sou · GXB344 · 2010-01-01 00:00:00 — Det bör därutöver finnas ett ganska stort utrymme för att logga och spara lokaliseringsuppgifter av säkerhetsskäl, t.ex. för att för- hindra skadegörelser eller stölder eller för att sörja för personalens säkerhet. Det finns inte heller något principiellt hinder mot att arbets- givare utför individuella prestationsmätningar, framför allt i fall av avtalad prestationslön eller liknande.47 Däremot är det nog endast i undantagsfall tillåtet att samköra olika system för loggning av lokaliseringsuppgifter i syfte att utreda en viss arbetstagares förehavanden48 eller att övervaka förehavandena i realtid49. Datainspektionen har i ett fall bedömt tillåtligheten av att använda lokaliseringsuppgifter avseende anställda chaufförer.50 Enligt in- spektionen var det typiskt sett tillåtet för arbetsgivaren att efter en intresseavvägning använda uppgifterna för säkerhet, logistik, för- delning av resurser och underlag för fakturering. Inspektionen anförde i fråga om kontroll av arbetad tid och förande av bilbok följande: Att använda tekniken i syfte att övervaka de anställdas arbetstider ligger utanför det område som man, typiskt sett, använder positionerings- tekniken till. Ett sådant ändamål måste vara förenligt med vad som är god sed. Arbetsgivarens rätt att leda och fördela arbetet samt rätten att följa upp enskilda arbetstagares insatser regleras genom arbetsrättsliga regelverk och eventuella tvister inom det här området bör i första hand lösas av parterna på arbetsmarknaden. Vid en bedömning om brukandet av den här tekniken i syfte att övervaka anställda är förenlig med person- uppgiftslagen, bör man dels jämföra om de metoder som används på arbetsplatsen för detta ändamål är lika ingripande, dels bedöma om det finns andra alternativ som innebär ett mindre intrång i den personliga integriteten och dels pröva om arbetsgivaren har sådana problem att en skärpt övervakning är sakligt motiverad. Man måste också beakta om det – utifrån det aktuella ändamålet – är relevant att använda positioneringsteknik. Vi bedömer att [den aktuella använd- ningen av positioneringsuppgifter] i syfte att övervaka de anställdas arbetstider innebär en mer omfattande övervakning än vad som är nödvändigt för att tillgodose det avsedda syftet. Behovet kan till- godoses på ett mindre integritetskränkande sätt, exempelvis genom tidrapportering. Behandlingen för detta ändamål strider därför mot de grundläggande kraven i 9 § personuppgiftslagen och är inte tillåten med stöd av en intresseavvägning. Undantagsvis kan det däremot vara befogat att använda systemet för att kontrollera anställdas arbetstider. Det krävs i så fall en konkret misstanke om allvarligt missbruk av arbets- tidsredovisningen. Att använda tekniken i syfte att bevisa för att service- bilarna inte används privat ligger även det utanför det område som 47Datainspektionens beslut , dnr 1010–2006. Jfr Datainspektionens beslut 2007- 06-27, dnr 87–2007. 48Jfr Datainspektionens beslut , dnr 1897–2005. 49Jfr Datainspektionens beslut , dnr 87–2007. 50Datainspektionens beslut , dnr 806–2007. man, typiskt sett, använder positioneringstekniken till. Vi bedömer att övervakningen även för detta ändamål innebär en mer omfattande övervakning än vad som är motiverat utifrån det avsedda ändamålet och att den därför är otillåten med stöd av en intresseavvägning. För att tekniken ska få användas för detta ändamål, krävs samtycken från berörda arbetstagare. Ett sätt att identifiera individer kan vara att utnyttja s.k. biomet- riska uppgifter. Datainspektionen har pekat ut följande omständlig- heter som kan vara nödvändiga att beakta när sådana uppgifter används i arbetslivet: ändamålet med registreringen, vilken slags verksamhet som det är fråga om, vilken typ av biometriska uppgifter som ska registreras och hur omfattande registreringen är, hur länge uppgifterna sparas, om det är möjligt att återskapa uppgifterna utifrån vad som har registrerats, om det finns risk för att uppgifterna på något sätt ska kunna missbrukas eller användas på något annat sätt eller användas för något annat ändamål än det avsedda, och om arbetsledningsrätten inte därmed utövas på ett sätt som strider mot god sed. Ett annat område för övervakning och kontroll är kameraöver- vakning och telefonavlyssning. Med hänsyn till att Datainspektionen numera i allmänhet bedömer sådana åtgärder enligt den nya missbruksregeln i 5 a § berörs dessa åtgärder i anslutning till den bestämmelsen, se avsnitt 5.1.7. 5.1.4Särskilt om känsliga personuppgifter En huvudregel som förbjuder behandling Enligt personuppgiftslagen gäller i princip ett förbud mot att behandla vissa känsliga personuppgifter. Det är enligt lagen för- bjudet att behandla personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening (13 §). bara avses sådana sammanslutningar av arbetstagare som avses i 6 § lagen (1976:580) om medbestämmande i arbetslivet. Däremot omfattas förmodligen inte medlemskap i en arbets- löshetskassa av bestämmelsen. Det är också förbjudet att behandla personuppgifter som rör hälsa eller sexualliv (13 §). Uppgift om sjukligt missbruk, t.ex. drog- missbruk, kan utgöra uppgift om hälsa. Samma sak gäller t.ex. för uppgifter om graviditet. Frågan om uppgifter om att någon på grund av sjukdom inte kan förvärvsarbeta kan anses röra hälsa har varit omdiskuterad. har numera slagit fast att uppgift om att någon har skadat sin fot och med hänsyn härtill är deltidssjukskriven är en personuppgift om hälsa.51 Samma bedömning har gjort avseende en uppgift om att en anställd har samarbetssvårigheter och är sjukskriven.52 Enligt kommentaren ligger det nära till hands att redan en isolerad upplysning om att någon till följd av sjukdom inte kan eller inte har kunnat arbeta, utgör en uppgift som rör hälsa.53 Det synes oklart varför lagen gör skillnad på uppgifter som avslöjar vissa förhållanden och uppgifter som rör vissa förhållanden. Möjligen kan distinktionen vara av viss betydelse vid bedömningen av personuppgifter som innehåller negationer. Det kan innebära att uppgifter om att någon inte har en viss sjukdom eller inte har en viss sexuell läggning möjligen kan sägas röra uppgift om hälsa eller sexualliv. Däremot kan en uppgift om att någon t.ex. inte är med- lem i en viss fackförening normalt inte anses avslöja något sådant medlemskap. Känsliga personuppgifter får behandlas, om den registrerade uttryck- ligen har samtyckt till behandlingen (15 §). Detsamma gäller om den registrerade själv på ett tydligt sätt har offentliggjort uppgifterna. 51EG-domstolens dom i mål C-101/01. 52NJA 2005 s. 361. 53Sören o.a., Personuppgiftslagen, En kommentar, tredje upplagan, 2007, s. 229. Fullgöra skyldigheter och utöva rättigheter inom arbetsrätten Enligt personuppgiftslagen får känsliga personuppgifter behandlas, om det är nödvändigt för att den personuppgiftsansvarige ska kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten (16 § första stycket a). Det är något oklart vad som avses med uttrycket inom arbetsrätten. Enligt förarbetena bör uttrycket inte ges en alltför snäv betydelse. I stort sett alla skyldig- heter och rättigheter för arbetsgivare beträffande de anställda och deras organisationer omfattas. Detsamma bör gälla de fackliga orga- nisationernas skyldigheter och rättigheter i förhållande till arbets- givare och deras organisationer. Det är också möjligt att skyldig- heter och rättigheter för pensionsstiftelser och arbetslöshetskassor omfattas av bestämmelsen.54 Exempel på behandlingar som är nödvändiga för att fullgöra skyldigheter eller utöva rättigheter inom arbetsrätten kan vara när uppgifter om anställdas sjukdom behandlas för att beräkna sjuklön eller när uppgifter behandlas för att utreda frånvarorätt eller för att inleda en rehabiliteringsutredning enligt arbetsmiljölagen (1977:1160). Andra exempel är att uppgifter om fackligt medlemskap registreras för att arbetsgivaren har åtagit sig att göra löneavdrag för fack- föreningsavgift eller för att denne ska kunna fullgöra sin förhandlings- skyldighet enligt lagen (1976:580) om medbestämmande i arbets- livet. Behandling av uppgifter som har kommit fram vid undersökning, behandling och vård inom företagshälsovården regleras särskilt. För känsliga personuppgifter som behandlas för att fullgöra skyldigheter eller utöva rättigheter inom arbetsrätten gäller en särskild regel för utlämnande av personuppgifter. Utlämnande får bara ske om det inom arbetsrätten finns en skyldighet för den personuppgiftsansvarige att göra det eller den registrerade uttryckligen har samtyckt till att uppgifterna lämnas ut (16 § andra stycket). En sådan skyldighet att lämna ut uppgifter till försäk- ringsbolag kan följa av t.ex. avtal om försäkringar eller pensioner. Det kan också vara nödvändigt för arbetsgivaren att lämna ut känsliga personuppgifter för att denne ska kunna fullgöra sin förhandlings- skyldighet enlig lagen om medbestämmande i arbetslivet. 54 o.a., Personuppgiftslagen, En kommentar, tredje upplagan, 2007, s. 238 f. Känsliga personuppgifter får enligt personuppgiftslagen behandlas, om den registrerade inte kan lämna sitt samtycke och det är nödvändigt att uppgifterna behandlas för att den registrerades eller någon annans vitala intressen ska skyddas (16 § första stycket b). Bestämmelsen bör endast i undantagsfall ha relevans för arbets- livets område. Personuppgiftslagen tillåter att känsliga personuppgifter behandlas i de fall det är nödvändigt för att rättsliga anspråk ska kunna fast- ställas, göras gällande eller försvaras (16 § första stycket c). Själva behandlingen behöver inte gå ut på att fastställa, göra gällande eller försvara sådana anspråk. Det är tillräckligt att behandlingen är nöd- vändig för att någon, den personuppgiftsansvarige eller någon annan, ska kunna göra detta. Det kan med stöd av denna bestämmelse vara tillåtet att behandla känsliga personuppgifter i syfte att säkra bevisning inför en eventuell framtida tvist. Ett praktiskt exempel från arbetslivets område är att en arbetsgivare registrerar försummelser som grundar sig på en arbetstagares arbetsoförmåga eller störningar på arbets- platsen som har sin grund i psykisk sjukdom eller missbruk för att säkra bevisning för att ha möjlighet att hävda att det finns saklig grund för uppsägning. Andra exempel är att medlem- skap i fackförening kan behöva registreras för att t.ex. fastställa var en talan i domstol ska väckas. Personuppgiftslagen innehåller även ytterligare undantag från för- budet mot att behandla känsliga personuppgifter (17–19 §§). Dessa undantag, som inte har någon större relevans för de frågor vi har att överväga, avser ideella organisationer, hälso- och sjukvård samt forskning och statistik. 5.1.5Särskilt om personuppgifter om brott Enligt personuppgiftslagen får bara myndigheter behandla person- uppgifter om brott, dvs. personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel och administrativa frihetsberövanden (21 §). Det är således i princip förbjudet för andra än myndigheter att behandla sådana uppgifter. Regeringen eller den myndighet som regeringen bestämmer, dvs. i praktiken Datainspektionen, får dock medge att även andra än myndigheter får behandla uppgifter om brott. Sådana bemyndi- ganden kan lämnas antingen i form av generella föreskrifter för ett visst område eller i form av undantag i ett enskilt fall.55 Bestämmelsen tar sikte på mer än bara uppgifter ur register eller ur domar. Redan en uppgift om att någon har eller kan ha begått ett visst brott utgör en uppgift om brott i lagens mening. Även faktiska iakttagelser av att brott begås eller har begåtts kan utgöra uppgifter om brott, t.ex. har digitala bilder av klotter ansetts utgöra person- uppgifter om brott i de fall den som klottrat använt en beteckning på sig själv eller det gäng som han eller hon tillhör (s.k. tag).56 5.1.6Särskilt om personnummer och samordningsnummer I personuppgiftslagen finns det en särskild bestämmelse som tar sikte på uppgifter om person- eller samordningsnummer. Sådana personuppgifter får, utan samtycke, bara behandlas när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl (22 §). Med stöd av denna bestämmelse får en arbetsgivare registrera personnummer för att administrera sina anställda eller för att kunna fullgöra sin uppgiftsskyldighet till olika myndigheter, t.ex. skatte- myndigheten. Däremot finns det sällan anledning att behandla person- nummer genom t.ex. utskrift på tjänstgöringslistor eller adress- etiketter. 55Sören o.a., Personuppgiftslagen, En kommentar, tredje upplagan, 2007, s. 273 ff. för exempel på sådana föreskrifter och undantag som Datainspektionen har meddelat. 56Datainspektionens beslut , dnr 1020–2005. behöver flertalet av de hanteringsregler vi beskrivit i det föregående inte längre tillämpas för behandlingar av personuppgifter som ingår i ett ostrukturerat material. I stället gäller numera en enkel regel i 5 a § med innebörd att behandling är tillåten så länge den inte innebär en kränkning av den registrerades personliga integritet. Det finns dock inget som hindrar att den personuppgiftsansvarige som är osäker väljer att tillämpa det gamla systemet för alla sina behandlingar. Syftet med reformen är att förenkla och lätta upp regleringen för sådana vardagliga behandlingar av personuppgifter som typiskt sett inte innebär några större risker för kränkningar av den person- liga integriteten.57 Lagen gör därför numera skillnad på person- uppgifter som finns i ostrukturerad form och där själva innehållet, dvs. texten, ljudet eller bilden, är det centrala och följaktligen informations- och yttrandefrihetsintressen gör sig särskilt starkt gällande, och när sådana uppgifter ingår i en personuppgiftsanknuten struktur. I det senare fallet är det inte bara själva innehållet, utan framför allt möjligheterna att söka efter och sammanställa ett stort antal personuppgifter som är av betydelse från ett integritets- perspektiv. Reformens syfte är således att åstadkomma en för svenskt vid- kommande länge efterlängtad regelförenkling för de fall där inte- gritetsriskerna typiskt sett är mindre. På så sätt tror sig lagstiftaren också kunna öka respekten för regelsystemet, eftersom hanterings- reglerna sannolikt i praktiken inte har tillämpats i någon större utsträckning vid vardaglig, ostrukturerad behandling av personupp- gifter. En sådan attityd riskerar, enligt regeringen, att smitta av sig på sådana strukturerade behandlingar av personuppgifter där de grund- läggande dataskyddsprinciperna är nödvändiga för en integritets- säker behandling. Personuppgiftslagen innehåller således numera två olika regel- system. Vilket system som ska eller får tillämpas avgörs av om det är fråga om ett strukturerat eller ostrukturerat material. Det är bara behandling av personuppgifter i ett material som har en person- uppgiftsanknuten struktur som faller utanför det undantagna området. En struktur är personuppgiftsanknuten om materialet har struk- turerats så att just personuppgifter har markerats som sådana. 2005/06:173 s. 18 f. krävs vidare att den personuppgiftsanknutna strukturen har upp- nått en viss nivå eller kvalitet. Samlingen av personuppgifter måste ha strukturerats för att påtagligt underlätta sökningen efter eller sammanställningen av personuppgifter. I det sålunda undantagna området ingår helt klart produktion av löpande text i ord- behandlingsprogram, publicering av löpande text på Internet, användning av ljud eller bildupptagningar och korrespondens med e-post, allt under förutsättning att materialet inte ska ingå i en databas med en personuppgiftsanknuten struktur, t.ex. ett ärende- hanteringssystem. Det som sker i vanliga program för e-post eller annan elektronisk kommunikation eller i sådana program som auto- matiskt indexerar alla ord och tecken i filer gör inte att det blir fråga om ett strukturerat material.58 För personuppgifter som ingår i ett ostrukturerat material gäller numera bara att en behandling inte får utföras om den innebär en kränkning av den registrerades personliga integritet. I förarbetena har framhållits att det i slutändan är en fråga för rättstillämpningen att i varje enskilt fall väga det intrång som kan ha skett i den personliga integriteten mot eventuella motstående intressen. I för- arbetena lämnas dock några enkla och tämligen självklara handlings- regler: Behandla inte personuppgifter för otillbörliga syften, såsom förföljelse eller skandalisering. Samla inte utan godtagbara skäl en stor mängd uppgifter om en person. Rätta personuppgifter som visar sig vara felaktiga eller miss- visande. Förtala eller förolämpa inte någon annan. Bryt inte mot sekretess eller tystnadsplikt. I de fall den nya s.k. missbruksregeln är tillämplig behöver bara bestämmelserna om automatiserade beslut, säkerheten vid behand- lingen, skadestånd och straff samt om tillsynsmyndighetens befogen- heter i lagens ursprungliga system med hanteringsregler tillämpas. Datainspektionen har i två ärenden tagit ställning till frågor om kameraövervakning i arbetslivet. I det första fallet var det fråga om kameraövervakning på en byggarbetsplats där övervakningen kunde 58 Se o.a., Personuppgiftslagen, En kommentar, tredje upplagan, 2007, s. 112 ff. följas i realtid på Internet.59 Inspektionen ansåg att övervakningen inte hade stöd i lagen och därför var otillåten. Prövningen i detta fall skedde innan den nya missbruksregleringen hade trätt i kraft, dvs. enligt lagens system med hanteringsregler. Det andra ärendet, som prövades efter det att den nya miss- bruksregeln hade trätt i kraft och utifrån en bedömning enligt den bestämmelsen ansågs tillåten, avsåg kameraövervakning vid en åter- vinningsanläggning.60 I det beslutet anförde Datainspektionen att faktorer av betydelse för bedömningen av om en kameraövervakning kan anses tillåten eller inte bl.a. är syftet med och behovet av övervakningen, vilken plats som ska övervakas, vilken information som ges till den regi- strerade om att platsen är övervakad, känsligheten av de uppgifter som kan komma att registreras, hur länge det inspelade materialet sparas och vem eller vilka som har tillgång till det inspelade materialet. Även andra faktorer kan naturligtvis vara av intresse. När det gäller digital inspelning av telefonsamtal vid hot har Datainspektionen i ett samrådsärende från tiden innan den nya missbruksregeln trädde i kraft som rörde konstaterat att domstolar är sådana myndigheter där risken är särskilt stor för att personal utsätts för våld eller annat allvarligt men. Syftet med inspelningen var att snabbt kunna agera när hot framförs till domstolens växel. Enligt inspektionens mening talade därför mycket för att den tilltänkta inspelningen och lagringen av telefonsamtal kunde bedömas som tillåten med stöd av en intresse- avvägning enligt personuppgiftslagen.61 En annan utgång blev det i ett ärende, också det från tiden innan den nya missbruksregeln trädde i kraft, som gällde ett företags inspelning av samtal från kunder. Ändamålet med att spela in samtalen var att i efterhand kunna bedöma kvaliteten på samtalen, dvs. Inspektionen konstaterade då att det var tveksamt om kvalitetssäkring av kundsamtal genom inspelning alltid kan anses vara ett berättigat ändamål i lagens mening, särskilt mot bakgrund av de möjligheter till medlyssning som finns. Inspel- ningen ansågs otillåten efter en intresseavvägning, som dock skedde utifrån kundens intresse av personlig integritet.62 59Datainspektionens beslut , dnr 763–2005. 60Datainspektionens beslut , dnr 575–2006. 61Datainspektionens beslut , dnr 978–2002. 62Datainspektionens beslut , dnr 113–2003, jfr även inspektionens beslut , dnr 1535 2002, som även det framför allt utgick från kundperspektivet. Besluten föranleder den reflektionen att arbetstagarens intresse av personlig integritet i allmänhet inte synes hamna i fokus när inspelning av telefonsamtal bedöms enligt personuppgiftslagen. I stället blir det ofta kundens, eller någon annan samtalsparts, intressen som blir av avgörande betydelse för bedömningen. Sedan missbruksregeln trätt i kraft har frågor om person- uppgiftsbehandling i samband med kameraövervakning bedömts enligt den regeln, ett förhållande som ansåg vara otillfredsställande.63 har en utredning tillsatts som ser över lagen (1998:150) om allmän kameraövervakning och som bl.a. har att överväga om det är lämpligt att kameraövervakning blir föremål för den för- enklade reglering som missbruksregeln innebär.64 I personuppgiftslagen finns det bestämmelser om vilken informa- tion som den personuppgiftsansvarige har att lämna till den regi- strerade (23–27 §§). Dessa bestämmelser rör två olika typsituationer. För det första finns det bestämmelser som reglerar sådan informa- tion som den personuppgiftsansvarige självmant ska lämna den registrerade i samband med att personuppgifterna samlas in. För det andra finns det regler om information som ska lämnas först när den registrerade begär det, s.k. registerutdrag. Gemensamt för de båda situationerna är dock att bestämmelser om sekretess och tyst- nadsplikt alltid går före skyldigheten att lämna information (27 §). Information som ska lämnas självmant Om uppgifter om en person samlas in från personen själv, ska den personuppgiftsansvarige i samband därmed självmant informera om behandlingen av uppgifterna (23 §). Sådana elektroniska spår som registreras genom loggning anses insamlade från den registrerade själv. Detsamma gäller om den registrerade självmant sänder in uppgifter med e-post. Även i fråga om kameraövervakning eller 63SOU 2007:22, Del 1, s. 314 f. telefonavlyssning är nog uppgifterna att anse som insamlade från den registrerade, dvs. den som fotograferas eller avlyssnas. Huvudregeln är att informationen ska lämnas i samband med att den registrerade lämnar uppgifterna eller uppgifterna annars samlas in från honom eller henne. I de fall personuppgifter samlas in från någon annan källa än den registrerade, ska den personuppgiftsansvarige informera om behand- lingen när uppgifterna registreras (24 §). Är avsikten att upp- gifterna ska lämnas ut till tredje man, är det dock tillräckligt att informationen ges första gången som uppgifterna lämnas ut. Om det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats, behöver emellertid inte någon information lämnas. I sådant fall inträder dock en skyldighet att informera om behand- lingen så snart uppgifterna används för att vidta åtgärder som rör den registrerade. Den information som ska lämnas självmant ska omfatta uppgift om den personuppgiftsansvariges identitet och om ändamålen med behandlingen. Därutöver ska information lämnas i den utsträck- ning det behövs för att den registrerade ska kunna ta till vara sina rättigheter. Det kan bl.a. avse information om mottagarna av upp- gifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse (25 §). Information behöver dock inte lämnas om sådant som den registrerade känner till. Datainspektionen har ansett att det vid loggning av positions- uppgifter med hjälp av t.ex. GPS bör lämnas information om hur länge loggarna sparas.65 Samma sak bör i allmänhet gälla även vid andra former av loggning. Information som ska lämnas på begäran – Registerutdrag I personuppgiftslagen finns det också en bestämmelse som ger var och en som ansöker om det rätt att en gång kostnadsfritt få information om huruvida personuppgifter behandlas eller inte. Om uppgifter behandlas, ska skriftlig information (s.k. registerutdrag) lämnas om vilka uppgifter om den sökande som behandlas, varifrån dessa uppgifter har hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut (26 §). 65 Se Datainspektionens checklista om positioneringsteknik i arbetslivet.