrativa föreskrifter för personalansvariga och inte som en skyddslag för den enskilde. En lagstiftning som ska utgå från rättighetsbegreppet kan inte bygga på en balans mellan arbetsgivar- och arbetstagarintressen. Många arbetsrättsliga lagar såsom t.ex. lagen om anställningsskydd utgår från att intressekollisioner ska avgöras genom avvägningar från fall till fall mellan arbetsgivarens och arbetstagarens intressen och det är också den metod som används i rättskipningen. Det är emellertid inte en modell som är lämplig att använda i lagstiftning till skydd för personlig integritet lika litet som när det gäller skydd mot diskriminering. Skyddet ska vara absolut och undantagen relaterade till situationer som ska uppfylla samma kriterier oavsett arbetsplatsens storlek, arbetsgivarens ekonomiska resurser eller liknande. Arbetstagarens rätt till personlig integritet ska respekteras – inte balanseras. Detta kan tyckas vara en teoretisk lagteknisk aspekt utan praktiskt intresse. Jag menar dock att metoden att balansera arbetsgivarintressen mot arbetstagarintressen får praktiska konsekvenser. Respekten för arbetstagarens/arbetssökandens integritet tenderar att komma i skymundan av de risker för skador och olägenheter som lätt kan målas upp av arbetsgivarsidan. Också denna utredning har fått en sådan slagsida. Vi har saknat material och närmare information om vilka fysiska, psykiska, ekonomiska och andra effekter integritetskränkande åtgärder kan förorsaka medan arbetsgivarens behov av kontroller är mera utförligt beskrivet. Det råder delade meningar om var gränserna enligt gällande rätt går för arbetsgivarens rätt att leda och fördela arbetet. Oavsett om man, för att ta ett exempel, kommer fram till att gällande rätt innebär att privata arbetsgivare med stöd av arbetsledningsrätten i vissa situationer får beordra drogtestning – eller att sådana ingrepp under alla förhållanden ligger utanför arbetsledningsrätten – efterlyser jag en kritisk diskussion av rättstillämpningen på detta område. Så länge tillsvidareanställningar var den allt överskuggande anställningsformen hade arbetsgivaren ett långtgående ansvar för den anställde som i någon mån kunde rättfärdiga en långtgående lydnadsplikt. I dagens arbetsliv finns inte äldre tiders patriarkala åtaganden för arbetskraften. vill man gärna se arbetsgivare och arbetstagare som medarbetare och jämbördiga parter. Det är i många avseenden en falsk bild. Arbetstagares och arbetssökandes utsatthet har ökat liksom risken att på mer eller mindre seriösa grunder bli bortsållad. Den tekniska utvecklingen har inneburit att arbetsgivares möjligheter att övervaka de anställda ökat, vilket medfört särskilda risker för integritetskränkningar. Valet för den enskilde att motsätta sig integritetskränkande kontroller finns i praktiken inte, om man vill erhålla eller behålla en anställning. Denna utveckling motiverar i sig en annan och modernare syn på arbetsledningsrätten och med större respekt för individens integritet än som kommit till uttryck i Arbetsdomstolens rättspraxis. Sammanfattningsvis anser jag att en lag till skydd för den personliga integriteten i arbetslivet bör utformas som en rättighetslag och täcka alla typer av integritetskränkningar som kan drabba en arbetstagare/arbetssökande. Detta kan självklart medföra att vissa följdändringar måste göras i PUL inom de gränser som gällande EU-direktiv stipulerar. Jag kan inte se att detta skulle vara något allvarligt hinder för den utformning jag förordar. En sådan lag kunde lämpligen inledas med en målsättningsparagraf inspirerad av den finska lagen om integritetsskydd i arbetslivet (i kraft ) alternativt en generell bestämmelse av förslagsvis följande lydelse. Arbetsgivare får inte åsidosätta arbetssökandes och arbetstagares rätt till personlig integritet såvida det inte är nödvändigt av hänsyn till liv eller hälsa eller eljest finns synnerliga skäl. Syftet med denna lag är att stärka skyddet för den personliga integriteten. Den personliga integriteten i arbetslivet En särskild utredare tillkallas för att se över behovet av lagstiftning eller andra åtgärder för att stärka skyddet av den enskildes personliga integritet i arbetslivet. I översynen skall det i första hand ingå frågor om användning av drogtester och andra medicinska kontroller samt frågor om användning av persondatorer, elektronisk post (e-post) och Internet i arbetet. Även andra integritetsfrågor som kommer upp under utredningsarbetets gång och där skyddet för den personliga integriteten i arbetslivet kan vara allvarligt hotat skall tas upp av utredaren. Behovet av skydd för arbetssökande skall särskilt belysas. Utredaren skall utnyttja det arbete som utförts av tidigare utredningar och beakta det underlag som redan finns, t.ex. i betänkandet Medicinska undersökningar i arbetslivet (SOU 1996:63). Övervakning och kontroll i arbetet I de flesta verksamheter förekommer någon form av övervakning och kontroll av arbetet samt registrering av uppgifter om arbetet och de enskilda arbetstagarna. Det innebär att mer eller mindre omfattande uppgifter om arbetet och arbetstagarna registreras, lagras och bearbetas av arbetsgivaren. Övervakningen och kontrollen kan sägas vara ett led i utövandet av arbetsgivarens arbetsledningsrätt, dvs. rätten att leda och fördela arbetet samt att anställa och säga upp personal. Kontrollen kan ha olika ändamål. Det kan handla om närvaro- och frånvaroregistrering och andra sedvanliga personaladministrativa åtgärder. Kontrollen kan vara av huvudsakligen produktionsteknisk natur och avse arbetsprocessen och produktionsflödet. Även om en sådan kontroll primärt inte syftar till att kontrollera de enskilda individerna kan registrerade uppgifter i vissa fall ändå hänföras till en enskild person. Tillträdes- och behörighetskontroll för att bl.a. skydda information och andra tillgångar förekommer i de flesta verksamheter. Medicinska kontroller av olika slag används i en hel del verksamheter inför och under anställningen. Hit hör drogtester för att kontrollera om de arbetssökande eller anställda använder narkotika eller andra droger. I samband med rekrytering av personal används olika metoder för att granska arbetssökandes kompetens, egenskaper och lämplighet. Lämplighetstester av olika slag är därvid vanliga. Faktorer som minskad bemanning på arbetsplatserna, ökad betydelse av personliga egenskaper och höga krav på kompetens kan eventuellt leda till krav på ökad kontroll av de arbetssökande. Det har förekommit att arbetssökande ombetts att visa utdrag ur kriminalregistret eller att uppgifter hämtats in om förekomsten av betalningsförsummelser. Det har även förekommit att arbetssökande har avkrävts graviditetstest. Den snabba utvecklingen av informationstekniken har förändrat produktionsprocesser och arbetsmetoder. Tekniken har blivit tillgänglig för allt fler. I stort sett alla, oberoende av var man arbetar, använder en persondator eller annan datorutrustning i arbetet. Tekniken har också förändrat möjligheterna till kontroll. Stora mängder information om arbetet och om de enskilda arbetstagarna kan registreras och lagras elektroniskt. Verksamheter och system blir känsligare för störningar och risken för intrång och obehörigt utnyttjande av information ökar. Detta kan i sig leda till behov av ökad kontroll. I en allt hårdare konkurrens ökar vidare kraven på kostnadseffektivitet, kundanpassning och kvalitetssäkring. Även detta kan leda till ett ökat behov av mer Den kontroll som sker genom registrering i datamedier är för den enskilde ofta dold och svår att upptäcka. E-post och Internet används i arbetet av allt fler arbetstagare. Internet ger med sin öppenhet tillgång till en enorm informationsmängd och stora möjligheter att sprida information. Detta leder till ett ökat behov för arbetsgivaren av att kontrollera användningen. Ett skäl för det kan vara skyddet mot att utomstående får obehörig åtkomst till uppgifter i verksamheten genom Internetuppkopplingen. Ett annat skäl kan vara en önskan att begränsa eller helt förhindra en privat användning av Internet på arbetsplatsen. I de flesta datasystem loggas transaktionerna i systemet som en del av behörighetskontrollen. Registreringen av användningen av e-postsystem och Internet innebär en mer komplicerad integritetsproblematik bl.a. av det skälet att meddelanden och uppgifter av privat natur kan bli registrerade. Liksom annan kontroll av användningen av datorsystem sker registreringen dessutom i regel utan någon direkt insyn från den enskilde. Elektronisk övervakning kan också användas på ett mer sofistikerat sätt för att kontrollera den enskildes arbete. Electronic Performance Monitoring (EPM) handlar om system och program för att på elektronisk väg samla in information om och närmare analysera de anställdas aktiviteter. I bl.a. används sådana system i vissa telefonserviceföretag, t.ex. bokningscentraler, samt i bank- och telekommunikationsföretag. En del av den registrering och kontroll som sker är en nödvändig följd av anställningsförhållandet, t.ex. för att lön och andra förmåner skall kunna betalas ut på ett korrekt sätt. Andra kontroller kan vara nödvändiga av säkerhetsskäl och i vissa fall rent av obligatoriska på grund av författningsbestämmelser. Den kontroll och registrering som sker innebär att omfattande uppgifter om de enskilda arbetstagarna kan komma att registreras. Uppgifterna kan avse närvaro och frånvaro, mer eller mindre detaljerade uppgifter om arbetsprestationer, registrerad e-post och Internetanvändning, utbildning, förtjänst- och resultatuppgifter m.m. Under vissa förutsättningar kan även hälsouppgifter och uppgifter om resultatet av drogtester registreras. En hel del av dessa uppgifter är till karaktären integritetskänsliga. För den enskilde är situationen i arbetet normalt sådan att det inte är möjligt att påverka om och hur personuppgifterna skall registreras. Även om det finns en teoretisk valsituation, vilket är fallet för en arbetssökande, kan situationen ändå vara sådan att det i praktiken är svårt att avvisa en viss kontroll. Generellt sett kan, på grund av de skyldigheter som följer av anställningsförhållandet, handlingsfriheten och den fredade sektorn för den enskilde betraktas som mer inskränkt i arbetslivet än i andra delar av samhällslivet. De enskilda arbetstagarna får i relativt stor utsträckning tåla att arbetsgivaren utför kontroll och har tillgång till en mängd uppgifter om dem och det arbete de har utfört. Arbetsgivarens berättigade intresse av kontroll för att kunna leda och fördela arbetet m.m. måste ställas mot arbetstagarnas anspråk på ett skydd för den personliga integriteten. Den tidigare behandlingen av frågor om drogtestning och annan medicinsk kontroll