sou · GXB344 · 2010-01-01 00:00:00 — Personuppgiftslagen gäller för behandlingar av personuppgifter inom såväl den privata som den offentliga sektorn. I de fall där det är befogat med särskilda regler för en viss verksamhet är tanken att dessa ska ges i särskilda s.k. registerförfattningar. Som tidigare nämnts kan lagens behandlingsbegrepp inte användas för att skilja ut vissa hanteringsformer som omfattas eller inte omfattas av lagen. I stället framgår av lagens 5 § när den är tillämplig. För det första gäller personuppgiftslagen för all behandling av personuppgifter som är helt eller delvis automatiserad. Det innebär att all behandling av personuppgifter i datorformat (dvs. framför allt i s.k. binär form) som regel bör anses som automatiserad behandling. Av det förhållandet att även delvis automatiserad behandling omfattas av lagen följer bl.a. att lagen är tillämplig så snart någon manuellt samlar in personuppgifter med syfte att senare registrera dessa i datorformat. Det innebär också att muntligt utlämnande eller utlämnande av utskrifter av personupp- gifter som finns i datorformat omfattas av lagen. Även , intern användning av sådana personuppgifter omfattas av lagen. Personuppgiftslagen gäller även för annan behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som kan sökas eller ställas samman enligt särskilda kriterier. Något förenklat kan man alltså säga att personuppgiftslagen blir tillämplig så snart personuppgifter registreras i en dator eller annat digitalt minne. Grundläggande kvalitetskrav och när det är tillåtet att behandla personuppgifter Systematiken i personuppgiftslagen är att det bara är tillåtet att behandla personuppgifter under de särskilda förutsättningar som anges i lagen. Principiellt sett är det således förbjudet att behandla personuppgifter, såvida inte behandlingen sker på det sätt och för de syften som lagen ställer upp. De centrala huvudreglerna i detta hänseende återfinns dels i 9 § som anger vissa grundläggande kvalitetskrav, dels i 10 § som uttömmande räknar upp i vilka fall det är tillåtet att behandla personuppgifter. Det är den personuppgifts- Behandling av personuppgifter i arbetslivet ansvarige som ansvarar för att lagens krav på behandlingen i fråga är uppfyllda. När det gäller de grundläggande kvalitetskraven gäller först och främst att personuppgifter bara får behandlas om det är lagligt och om behandlingen sker på ett korrekt sätt samt i enlighet med god sed. Uttrycket god sed återfinns inte i dataskyddsdirektivet, utan är en rent inhemsk konstruktion. Uttrycket god sed ger en fingervis- ning om att ett viktigt tolkningsdata vid lagens tillämpning bör vara t.ex. myndighetsföreskrifter som utfärdats med stöd av lagen, branschregler eller hur ansvarsfulla personuppgiftsansvariga i all- mänhet beter sig och god sed på arbetsmarknaden. Vidare får personuppgifter samlas in bara för särskilda, uttryck- ligt angivna och berättigade ändamål. Det innebär att ändamålen med en behandling av personuppgifter måste bestämmas redan när uppgifterna samlas in och då uttryckligen anges på ett någorlunda preciserat sätt. Lagen skyddar den registrerade mot s.k. ändamåls- glidning då personuppgifter inte heller senare får behandlas för något ändamål som är oförenligt med dem som bestämdes då upp- gifterna samlades in, principen om finalitet. Den bestämmelsen, som förmodligen är en av de viktigaste, begränsar bl.a. möjligheterna att samköra olika register. Den innebär också att den personuppgifts- ansvarige måste ha klart för sig för vilket ändamål som uppgifterna ursprungligen samlades in, och hur senare behandling förhåller sig till det ändamålet. Därutöver gäller vissa särskilda krav för personuppgifternas kvalitet och omfattning. Först och främst ska personuppgifter som behandlas vara adekvata och relevanta i förhållande till ändamålen med behandlingen, principen om relevans. Ovidkommande uppgifter får således inte behandlas. Dessutom ska de uppgifter som behandlas vara riktiga och, om det är nödvändigt, aktuella. Alla rimliga åtgärder ska vidtas för att rätta, blockera eller utplåna personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Inte heller får fler personuppgifter behandlas än vad som är nödvändigt med hänsyn till de angivna ändamålen med behandlingen, principen om proportionalitet. På motsvarande sätt gäller att personuppgifter inte får bevaras än vad som är nödvändigt med hänsyn till de ändamål som ligger till grund för behandlingen. Det bör framhållas att den registrerade inte med rättslig verkan kan samtycka till att personuppgifter behandlas i strid med de Behandling av personuppgifter i arbetslivet grundläggande krav som vi nu har redogjort för. Dessa gäller alldeles oavsett den registrerades inställning. I 10 § anges de två typfall när det är tillåtet att behandla person- uppgifter. För det första får personuppgifter alltid behandlas om den registrerade har samtyckt till behandlingen. För det andra får behandling ske, om det är nödvändigt med hänsyn till vissa i lagen särskilt angivna syften. Det finns således två olika och av varandra oberoende sätt varigenom en behandling av personuppgifter är tillåten. Om den registrerade inte lämnar sitt samtycke till en viss behandling, kan denna således ändå vara tillåten på den grunden att den är nödvän- dig med hänsyn till något av de i lagen uppräknade syftena. Den enda typen av personuppgifter där den registrerades samtycke inte kan ge privata företag rättslig grund för en behandling är sådan som innefattar uppgift om brott (21 §). Uppräkningen i bestämmelsen av de olika situationer som berättigar till en nödvändig behandling av personuppgifter avslutas med en generell bestämmelse i 10 § f. Med stöd av denna bestäm- melse är det tillåtet att behandla personuppgifter, om den person- uppgiftsansvarige eller tredje man till vilka personuppgifter lämnas ut har ett berättigat intresse av att uppgifter behandlas som väger tyngre än den registrerades intresse av integritetsskydd. Enligt 13 § personuppgiftslagen gäller ett principiellt förbud mot att behandla vissa känsliga personuppgifter. Det är förbjudet att behandla personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlem- skap i fackförening. Det är också förbjudet att behandla person- uppgifter som rör hälsa eller sexualliv. Från förbudet mot att behandla vissa känsliga personuppgifter görs emellertid betydande undantag i 15–19 §§. Personuppgifter får enligt 15 § behandlas, om den registrerade uttryckligen har samtyckt till behandlingen. Detsamma gäller om den registrerade själv på ett tydligt sätt har offentliggjort uppgifterna. På samma sätt som i den allmänna bestämmelsen om när en behandling av personuppgifter är tillåten, anges i 16 §, också vissa Behandling av personuppgifter i arbetslivet situationer där en nödvändig behandling av känsliga personupp- gifter är tillåten. I 21 § finns särskilda restriktioner avseende behandling av person- uppgifter om lagöverträdelser som innefattar brott, domar i brott- mål, straffprocessuella tvångsmedel och administrativa frihets- berövanden. Huvudregeln är att det bara är myndigheter som får behandla sådana personuppgifter. I 23–27 §§ finns bestämmelser om information som den person- uppgiftsansvarige har att lämna till den registrerade. Dessa bestämmelser rör två olika typsituationer. För det första finns det bestämmelser som reglerar sådan information som den personupp- giftsansvarige självmant ska lämna den registrerade i samband med att personuppgifterna samlas in. För det andra finns det regler om information som ska lämnas först när den registrerade begär det, s.k. registerutdrag. Gemensamt för de båda situationerna är dock att bestämmelser om sekretess och tystnadsplikt alltid går före skyldigheten att lämna information. Den personuppgiftsansvarige är enligt 28 § skyldig att på begäran av den registrerade rätta, blockera eller utplåna uppgifter som har behandlats på ett otillåtet sätt. Den bestämmelsen motiveras av att det krävs av den personuppgiftsansvarige att denne vidtar alla rimliga åtgärder för att de uppgifter som behandlas är riktiga och aktuella samt adekvata och relevanta i förhållande till ändamålet med behandlingen. Den personuppgiftsansvarige ska också, som huvudregel, underrätta tredje man till vilken uppgifterna har lämnas ut när sådana åtgärder har vidtagits, om den registrerade så begär eller i fall där en sådan underrättelse skulle kunna undvika mera betydande skada eller olägenhet för den registrerade. Behandling av personuppgifter i arbetslivet Det är Datainspektionen som har att utöva tillsyn över personupp- giftslagen. Datainspektionen har rätt att för sin tillsyn på begäran få tillgång till de personuppgifter som behandlas, upplysningar om och dokumentation av behandlingen och säkerheten vid denna samt tillträde till sådana lokaler som har anknytning till behand- lingen (43 §). Får Datainspektionen inte på begäran tillgång till de uppgifter som behövs för att kunna konstatera att behandlingen är laglig, kan inspektionen vid vite förbjuda den personuppgiftsansvarige att behandla personuppgifter på något annat sätt än att lagra dem (44 §). Den som inte tillmötesgår en begäran från Datainspek- tionen riskerar således att helt bli förbjuden att i fortsättningen behandla personuppgifter på annat sätt än att lagra dem. Vad som sagts gäller även om Datainspektionen kan konstatera att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt. För ett sådant förbud krävs dock också att det antingen inte går att få den personuppgiftsansvarige att vidta rättelse på annat sätt eller att saken är brådskande (45 §). Datainspektionen kan också med stöd av 47 § hos länsrätten ansöka om att sådana personuppgifter som har behandlats på ett olagligt sätt ska utplånas. Länsrätten får inte meddela ett beslut om utplånande om det är oskäligt. Datainspektionens beslut i enskilda fall får i allmänhet över- klagas till allmän förvaltningsdomstol. Datainspektionen har uttalat sig i generella ordalag, om hur de materiella reglerna i personuppgiftslagen bör tillämpas på arbets- livets område. I det här sammanhanget finns anledning att notera följande rapporter och annat material. Behandling av personuppgifter i arbetslivet Övervakning i arbetslivet, Kontroll av de anställdas Internet- och e-postanvändning m.m. (Datainspektionens rapport 2005:3). Behandling av personuppgifter för kontroll av anställda (Datain- spektionens rapport 2003:3). Behandling av personuppgifter hos rekryteringsföretag (Datain- spektionens rapport 2002:3). Datainspektionen informerar, Personuppgifter i arbetslivet (). Den som har lidit skada till följd av en otillåten behandling har enligt 48 § rätt till ersättning för den skada och kränkning som han eller hon därigenom åsamkats. Den personuppgiftsansvarige kan dock, genom att visa att felet inte berodde på honom eller henne, helt eller delvis befrias från sin ersättningsskyldighet. Vissa olagliga förfaranden är enligt 49 § straffsanktionerade. En konsekvens av personuppgiftslagens sanktionsbestämmelser är att det är möjligt att föra process om lagens tillämpning i de all- männa förvaltningsdomstolarna och i de allmänna domstolarna på såväl civilrättslig som straffrättslig väg samt i Arbetsdomstolen. behöver flertalet av lagens bestämmelser inte längre tillämpas för behandlingar av personuppgifter som ingår i ett ostrukturerat material. I stället gäller numera en regel i 5 a § om att en behandling är tillåten så länge den inte innebär en kränk- ning av den registrerades personliga integritet, se prop. 2005/06:173. Syftet med reformen är att förenkla och lätta upp regleringen för sådana vardagliga behandlingar av personuppgifter som typiskt sett inte innebär några större risker för kränkningar av den personliga integriteten. Lagen innehåller således numera två olika regelsystem där åtskillnad görs om det är fråga om ett strukturerat eller ostrukturerat material. Det är bara behandling av personuppgifter i ett material som har en personuppgiftsanknuten struktur som faller Behandling av personuppgifter i arbetslivet utanför det undantagna området. En struktur är personuppgiftsan- knuten om materialet har strukturerats så att just personuppgifter som sådana har markerats. Det krävs vidare att den personuppgifts- anknutna strukturen uppnått en viss nivå eller kvalitet. Samlingen av personuppgifter måste ha strukturerats för att påtagligt under- lätta sökningen efter eller sammanställningen av personuppgifter. I det undantagna området ingår produktion av löpande text i ordbehandlingsprogram, publicering av löpande text på Internet, användning av ljud- eller bildupptagningar och korrespondens med e-post, allt under förutsättning att materialet inte ska ingå i en databas med en personuppgiftsanknuten struktur, t.ex. ett ärende- hanteringssystem. Det som sker i vanliga program för e-post eller annan elektronisk kommunikation eller i sådana program som automatiskt indexerar alla ord och tecken i filer gör inte att det blir fråga om ett strukturerat material. För personuppgifter som ingår i ett ostrukturerat material gäller alltså numera att behandlingar inte får utföras om den innebär en kränkning av den registrerades personliga integritet. I förarbetena har framhållits att det i slutänden är en fråga för rättstillämpningen att i varje enskilt fall väga det intrång som kan ha skett i den personliga integriteten mot eventuella motstående intressen. Man kan dock notera att de närmare anvisningarna för hur de nya reglerna bör tillämpas som ges i förarbetena i mångt och mycket tar sin utgångspunkt i det gamla regelverket. Det innebär att det gamla regelverket i flera avseenden får betydelse för tillämpningen av den nya missbruksregeln. En konsekvens av detta kan bli att de högt ställda förväntningarna på regelförenkling möjligen inte kommer att kunna infrias fullt ut.2 2005/06:173 s 27. Jfr även Datainspektionens beslut , dnr 1603–2006. Behandling av personuppgifter i arbetslivet 10.3Förstärkt skydd vid personuppgiftsbehandling 10.3.1Personuppgiftslagen ska som huvudregel gälla Vårt förslag: Personuppgiftslagen ska gälla vid arbetsgivares behandling av personuppgifter, om inte annat följer av den före- slagna lagen. Vår genomgång av personuppgiftslagen, se avsnitt 5, leder oss till bedömningen att det är svårt att se något behov av att på ett mera ingripande sätt reglera den personliga integriteten i arbetslivet i de fall personuppgiftslagen är tillämplig. Tvärtom före- faller personuppgiftslagen tillhandahålla ett förhållandevis gott skydd för den personliga integriteten även på arbetslivets område. Det framstår som att skyddsnivån är högre och skyddet effektivare enligt personuppgiftslagen än vad som framgår av de bedömningar som har gjorts enligt såväl de begränsningar som arbetslednings- rätten får anses ha, genom att den inte får strida mot lag, god sed eller annars var otillbörlig, som enligt . Därtill kommer att skyddet enligt personuppgiftslagen inte bara avser frågan om en viss åtgärd är tillåten eller inte utan också avser vilka åtgärder som i övrigt måste vidtas i anslutning till densamma. Det framstår som en ändamålsenlig ordning, eftersom det inte alltid behöver bli fråga om ett ställningstagande om huruvida en viss åtgärd är tillåten eller inte. Datainspektionen kan nöja sig med att tala om vilka förändringar som måste göras för att en viss behandling ska uppfylla kraven enligt personuppgiftslagen. Sådana påpekanden kan t.ex. avse förbättrad information till den registrerade om behandlingen eller kortare gallringstider. Därut- över finns det möjlighet att på civilrättslig väg föra en skadestånds- talan för den som anser sig ha lidit skada eller blivit kränkt i samband med en behandling av personuppgifter. Bestämmelserna i personuppgiftslagen förefaller dock inte ha fått det genomslag på arbetslivets område som man skulle kunna ha skäl att förvänta sig. Reglerna anses svåra att förstå och de stämmer inte heller överens med hur svenska regler på arbets- livets område i allmänhet är utformade. Arbetsgivare måste dock, liksom övriga i samhället, följa personuppgiftslagen, som grundar sig på dataskyddsdirektivet som inte kan anses tillåta mera betydande avvikelser. Behandling av personuppgifter i arbetslivet Vi har emellertid, bl.a. i samband med våra studiebesök i och , kunnat konstatera att de finländska och norska mot- svarigheterna till personuppgiftslagen, som också bygger på data- skyddsdirektivet, har haft ett större genomslag på arbets- livets område. Visserligen kan detta delvis förklaras av skillnader i lagstiftningen, t.ex. har en särskild lagstiftning beträffande den personliga integriteten i arbetslivet, och vissa traditionella och kulturella skillnader. Men det förklarar, enligt vår mening, inte helt och hållet den högre aktiviteten på arbetslivets område i våra grann- länder. Aktiviteten har helt enkelt varit högre där och man har tidigare än här förstått att utnyttja dessa regler på arbetslivets område. Likheterna mellan våra rättsordningar är nog trots allt större än skillnaderna och kan man förvänta sig samma utveckling i som i och . Vi kan alltså konstatera att personuppgiftslagen ska tillämpas i arbetslivet och att den innehåller en omfattande reglering som ger arbetstagare och arbetssökande en förhållandevis god skyddsnivå och som man på grund av det bakomliggande EG-direktivet inte kan avvika från i någon mer genomgripande utsträckning. Bestäm- melserna i personuppgiftslagen är förhållandevis allmänt hållna och skrivna för att tillämpas i hela samhället. Med hänsyn till att behandlingen av personuppgifter i arbetslivet, på stora och små arbetsplatser och inom det offentliga och det privata, utgör en stor del av den behandling av personuppgifter som förekommer i sam- hället i stort skulle en särreglering för arbetslivet, baserad på data- skyddsdirektivet, också behöva innehålla förhållandevis allmänt hållna bestämmelser. Vi har därför kommit fram till dels att vi kan lita till och bygga på det integritetsskydd som personuppgiftslagen redan ger, dels att vi inte bör försöka att göra någon större anpass- ning av bestämmelserna i personuppgiftslagen till arbetslivets område. Vi har i stället inriktat oss på att med så små medel som möjligt anpassa bestämmelserna i personuppgiftslagen så att de ska passa bättre för arbetslivets vidkommande. Enligt vår uppfattning finns det en särskild poäng med att på arbetslivets område försöka använda så små medel som möjligt för att anpassa personuppgiftslagen. En modern arbetsgivare hanterar i sin verksamhet nämligen en stor mängd personuppgifter av skiftande slag och avseende olika kategorier av individer. Det kan röra sig om kunder, leverantörer, medlemmar i olika intresseorga- nisationer etc. I likhet med vad som normalt anses vara fallet vid utarbetandet av registerförfattningar ligger det ett värde i att så Behandling av personuppgifter i arbetslivet långt möjligt samma regler tillämpas på alla behandlingar av person- uppgifter. Vi föreslår alltså att personuppgiftslagen ska gälla vid arbets- givares behandling av personuppgifter, om inte annat följer av den av oss föreslagna lagen. Som vi redan redovisat är vår bedömning att personuppgiftslagen tillhandahåller ett förhållandevis gott skydd för den personliga integriteten på arbetslivets område. När vi har analyserat person- uppgiftslagen har vi emellertid identifierat följande problem- områden. 1.Införandet av missbruksregeln i 5 a § personuppgiftslagen har vid behandling av personuppgifter för övervakning eller kontroll inneburit en försvagning av arbetstagares integritetsskydd och rättigheter. 2.Möjligheten att grunda en behandling av personuppgifter för övervakning eller kontroll på t.ex. en arbetstagares eller arbets- sökandes samtycke är problematisk med hänsyn till att sam- tycket ska vara frivilligt. 3.Vid behandling av personuppgifter för övervakning eller kontroll är det extra viktigt att det finns ett skydd mot s.k. ändamåls- glidning så att inte personuppgifter som har samlats in för andra ändamål används för att kontrollera eller övervaka arbetstagare. Vi har kommit fram till att på dessa områden är skyddet enligt personuppgiftslagen inte är helt tillräckligt när arbetsgivaren behandlar arbetstagares personuppgifter för att övervaka eller kontrollera. Vi föreslår därför bestämmelser i vår lag som syftar till att i viss utsträckning förstärka och förtydliga skyddet enligt personuppgiftslagen i dessa avseenden. Vi kommer i det följande att närmare utveckla våra förslag. I avsnitt 16 föreslår vi att en arbetsgivare som avser att besluta om en övervaknings- eller kontrollåtgärd som är ägnad att på ett påtagligt sätt påverka en eller flera arbetstagares personliga integritet först ska förhandla med berörda arbetstagarorganisationer. Där- utöver föreslår i avsnitt 10.3.7 att Datainspektionen på begäran ska yttra sig över utkast till kollektivavtal om arbetsgivares behandling Behandling av personuppgifter i arbetslivet Även de bestämmelserna anser vi kan bidra till ökad tydlighet och till att underlätta tillämpningen av personuppgifts- lagen. När det gäller vårt uppdrag att överväga i vilken mån det behövs kompletterande lagstiftning vid sidan av personuppgiftslagen för att säkerställa en integritetssäker hantering av de uppgifter som tillåten kontroll genererar i arbetslivet gör vi den bedömningen att bestämmelserna i personuppgiftslagen, med de mindre justeringar vi föreslår, är ändamålsenliga och tillräckliga. När det gäller sådan behandling av personuppgifter som en kontroll inom arbetslivet genererat och som faller utanför tillämpningsområdet för person- uppgiftslagen är det enligt vår bedömning tillräckligt och mera lämpligt att i de fall det är befogat begränsa möjligheterna för arbetsgivaren att över huvud taget få tillgång till uppgifterna genom att reglera själva övervaknings- eller kontrollåtgärden som sådan. Det är vår avsikt att Datainspektionen ska utöva tillsyn över tillämpningen av de bestämmelser om behandling av personupp- gifter som vi föreslår på motsvarande sätt som inspektionen faktiskt utövar tillsyn över bestämmelser i s.k. särskilda register- författningar. På arbetsmarknadens område har traditionellt även arbetstagarorganisationerna verkat för att se till att arbetsgivare följer bestämmelser som berör arbetstagare, och det förhållandet att Datainspektionen har tillsyn är inte avsett att påverka arbetsta- garorganisationernas arbete. Som vi redovisat inledningsvis anges i våra direktiv att vi ska lämna förslag till reglering av kontroll av privat användning av e-post och Internet, exempelvis loggning. Som redan framgått anser vi att det inte föreligger något behov av att särskilt reglera dessa frågor. Vi vill för tydlighetens skull anföra följande. Vi har, som redan nämnts, i avsnitt 5 redogjort för begreppet loggning. Vi anser att ordet logga eller loggning bör användas för att beteckna det automatiska förfarande varigenom händelser och aktiviteter i datoriserade system förtecknas eller registreras i syfte att spara informationen för eventuellt framtida bruk. När det där- emot gäller de olika förfaranden och processer varigenom materialet i en eller flera olika loggar undersöks menar vi att man kontrollerar loggar. Som vi också redan redovisat kan en arbetsgivares kontroll Behandling av personuppgifter i arbetslivet av loggar avse olika system som helt eller delvis bygger på digital- teknik, som t.ex. datoranvändning, e-post, telefonväxlar, dörrlås, alko- lås, behörighetssystem, GPS, kameraövervakning och teleavlyssning. Genom kontroll av loggar i sådana system kan alltså information inhämtas som är hänförliga till en fysisk person, en arbetstagare.