sou · GXB344 · 2010-01-01 00:00:00 — När arbetsgivare hanterar registerutdrag om en arbetssökande eller en anställd kan det som sagt vara fråga om sådan behandling som omfattas av personuppgiftslagen. Den situationen att en arbets- givare som har direktåtkomst till registret eller del därav tar del av dessa på en datorskärm innebär dock inte personuppgiftshantering enligt personuppgiftslagen. Behandling av uppgifter om lagöverträdelser regleras i en särskild bestämmelse i personuppgiftslagen. Enligt 21 § första stycket är det förbjudet för andra än myndigheter att behandla personuppgifter Kontroll av vissa registerutdrag om lagöverträdelser som innefattar brott, domar i brottmål, straff- processuella tvångsmedel eller administrativa frihetsberövanden. Förbudet kan inte upphävas med den registrerades samtycke. Regeringen eller den myndighet regeringen bestämmer får dock enligt tredje stycket samma paragraf meddela undantag från för- budet. Vidare får regeringen enligt paragrafens fjärde stycke i enskilda fall besluta om undantag från förbudet och får därvid överlåta åt tillsynsmyndigheten att fatta sådant beslut. Enligt 9 § personuppgiftsförordningen (1998:1191) har regerin- gen bemyndigat Datainspektionen att meddela dels föreskrifter om undantag från förbudet i 21 § personuppgiftslagen, dels beslut i enskilda fall om sådana undantag. Datainspektionen har meddelat föreskrifter av nyssnämnt slag genom 1998:3. Där föreskrivs att personuppgifter som avses i 21 § personuppgiftslagen får behandlas bl.a. om behandlingen avser enstaka uppgift som är nödvändig för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras i ett enskilt fall (punkten f i nämnda föreskrifter). Enligt Datainspektionen ska möjligheten att i ett enskilt fall meddela beslut om undantag tillämpas restriktivt, se t.ex. beslut Dnr 764–2007. I sammanhanget kan noteras att – som gjorde en översyn av personuppgiftslagen främst med syfte att undersöka möjligheterna att införa en s.k. missbruksreglering – även hade i uppdrag att överväga om det i personuppgiftslagen borde tas in bestämmelser som direkt tillåter enskilda att behandla personuppgifter om lagöverträdelser. Utredningen skulle därvid över- väga om den registrerades samtycke skulle göra sådan behandling tillåten. Utredningen bedömde emellertid att de möjligheter till undantag genom generella föreskrifter i andra författningar och genom beslut i enskilda fall som redan fanns var tillräckliga.7 En privat arbetsgivares behandling av personuppgifter om lag- överträdelser strider alltså mot personuppgiftslagen om behand- lingen är automatiserad eller delvis automatiserad eller i register- form. Detta gäller dock inte om behandlingen ska ske enligt bestäm- melser i annan författning. På såväl skolområdet som inom HVB-verksamheten förekommer ett stort antal privata arbetsgivare som har lagstadgad skyldighet att genomföra registerkontroll av personal som anställs eller ges uppdrag i 7 SOU 2004:6 s. 182. Kontroll av vissa registerutdrag I betänkande anges att dessa bestämmelser dock inte synes ge de enskilda arbetsgivarna möjlighet att behandla de erhållna uppgifterna om lagöverträdelser på ett sätt som omfattas av personuppgiftslagen.8 Beträffande mot- svarande skyldighet till registerkontroll inom försäkringsförmedlings- verksamhet sägs i proposition 2004/05:133 s. 70 med hänvisning till 21 § personuppgiftslagen att den anteckning som bör göras om att registerutdraget kontrollerats inte får innehålla några uppgifter om innehållet i uppvisat registerutdrag. En uttrycklig bestämmelse härom intogs som tidigare redovisats också i försäkringsförmedlings- förordningen (2005:411). En ren behandling av personuppgifter om lagöverträd- elser, vilket det ofta torde vara fråga om då en arbetssökande endast uppvisar ett utdrag för kontroll, faller som tidigare nämnts utanför personuppgiftslagens tillämpningsområde. Om utdraget visserligen lämnas tillbaka men dess innehåll noteras i en personakt vars hand- lingar är strukturerade eller sökbara efter personuppgifter är det där- emot fråga om sådan behandling som omfattas av personuppgifts- lagen. Som redogjorts för gäller enligt 7 kap. 17 § sekretesslagen absolut sekretess för uppgifter i verksamhet som avser förande av eller uttag ur register som förs enligt lagen om belastningsregister. Av paragrafen framgår också att reglerna i 14 kap. sekretesslagen – bl.a. paragrafen vari anges att sekretess inte gäller i förhållande till den enskilde själv – inte gäller i fråga om sekretess enligt 7 kap. 17 §. För uppgifter i misstankeregistret gäller inte absolut sekretess utan istället sekretess med s.k. omvänt skaderekvisit, dvs. upp- gifterna får lämnas ut endast om det står klart att det kan ske utan skada eller men för den enskilde eller någon honom närstående (7 kap. 19 § sekretesslagen). När det gäller uppgifter i misstanke- registret blir reglerna i 14 kap. sekretesslagen tillämpliga. Av intresse i förevarande sammanhang är också frågan om vilken sekretess som gäller för uppgifter i registerutdrag i anställnings- ärenden. Av 7 kap. 11 § sekretesslagen, som behandlar den personal- administrativa sekretessen, framgår av paragrafens tredje stycke att 8 SOU 2004:6 s. 181. Kontroll av vissa registerutdrag sekretess inte gäller i ärenden om anställning. I den mån utdrag ur belastningsregister förekommer i ärenden om anställning saknas som regel sekretesskydd. Frågan om sekretess för utdrag från belastningsregistret i anställ- ningsärenden behandlades när registerkontrollen på skolområdet infördes. Lagrådsremissen i det lagstiftningsärendet innehöll ett för- slag till sekretessbestämmelse för uppgifter i registerutdrag. Lag- rådet, som framhöll att det varit en viktig princip att det ska vara offentlighet i sådana ärenden (se prop. 1979/ 80:2 del A s. 200 f samt prop. 1986/87:3 s. 8), satte bl.a. i fråga om det var mer ange- läget med sekretess i den aktuella typen av anställning än det var i andra där registerutdrag förekom. Med anledning av Lagrådets syn- punkter innehöll det slutliga förslaget till lag om registerkontroll på skolans område inte någon reglering av sekretessen. Inte heller före- slogs någon regel om tystnadsplikt för uppgifter om registerutdrag som förekommer i enskild verksamhet. Någon reglering rörande sekretess eller tystnadsplikt finns inte heller i lagen om register- kontroll av personal vid sådana hem för vård eller boende som tar emot barn. I betänkande9 konstaterades att många privata arbetsgivare upplever ett ökat behov av att förvissa sig om att per- soner som anställs inte har ett kriminellt förflutet. Dessa arbets- givare ställer därför som villkor att den som ska anställas själv ska skaffa utdrag ur belastningsregistret och överlämna det till arbets- givaren. I det utredningsförlag som utredningen lämnade ingick en lag- bestämmelse om behandling av personuppgifter om lagöverträdel- ser. Den huvudregel som föreslogs innebar att en arbetsgivare inte får behandla personuppgifter om lagöverträdelser, som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel och admin- istrativa frihetsberövanden. Från denna huvudregel skulle undantag få göras endast om detta var nödvändigt för att bedöma en arbets- tagares eller arbetssökandes tillförlitlighet med hänsyn till säker- heten för det allmänna eller för arbetsgivarens verksamhet. Den lag som utredningen föreslog avsågs vara tillämplig på alla former av behandling av personuppgifter; automatisk såväl som . 9 SOU 2002:18. Kontroll av vissa registerutdrag förutsättning var dock att personuppgifterna var dokumenterade. Muntliga uppgifter som inte dokumenterats omfattades således inte av förslaget. Förbudet i 21 § personuppgiftslagen för andra än myn- digheter föreslogs kvarstå. Utredningens förslag till bestämmelse om behandling av person- uppgifter om lagöverträdelser m.m. innebar således att vid behandling måste alla arbetsgivare iaktta den föreslagna bestämmel- sen. Om behandlingen var helt eller delvis automatiserad eller i registerform skulle den nya regeln gälla myndigheter medan för- budet i 21 § personuppgiftslagen för andra än myndigheter att behandla sådana uppgifter även fortsättningsvis skulle gälla. För att ge arbetstagaren och en arbetssökande kontroll över och insyn i en arbetsgivares behandling av personuppgifter föreslogs dessutom den regeln att arbetsgivaren skulle åläggas att i första hand inhämta personuppgifter om lagöverträdelser från arbetstaga- ren eller arbetssökanden själv. Bara om detta inte var möjligt och under förutsättning av arbetstagarens eller arbetssökandens sam- tycke skulle arbetsgivaren få hämta in sådana uppgifter från någon annan källa. Bestämmelsen föreslogs gälla behandling av uppgifter inte bara om lagöverträdelser utan även hälsa och droganvändning. gav () in en skrivelse till med framställning om en översyn av den enskildes rätt att ta del av uppgifter om sig själv i belastnings- registret (dnr Ju2004/8976/PO). I skrivelsen framhölls att den enskil- des rätt att få ta del av uppgifter ur registret om sig själv utnyttjades alltmer av arbetsgivare som utan uttryckligt stöd i lag begär att arbetssökande ska förete sådana utdrag. Förfarandet hade fått en så stor omfattning att skyddet för den personliga integriteten urhol- kades. Vad beträffar den praktiska hanteringen av utdragen finns enligt RPS två olika blanketter för den enskildes begäran att få register- utdrag rörande sig själv, en för uttag enligt 9 § lagen om belast- ningsregister och en för uttag enligt 10 § datalagen (1973:289) och 26 § personuppgiftslagen. Sådana uppgifter lämnas på begäran ut utan avgift en gång per kalenderår. Begäran ska vara skriftlig och undertecknad av den sökande. Kontroll av vissa registerutdrag För att motverka att registerutdragen används som s.k. straffri- hetsbevis har RPS utformat utdragen på följande sätt. Om det finns uppgifter om sökanden i registren, fogas registerutdraget till ett missiv. Om det inte finns några uppgifter om sökanden i registren skickas endast missivet ut. Antalet sidor som skickas ut till sökan- den anges inte på missivet. Om sökanden begär uppgifter från misstankeregistret och det finns uppgifter om denne i registret kontaktas åklagare eller förundersökningsledare för att få underlag till en bedömning om uppgifterna kan lämnas ut till sökanden eller om uppgifterna omfattas av sekretess. I de fall åklagare eller förunder- sökningsledare anser att uppgifterna inte bör lämnas ut, prövas sek- retessfrågan hos rättssekretariatet vid RPS. RPS uppskattade att av dem som begär register- utdrag är arbetssökande. angav också att den uppmärksammat att en hel del väl kända och etablerade företag med omfattande verksamhet konsekvent kräver registerutdrag från de arbetssökande. En del företag har enligt RPS till och med tagit fram egna banketter för detta ändamål. RPS hade också erfarit att den tilltänkte arbetsgivaren i vissa fall kräver att arbetssökande ska öppna försändelsen från RPS i arbetsgivarens närvaro i syfte att förhindra att den arbetssökande tar bort sidor med belastnings- uppgifter. RPS berörde i skrivelsen bl.a. vilka möjligheter som finns för att förhindra missbruk av den enskildes insynsrätt. Ett sätt kunde enligt RPS vara att överväga andra former för hur den enskilde ska få del av uppgifterna. RPS menade dock att såsom tidigare konsta- terats (prop. 1987/88:122) torde förfarandet att den enskilde kan få ta del av uppgifterna på en bildskärm placerad på polisstationen inte vara praktisk genomförbart. Inte heller torde andra tekniska lösningar t.ex. att den enskilde tar del av uppgifterna via Internet eller att den enskilde får muntliga besked av Polisens kontaktcenter fungera i praktiken. Vidare framhölls att det kan vara mindre fram- synt att försöka komma till rätta med missbruket av den enskildes insynsrätt med hjälp av tekniska lösningar. Om den nuvarande ruti- nen med registerutdrag missbrukas kommer, enligt RPS, troligen andra tekniska lösningar också att kunna användas på ett sätt som inte varit avsett. Sammanfattningsvis ansåg RPS att det sannolikt inte var en framkomlig väg att förhindra den typ av kringgående av reg- lerna om den enskildes insynsrätt som var aktuell med hjälp av tekniska lösningar. Kontroll av vissa registerutdrag Med hänsyn till den omfattning som utnyttjande av den enskil- des insynsrätt fått kunde ett alternativ enligt RPS vara att straff- belägga förfaranden som innebär att den enskildes rätt missbrukas av andra. Det kunde enligt RPS också finnas anledning att se över det eventuella behovet av att utvidga kretsen av arbetsgivare som kan anses ha ett godtagbart intresse att kräva utdrag ur belastnings- registret av arbetssökande. RPS framhöll därvid vikten av att man inte tillåter en ordning där arbetsgivare kan begära utdrag och använda sig av dessa till att mer eller mindre slentrianmässigt sålla bort de arbetssökande som gjort sig skyldig till någon typ av brottslighet. Från RPS har följande statistiska uppgifter inhämtats rörande ut- drag ur belastningsregistret som en enskild begärt om sig själv. Av levererade utdrag ur belastningsregistret rörande den enskilde efter begäran från denne –2008 Begränsat utdrag – Skolan Försäkringsförmedling*** HVB**** utlandsändamål ***** * Utdrag begärda med stöd av 9 § första stycket lagen om belastningsregistret, 10 § datalagen och 26 § personuppgiftslagen. **Utdrag begärda med stöd av 9 andra stycket 2 lagen om belastningsregister. Obligatorisk register- kontroll infördes . Den personkrets som omfattas av kontrollen utvidgades den ***Utdrag begärda med stöd av 9 § andra stycket 3 lagen om belastningsregister Obligatorisk register- kontroll infördes . ****Utdrag begärda med stöd av 9 § andra stycket 4 lagen om belastningsregister Obligatorisk registerkontroll infördes . *****Utdrag begärda med stöd av 9 § andra stycket 1 lagen om belastningsregister. Kontroll av vissa registerutdrag Av RPS:s statistik framgår vidare att styrelsen levererat omkring 10 000 utdrag –200810 med stöd av den enskildes rätt enligt 26 § personuppgiftslagen och 10 § datalagen att få ut uppgifter om sig själv i de register som förs hos RPS. De upp- gifter som den enskilde därvid får är samtliga uppgifter från RPS:s register för vilka det inte gäller sekretess i förhållande till den regis- trerade. Dessa utdrag omfattar också ett fullständigt utdrag ur belast- ningsregistret, varför den redovisade summan för dessa utdrag är inkluderad i den summa som anges i tabellen ovan avseende full- ständigt utdrag från belastningsregistret. 11.2.11 Överväganden och förslag – belastningsregistret Vårt förslag: En arbetsgivare får inte utan stöd i lag eller med stöd av lag meddelad författning begära att en arbetstagare uppvisar ett utdrag ur belastningsregistret. Uppgifter om tidigare brottslighet berör känsliga förhållanden som den enskilde i allmänhet vill hålla för sig själv. Uppgifternas käns- liga karaktär har lett till att hanteringen av uppgifter om lagöver- trädelser kringgärdas av särskilda restriktioner. Bestämmelser med sådant innehåll återfinns bl.a. i dataskyddskonventionen och data- skyddsdirektivet liksom i personuppgiftslagen och sekretesslagen. Den närmare regleringen i personuppgiftslagen innebär bl.a. att det är förbjudet för andra än myndigheter att behandla uppgifter om lagöverträdelser m.m. Den enskilde har heller inte, till skillnad från vad som gäller beträffande andra kategorier av känsliga person- uppgifter, getts möjlighet att samtycka till undantag från det upp- ställda förbudet. Än mer känsligt ur integritetssynpunkt är uppgifter om tidigare brottslighet sammanställda i ett regelrätt register som t.ex. belast- ningsregistret. Syftet med registret är just att lagra sammanställ- ningar av uppgifter på ett sådant sätt att det ska vara lätt att ta fram och presentera innehållet. Vid införandet av belastningsregistret 10 Det exakta antalet utdrag är 9 2006, 9 2007 och 10 2008. För tiden finns inte någon separat redovisning av de utdrag som begärts av den enskilde med stöd av 10 § datalagen och 26 § personuppgiftslagen utan de ingår i den redovisade summan av levererade utdrag med stöd av 9 § första stycket lagen om belastningsregister. Kontroll av vissa registerutdrag betonades också att det låg i sakens natur att utomordentligt stor restriktivitet måste gälla för insyn i registret (prop. 1997/98:112). För uppgifterna i registret gäller därför den strängaste formen av sekretess. Det övergripande syftet med belastningsregistret är att olika myndigheter, framförallt de brottsbekämpande och rättsvårdande myndigheterna, på ett enkelt sätt ska få tillgång till de uppgifter som behövs i deras verksamhet. Härutöver får registret i de fall det särskilt stadgas användas av polismyndigheter och andra myndig- heter vid viss prövning samt för att till enskild lämna uppgifter som är av betydelse för dennes verksamhet. Som framhålls i våra direktiv präglas vårt samhälle av uppfatt- ningen att en person efter avtjänat straff ska kunna verka i samhäl- let på samma premisser som andra. Uppgifter om tidigare brotts- lighet som sprids i onödan kan försvåra eller t.o.m. förhindra den dömdes rehabilitering. Det ovan redovisade synsättet ligger också bakom tidigare nämnda rekommendation (No. R (84) 10) om kriminal- register och rehabilitering av dömda. Som nämnts är en huvud- punkt i rekommendationen att kriminalregister är avsedda för att myndigheter inom rättsväsendet ska kunna fatta riktiga beslut och att användningen av registret för andra ändamål bör begränsas så mycket som möjligt. Också i riktlinjer föreskrivs restriktivitet i fråga om upp- gifter om lagöverträdelser; insamlingen bör enligt kommentaren till riktlinjerna vara strängt begränsad till uppgifter som är klart rele- vanta för arbetet i fråga. För att garantera att endast sådan informa- tion inhämtas bör arbetsgivare enligt kommentaren inte vara tillåtna att begära att arbetstagare ska visa upp ett utdrag ur kriminalregistret. Att uppgifterna ansetts känsliga med avseende på en individs möjlighet till återanpassning i samhället efter avtjänat straff framgår också av den redovisade återhållsamhet som tidigare gällt i fråga om möjlighet för den enskilde att få insyn i kriminal- eller polisregister. Efter att frågorna utretts i olika sammanhang, bl.a. diskuterades lösningar som innebar att informationen inte skulle ges i form av ett utdrag, infördes först en generell rätt för den enskilde att få ett utdrag från dåvarande kriminalregistret med samtliga upp- gifter om sig själv. I lagförarbetena framhölls just risken att utdra- gen skulle utnyttjas av arbetsgivare som straffrihetsbevis. bedömdes dock inte risken att utdragen skulle miss- brukas som så påtaglig att det fanns anledning att vidta lagstift- Kontroll av vissa registerutdrag ningsåtgärder men man betonade att man skulle följa utvecklingen noga och vid tecken på missbruk ta upp frågan på nytt.11 När lagen om belastningsregister infördes berördes åter risken för att den enskildes rätt kunde komma att utnyttjas av t.ex. arbetsgivare eller hyresvärdar. Dittills hade emellertid ingen- ting framkommit som tydde på att missbruk skulle förekomma i sådan omfattning att det föranledde regeringen att överväga om rätten för den enskilde att ta del av uppgifter som finns registrerade om honom eller henne borde lösas på annat sätt än genom register- utdrag.12 Risken för missbruk togs också upp i samband med tillkomsten av lagen om registerkontroll av personal inom förskoleverksamhet, skola och skolbarnsomsorg . Under lagstiftningsarbetet fram- fördes farhågor för att den förslagna regleringen skulle medföra att arbetsgivare även på andra områden skulle börja begära in utdrag från arbetssökande utan stöd i lag. I propositionen 1999/2000:123 s. 22 f. sägs bl.a. att det inte är meningen att arbetsgivare ska få den uppfattningen att de med stöd av detta förslag ska kunna begära in utdrag även på andra områden.13 Strävan att begränsa arbetsgivares möjlighet att få information från registret har även haft väsentlig betydelse för utformningen av den sekretessbestämmelse som gäller för uppgifterna i belastnings- registret. När frågan behandlades påpekades att en ordning med skaderekvisit skulle innebära en prövning för varje särskilt fall. Om den person förfrågan gällde inte förekom i registret måste detta som regel framgå av avslagsbeslutet; något som i sin tur skulle inne- bära att t.ex. arbetsgivare kunde ta reda på om den tilltänkte arbets- tagaren förekom i registret. Detta menade regeringen inte vara till- fredsställande. Vid en sammantagen bedömning ansåg regeringen därför att absolut sekretess skulle fortsätta att råda. sker den författningsreglerade registerkontrollen enligt två system. Enligt det ena hämtar arbetsgivaren själv in informationen från registret. Det andra systemet innebär att den som kontrollen avser själv ska visa upp ett registerutdrag för arbetsgivaren. I lagen om belastningsregister fastslås uttryckligen rätten att få del av uppgifter ur registret för de myndigheter för vilkas räkning registret främst förs. Övriga myndigheters rätt regleras i förord- 1987/88:122 s. 19 f. 1997/98:97 s. 84 f. 13Att hävda att motsvarande registerkontroll av andra arbetsgivare skulle kräva lagstöd syntes dock enligt Lagrådet vara att gå för långt (prop. 1999/2000:123 s. 77). Kontroll av vissa registerutdrag ningen om belastningsregister. För anställningsändamål har därvid vissa myndigheter givits rätt till fullständiga utdrag medan andra bara har rätt att få utdrag med begränsat innehåll. Även vissa enskilda har erhållit rätt till utdrag avseende annan enskild för anställnings- ändamål. Fram var situationen således sådan att den register- kontroll som skedde med stöd av lag bedrevs genom att ett någor- lunda begränsat antal offentliga och enskilda arbetsgivare själva kunde hämta uppgifter ur belastningsregistret för anställningsända- mål. Med de nya lagarna om registerkontroll som tillkommit, bl.a. på skolans område, har emellertid den bilden förändrats. Den lösning man valde i dessa lagar innebär att kontrollen istäl- let sker genom att den enskilde själv inhämtar ett begränsat utdrag ur registret och visar upp detta för arbetsgivaren. I samband med tillkomsten av lagen på skolområdet noterade att den nya lagstiftningen innebar att vissa arbetsgivare kunde ställa krav på att arbetssökande skulle uppvisa straffrihetsintyg, något som man dittills varit tveksam till. Som ett skäl för att man på skolområdet valde att gå ifrån den modell som dittills gällt angavs att detta var det minst integritets- kränkande då den enskilde härigenom själv har kontroll över vilka uppgifter som lämnas ut till arbetsgivaren.14 Ett annat skäl var att det på skolområdet fanns ett mycket stort antal arbetsgivare och ett ännu större antal personer som efter delegation fattar beslut om anställning av personal och att det därför skulle krävas särskilda regler för behörigheten att begära utdrag. Dessutom skulle det vara svårt att hålla listor över behöriga aktuella. Av integritetsskäl begrän- sades uppgifterna som ett utdrag skulle innehålla till sådana som kunde vara av betydelse vid en lämplighetsprövning med syfte att förebygga övergrepp mot barn och ungdomar. Vad härefter gäller registerkontroll inom försäkringsförmed- lingsverksamhet följer av ett EG-direktiv15 ett krav på kontroll av vandel bl.a. av anställda som direkt arbetar med försäkringsförmed- ling. Valet av modell, dvs. att den enskilde själv hämtar in register- utdraget i fråga, motiverades även här med att integritetskränk- ningen blir minst om den enskilde har kontroll över uppgifterna. Vidare ansågs ett system där ett stort antal privata företag skulle ges möjlighet att hämta in registerutdrag innebära en större risk för spridning av uppgifter till andra än dem som ska ta emot dem 14Detta är också den modell som i första hand anvisas i riktlinjer. 15(2002/92/EG). Kontroll av vissa registerutdrag 2004/05:133 s. 70 f).