sou · GQB318d2 · 2003-01-01 00:00:00 — tillsattes en särskild utredare för att utreda vissa frågor om medicinska kontroller i arbetslivet. Utredaren redovisade sitt arbete i betänkandet Medicinska undersökningar i arbetslivet (SOU 1996:63). Utredaren bedömde att de dåvarande förhållandena inte motiverade någon begränsande lagstiftning vad gäller sedvanliga medicinska undersökningar i samband med eller under en anställning. När det gäller narkotikatester fann utredaren inte heller skäl att föreslå lagstiftning. Enligt utredaren borde frågan om narkotikatester lösas av arbetsmarknadens parter. Någon lagstiftning vad avser alkoholtester föreslogs inte heller. Betänkandet har remissbehandlats. Flera av remissinstanserna anser att frågan om en reglering av medicinska kontroller borde utredas ytterligare. I svensk rätt finns det ingen lagstiftning som direkt tar sikte på skyldigheten att genomgå narkotikatester eller andra drogtester i arbetslivet. Frågan om drogtester inom ramen för anställningen har dock i två fall varit uppe till Arbetsdomstolens (AD) prövning. Det ena målet är och det rörde montage av byggnadsställningar. I det målet fann AD, med utgångspunkt i arbetstagarnas medansvar för arbetsmiljön, att de anställda, som arbetade med montage av byggnadsställningar, var skyldiga enligt anställningsavtalet att underkasta sig provtagning för att utröna användning av cannabis (AD 1991 nr 45). I det andra målet prövade AD om en städerska på kärnkraftsverket i kunde anses skyldig att genomgå alkohol- och narkotikatest (AD 1998 nr 97). AD ansåg att arbetsgivaren hade starka skäl för att genomföra narkotikatester på samtliga anställda och att städerskan därför var skyldig att genomgå sådana tester enligt den ordning som beslutats gälla på arbetsplatsen. Även i detta fall skedde bedömningen mot bakgrund av skyldigheter enligt arbetsmiljölagen. Domstolen kom dock av olika skäl till motsatt ståndpunkt när det gällde skyldigheten att genomgå alkoholtestning. AD uttalade i domen att mer vittsyftande bedömningar på det aktuella området inte borde göras på grundval enbart av förhållandena i en enskild tvist. Det naturliga var enligt domstolen att ett ämne som detta regleras i kollektivavtal eller i förekommande fall genom lagstiftning. , som avlämnade sitt slutbetänkande Ny luftfartslag (SOU 1999:42), har föreslagit att det i en ny luftfartslag tas in bestämmelser som gör det möjligt att föreskriva att den som fullgör tjänst som är av betydelse för flygsäkerheten skall genomgå drogtest. I betänkandet om medicinska undersökningar i arbetslivet behandlas även gentester, dvs. medicinska undersökningar med hjälp av genteknik. Utredaren gjorde bedömningen att gentester i arbetslivet borde förbjudas. Utredaren lämnade emellertid inget förslag i denna del utan hänvisade till det förslag till lag om genetisk integritet som hade lämnats i en rapport från (Ds 1996:13). tillsattes en arbetsgrupp inom med uppgift att ytterligare analysera en rad frågor om genetisk integritet. Regeringen har i skrivelse (skr 1998/99:136) redogjort för beredningsarbetet bl.a. när det gäller frågorna om den genetiska integriteten i arbetslivet. Regeringen har bedömt att dessa frågor behöver övervägas ytterligare i ett större sammanhang. Avsikten är att en parlamentarisk kommitté skall tillkallas med uppgift att lägga fram ett samlat förslag till hur det på alla samhällsområden skall kunna garanteras att det inte sker någon diskriminering på grund av det genetiska arvet. Den tidigare behandlingen av frågor om elektronisk övervakning tillsattes en arbetsgrupp inom dåvarande för att göra en kartläggning av arbetsgivarnas användning av datatekniken för att leda, övervaka och kontrollera arbetet och de enskilda arbetstagarna. I kartläggningen ingick också att studera arbetstagarnas inflytande över inrättande och drift av datasystemen. Arbetsgruppen presenterade sitt arbete i rapporten och den personliga integriteten i arbetet - en kartläggning (Ds 1989:24). Arbetsgruppen fann att då gällande lagstiftning i princip gav tillfredsställande möjligheter till integritetsskydd och inflytande för arbetstagarna när det gäller personregistrering i arbetet. Gruppen ansåg dock att bl.a. frågan om arbetstagarnas rätt till insyn i vilka datasystem och personregister som arbetsgivaren har borde övervägas i en kommande översyn av datalagen. Gruppen uppmärksammade vidare bl.a. behovet av forskning och utbildning inom området. Datalagen (1973:289) har sedermera ersatts av personuppgiftslagen (1998:204) som genomför och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Lagen omfattar all automatiserad behandling av personuppgifter och behandling av personregister. Rent privat användning är dock undantagen. En hel del frågor är obesvarade när det gäller behovet av lagstiftning om drogtester och andra medicinska kontroller och det finns fortfarande en betydande osäkerhet om rättsläget när det gäller möjligheterna att genomföra sådana kontroller. Det saknas också en gemensam grundsyn på arbetsmarknaden om när och hur t.ex. drogtester bör få utföras. Som AD har uttalat bör mer vittsyftande bedömningar på det aktuella området inte göras på grundval enbart av förhållandena i en enskild tvist. Det bör därför övervägas om frågor som dessa bör regleras i lagstiftning eller kollektivavtal. Användningen av persondatorer samt e-post och Internet i arbetet ger upphov till en hel del nya frågor när det gäller kontrollen och skyddet av den personliga integriteten i arbetet. Den utveckling som skett sedan frågorna om datatekniken och den personliga integriteten kartlades förra gången gör det motiverat att se över integritetsskyddet vid användning av datatekniken i arbetslivet med särskild tonvikt på användning av persondatorer, e- post och Internet. Den snabba utvecklingen av informationstekniken och möjligheterna att hämta in och samla omfattande information om enskilda individer, ökade krav på kostnadseffektivitet och ökade krav på den enskildes kompetens och personliga egenskaper i arbetslivet är faktorer som kan skapa behov av mer ingående kontroll. Integritetsfrågorna i arbetslivet behöver därför även i övrigt uppmärksammas. Uppdraget till den särskilde utredaren En särskild utredare tillkallas för att mot den angivna bakgrunden se över behovet av lagstiftning eller andra åtgärder för att stärka skyddet för den enskildes personliga integritet i arbetslivet. I översynen skall det i första hand ingå frågor om användning av drogtester och andra medicinska kontroller samt frågor om användning av persondatorer, e-post och Internet i arbetet. Även andra integritetsfrågor som kommer upp under utredningsarbetets gång och där skyddet för den personliga integriteten i arbetslivet kan vara allvarligt hotat skall tas upp av utredaren. Behovet av skydd för arbetssökande skall särskilt belysas. Utredaren skall klarlägga de behov av kontroll och övervakning som arbetsgivarna har. De integritetsproblem som kontrollen och övervakningen leder till skall belysas. Utredaren skall därvid utnyttja det arbete som utförts av tidigare utredningar och beakta det underlag som redan finns, t.ex. i betänkandet Medicinska undersökningar i arbetslivet (SOU 1996:63). Utredaren skall bedöma behovet av ny eller kompletterande lagstiftning till skydd för den personliga integriteten i arbetet och i det sammanhanget göra en avvägning mellan de berättigade behoven av kontroll och den enskildes integritetsskydd. En utgångspunkt för bedömningen bör vara att den tekniska och arbetsorganisatoriska utvecklingen i arbetslivet är positiv för tillväxten och för att få bättre arbetsvillkor och arbetsmiljö, men att en förutsättning för detta är att individen kan känna trygghet i arbetssituationen, vilket bl.a. förutsätter respekt för den personliga integriteten. Utredaren skall beakta kollektivavtal på området och möjligheterna för arbetsmarknadens parter att träffa sådana avtal. Även andra åtgärder och initiativ från parterna bör beaktas. Utredaren skall informera sig om hur andra länder har hanterat de aktuella frågorna. Även utvecklingen inom EU samt det arbete som har utförts inom och andra internationella organisationer bör beaktas. Om utredaren bedömer att det finns ett behov av reglering skall förslag om den närmare utformningen av regleringen lämnas. Utredaren skall ange kostnaderna för sina förslag samt föreslå hur de skall finansieras. Utredaren skall särskilt ta hänsyn till de små företagens arbetsförutsättningar, konkurrensförmåga och villkor i övrigt. Utredaren skall i sitt arbete samråda med arbetsmarknadens parter, samt andra berörda myndigheter. Utredaren skall redovisa resultatet av sitt uppdrag . Personuppgiftslagen (1998:204), nedan PUL, är den lag som ger det mest heltäckande integritetsskyddet vid behandling av information om enskilda. Lagen är generellt tillämplig och gäller således även vid behandling av personuppgifter i arbetslivet. För att på ett överskådligt sätt försöka visa på hur en tillämpning av PUL skulle kunna falla ut när lagen tillämpas i en arbetsgivare- och arbetstagarsituation respektive en arbetsgivare- och arbetssökandesituation redovisas nedan dels en allmän redogörelse för , dels kommentarer och resonemang kring frågor som är av särskild betydelse för PUL:s tillämpning i arbetslivet. Framställningen har begränsats till de bestämmelser och de resonemang som varit av betydelse för utredningen. Till grund för redovisningen ligger framför allt lagförarbetena, proposition 1997/98:44, Personuppgiftslag (nedan propositionen) och betänkande Integritet Offentlighet Informationsteknik, SOU 1997:39 (nedan betänkande). Vidare har använts Personuppgiftslagen, En kommentar, 1 uppl. 1998, av och (nedan lagkommentaren). I samband med redogörel- serna för gällande rätt anges var i förarbetena respektive fråga diskuteras. Detta för att underlätta för läsaren om han eller hon själv vill ta del av det material som ligger till grund för utredningens redovisning. Förutom i de fall där arbetssökandens situation särskilt diskuteras innefattar begreppet arbetstagare fortsättningsvis såväl arbetstagare som arbetssökande. Definitioner – 3 § I 3 § anges de i lagen viktigaste begreppens innebörd. Begreppet personuppgifter innefattar enligt PUL all slags information som direkt eller indirekt kan hänföras till en person som är i livet. Att uppgifter som namn och personnummer är sådan information är uppenbart. Även olika typer av kundnummer och andra beteckningar som används för att särskilja individer utgör personuppgifter, så länge det går att identifiera en enskild utifrån uppgifterna. Att det inte direkt går att utläsa vilken individ som viss information avser hindrar inte att det ändå är en personuppgift. Även information som är krypterad eller på annat sätt avidentifi- erad omfattas av bestämmelsen. För att avgöra om en person är identifierbar skall man beakta alla hjälpmedel som i syfte att identifiera vederbörande rimligen kan komma att användas av den personuppgiftsansvarige eller av annan. Om uppgifter, som i sig är anonyma, med s.k. bakvägsidentifikation kan knytas till en viss individ omfattas de av bestämmelserna. har som exempel nämnt det fallet att ett trafikföretag registrerar resor med ett personligt och numrerat kort. Även om trafikföretaget inte har registrerat vem som är innehavare av kortet, kan sådana upp- gifter finnas på annat håll, t.ex. på den skola eller socialförvaltning som delat ut kortet. har anfört att motsvarande resonemang kan föras beträffande uppgifter om s.k. nätnodsadress- er och motsvarande elektroniska identiteter som den som driver elektroniska tjänster på Internet samlar in. Sådana uppgifter om an- vändarna kan ofta hänföras till en individ med hjälp av de uppgifter som användarens Internetleverantör har tillgång till. I vissa fall kan det vara så att en mindre krets personer har tillgång till samma dator eller telefon och att man då med hjälp av andra uppgifter enkelt kan avgöra till vilken individ vissa uppgifter är hänförliga. Uppgifterna får även i det fallet betraktas som personuppgifter.1 Bestämmelsens betydelse för utredningen De situationer som utredningen har att beakta inom ramen för uppdraget torde i allmänhet utgöra personuppgifter i lagens mening. I sådana fall där det finns risk för intrång i den personliga 1 Se prop. s. 116 f. och betänkande s. 336 f. integriteten förutsätts ju i allmänhet att personen i fråga kan identifieras. Med hänsyn till ändamålen med hälso- och drogkontroller i arbetslivet ligger det i sakens natur att de inte kan vara anonyma, utan att uppgifterna som behandlas kan hänföras till enskilda individer. Samma sak gäller beträffande datoriserade kontroller i de fall där det finns ett ursprungligt syfte att kontrollera arbets- tagarna, t.ex. så kallad EPM, eller där kontrollerna avser filer lag- rade i personliga datorer eller andra personliga virtuella förvar. När det gäller kontroller eller övervakning med hjälp av loggfiler kan det förhålla sig annorlunda. Utformningen av loggfiler varierar mycket beroende på bl.a. i vilken typ av tillämpning de förekommer och vilket behov av uppgifter som har förutsetts när tillämpningen skapades. I vissa fall kan också användaren av en tillämpning genom inställningar i programmet välja vilka uppgifter som skall registreras i en loggfil. I många fall kan det således vara så att uppgifterna i en loggfil inte går att knyta till en enskild individ. Uppgifterna utgör då inte personuppgifter i lagens mening. Det normala i moderna nätverk torde emellertid vara att enskilda användares åtgärder kan identifieras och att därmed uppgifterna i en loggfil utgör personuppgifter. Frågan om loggfilen innehåller personuppgifter får avgöras i det enskilda fallet. Inpasseringskontroller där passerkort och/eller kod är personliga torde förutsätta att uppgifter om kortets eller kodens innehavare finns registrerade hos arbetsgivaren. Om varje användning av kortet eller koden registreras i en loggfil innefattar registreringen behandling av personuppgift. De ovan nämnda möjligheterna att identifiera enskilda användare förutsätter att användarna har försetts med vad som kan kallas en elektronisk identitet, bestående av ett unikt användarnamn och lösenord. I praktiken finns det förstås möjligheter att sådana identiteter kan används av någon annan än den egentlige innehavaren, antingen efter medgivande från innehavaren eller genom ett obehörigt förfogande över identiteten. Detta kan naturligtvis i olika avseenden vara en komplikation för arbets- givaren. Emellertid påverkar det knappast den omständigheten att de registrerade uppgifterna utgör personuppgifter avseende den rätte innehavaren av identiteten. Det förhållandet att den rätte innehavaren av identiteten i själva verket inte har vidtagit de registrerade åtgärderna innebär i detta sammanhang endast att de personuppgifter om honom eller henne som finns registrerade är felaktiga eller i vart fall missvisande. Det kan förekomma att vissa – eller kanske alla – datorer i ett nätverk är allmänt tillgängliga, dvs. att det inte behövs något personligt lösenord för att använda dem. I så fall är informationen inte automatiskt knuten till en viss individ. Detta bör emellertid inte helt utesluta att uppgifter i en loggfil utgör personuppgifter. Frågan måste avgöras med ledning av omständigheterna i det enskilda fallet. Avgörande blir om man från de faktiska omständlig- heterna kan sluta sig till att vissa uppgifter är hänförliga till en viss individ. Exempelvis kan det vara så att en dator – även om den i och för sig är allmänt tillgänglig – rent faktiskt bara används av en arbetstagare. I ett sådant fall bör man nog i många fall kunna utgå från att innehållet i en loggfil knuten till den specifika datorn är hänförliga till den arbetstagare som använder datorn. Även om det är flera personer som använder datorn kan man ibland, som nämnts ovan, med hjälp av andra uppgifter sluta sig till vilken individ som vissa uppgifter är hänförliga. Med behandling av personuppgifter avses varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte. Som exempel på sådana åtgärder nämns i bestämmelsen insamling, registrering, organisering, lag- ring, bearbetning eller ändring, återvinning, inhämtande, använd- ning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. Härigenom omfattar alltså begreppet all hantering av personuppgifter, såväl som automatiserad. Enligt 5 § omfattas emellertid inte all behandling av personuppgifter, utan endast sådan som sker antingen automa- tiserat eller manuellt i registerform, se närmare nedan.2 Bestämmelsens betydelse för utredningen Med hänsyn till att definitionen innefattar all hantering av personuppgifter utgör alla åtgärder som en arbetsgivare vidtar med personuppgifter sådan behandling som avses i PUL. Som mottagare betecknas den till vilken personuppgift lämnas ut, oavsett om denne är någon som är nära knuten till den person- uppgiftsansvarige eller någon helt utomstående. 2 Se prop. s. 116 f. och betänkande s. 332. strerade, personuppgiftsbiträdet och sådana personer som under den personuppgiftsansvariges eller personuppgiftsbiträdets direkta ansvar har befogenhet att behandla personuppgifter samt personuppgiftsombud kan betraktas som mottagare. Som mottagare betraktas emellertid inte en myndighet som får personuppgifter som ett led i tillsyn, kontroll eller revision som myndigheten i fråga är skyldig att sköta.3 Bestämmelsens betydelse för utredningen I arbetslivet kan märkas att exempelvis av arbetsgivaren anställd personal som behandlar personuppgifter anses som mottagare. Även den registrerade arbetstagaren själv är mottagare i de fall han tar emot uppgifter som finns hos arbetsgivaren. Med de undantag som angetts ovan är även tredje man att anse som mottagare, vilket innebär att bl.a. fackliga företrädare anses som mottagare i de fall personuppgifter lämnas ut till sådan. Personuppgiftsansvarig är den som själv eller tillsammans med annan bestämmer ändamålen med och medlen för behandlingen. Vem som i ett enskilt fall är personuppgiftsansvarig för en viss behandling får avgöras med ledning av de faktiska omständlig- heterna. Vidare följer av 2 § att det genom lag eller förordning kan bestämmas vem som är personuppgiftsansvarig för en viss behandling. Enligt 4 § gäller bestämmelserna om personuppgifts- ansvarig även för företrädare som utländska personuppgifts- ansvariga ställer för sig. För varje behandling som sker finns det därmed alltid någon eller några som är personuppgiftsansvariga för den. Den personuppgiftsansvarige kan utse ett personuppgiftsbiträde för att för sin räkning utföra behandling av personuppgifter. Den personuppgiftsansvarige kan också förordna en fysisk person att självständigt se till att personuppgifter behandlas på ett korrekt och lagligt sätt. Denne fysiske person betecknas som personuppgifts- ombud. Varken personuppgiftsbiträde eller personuppgiftsombud anses som tredje män.4 Bestämmelsens betydelse för utredningen Vid behandling av personuppgifter beträffande arbetstagare i de fall utredningen har att beakta torde den personuppgiftsansvarige alltid s. 116 f. och betänkande s. 332. s. 116 f. och betänkande s. 333 f. utgöras av den fysiska person eller det organ hos en juridisk person som enligt allmänna principer är att betrakta som arbetsgivare. Var ansvaret närmare skall anses placerat torde ha en underordnad betydelse för behandlingen av frågor om intrång i den personliga integriteten. Den registrerade är den som en personuppgift avser. Som nämnts ovan vid definitionen av personuppgift, förutsätts att en person- uppgift avser en identifierbar fysisk person. Den registrerade är således den eller de personer som på ovan angivet sätt kan identifieras.5 Bestämmelsens betydelse för utredningen Av intresse för utredningen är naturligtvis de fall där den regi- strerade är arbetstagare. Här kan emellertid märkas att vid behand- ling av uppgifter om arbetstagaren, kan komma att behandlas uppgifter om dennes anhöriga, tidigare arbetskamrater eller andra. Även dessa är då registrerade enligt PUL:s definition. Begreppet samtycke förekommer på flera ställen i PUL och innefattar enligt definitionen varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Samtycket innefattar alltså en tydlig viljeyttring från den registrerade. Det krävs inte att samtycket är skriftligt. Enligt måste det vara den registrerade som genom viljeyttringen godtar behandlingen av personuppgifter. Det är alltså inte tillräckligt att en organisation – t.ex. en fackförening – som den registrerade tillhör godtar behandling av uppgifter om sina medlemmar. Samtycket måste i den meningen vara individuellt. konstaterar att det är svårt att utifrån direktivet besvara frågan huruvida samtycket i alla lägen måste avges personligen, dvs. av den registrerade själv. Efter ett resonemang kring frågan drar den slutsatsen att det inte bör finnas något hinder mot att ett ombud eller ställföreträdare med generell behörighet att företräda den registrerade lämnar samtycke på dennes vägnar, även om den registrerade faktiskt inte har fått information om behandlingen. Kravet på frivillighet är svårt att precisera med hänsyn till avsaknad av vägledning i dataskyddsdirektivet. Man kan tänka sig 5 a.a. s. 117 resp. a.a. s. 337 f. den situationen att ett samtycke till viss uppgiftsbehandling uppställs som en förutsättning för att den registrerade skall få något som han eller hon önskar eller behöver, t.ex. ett telefonabonnemang en semesterresa, en livsnödvändig sjukvårds- behandling, anställning, bostadsbidrag etc. Enligt kan samtycket inte gärna vara frivilligt om situationen är sådan att den registrerade i praktiken inte kan avstå, möjligen med undantag för det fallet det kan visas att den registrerade även utan tvånget skulle ha lämnat uppgifterna. Kravet på att samtycket skall vara särskilt innebär att ett generellt samtycke till uppgiftsbehandling inte godtas. har konstaterat att det förefaller rimligt att koppla samman kraven på information och särskilt samtycke. Den registrerade skall informeras om en eller flera tilltänkta behandlingar, och det är dessa och inga andra behandlingar som samtycket avser. Ett s.k. hypotetiskt samtycke kan inte godtas.6 I lagkommentaren anförs att inte heller s.k. tyst samtycke, där den registrerade informeras om en tilltänkt behandling och ges en viss frist att motsätta sig denna, kan godtas. Däremot torde s.k. konkludent handlande kunna konstituera ett samtycke, t.ex. när den registrerade lämnar efterfrågade uppgifter efter att ha fått information om den tilltänkta behandlingen och om att det är frivilligt att lämna uppgifter samt att ett uppgiftslämnande betraktas som ett samtycke.7 Bestämmelsens betydelse för utredningen En fråga av särskild betydelse för arbetslivet är hur den om- ständigheten att arbetstagare ofta befinner sig i en beroende ställ- ning i förhållande till arbetsgivaren skall beaktas vid bedömning av kravet på frivillighet. Detta särskilt med beaktande av de utvidgade möjligheterna till behandling av känsliga personuppgifter som ett samtycke enligt t.ex. 15 §§ kan ge i en arbetsgivare- och arbetstagarrelation. Det territoriella tillämpningsområdet – 4 § Enligt 4 § tillämpas PUL på sådana personuppgiftsansvariga som är etablerade i . Även när en personuppgiftsansvarig från tredje s. 116 f. och betänkande s. 340. 7Se lagkommentaren s. 37. land använder utrustning som finns i för behandling av personuppgifter skall som huvudregel den svenska lagen tillämpas. I sådant fall skall den ansvarige utse en företrädare för sig som är etablerad i .