sou · GXB344 · 2010-01-01 00:00:00 — Personuppgiftslagen ger i princip ett direkt och generellt materiellt skydd vid alla former av över- vaknings- och kontrollåtgärder i arbetslivet som innebär en be- handling av personuppgifter, om behandlingen av uppgifterna sker helt eller delvis på automatiserad väg eller i registerform. Dessutom ger lagen ett indirekt skydd vid all övervakning och kontroll genom att den i praktiken på ett påtagligt sätt begränsar möjligheterna att spara, lagra, sammanställa och bearbeta den information som den som genomför sådana åtgärder får tillgång till. Lagens faktiska betydelse för integritetsskyddet i arbetslivet blir därmed stor. Regleringens betydelse för den personliga integriteten i arbetslivet kan dessutom förväntas öka i takt med den ständigt accelererande informationsteknologiska utvecklingen, en utveckling som i allra högsta grad påverkar förhållandena på den svenska arbetsmarknaden. Till detta ska läggas att det inte står den svenske lagstiftaren fritt att ändra lagens bestämmelser eller införa speciallagstiftning. Sådana ändringar eller särregler måste alltid prövas mot EG:s dataskydds- direktiv1 som personuppgiftslagen genomför i svensk rätt. Även tolkningen och tillämpningen av personuppgiftslagen i det enskilda fallet, måste i allmänhet ske i ljuset av det bakomliggande direktivet. Sammanfattningsvis kan sägas att personuppgiftslagen är en reg- lering som vi mera har att försöka förhålla oss till än har möjlighet att förändra på ett mera genomgripande sätt. Personuppgiftslagen gäller för sådan behandling av personuppgifter som helt eller delvis är automatiserad. Lagen gäller också för annan behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är till- gängliga för sökning eller sammanställning enligt särskilda kriterier (5 §). Vad som avgränsar lagens materiella tillämpningsområde är således att det just är fråga om att personuppgifter behandlas på ett visst sätt. All information som kan hänföras till en fysisk person som är i livet är en personuppgift (3 §). Det uppställs således inga kvalitets- krav på informationen, t.ex. att det ska vara fråga om vissa särskilt privata eller känsliga uppgifter. Det är tillräckligt att det är fråga om information som kan hänföras till en viss identifierbar individ. För att avgöra om en person är identifierbar ska alla hjälpmedel beaktas som i syfte att identifiera vederbörande rimligen kan komma att användas av antingen den som är ansvarig för behandlingen (den personuppgiftsansvarige), eller av någon annan person (jfr skäl 26 i dataskyddsdirektivet). 1 och Rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Personuppgifter kan utgöras av namn, personnummer, regi- streringsnummer för fordon, fastighetsbeteckningar, innehållet i en servicebok för en bil, samtalslistor för en telefon, positions- angivelser för ett fordon som är utrustat med ett GPS-system, information i ett mötesprotokoll etc. Begreppet personuppgift om- fattar såväl objektiva upplysningar, t.ex. förekomsten av ett visst ämne i någons blod eller tidpunkten för när en dator med ett visst IP-nummer kopplas upp mot Internet och vilka webbplatser som besöks. Det omfattar också subjektiva bedömningar och åsikter. En uppgift behöver inte vara riktig för att vara en personuppgift. Även en felaktig uppgift som kan hänföras till en person, är en person- uppgift. Begreppet personuppgift omfattar all information om indi- vider, oavsett deras ställning eller kapacitet. Information som kan hänföras till enskilda individer som ingår i ett kollektiv eller verkar i en särskild ställning, t.ex. arbetstagare, arbetsgivare, elever, konsu- menter, patienter, kunder och medlemmar är också personuppgifter. Det gäller även om informationen bara avser individens agerande inom ramen för denna ställning, t.ex. i egenskap av arbetstagare.2 Personuppgiftslagen gör således i detta avseende ingen skillnad mellan privat- och arbetsliv. Även bild- och ljudupptagningar kan utgöra personuppgifter, förutsatt att det är möjligt att med hjälp av upptagningen och annan information identifiera en viss person. Samma sak gäller för t.ex. krypterade uppgifter, s.k. nätnodsadresser och IP-nummer eller andra liknande elektroniska identifikationsinstrument. Det är inte nödvändigt att en identifikation har skett för att det ska kunna vara fråga om en personuppgift. Det är fullt tillräckligt att så kan komma att ske. Om syftet med behandlingen är att på något sätt identifiera individer, bör man vid en rättslig bedömning kunna utgå från att den personuppgiftsansvarige eller någon annan har eller kommer att ha tillgång till de hjälpmedel som behövs för att det i de fall det bedöms nödvändigt ska vara möjligt att identifiera de personer som förekommer i materialet. I ett sådant fall bör utan vidare samtliga uppgifter som ingår i materialet och som rör enskilda individer anses utgöra personuppgifter. Det gäller även i den utsträckning det skulle visa sig att vissa individer som förekommer i materialet i praktiken inte går att identifiera. 2 Se artikel 29-gruppens yttrande 4/2007 om begreppet personuppgifter antaget (01248/07/EN, WP 136), s. 6 f. Det är således utsiktslöst att försöka göra gällande att t.ex. en upptagning som sker vid kameraövervakning inte innehåller några personuppgifter förrän det med hjälp av upptagningen och annat tillgängligt material har visat sig vara möjligt att identifiera en viss person, och att det bara i den delen skulle vara fråga om en behandling av personuppgifter. All information som kan hänföras till individer i en sådan upptagning kommer att anses utgöra personuppgifter och materialet kommer att bedömas därefter. Varje åtgärd eller serie av åtgärder som vidtas i fråga om person- uppgifter innebär med lagens terminologi att dessa behandlas. I lagen ges också ett stort antal exempel på åtgärder som innebär behandling av personuppgifter (3 §). Av den uppräkningen och själva legaldefinitionen kan man sluta sig till att lagens behandlings- begrepp är så vitt att det inte går att tänka sig någon form av mänsklig eller automatiserad aktivitet beträffande personuppgifter som inte skulle innebära en behandling i lagens mening. Till och med att bara passivt lagra personuppgifter är i sig en behandling. Det som från ett integritetsskyddsperspektiv i praktiken begränsar personuppgiftslagens materiella tillämpningsområde är att det måste vara fråga om en behandling av personuppgifter som sker helt eller delvis på automatiserad väg eller i registerform. Av avgörande betydelse är således i vilket medium och på vilket sätt uppgifterna behandlas. Förenklat uttryckt innebär detta att lagen blir tillämplig så snart personuppgifter registreras i en dator eller annat digitalt minne, eller om uppgifterna förs in i ett register. I princip ska personuppgiftslagen alltid tillämpas så snart en behand- ling av personuppgifter sker i datorformat (i binär form, såsom ettor och nollor eller motsvarande format). Om en personuppgift har kommit in i en dator eller någon annan motsvarande teknisk anordning som bygger på digital teknik, är det således i regel fråga om en automatiserad behandling i lagens mening. Något krav på att behandlingen måste ha en viss varaktighet ställs inte upp. Till exempel har en digital upptagning med en s.k. webbkamera, där den som innehade kameran inte sparade bilderna utan i stället visade dem i realtid på Internet, ansetts utgöra en sådan behandling som omfattas av personuppgiftslagen.3 Samma bedömning har gjorts när person- uppgifter samlats in på automatisk väg för att i nästa sekund raderas.4 Att överföra en människas utseende eller röst till ett analogt ljud- eller videoband anses däremot troligen inte utgöra en auto- matiserad behandling i personuppgiftslagens mening. Även om det kanske inte framstår som lika självklart, innebär förmodligen inte heller enbart den omständigheten att en analog upptagning av en människas röst eller utseende påbörjas och avslutas utan att någon operatör styr upptagningen, t.ex. med hjälp av en dator, att behand- lingen är automatiserad. Sannolikt innebär inte heller förfaranden där personuppgifter registreras på mekanisk väg, t.ex. med hjälp av stämpelklockor eller mekaniska kassaregister, en automatiserad behandling. Det kan vara tillräckligt att det i något led av en serie av behand- lingar av personuppgifter ingår en automatiserad behandling för att personuppgiftslagen ska vara tillämplig på alla behandlingar, oavsett om de enskilda behandlingarna sker på eller automatiserad väg. Det innebär att lagen ska tillämpas redan när någon samlar in personuppgifter manuellt, t.ex. genom en enkät, med syfte att senare registrera uppgifterna i datorformat. Det innebär också att ett munt- ligt utlämnande eller utskrifter av personuppgifter som finns i datorformat omfattas av lagen. Till och med i fall där det bara är fråga om en intern användning av personuppgifter som finns i datorformat måste behandlingen ske i enlighet med personuppgifts- lagens bestämmelser. Syftet med att låta lagens och dataskyddsdirektivets bestämmelser gälla fullt ut, även i de fall då det bara är fråga om en delvis auto- matiserad behandling, är dels att förhindra förfaranden som har till ändamål att kringgå regelverket, dels att undvika gränsdragnings- 3Datainspektionens beslut , dnr 763–2005. 4Datainspektionens beslut , dnr 1603–2006. I ärendet var det fråga om att streckkoden på legitimationer skannades i syfte att kontrollera innehavarens ålder vid köp av öl, tobak etc. Så snart syftet med kontrollen hade uppnåtts, att kontrollera att köparen inte var för ung för att köpa de aktuella varorna, raderades uppgifterna. Allt som allt synes det ha varit fråga om att behandlingen hade pågått under cirka en tiondels sekund. problem.5 I kommentaren till personuppgiftslagen anges att dessa syften bör beaktas vid tolkningen av lagens tillämpningsområde.6 Om det inslaget i en naturlig hantering av person- uppgifter – där det i någon del ingår en automatiserad behandling – framstår som tillkommet för att undvika lagens tillämpning, bör, enligt kommentaren, personuppgiftslagens bestämmelser gälla även för de behandlingarna. Däremot ger kommentaren uttryck för uppfattningen att det inte finns skäl att sträcka ut lagens tillämpningsområde till sådana förfaranden som inte ingår som ett naturligt led i en annars automatiserad hantering. Den omständigheten att en viss behandling utgör – eller kan misstänkas utgöra – ett försök att kringgå personuppgiftslagens bestämmelser har i praktiken sannolikt ganska liten betydelse för bedömningen av om behandlingar av personuppgifter ska anses ingå i en serie av behandlingar som är delvis automatiserad. Skälen härför är dels att en sådan tillämpning inte har någon egentlig täckning i vare sig lagtexten eller det bakomliggande direktivet, dels att det går att tänka sig en mängd situationer där den behandlingen står i direkt och naturligt samband med den auto- matiserade behandlingen, utan att det för den skull på något sätt behöver vara fråga om ett kringgående eller ett försök därtill. I allmänhet tar prövningen nog sikte på en objektiv bedömning av själva hanteringen av uppgifterna, och inte på eventuella subjektiva bevekelsegrunder som kan ligga bakom beslutet att behandla upp- gifterna på sätt som skett eller är avsett att ske. Det avgörande momentet i bedömningen blir därmed om en behandling kan anses ingå som ett naturligt led i en hantering av uppgifterna där det också förekommer en eller flera automatiserade behandlingar. Det finns inget egentligt stöd för antagandet att det auto- matiserade inslaget i en delvis automatiserad hantering av person- uppgifter måste vara av en viss kvalitet eller omfattning. Det synes i princip vara fullt tillräckligt att det i en serie av behandlingar som står i ett naturligt samband med varandra ingår ett automatiserat inslag för att alla behandlingar som ingår i serien ska omfattas av personuppgiftslagen. Även om det kan tyckas självklart, finns det anledning att fram- hålla att det vid delvis automatiserad behandling är fråga om att samma personuppgift(er) är föremål för flera behandlingar. Vad som sedan är ett sådant naturligt samband mellan de olika behandlingarna 5Jfr skäl 27 i dataskyddsdirektivet. 6Sören o.a., Personuppgiftslagen, En kommentar, tredje upplagan, 2007, s. 104 f. att det kan anses vara fråga om en delvis automatiserad behandling, är troligen beroende av omständigheterna i det enskilda fallet. Faktorer av betydelse för den bedömningen kan bl.a. vara det tids- mässiga sambandet mellan de olika behandlingarna, om och hur de olika behandlingarna är integrerade med varandra, hur den samlade hanteringen av uppgifterna är planerad och organiserad, samt ända- målet med den automatiserade behandlingen. Det nu sagda innebär att det krävs förhållandevis goda kunskaper om hela kedjan av behandlingar för att kunna komma fram till att eventuella inslag ska anses stå i ett sådant naturligt sam- band med automatiserade behandlingar att det kan anses vara fråga om en delvis automatiserad behandling. Kravet på samband mellan de och automatiserade behandlingarna bör förmodligen dessutom vara ganska högt ställt. Det har i flera sammanhang – och på goda grunder – hävdats att man i rättstillämpningen bör vara återhållsam med att sträcka ut personuppgiftslagens tillämpnings- område, även om det finns de som synes förespråka en mer aktivistisk tillämpning av lagen.7 Ett tungt vägande skäl mot att sträcka ut lagens tillämpnings- område är att det ingrepp i informationsfriheten som personupp- giftslagen innebär därmed blir betydligt större och svårare att försvara. Det synes vara en förutsättning för den förhållandevis strikta och omfattande reglering som gäller för all automatiserad behandling av personuppgifter att regelverket också innehåller ventiler som gör det möjligt att hämta in och tillgodogöra sig information, utan att för den skull behöva bryta mot personuppgiftslagen eller att den lagens regler blir så betungande att den på ett mera påtagligt sätt inskränker informationsfriheten. Bestämmelsen om delvis auto- matiserad behandling av personuppgifter bör tillämpas på ett sätt som är försvarbart i förhållande till informationsfriheten. Det innebär i praktiken att det bör finnas ett förhållandevis stort utrymme för den personuppgiftsansvarige att själv välja att behandla den information som har hämtats in på sådant sätt att personuppgiftslagen inte blir tillämplig. Det bör gälla oavsett vilka bevekelsegrunder som kan ligga bakom detta val. En aktivistisk till- lämpning av personuppgiftslagen skulle täppa till de nödvändiga ventiler i förhållande till informationsfriheten som faktiskt finns i de regler som avgränsar lagens tillämpningsområde. 7 o.a., Personuppgiftslagen, En kommentar, tredje upplagan, 2007, s. 102 ff. med där gjorda hänvisningar till författare med ett mer aktivistiskt synsätt. Jfr artikel 29- gruppens yttrande 4/2007 s. 5 f. Det nu sagda talar för att prövningen av om det är fråga om en delvis automatiserad behandling eller inte framför allt bör ta sin utgångspunkt i syftet bakom såväl dataskyddsdirektivet som person- uppgiftslagen, nämligen att skapa ett rättsligt skydd mot de integri- tetsrisker som är förknippade med att personuppgifter samlas och behandlas på sådant sätt att de blir lättillgängliga och kan användas av andra på ett sätt som den berörda individen kan kontrollera. Genom personuppgiftslagen, som genomför dataskydds- direktivet, har lagstiftaren intagit den ståndpunkten att sådana risker typiskt sett uppstår när personuppgifter är föremål för automati- serad behandling i datormiljö. Med hänsyn härtill bör det endast vara i situationer där det finns ett uppenbart och naturligt samband mellan och automatiserade behandlingar, som det finns anledning att sträcka ut lagens tillämpningsområde genom att tillämpa bestämmelsen om delvis automatiserad behandling. Även med en sådan restriktiv tolkning av begreppet delvis auto- matiserad behandling, förefaller dock bestämmelsen i praktiken kunna innebära en betydande utvidgning av lagens tillämpnings- område. Som exempel kan nämnas att den s.k. artikel 29-gruppen inte synes vara främmande för tanken att när det gäller t.ex. hälso- och drogtester gränsen skulle kunna dras redan vid själva analysen av provet.8 Enligt gruppens synsätt förefaller inte provet i sig kunna utgöra en personuppgift, men väl den information som kan utvinnas ur materialet när detta analyseras. Analysen skulle därmed, överförd till personuppgiftslagens terminologi, innebära att uppgifterna samlas in. Det är därmed också fråga om en behandling av personuppgifter som, beroende på omständigheterna i det enskilda fallet, kan vara automatiserad, delvis automatiserad eller rent . Huruvida en sådan behandling faller under lagens tillämpningsområde eller inte bör bedömas utifrån de principer vi redogjort för i det föregående. I fråga om delvis automatiserade behandlingar bör dock sam- tidigt framhållas att den individ som berörs av behandlingen under alla förhållanden är garanterad ett visst skydd. För att frågan om behandlingar ska anses vara en del av en delvis automati- serad behandling över huvud taget ska aktualiseras måste det ju någonstans i kedjan av behandlingar finnas just en automatiserad behandling. För den behandlingen gäller alltid personuppgiftslagens 8 Se a artikel 29-gruppens yttrande 4/2007 s. 8 f. (stödet för dessa slutsatser framgår tydligare i den engelska versionen av yttrandet). bestämmelser, oavsett hur andra närliggande behandlingar ska bedömas. Det framstår som omöjligt att frågan om delvis automatiserad behandling skulle kunna aktualiseras i andra fall än när det kan konstateras att det har förekommit en automatiserad behandling av personuppgifter, eller manifesterats en avsikt att så ska komma att ske. Möjligen kan det under särskilda förhållanden hållas för visst att det finns en avsikt att uppgifterna ska behandlas på auto- matiserad väg, om det kan visas att den personuppgiftsansvarige normalt hanterar personuppgifter av den karaktär som är föremål för bedömning på sådant sätt att den behandlingen kommer att få ett naturligt samband med en efterföljande automatiserad behandling. Under alla förhållanden utgör dock ett utlämnande (på papper, i elektronisk form eller muntligt) till utomstående av personupp- gifter som behandlas automatiserat alltid en sådan behandling som omfattas av personuppgiftslagen. Som redan framgått gäller personuppgiftslagen även i vissa fall för behandlingar av personuppgifter, utan att det behöver vara fråga om en delvis automatiserad behandling. Lagen gäller också i de fall manuellt behandlade personuppgifter ingår i eller är avsedda att ingå i ett regelrätt register. I personuppgiftslagens mening är ett register en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt sär- skilda kriterier. Det måste således vara fråga om en samling av personuppgifter. Däremot krävs det inte att alla handlingar är samlade på ett och samma ställe (jfr artikel 2 c i dataskyddsdirektivet). Om t.ex. ett företag har ett centralt kortregister som innehåller arbetstagares namn och en hänvisning till ett annat ställe (t.ex. en filial eller en avdelning) där en akt avseende arbetstagaren med ytterligare personuppgifter förvaras, kan det vara fråga om ett enda register. Vad som i praktiken avgör om en samling av personuppgifter ska anses utgöra ett register är om uppgifterna är strukturerade (dvs. sorterade enligt något slags system) på sådant sätt att person- uppgifterna är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Samlingen måste ha förberetts och ordnats på sådant sätt att personuppgifterna som sådana är tillgängliga för sökning eller sammanställning, t.ex. med hjälp av kortregister, sök- markörer eller liknande. Det måste också finnas möjlighet till sökning i materialet efter olika personuppgifter på ett betydligt effektivare sätt än i form av en genomgång och granskning av materialet dokument för dokument.9 I förarbetena och kommentaren till personuppgiftslagen anges att det troligen måste krävas att samlingen av personuppgifter har en viss beständighet. Som exempel anges att en hög med lösa papper på ett skrivbord inte är ett register, även om handlingarna till- fälligtvis råkar vara sorterade i bokstavsordning efter efternamn.10 Vad som är intressant i sammanhanget är hur materialet har syste- matiserats. Det är strukturen och söksystematiken som ska vara någorlunda beständig. Hur materialet rent fysiskt har ordnats och förvarats är troligen inte relevant. I förarbetena och kommentaren uttalas också att det förmod- ligen måste finnas uppgifter om fler än en person för att det ska kunna vara fråga om ett register. Det sägs vidare att en samling av personuppgifter måste vara sökbar på mer än ett kriterium, låt vara att det anses vara oklart huruvida alla kriterier måste avse person- uppgifter. Uttalandena är emellertid inte invändningsfria och den argumentation som anförs till stöd för dessa ståndpunkter är inte i alla delar övertygande. Det synes ligga i farans riktning att dessa uttalanden kan vara uttryck för ett väl kategoriskt synsätt. En annan sak är att frågeställningarna möjligen inte är särskilt praktiska. Det krävs förmodligen särpräglade omständigheter för att ett material som bara innehåller personuppgifter om en person eller som bara är sökbart efter ett sökkriterium ska anses ha en sådan effektiv sökstruktur att det kan vara fråga om ett register i personuppgifts- lagens mening. På samma sätt som för delvis automatiserade behandlingar anges i kommentaren att syftet med att låta lagen och dataskydds- direktivet omfatta även viss rent behandling, är att för- hindra försök att kringgå lagstiftningen. Det syftet bör också, enligt kommentaren, påverka tolkningen av vad som är sådana behandlingar som omfattas av personuppgiftslagen.11 Eventuella subjektiva avsikter borde i allmänhet sakna betydelse för bedöm- ningen. De skäl vi har anfört för denna ståndpunkt i 9RÅ 2001 ref 35. 10Sören o.a., Personuppgiftslagen, En kommentar, tredje upplagan, 2007, s. 105 ff. 11Sören o.a., Personuppgiftslagen, En kommentar, tredje upplagan, 2007, s. 109. anslutning till att vi behandlade delvis automatiserad behandling av personuppgifter är giltiga även i detta sammanhang. Utgångs- punkten för bedömningen bör vara hur materialet har strukturerats och systematiserats för att göra sökning efter personuppgifter möjlig. Som redan framgått omfattar personuppgiftslagen behandlingar av personuppgifter redan om det finns en avsikt att uppgifterna senare ska ingå i ett register. Det är här fråga om i princip samma frågeställning som vi har berört beträffande delvis automatiserad behandling. Av samma skäl som vi då anförde bör det krävas att det finns ett uppenbart och naturligt samband med den behandling som utgörs av att uppgifterna förs in i regist- ret för att de tidigare utförda behandlingarna ska omfattas av lagen. Den generella återhållsamhet man bör iaktta när det gäller att sträcka ut personuppgiftslagens tillämpningsområde gör sig gällande med än större styrka beträffande rent behandlingar. Risken för att en aktivistisk tillämpning av reglerna beträffande behandlingar skulle komma i konflikt med informationsfriheten är uppenbar. Det bör med hänsyn till informationsfriheten finnas ett stort utrymme för den enskilde att välja att manuellt hantera information på sådant sätt att lagen inte blir tillämplig. Det bör gälla oavsett vilka bevekelsegrunder som ligger bakom beslutet. Det bör påpekas att innehållet i akter och aktomslag inte faller under personuppgiftslagens tillämpningsområde, om inte hand- lingarna är strukturerade och sökbara efter personuppgifter.