sou · GXB344 · 2010-01-01 00:00:00 — 18Europaparlamentets och rådets direktiv /24/EG om lagring av uppgifter som genererats eller behandlats i samband med tillhandahållande av allmänt tillgängliga elektroniska kommunikationstjänster eller kommunikationsnät. En lagrådsremiss med förslag varigenom direktivet ska genomföras i svensk rätt förbereds i . Internationella konventioner och EU att reglera integritetsskyddet för enskilda när gemenskapens insti- tutioner och organ behandlar personuppgifter.19 Parallellt med arbetet med dataskyddsdirektivet arbetade Datalags- utredningen, , med att se över den då gällande data- lagen (1973:289). I sitt slutbetänkande presenterade utredningen, som inför den avslutande fasen av sitt arbete hade omvandlats till en kommitté, ett förslag till en ny datalag. Förslaget byggde i stora delar på det då föreliggande andra förslaget till direktiv som EG- kommissionen hade presenterat. Regeringen ansåg emellertid av naturliga skäl att utarbetandet av en ny datalag borde anstå till dess det fanns ett slutligt ställningstagande av EG:s medlemsländer, se prop. 1993/94:116. Att så var fallet stod klart , varvid tillsattes. Efter ett lagstiftningsarbete som bedrevs under stark tidspress kunde personuppgiftslagen (1998:204) träda i kraft , som data- lagen upphörde att gälla. En relativt utförlig redogörelse av personuppgiftslagens innehåll finns i avsnitt 5. 3.2.3Kommissionsinitiativ om skydd för arbetstagares personuppgifter Ett annat område där diskussion om en sektorspecifik reglering tidigt väcktes var arbetslivet. av arbetade också kommissionen förhållandevis aktivt med att försöka komplettera dataskyddsdirektivet med särskilda regler till skydd för arbetstagares personuppgifter. presenterade kommis- sionen ett förslag till hur dataskyddsdirektivets allmänna principer skulle kunna översättas till mer specifika regler för arbetslivets område.20 inbjöds arbetsmarknadens parter till att lämna synpunkter på en sådan reglering. De uppmanades dessutom att tillkännage om de önskade utnyttja de särskilda möjligheter EG- 19Europaparlamentets och rådets förordning (EG) nr 45/2001 av om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter. 20Second stage consultation of social partners on the protection of workers personal data, dokumentet finns tillgängligt på kommissionens webbplats. Internationella konventioner och EU fördraget ger till reglering genom kollektivavtal på gemenskaps- nivå. Några förhandlingar mellan arbetsmarknadens parter kom emellertid aldrig till stånd. aviserade kommissionen att ett nytt initiativ beträffande frågan om skydd för arbetstagares personuppgifter skulle komma att tas . Så skedde emel- lertid inte. framstår det som osäkert om kommissionen över huvud taget avser att fortsätta driva frågan om specifika gemenskapsrättsliga regler till skydd för arbetstagares person- uppgifter. I förslaget gjorde kommissionen klart att reglerna i dataskyddsdirektivet gäller fullt ut på arbetslivets område. Kom- missionen pekade då med särskild styrka på att det innebär att möjligheterna att rättfärdiga en behandling med stöd av arbets- tagarens samtycke är begränsade, eftersom arbetstagaren i regel står i sådan beroendeställning till arbetsgivaren att det inte kan vara fråga om ett giltigt samtycke i direktivets mening. Enligt kommis- sionen borde vidare ett gemenskapsrättsligt regelverk som syftar till att skydda arbetstagares personuppgifter utformas så att det kompletterar och inte upprepar vad som redan gäller enligt data- skyddsdirektivet. I förslaget gav kommissionen dessutom uttryck för uppfatt- ningen att ett kompletterande regelverk beträffande skyddet för arbetstagare dels borde omfatta all behandling av person- uppgifter, dvs. även sådan behandling som inte omfattas av dataskyddsdirektivet eftersom uppgifterna inte ingår i eller kommer att ingå i ett register, dels att begreppet arbetstagare borde omfatta även tidigare arbetstagare och arbetssökande. Det kan också noteras att kommissionen, i likhet med riktlinjer angå- ende skydd för arbetstagares personuppgifter, ansåg att huvud- principen borde vara att uppgifterna ska samlas in från arbetstaga- ren själv. Om detta inte är möjligt bör det i princip krävas att arbetstagaren i förväg samtycker till att uppgifter hämtas in från annan. Internationella konventioner och EU 3.2.4 UNI:s Code of Practice Det kan noteras att dataskyddsdirektivet och den europeiska diskussionen om skyddet för arbetstagares personuppgifter även resulterat i ett fackligt initiativ på europeisk nivå. () har tagit fram riktlinjer som bl.a. innebär att det bör vara tillåtet att använda arbetsplatsens elektroniska utrust- ning för kommunikation (dvs. e-post, Internet, företagets interna nätverk, telefon och fax) för fackliga ändamål. Det bör även under vissa förutsättningar vara tillåtet för arbetstagare att använda arbetsgivarens utrustning för privata ändamål, så länge detta inte påverkar arbetet. Kontroll eller övervakning bör bara få ske om det är tillåtet enligt kollektivavtal, krävs enligt lag, eller om arbetsgiva- ren har rimliga skäl för att misstänka att arbetstagaren har begått brott eller liknande. Om arbetsgivaren vill gå igenom loggfiler eller annat material ur det interna datasystemet bör detta, enligt riktlin- jerna, endast få ske i närvaro av en facklig representant eller av någon annan representant som har utsetts av arbetstagarna. I detta avsnitt redogör vi inledningsvis för de grundlagsbestämmelser som är av betydelse för vårt uppdrag. Vi beskriver därefter över- siktligt några straffrättsliga bestämmelser av intresse. Vi redovisar också viss arbetsrättslig reglering och praxis. Personuppgiftslagen redogör vi för i ett eget avsnitt 5 och en sammanfattning av den genomgången finns dessutom i avsnitt 10.2. Vidare ges i ett särskilt avsnitt en mer utförlig redovisning för den rättsliga regleringen och praxis avseende kontroll genom hälso- och drogtester, avsnitt 6. En sammanfattning av rättsläget återfinns i avsnittet med våra överväganden om medicinska undersökningar, se avsnitt 12.2. Regeringsformen innehåller ingen rättsligt bindande regel som ger ett allmänt skydd för den personliga integriteten. Däremot finns i 1 kap. 2 § fjärde stycket ett program- och målsättningsstadgande där det bl.a. slås fast att det allmänna ska värna den enskildes privat- och familjeliv. Av intresse är även regleringen i 2 kap. 1 § vari anges att varje medborgare gentemot det allmänna är tillförsäkrad informations- frihet, dvs. frihet att inhämta och mottaga upplysningar samt att i övrigt ta del av andras yttranden. 2 kap. 3 § I 2 kap. 3 § andra stycket finns en bestämmelse som uttryckligen tar sikte på integritetskränkande databehandling. Bestämmelsen, som enbart riktar sig till lagstiftaren, innebär att det vid varje given tid- punkt måste finnas lagstiftning som skyddar den enskildes integritet när uppgifter om honom eller henne registreras med hjälp av auto- matisk databehandling. Bestämmelsen anger således inte någon viss nivå för integritetsskyddet, utan slår bara fast att det ska finnas en datalagstiftning och överlämnar åt lagstiftaren att i lag reglera den närmare omfattningen av skyddet. Den lag som tillgodoser detta krav är personuppgiftslagen (1998:204), som på ett stort antal verk- samhetsområden ersätts eller kompletteras av särskilda s.k. register- författningar. I sammanhanget bör uppmärksammas att den parla- mentariskt sammansatta har föreslagit att bestämmelsen ska upphävas, se nedan. 2 kap. 6 § Av regeringsformens fri- och rättighetsregler är det främst bestäm- melsen i 2 kap. 6 § som är av intresse. Den bestämmelsen ger ett skydd för varje medborgare, dvs. även arbetstagare, mot vissa inte- gritetskränkande åtgärder från det allmännas sida. Bestämmelsen ger ett skydd mot påtvingade kroppsliga ingrepp, kroppsvisitation, husrannsakan eller liknande intrång, undersökning av brev eller annan förtrolig försändelse samt hemlig avlyssning eller upptagning av telefonsamtal eller annat förtroligt meddelande. I likhet med flertalet av regeringsformens fri- och rättighets- regler ger bestämmelsen inte ett oinskränkt skydd. Eventuella be- gränsningar måste dock i princip ske genom lag och bara i den utsträckning som anges i 2 kap. 12 § regeringsformen. En begräns- ning får göras endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. Begränsningen får inte gå utöver vad som kan anses vara nödvändigt för att tillgodose det aktuella ändamålet, eller utgöra ett hot mot den fria åsiktsbildningen. Man kan säga att det här föreligger dubbla krav på lagstiftaren, eftersom liknande krav följer av även 23 § i samma kapitel. Enligt den bestämmelsen får inte lag eller annan författning meddelas i strid med de åtaganden som följer av . nämnts utgör svensk lag. Den behandlas bl.a. i avsnitt 3 och 8. Bestämmelsen har tillämpats på anställningsförhållanden inom staten, se AD 1984 nr 94. Arbetsdomstolen uttalade i det angivna avgörandet att det inom den offentliga sektorn numera gäller att frågor som rör tjänstemännens anställningsförhållanden i allmänhet är av privaträttslig natur men att detta inte hindrar att beslut av en myndighet i dess egenskap av arbetsgivare likväl kan vara att betrakta som myndighetsutövning. Domstolen uttalade därutöver att dom- stolen inte genom det förda resonemanget om myndighetsutövning tagit ställning till i vad mån 2 kap. 6 § regeringsformen kan ha tillämplighet även utanför området för myndighetsutövning. En statlig arbetsgivare anses uppträda i rollen som enskild i fråga om åtgärder som grundas på privaträttsliga regler som tillgodoser myndig- hetens intresse i just dess egenskap av arbetsgivare. Om åtgärden i stället främst har vidtagits i det allmännas intresse, uppträder arbetsgivaren i egenskap av det allmänna och regeringsformen anses tillämplig.1 Se även avsnitt 4.3 och underavsnittet om in- och utpasserings- kontroll och husrannsakan. 1 kap. 9 § och 11 kap. 9 § Regeringsformen innebär därutöver vissa begränsningar i arbets- givarens fria antagningsrätt. Vid beslut om tillsättande av statlig tjänst får enligt 11 kap. 9 § andra stycket avseende endast fästas vid sakliga grunder, såsom förtjänst och skicklighet. Regeln om sakliga grunder gäller inte för tillsättning av kommunala tjänster. För sådana beslut blir ytterst prövningsgrunderna för kommunalbesvär i 10 kap. 8 § kommunallagen (1991:900) avgörande. Inom den offentliga förvaltningen gäller också objektivitetsprincipen i 1 kap. 9 § regerings- formen. Beträffande antagningsrätten, se även avsnitt 4.3 nedan. har i sitt slutbetänkande (SOU 2008:3 s. 255 f.) föreslagit bl.a. att det införs ett nytt andra stycke i 2 kap. 6 § regeringsformen av innebörd att varje medborgare ska vara 1 Se JO:s beslut , dnr 2685–2004. skyddad gentemot det allmänna mot intrång som sker i hemlighet eller utan samtycke och som i betydande mån innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Det nya grundlagsskyddet ska bara kunna begränsas i den särskilda ordning som föreskrivs i 2 kap. 12 § regeringsformen. Kommittén har vidare som redan nämnts föreslagit att det ovan berörda stadgandet i 2 kap. 3 § – att varje medborgare ska i den utsträckning som anges i lag skyddas mot att hans personliga integritet kränks när uppgifter om honom eller henne registreras med hjälp av automatisk databehandling – ska upphävas. Enligt kommittén skulle det med det föreslagna nya grundlagsskyddet i 2 kap. 6 § inte längre finnas något behov av bestämmelsen, vars egentliga syfte inte var av rättslig art utan att ge uppmärksamhet åt vikten av integritetsskydd vid dataregistrering. Stadgandet i 2 kap. 3 § är vidare, enligt kommittén, oförenligt med vilja att grundlagsskyddet inte ska vara teknikberoende och det passar heller inte systematiskt in i regeringsformen. Dessutom framhåller kom- mittén att förpliktelse att vidmakthålla ett nationellt inte- gritetsskydd som motsvarar på dataskyddsområdet, framförallt dataskyddsdirektivet, i högre grad än stadgandet i regeringsformen, innebär ett krav på att det ska finnas lagstiftning som upprätthåller skyddskrav på hög nivå. har även föreslagit att det införs en bestämmelse i om olovlig fotografering som i princip gör det förbjudet att utan lov fotografera eller filma personer som befinner sig på platser dit allmänheten inte har insyn. Av viss betydelse är även reglerna i 2 kap. tryckfrihetsförordningen om allmänna handlingars offentlighet, den s.k. offentlighets- principen. En allmän handling är i princip offentlig, dvs. den ska hållas tillgänglig för den som vill ta del av den. Undantag från offentlighetsprincipen anges i lag, i första hand sekretesslagen (1980:100).2 Även här gäller en särskild normgivnings- regel för lagstiftaren, nämligen att rätten att ta del av allmänna 2 Regeringen har beslutat om en proposition med ett förslag till offentlighets- och sekretesslag (prop. 2008/09:150). Den föreslagna lagen utgör en omarbetning av sekretesslagen i syfte att göra regleringen mer lättförståelig och lättillämpad. Förslaget innebär inte några sakliga ändringar i de bestämmelser som är av intresse för vårt arbete. Lagen föreslås träda i kraft . handlingar endast får begränsas om det är påkallat med hänsyn till vissa i tryckfrihetsförordningen särskilt angivna intressen. För myndigheter som i sin verksamhet använder automatisk databehandling gäller enligt 15 kap. sekretesslagen att de tekniska systemen ska utformas med beaktande av offentlighetsprincipen. I sammanhanget bör också tryckfrihetsförordningens och ytt- randefrihetsgrundlagens regler om den s.k. meddelar- och anskaffar- friheten något belysas (se t.ex. 1 kap. 1 § tredje och fjärde stycket tryckfrihetsförordningen).3 Dessa regler innebär att var och en har rätt att till författare, journalister och nyhetsredaktioner m.fl. meddela uppgifter och underrättelser i vilket ämne som helst för offentlig- görande i tryckt skrift eller genom tekniska upptagningar. Det- samma gäller för anskaffandet av sådana uppgifter. Skyddet gäller dock inte om förfarandet innebär att den som meddelar eller anskaffar uppgifterna därigenom gör sig skyldig till vissa brott mot rikets säkerhet, bl.a. spioneri, och inte heller om personen i fråga gör sig skyldig till uppsåtligt brott mot tystnadsplikt (se t.ex. 7 kap. 3 § tryckfrihetsförordningen).4 De nu redovisade bestämmelserna innebär att en offentlig arbetsgivare i princip inte får efterforska t.ex. meddelanden som en arbetstagare har skickat till en tidnings- redaktion. Vissa åtgärder, som även kan förekomma i arbetslivet, är straff- belagda. Följande bestämmelser är av intresse. Brytande av post- eller telehemlighet Den som olovligen bereder sig tillgång till ett meddelande, som ett post- eller telebefordringsföretag förmedlar som postförsändelse eller telemeddelande, kan enligt 4 kap. 8 § dömas för brytande av post- eller telehemlighet till böter eller fängelse i högst . Det straffbara området omfattar inte sådana fall där någon bereder sig tillgång till ett meddelande inom ett lokalt nät, t.ex. att en arbetsgivare kontrollerar arbetstagarnas e-post genom att utnyttja 3Motsvarande regler finns i 1 kap. 2 § och 2 kap. 4 § yttrandefrihetsgrundlagen. 4Motsvarande regler finns i 5 kap. 3 § yttrandefrihetsgrundlagen. det egna nätverket. Vidare krävs att gärningen sker olovligen. På grund härav blir t.ex. avlyssning genom en extra hörtelefon straffri så snart någon av de samtalande har lämnat sitt samtycke till avlyssnandet. Den som olovligen bryter brev eller telegram eller på annat sätt bereder sig tillgång till något som förvaras förseglat, under lås eller som är tillslutet på annat sätt, kan enligt 4 kap. 9 § dömas för intrång i förvar till böter eller fängelse i högst . Bestämmelsen är subsidiär i förhållande till den beskrivna bestämmelsen om brytande av post- eller telehemlighet. Enligt ordalydelsen är skyddsobjektet något, vilket talar för att tillämpningsområdet är vidsträckt. Om en arbetsgivare eller en företrädare för arbetsgivaren olovligen bereder sig tillgång till fysiskt material som tillhör en arbetstagare, t.ex. något som förvaras i ett låst utrymme eller ett meddelande i ett förseglat kuvert, gör denne sig skyldig till brott. Det gäller självfallet även om det som förvaras tillslutet eller under lås är elektronisk information som förvaras på en diskett, cd-romskiva, USB-minne eller på en hårddisk. Däremot är det osäkert i vad mån man kan göra en straffrättsligt tillåten analogi till logiskt förvar eller utrymmen i vilka viss elektroniskt lagrad information förvaras i IT-miljö.5 Den som olovligen med tekniska hjälpmedel för återgivning av ljud i hemlighet avlyssnar eller tar upp tal i enrum, samtal mellan andra eller förhandlingar eller andra sammankomster dit allmänheten inte har tillträde, kan enligt 4 kap. 9 a § dömas för olovlig avlyssning till böter eller fängelse i högst . Även den bestäm- melsen är subsidiär till den om brytande av post- eller telehemlighet. Bestämmelsen tillkom för att ge ett förstärkt skydd mot risker för integritetskränkningar som kan åstadkommas genom att utnyttja akustiska hjälpmedel. Som redan framgått ska bestämmelsen inte tillämpas vid avlyssning av telefonsamtal över det sedvanliga telenätet. Däremot omfattas avlyssning av telefonsamtal via interna 5 Se SOU 2002:18 s. 111 f. med där gjorda hänvisningar. anläggningar, inom en bostad eller på en arbetsplats, t.ex. samtal via snabbtelefoner. Med tal i enrum avses t.ex. diktamen eller bön. Vidare omfattar bestämmelsen samtal mellan andra. Det innebär att den som spelar in samtal som han själv deltar i, t.ex. med hjälp av en dold mikrofon, går fri från ansvar. Detsamma gäller den som deltar i ett sammanträde eller annan sammankomst. Någon begränsning i lokalt hänseende finns emellertid inte. Bestämmelsen gäller alldeles oavsett var kränkningen sker någonstans. Den som olovligen bereder sig tillgång till upptagning för auto- matisk databehandling eller olovligen ändrar eller utplånar eller i register för in sådan upptagning kan enligt 4 kap. 9 c § dömas för dataintrång till böter eller fängelse i högst . Bestäm- melsen om dataintrång är subsidiär till såväl den om brytande av post- eller telehemlighet som den om intrång i förvar. Även beträffande denna bestämmelse förutsätter straffansvar att åtgärden skett olovligen. Så är fallet om någon helt utomstående olovligen bereder sig tillgång till en upptagning, oavsett om det sker på distans över nätverk eller genom att någon bereder sig till- träde till en lokal och där använder en befintlig dator. Detsamma torde gälla för den som utan tillåtelse tar sig förbi ett skydd i form av lösenord eller liknande och på så sätt får tillgång till material som lagras i datorformat. Att en åtgärd skett olovligen förutsätter dock inte att materialet skyddats på något särskilt sätt. I underrätts- praxis har det ansetts tillräckligt att en arbetstagare har berett sig tillgång till lagrade uppgifter genom att överträda sin befogenhet att använda IT-systemet enligt de bestämmelser som gäller på arbets- platsen. Om man ser till det omvända förhållandet, dvs. att en arbets- givare bereder sig tillgång till information som arbetstagare har lagrat i det interna datasystemet, uppstår dock betydande tolknings- och tillämpningsproblem. I betänkandet Personlig integritet i arbets- livet (SOU 2002:18) förs ett relativt ingående resonemang om och under vilka förutsättningar förfaranden som innebär att arbets- givare bereder sig tillgång till det egna datasystemet för att kon- trollera arbetstagares privata filer skulle kunna anses som olovligt. Resonemanget landar emellertid i slutsatsen att det, i brist på publicerade domstolsavgöranden, är osäkert hur dessa frågor bör bedömas.6 I 49 § personuppgiftslagen (1998:204) finns det en straffbestämmelse som bl.a. innebär att det är förenat med straffansvar att uppsåtligen eller av grov oaktsamhet behandla känsliga personuppgifter och uppgifter om lagöverträdelser i strid med lagens särskilda bestäm- melser härom. Bestämmelsen berörs närmare i avsnitt 5. Lagen (2003:389) om elektronisk kommunikation innehåller en straff- bestämmelse som bl.a. innebär att den som uppsåtligen eller av oaktsamhet bryter mot lagens förbud mot avlyssning kan dömas till böter (6 kap. 15 § andra stycket). Bestämmelsen är subsidiär till de tidigare redovisade bestämmelserna i . Lagen om allmän kameraövervakning Vid kameraövervakning gäller också vissa straffsanktionerade bestämmelser enligt 26 § lagen (1998:150) om allmän kamera- övervakning.7 Dessa bestämmelser gäller i huvudsak för övervakning av platser dit allmänheten har tillträde. I sådana fall krävs som huvudregel tillstånd av . Vissa av lagens bestämmelser är dock av allmänt intresse. Av 1 § framgår att allmän kameraövervakning ska ske med tillbörlig hän- syn till enskildas personliga integritet. Det aktsamhetskrav som framgår av bestämmelsen gäller generellt vid all användning av övervakningsutrustning och alltså även vid sådan verksamhet som inte omfattas av krav på tillstånd eller anmälan. Bestämmelsen är dock inte sanktionerad. Därutöver anges, som huvudregel, att upplysning om allmän kameraövervakning ska lämnas genom tydlig skyltning eller på något annat verksamt sätt. Om ljud kan avlyssnas eller tas upp vid 6SOU 2002:18 s. 112 f. 7Frågan om lagregleringen av allmän kameraövervakning ses över av en annan utredning (dir. 2008:22). övervakningen ska särskild upplysning lämnas om detta. Upplysnings- plikten inträder när övervakningsutrustningen sätts upp. Upplysnings- plikten gäller även om varken tillstånd eller anmälan krävs för övervakningen och även i de fall då övervakningen avser en plats dit allmänheten inte har tillträde. Syftet är naturligtvis att personer som vistas på platsen ska vara medvetna om att de är övervakade. Bestämmelsen om upplysningsplikt är straffsanktionerad. Såvitt avser kameraövervakning av banklokaler m.m. och butiks- lokaler är sådan tillåten efter anmälan om vissa krav är uppfyllda. I sammanhanget kan noteras att när det gäller butikslokaler får en övervakningskamera efter anmälan sättas upp för allmän kamera- övervakning om den som avser att bedriva övervakningen har träffat en skriftlig överenskommelse om övervakningen med skydds- ombud, skyddskommitté eller en organisation som företräder de anställda på arbetsplatsen. Därutöver finns en tystnadspliktregel som anger att den som tar befattning med uppgift som har inhämtats genom allmän kamera- övervakning får inte obehörigen röja eller utnyttja vad han eller hon på detta sätt fått veta om någon enskilds personliga för- hållanden. Det erinras om att i det allmännas verksamhet ska i stället bestämmelserna i sekretesslagen (1980:100) tillämpas. Även i lagen (2006:351) om genetisk integritet m.m. förekommer straffsanktionerade bestämmelser. Lagen trädde i kraft den 1 juli 2006.8 Av intresse på arbetslivsområdet är bestämmelsen i 2 kap. 1 §. Där sägs i första stycket att ingen utan stöd i lag får ställa som villkor för ett avtal att den andre parten ska genomgå en genetisk undersökning eller lämna genetisk information om sig själv. För- budet gäller inte på familjerättens område men i övrigt vid alla slags avtal, t.ex. anställningsavtal. Den som bryter mot förbudet döms till böter eller fängelse , om inte gärningen är belagd med strängare straff i (8 kap. 2 §). I 2 kap. 1 § andra stycket föreskrivs vidare att ingen utan stöd i lag får i samband med ett avtal efterforska eller använda genetisk information om den andre. Ingen får heller olovligen bereda sig tillgång till genetisk information om någon annan. Man får alltså inte genom frågor till den informationen gäller eller annan försöka 2005/06:64, bet. 2005/06: SoU16, rskr. 2005/06:219. få fram resultat av en genetisk undersökning. Skulle sådan information ändå bli känd får den inte användas i något avseende.