sou · GQB318d1 · 2003-01-01 00:00:00 — Utredningen föreslår: bör tillämpas på all behandling som arbetsgivare utför av arbetstagares och arbetssökandes dokumen- terade personuppgifter inom lagens område. För sådan behandling som är helt eller delvis automatiserad eller i registerform bör bestämmelserna i tillämpas i den mån som de inte ersätts av . När det gäller helt behandling av personuppgifter skall även 7–9 §§ PUL gälla. skall vidare gälla för hela arbetsmarknaden och med arbetstagare avses i förekommande fall även tidigare arbetstagare. Om det i någon annan lag än PUL eller i en förordning finns bestämmelser som avviker från , skall dessa bestämmelser tillämpas. I detta kapitel lämnas en redogörelse för LIA:s tillämpningsområde, framför allt i förhållande till PUL men även till andra författningar, samt för innebörden av de viktigare begrepp som används. Dessutom redovisar utredningen sina överväganden beträffande ett förstärkt integritetsskydd för arbetssökande samt hur man bör se på skillnaden i integritetsskyddet mellan offentliganställda och privatanställda 4.2Förhållandet till andra författningar Som har framgått av det föregående kapitlet om lagens syfte är en lagstiftning som tar sin utgångspunkt i PUL. Det innebär att de föreslagna bestämmelserna i ersätter eller kompletterar de regler i PUL som bedömts vara av särskild betydelse för den personliga integriteten i arbetslivet. innefattar alltså både en precisering och en förstärkning av när det gäller skyddet för arbetstagares och arbetssökandes personliga integritet. Men gäller inte bara för den behandling som omfattas av PUL, dvs. sådan behandling som är helt eller delvis automatiserad eller i registerform, utan omfattar även den helt behandling som utförs av arbetsgivare och som varit oreglerad. När det gäller den helt behandlingen så tillämpas följaktligen bara bestämmelserna i . Men eftersom 7–9 §§ PUL gjorts tillämpliga på all behandling genom en hänvisning i så är arbetsgivare skyldiga att iaktta dessa regler även vid den behandlingen. Det innebär bl.a. att de grundläggande kraven på behandlingen av personuppgifter som har lagts fast i artikel 6 i dataskyddsdirektivet och i 9 § PUL1 gäller för all behandling och således även för helt behandling. Tillämpningen av när det gäller den helt behandlingen bör dock enligt utredningens uppfattning inte medföra några nämnvärda juridiska komplikationer. Däremot finns det anledning att något närmare beröra förhållandet mellan och PUL Förhållandet mellan och är detsamma som normalt gäller mellan allmän lag och speciallag, dvs. att speciallag gäller före allmän lag. Att så är fallet har också uttryckligen slagits fast i 2 § PUL, där det föreskrivs att avvikande bestämmelser i annan lag eller i en förordning gäller före . Den nu beskrivna ordningen överensstämmer med en allmän rättsgrund- sats, lex specialis, som säger att en bestämmelse som reglerar ett speciellt förhållande har företräde framför en bestämmelse av mer allmän karaktär. En specialiserad regel uppfattas som ett undantag från den allmänna regeln och denna gäller alltså inte om den specialiserade regeln är tillämplig. 1 För lagtext och förarbeten till 9 §, se författningskommentaren och bilaga 2. Med hänsyn till att PUL är en allmän lag, som omfattar all behandling av personuppgifter som sker helt eller delvis automatiserat eller i registerform, omfattar lagen självfallet även arbetsgivares behandling av arbetstagares personuppgifter. Det medför att tillämpningsområdena för och delvis sammanfaller och att det således kan uppkomma konkurrens mellan bestämmelser i de båda lagarna. Om en arbetstagares personuppgifter behandlas automatiserat eller i registerform skall nämligen PUL tillämpas, men lex specialis-principen innebär att skall tillämpas i stället för PUL när innehåller bestämmelser som avviker från eller innebär preciseringar av PUL. ger inom sitt tillämpningsområde den yttre ramen och de grundläggande förutsättningarna för den behandling som är tillåten beträffande arbetstagares personuppgifter. Om förutsättningarna för en viss behandling inte är uppfyllda enligt har arbets- givaren alltså inte någon rätt att behandla de aktuella uppgifterna överhuvudtaget. I de fall när förbjuder en viss behandling kommer alltså att inskränka PUL:s tillämpningsområde, eftersom en behandling som varit tillåten nu kommer att vara förbjuden. De situationer där konkurrens mellan lagarna möjligen kan orsaka vissa bekymmer är när behandling av arbetstagares person- uppgifter är tillåten enligt och arbetsgivaren väljer att behandla uppgifterna automatiserat eller i registerform. Svårigheterna skall dock inte överdrivas. I fråga om arbetsgivarens skyldighet enligt PUL att lämna information till arbetstagaren eller att vidta rättelse av en felaktig eller ofullständig personuppgift föreslår utredningen att i dessa avseenden görs tillämpliga i viss utsträckning även enligt och i flera andra fall innehåller båda lagarna uttryckliga regler om förutsättningarna för behandlingen av personuppgifter. En närmare redogörelse för hur man bör se på detta finns i motiveringen till varje bestämmelse. 4.2.1.2Relevans-, finalitets- och proportionalitetsprinciperna Gemensamt för och är att båda lagarna syftar till att skydda den personliga integriteten genom att reglera behandlingen av personuppgifter. Bestämmelserna i 9 § PUL, som ger uttryck för de grundläggande principerna om relevans, finalitet och proportio- nalitet skall därför självfallet gälla även vid tillämpningen av . Principerna om relevans, finalitet och proportionalitet har varit styrande för utarbetandet av dataskyddsdirektivet och PUL. I det reviderade förslag jämte förklarande anmärkningar som EU- kommissionen avlämnande i anledning av det första förslaget till dataskyddsdirektiv (COM(92) 422 final – SYN 287 och EGT nr C 311, 27.11.1992), i det slutligen antagna direktivet 95/46/EG, i betänkande Integritet Offentlighet Informationsteknik (SOU 1997:39) och i propositionen 1997/98:44 Personuppgiftslag har man resonerat kring dessa principer och deras utformning. De resonemang som förs där är emellertid relativt kortfattade och avslutas i flera fall endast med konstaterandet att principernas betydelse vid en tillämpning får avgöras i praxis eller i kompletterande föreskrifter. Såväl i artikel 6 i direktivet som i 9 § PUL uttrycks relevans- principen på så sätt att de personuppgifter som samlas in skall vara relevanta i förhållande till ändamålen med behandlingen. Av kommissionens förklaring framgår att detta innebär att uppgifterna måste korrespondera med de mål man vill uppnå med behand- lingen. Insamlingen av uppgifterna får bara ske för särskilda, uttryckligt angivna och berättigade ändamål, vilket innebär att ändamålen med behandlingen av personuppgifterna måste be- stämmas av den personuppgiftsansvarige redan när uppgifterna samlas in. En alltför allmänt hållen ändamålsangivelse godtas inte utan avsikten är att användningen av personuppgifter skall defini- eras så precist som möjligt. Som exempel på en ändamålsangivelse som inte uppfyller kraven anger kommissionen en beskrivning som består däri att behandling skall ske för kommersiellt ändamål. Ändamålen för vilka personuppgifterna samlas in skall vidare vara berättigade. I vilka situationer detta kan sägas vara fallet framgår inte närmare vare sig av kommissionens förklaring, direktivet eller förarbetena till PUL. Det anmärks i Datalags- kommitténs betänkande att det inte kan sägas säkert om detta krav bör ges någon självständig betydelse vid en tillämpning av bestämmelserna.2 Relevanskravet är grundläggande för och genomsyrar följaktligen hela lagförslaget. En relevansbedömning skall göras i varje särskilt fall eller serie av fall när en arbetstagares person- uppgifter behandlas och är avgörande för vilka personuppgifter som får behandlas. Relevanta uppgifter är t.ex. sådana uppgifter 2 Se SOU 1997:39 s. 350. som arbetsgivaren behöver för att kunna bedöma om arbetstagaren utför eller kan utföra sina arbetsuppgifter på ett riktigt sätt eller för att kunna följa bestämmelser i kollektivavtal och författningar. Att här ange närmare vilka uppgifter som skall anses betydelsefulla i varje tänkbar situation är dock inte möjligt. Detta uttrycks väl i de riktlinjer om arbetstagares integritetsskydd som har utarbetats av en expertgrupp inom : Both the variety of reasons for processing workers personal data and the growing amount of data which are collected and used illustrate the difficulty of deriving viable solutions to the numerous problems that can arise in this connection at the workplace from all-purpose rules for data-processing.3 En relevansbedömning skall även göras vid behandlingen av en arbetssökandes personuppgifter under anställningsförfarandet och det innebär att arbetsgivarens möjlighet att samla in person- uppgifter om arbetssökanden begränsas till vad som är nödvändigt för att kunna bedöma den arbetssökandes behörighet och lämplighet för anställningen. Uppgifter om familjeförhållanden och fritidsintressen torde därmed endast undantagsvis kunna anses relevanta. Härav följer även att en arbetssökande kan underlåta att lämna uppgifter som inte är relevanta för den ifrågavarande anställningen. En arbetssökande torde inte heller kunna ställas till ansvar för felaktiga eller ofullständiga uppgifter som lämnas som svar på irrelevanta frågor av arbetsgivaren.4 Relevanskravet skall vidare tillämpas vid behandlingen av person- uppgifter som samlas in genom hälsoundersökningar, drogtester, personlighetstester eller kontroller av lagöverträdelser. I relevans- kravet ligger även en skyldighet för arbetsgivaren att rätta felaktiga eller ofullständiga personuppgifter eller utplåna föråldrade person- uppgifter. Relevansprincipen kompletteras i 9 § PUL med den inte mindre viktiga finalitetsprincipen. Där föreskrivs sålunda att person- uppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Några särskilda kommentarer till denna bestämmelse ges inte i förarbetena. I stället framhålls att vad som är oförenligt med de ursprungliga ändamålen får bestämmas genom praxis och kompletterande föreskrifter. 3Se Code of practice on the protection of workers personal data, Commentary, 1. 4Jfr EG C–109/00 Tele A/S. att förhindra att bestämmelsen kringgås genom att personuppgifter lämnas ut till någon annan, som i sin tur bestämmer nya ändamål för behandlingen som är oförenliga med de ursprungligen bestämda, betonas vidare att ett utlämnande till annan av person- uppgifter måste vara förenligt med de ursprungliga ändamålen.5 Även proportionalitetsprincipen kommer till uttryck i 9 § PUL. Där föreskrivs att inte fler personuppgifter får behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen. Vid tillämpningen av innebär detta att arbetsgivaren måste begränsa insamlingen av personuppgifter avseende en arbetstagare eller en arbetssökande till vad som verkligen krävs i förhållande till de aktuella arbetsuppgifterna. I detta sammanhang kan även uppmärksammas vad som anförs i 10 § PUL beträffande proportionaliteten mellan den person- uppgiftsansvariges och den registrerades intressen. Där sägs att personuppgifter får behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen eller om behandlingen är nödvändig för att ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. 10 § PUL ersätts emellertid genom bestämmelserna i . Bestämmelserna i grundas nämligen på överväganden om i vilka situationer som arbetsgivaren har rätt att behandla vissa personuppgifter om en arbetstagare och en avgörande del i dessa överväganden utgörs av en ingående bedömning av om behandlingen är berättigad vid en avvägning mellan arbetsgivarens och arbetstagarens respektive intressen. Utrymmet för samtycke av arbetstagaren har vidare starkt begränsats genom bestämmelserna i . innehåller alltså i förekommande fall en uttömmande reglering av när behandling av personuppgifter är tillåten. Bestämmelserna i utgör således en specialreglering av 10 § och tar över denna regel. 4.2.2Förhållandet till tryck- och yttrandefriheten samt till offentlighetsprincipen Bestämmelserna i 7 och 8 §§ PUL klargör PUL:s förhållande till grundlagsstadgandena om tryck- och yttrandefriheten samt till 5 Se SOU 1997:39 s. 351. Av 7 § framgår att PUL inte skall tillämpas i den utsträckning som det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i TF eller YGL. Vidare görs i paragrafen betydande undantag för sådan behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller för konstnärligt eller litterärt skapande. Vad därefter avser förhållandet till offentlighetsprincipen föreskrivs i 8 § att bestämmelserna i inte skall tillämpas i den utsträckning som det skulle inskränka en myndighets skyldighet enligt 2 kap. TF att lämna ut personuppgifter. Utredningen anser att bestämmelserna som klargör förhållandet till tryck- och yttrandefriheten samt till offentlighetsprincipen bör tillämpas även för helt behandling av personuppgifter och föreslår därför att en hänvisning till 7 och 8 §§ PUL görs i . 4.2.3Förhållandet till andra författningar m.m. När det gäller LIA:s förhållande till andra författningar föreslår utredningen att kollisions- och konkurrenssituationer får lösas med tillämpning av den allmänna rättsprincipen lex specialis. Någon mer fullständig redovisning av författningar som kan innebära att det uppstår sådana situationer görs inte här. Nämnas bör dock några av de viktigaste. Exempel på sådana författningar som har företräde framför är säkerhetsskyddslagen (1996:627) och säkerhetsskyddsförord- ningen (1996:633), lagen (1994:260) om offentlig anställning () och anställningsförordningen (1994:373) samt lagen (1994:260) om fullmaktsanställning och verksförordningen (1995:1322). Andra exempel är livsmedelslagen ( 1971:511), järnvägssäkerhetslagen (1990:1157), strålskyddslagen (1988:220) och fartygssäkerhetslagen (1988:49) som alla är att betrakta som speciallagar i förhållande till . Här bör också uppmärksammas att vissa känsliga person- uppgifter som omfattas av LIA:s reglering kan vara skyddade av sekretessbestämmelser. innehåller inte någon reglering som medför att gällande sekretessbestämmelser inte skall tillämpas. Det uppkommer därför inte någon konflikt mellan sekretesslagen och utan sekretesslagen och den anknytande förordningen gäller fullt ut. Arbetsgivaren är alltså skyldig att även i fortsättningen beakta sekretessen i fråga om de uppgifter som behandlas enligt . 4.3Vissa begrepp som används i Generellt kan sägas att det förhållandet att har sin utgångspunkt i PUL innebär att definitionerna av de beteckningar som används i de båda lagarna bör vara desamma. När definitionerna inte direkt sammanfaller finns det därför anledning att kommentera detta närmare. Det gäller framför allt definitionen av det centrala begreppet behandling. I det följande tar utredningen även upp begreppen personuppgift och samtycke som visserligen är desamma i båda lagarna men ändå bedöms vara så väsentliga att de bör redovisas här. Slutligen redogörs för begrepp som har hämtats från den arbetsrättsliga lagstiftningen och i anslutning därtill tas också upp vissa frågor som har aktualiserats i sammanhanget. I används beteckningen behandling som ett samlingsbegrepp för alla tänkbara åtgärder som vidtas med personuppgifter. LIA:s begrepp överensstämmer därmed med den definition av begreppet som ges i artikel 2 b) i dataskyddsdirektivet och i 3 § PUL.6 Det överensstämmer däremot inte med tillämpningsområdet för PUL. Enligt 5 § PUL är lagen nämligen avsedd att tillämpas bara på sådan behandling som sker helt eller delvis automatiserat eller i registerform. I det följande kommer sådan behandling som inte omfattas av PUL – och som alltså inte avser personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller samman- ställning enligt särskilda kriterier – att betecknas som helt behandling. har således ett vidare tillämpningsområde än PUL, vilket innebär att det i inte görs någon åtskillnad mellan skyddet för personuppgifter som behandlas helt manuellt och skyddet för personuppgifter som behandlas helt eller delvis automatiserat eller i registerform. tillämpas både på personuppgifter som t.ex. skrivs ner på lösa lappar och på personuppgifter som förs in i register eller som registreras automatiskt, allt under förutsättning att behandlingen av uppgifterna hänför sig till någon av de i lagen reglerade situationerna. är därmed helt teknik- oberoende. 6 Se författningskommentaren och bilaga 2. 4.3.2Personuppgift/dokumenterad personuppgift Begreppet personuppgift innefattar, i likhet med definitionen i 3 § PUL, all slags information som direkt eller indirekt kan hänföras till en person som är i livet. tillämpas också, liksom PUL, bara beträffande personuppgifter som är dokumenterade. Personuppgiften skall alltså ha beständigats på något sätt. En muntlig personuppgift som arbetsgivaren får, antingen av arbetssökanden eller arbetstagaren själv eller på annat sätt, omfattas inte av om inte uppgiften på något sätt har dokumenterats. Muntliga personuppgifter som en arbetsgivare får t.ex. under en anställningsintervju omfattas inte av , med mindre än att uppgifterna dokumenterats under eller efter intervjun. Det är alltså själva dokumentationen av uppgifterna som är avgörande, inte den avsikt som arbetsgivaren kan ha haft när det gällde att dokumentera informationen. Med dokumenterad behandling avses t.ex. skriftlig behandlig av personuppgifter, behandling genom ljud- eller bildupptagning samt automatiserad eller mekanisk behandling. De muntliga svar som en arbetstagare eller en arbetssökande ger vid en anställningsintervju faller därmed utanför LIA:s tillämp- ningsområde, om inte arbetsgivaren har dokumenterat uppgifterna på något sätt. Under utredningens arbete har aktualiserats frågan om inte arbetsgivaren borde förbjudas att ställa muntliga frågor till en arbetssökande som inte är relevanta för den sökta anställningen. Utredningen återkommer i avsnitt 4.4.2 till detta. Samtycke är ett viktigt begrepp enligt dataskyddsdirektivet och PUL. Samtycke till en behandling av personuppgifter innebär att man frivilligt avstår från det integritetsskydd som direktivet och lagen erbjuder. Enligt PUL kan den enskilde samtycka till be- handling av personuppgifter i många sammanhang, t.o.m. till en be- handling som upphäver förbudet mot behandling av känsliga personuppgifter. I däremot finns det inte något utrymme för samtycke beträffande känsliga uppgifter, vilket framgår i det följan- de vid redovisningen av förslagen till de olika bestämmelserna. Såväl i dataskyddsdirektivet som i PUL har samtycke definierats som varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den enskilde, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Utredningen ansluter sig till denna definition som enligt utredningens mening väl fyller funktionen att vara en spärr mot oöverlagda eller ofrivilliga samtycken. 4.3.4Arbetsgivare, arbetstagare och arbetssökande Begreppen arbetsgivare, arbetstagare och arbetssökande har samma innebörd i som inom den arbetsrättsliga lagstiftningen och det torde i de flesta fall inte bereda några svårigheter att avgöra vem som avses med begreppen. Beträffande arbetsgivarbegreppet har det dock under utredningens arbete ifrågasatts om inte det inte borde klarläggas att arbetsgivaren är den som har det samlade ansvaret för anställningen av en arbetstagare, inbegripet rekryteringsförfarandet. Frågan har behandlats i propositionen 1999/2000:143 om ändringar i jämställdhetslagen och där uttalas bl.a. följande (s. 46). Även i de fall en arbetsgivare anlitar s.k. headhunters eller särskilda rekryteringsföretag inför en rekrytering, kan det tänkas inträffa att arbetssökande väljs bort på ett sätt som innebär diskriminering. Också sådana förfaranden bör omfattas av diskrimineringsförbudet och arbetsgivaren bör alltså kunna göras ansvarig i förhållande till en arbetssökande. Det får därefter ankomma på arbetsgivaren att i sin tur vända sig till sin avtalspart och regressvis kräva ersättning för utgivet skadestånd. En sådan ordning innebär att en arbetsgivare inte kan kringgå diskrimineringsförbudet genom att t.ex. uppdra åt en rekryteringsfirma att sköta en rekrytering och därvid ge direktiv om att vissa arbetssökande skall sållas bort. Jämställdhetslagen och syftar båda till att skydda arbets- sökande mot en godtycklig behandling under anställnings- förfarandet. Utredningen anser därför, inte minst av praktiska skäl, att man bör ha samma syn på arbetsgivarbegreppet i de båda lagarna och att arbetsgivarens ansvar sålunda bör bedömas på samma sätt vid tillämpningen av som vid tillämpningen av jämställdhets- lagen. Ansvaret för hela det anställningsförfarande som arbets- givaren står bakom bör således även vid tillämpningen av ligga hos arbetsgivaren och arbetsgivaren kan inte frånhända sig detta genom att anlita headhunters eller särskilda rekryteringsföretag. Om den personliga integriteten hos en arbetssökande kränks genom att ett rekryteringsföretag inte följer kan alltså arbetsgivaren göras ansvarig för kränkningen. Därav följer att det ligger i arbetsgivarens intresse med hänsyn till såväl jämställdhetslagen som att lämna noggranna instruktioner när ett uppdrag läggs ut på ett rekryteringsföretag eller liknande och att sedan följa upp hur uppdraget utförs. 4.4Ett förstärkt integritetsskydd för arbetssökande För arbetstagare kommer de föreslagna bestämmelserna i att innebära att arbetsgivarens rätt att behandla vissa personuppgifter begränsas jämfört med vad som gäller . Arbetstagaren kommer därmed att garanteras ett ökat integritetsskydd. Utredningen har tidigare i kapitel 2 fört fram de argument som motiverar detta. Där framgår att samma argument som anförs för ett stärkt integritets- skydd för arbetstagare även kan anföras till stöd för ett likvärdigt skydd för arbetssökande. För att ge arbetssökande ett sådant skydd bör de bestämmelser i som föreslås beträffande hälsoundersökningar, drogtester, personlighetstester och lagöverträdelser gälla även för arbets- sökande. Bestämmelserna om inhämtande och förvaring av person- uppgifter, information, rättelse, tystnadsplikt, sanktioner och processuella regler bör också tillämpas för arbetssökande. I vilka konkreta situationer som reglerna ger ett förstärkt skydd framgår närmare vid redovisningen av de särskilda förslagen. 4.4.2Ett förbud mot muntliga frågor? Från olika håll har framförts att det i borde införas ett förbud för arbetsgivare att under ett anställningsförfarande ställa muntliga frågor som inte är relevanta i förhållande till anställningen, t.ex. frågor om familjeplanering och andra familjeförhållanden eller om olika fritidsintressen. Vidare har sagts att det åtminstone borde införas ett förbud för arbetsgivaren att ställa muntliga frågor till kvinnliga arbetssökande om graviditet och därmed samman- hängande förhållanden. Utredningen vill med anledning härav framhålla följande. Som ovan anförts krävs det enligt att arbetsgivaren på något sätt skall ha dokumenterat de svar som arbetsgivaren får genom att ställa muntliga frågor till en arbetssökande för att behandlingen av dessa personuppgifter skall omfattas av . För det fall att uppgifterna har dokumenterats innebär tillämpningen av relevans- principen att uppgifterna måste ha en direkt koppling till den sökta anställningen. Arbetsgivaren får alltså bara samla in sådana person- uppgifter som verkligen behövs för anställningen.