sou · GXB344 · 2010-01-01 00:00:00 — Som framgått av den redogörelse som lämnats i föregående avsnitt finns bestämmelser till skydd för den personliga integriteten som är av relevans för arbetslivet i såväl grundlag som vanlig lag. Bestämmelserna är emellertid disparata och spridda. I vissa fall föreligger dessutom osäkerhet om vad som gäller i fråga om möjlighet för arbetsgivare att genomföra integritetskänsliga kontroller, exempelvis drogtester. Den lagreglering som finns kompletteras av praxis från Arbets- domstolen. Denna har, när lagstöd saknats, slagit fast att kontrollen inte får strida mot god sed eller annars vara otillbörlig, varvid en avvägning mellan arbetsgivarens och arbetstagarens intresse måste göras. Domstolen har emellertid i ett mål som rört drogtest uttalat att mer vittsyftande bedömningar på det aktuella området inte bör göras på grundval enbart av förhållanden i en enskild tvist. Det naturliga var enligt domstolen att ett ämne som detta regleras i kollektivavtal eller i förekommande fall genom lag- stiftning.1 Redan framhöll behovet av att genom lagstiftning förtydliga rättsläget och lade som framgått fram ett sådant förslag.2 Vid remissbehandlingen betonade många remissin- stanser behovet av lagstiftning men riktade från andra synpunkter kritik mot förslaget bl.a. på grund av den grundläggande lag- tekniska konstruktionen, och förslaget ledde alltså inte till någon lagstiftning. Även JO har i ett ärende avseende drogtest av offentliganställda efterlyst klargörande lagstiftning.3 1AD 1991 nr 45. 3JO:s beslut , dnr 2461–2003. Det kan också nämnas att den parlamentariskt sammansatta konstaterade i sin sammanfattande bedömning rörande skyddet för den personliga integriteten i arbetslivet att avsaknaden av ett sammanhållet och någorlunda lättillgängligt regelverk som anger gränserna för arbetssökandes och arbetstagares skydd för sin personliga integritet i sig var ett förhållande ägnat att i praktiken göra det skydd som ändå fanns mindre verkningsfullt än det borde vara. Detta samt den omstän- digheten att rättsläget i väsentliga avseenden var oklart innebar enligt kommittén att risken för rena rättsförluster var påtaglig. Kommittén betonade därför att det var angeläget att vårt utred- ningsarbete ledde fram till ny lagstiftning.4 Det ovan sagda visar att den befintliga regleringen inte är till- räcklig för att skydda den personliga integriteten i arbetslivet. Detta skydd bör därför, såsom också anges i våra direktiv, klargöras genom lagstiftning. En ny lag och dess ändamål Vi anser att en reglering av den skyddskaraktär det här är fråga om bör vara tydlig och helst också sammanhållen. Enligt vår mening är det mot den bakgrunden lämpligast att de bestämmelser vi föreslår tas in en egen lag. Det bör vara en arbetsrättslig lag som knyter an till de mönster som är kända för dem som har att tillämpa den. Att en sådan ordning bör väljas får anses ha stöd mot bakgrund av den kritik som riktades mot lagförslag som, genom sin utgångspunkt i personuppgiftslagen, av många ansågs främmande, komplicerad och svår att tillämpa. Vi vill dock redan här redovisa att vår bedömning är att personuppgiftslagen ger ett gott skydd för den personliga integriteten i arbetslivet som kommer att gälla vid sidan av vår föreslagna lag. För att få en mer sammanhållen bild av det skydd som finns genom skadestånds- sanktionerad lagreglering måste även det skydd som personupp- giftslagen ger tas med. Skyddet för den personliga integriteten är till skillnad från många andra grundläggande mänskliga rättigheter inte absolut och statiskt utan är avhängigt styrkan i de motstående intressen som kan finnas. Arbetsgivare måste ha möjlighet att utöva den kontroll som deras ansvar för säkerhet och effektivitet aktualiserar. 4 SOU 2007:22 s. 414. arbetslivets område måste därför arbetstagarnas anspråk på skydd för den personliga integriteten ställas mot arbetsgivares berättigade intresse av kontroll för att kunna leda och fördela arbetet. Med hänsyn härtill och till de mångskiftande verksamheter som finns på arbetslivsområdet bör, som vi redan nämnt, regler till skydd för arbetstagares personliga integritet i väsentliga delar utformas som avvägningsnormer. En sådan ordning ligger också i linje med artikel 8 i och praxis som växt fram på detta område genom Arbetsdomstolens avgöranden. Även i personuppgiftslagen spelar ofta intresseavvägningen en avgörande roll i de fall samtycke till personuppgiftsbehandling saknas. När det gäller den närmare innebörden av begreppet personlig integritet och dess lämplighet i lagstiftningssammanhang har i föregående avsnitt konstaterats att en mängd olika företeelser kan hänföras till begreppet personlig integritet och att någon klar och entydig definition av detta inte är möjlig att åstadkomma. Vi har ändå, som redan redovisats, gjort bedömningen att begreppet bör användas i vår lag. Vi föreslår därför att lagen ska ha till ändamål att skydda arbetstagares personliga integritet i arbetslivet och att detta uttryckligen bör framgå av lagtexten. Vårt förslag: Vid tillämpning av lagens bestämmelser ska som arbetstagare anses även den som 2.söker eller fullgör praktik, eller 3.utför arbete som inhyrd eller inlånad arbetskraft. Detta ska dock inte gälla vid tillämpning av den bestämmelse vi föreslår om förhandlingsskyldighet. Den hos vilken arbetet eller praktiken söks eller utförs ska anses som arbetsgivare. Att den lagstiftning vi föreslår ska omfatta, förutom arbetstagare, även arbetssökande framgår uttryckligen av våra direktiv. Det finns anledning att därutöver fundera över om personkretsen i den lag vi föreslår bör omfatta ytterligare personkategorier. Någon definition av arbetstagare finns inte i den arbetsrättsliga lag- stiftningen. Begreppet arbetstagare bör i vår lag ha samma innebörd som det sedvanliga civilrättsliga arbetstagarbegreppet. Med arbetssökande avses den som tydligt gett till känna att han eller hon söker en anställning. Den som enbart gör en förfrågan om det finns någon ledig anställning anses däremot inte som arbets- sökande. Diskrimineringsförbuden i diskrimineringslagen (2008:567) har utvidgats till att gälla även i förhållande till den som gör en för- frågan om det finns något ledigt arbete. Ett diskriminerande förfarande kan vara för handen om exempelvis en person får ett negativt svar på frågan om det finns något ledigt arbete på grund av att han eller hon har en utländsk brytning eller presenterar sig med ett namn som tyder på annat etniskt ursprung än svenskt. Även dessa personer omfattas därför av diskrimineringslagens skydd. När det däremot gäller den lag vi föreslår ställer sig saken något annorlunda. Ett svar på en förfrågan om ett arbete utgör typiskt sett inte någon övervaknings- eller kontrollåtgärd. Den som gör en förfrågan kan således inte enbart genom ett svar på en sådan för- frågan anses vara föremål för en åtgärd av det slag som vår lag avser att reglera. Vi finner inte heller i övrigt att det föreligger några starka skäl som talar för att lagen borde omfatta även denna personkategori. En ytterligare personkrets som vi anser bör övervägas om den bör omfattas av vår lag är praktikanter. Även här kan en jämförelse göras med vad som gäller enligt diskrimineringslagen. I den skyddade personkretsen ingår där den som söker eller fullgör praktik. Det innebär enligt den lagen följande. Till att börja med omfattas den som utan att vara anställd söker eller fullgör yrkespraktik. Med yrkespraktik avses t.ex. studenter som under studierna fullgör praktik på en arbetsplats men även personer som tar del av det arbetsmarknadspolitiska programmet arbetspraktik eller annan arbetsmarknadspolitisk verk- samhet med inslag av yrkespraktik. Vi anser att denna person- kategori även bör omfattas av vår föreslagna lagstiftning. Vi gör bedömningen att personer som söker eller utför yrkespraktik på en arbetsplats har behov av samma skydd som en arbetssökande eller en arbetstagare när det gäller övervaknings- eller kontrollåtgärder som en arbetsgivare kan vidta. Även elever och studenter som deltar i praktisk arbetslivsorien- tering i () respektive arbetsplatsförlagd utbild- ning enligt gymnasieförordningen omfattas av diskriminerings- lagens begrepp den som söker eller fullgör praktik. De omfattades tidigare inte av något diskrimineringsskydd. I den nya diskrimineringslagen har skyddet emellertid utsträckts till att gälla även för dessa två kategorier. 2007/08:95 s. 136 anförs om det nya synsättet bl.a. följande. Praktisk arbetslivsorientering i () är en orientering och en möjlighet för skolungdom att få en inblick i arbetslivet. Kopp- lingen till arbetslivet i betydelsen förhållandet mellan arbetsgivare och arbetstagare är inte så nära och stark att det är naturligt att se PRAO som yrkespraktik i direktivens mening.5 Men den elev i som genomgår PRAO finns ändå på en arbetsplats och står då i realiteten under tillsyn och ledning av den som leder och fördelar arbetet där; alltså den som är arbetsgivare för dem som är anställda där. Det är rimligt att den unge i detta skeende kan åberopa det diskrimineringsförbud som gäller för arbetsgivare. Om en skola missgynnar en elev när det gäller att hitta lämplig bör diskrimineringsförbudet som avser utbildningsverksamhet gälla. Skolan kan däremot inte ta ansvar för att eleven inte utsätts för trakas- serier eller annan diskriminering på arbetsplatsen. För sådan diskriminering som inträffar på arbetsplatsen under förhål- lande som skolan inte kan utöva något bestämmande inflytande över, bör diskrimineringsförbudet för arbetsgivare gälla. --- Detsamma bör gälla s.k. arbetsplatsförlagd utbildning enligt gymnasieförordningen (1992:394). Med arbetsplatsförlagd utbildning avses kursplanestyrd utbildning på ett program i gymnasieskolan som genomförs på en arbetsplats utanför skolan. Frågan är här om de argument som framförs i propositionen ovan äger giltighet även i fråga om sådana åtgärder som vår lag tar sikte på. En PRAO-elev står, som framhålls ovan, i realiteten under arbetsgivarens tillsyn och arbetsledning som eleven vistas på arbetsplatsen. Härigenom kan han eller hon komma att 5 De direktiv som åsyftas är 2002/73/EG, 2004/43/EG och 2000/78/EG. omfattas av integritetskänsliga övervaknings- och kontrollåtgärder. Det kan t.ex. röra sig om kameraövervakning, in- och utpasserings- kontroll, kontroll av loggar etc. Vi anser inte att det finns skäl att undanta dessa elever från det integritetsskydd som vår lag avser att ge. Vi anser därför att även PRAO-elever bör omfattas av lagen. Detsamma bör gälla för studenter som deltar i arbetsplatsförlagd utbildning enligt gymnasieförordningen. Inhyrd eller inlånad personal Vi anser att även inhyrd eller inlånad personal bör ingå i den skyd- dade personkretsen. Även sådana personer på en arbetsplats har behov av det skydd som vi föreslår i vår lag. En inhyrare eller en inlånare ansvarar i första hand för de åtgärder som denne själv råder över. För de åtgärder som uthyraren eller utlånaren kan ha vidtagit eller vidtar svarar uthyraren eller utlånaren. Med inhyrd personal avser vi t.ex. personal från bemannings- företag. Det är här typiskt sett fråga om ett trepartsförhållande där en beställare (inhyrare) och en arbetsgivare (uthyrare) ingår avtal om att arbetsgivaren ska ställa en arbetstagare hos sig till beställarens förfogande för att utföra arbete som hör till den sist nämndas verksamhet. I lagen (1993:440) om privat arbetsförmedling och uthyrning av arbetskraft finns en definition av vad som i den lagen avses med uthyrning av arbetskraft. Den definitionen förutsätter att ersätt- ning utgår från inhyraren till uthyraren. Vi anser att utöver inhyrd arbetskraft bör även inlånad arbetskraft ingå, dvs. när arbetskraft lånas in från en annan arbetsgivare vederlagsfritt. Det kan t.ex. vara fråga om att ett företag inom en koncern lånar ut en anställd till ett annat företag i koncernen. Även den som står till förfogande för att utföra arbete som inhyrd eller inlånad personal skyddas numera av diskriminerings- lagen. Genom denna utvidgning av diskrimineringsskyddet kan en arbetsgivare som söker personal via ett bemanningsföretag inte av diskriminerande skäl neka att ta emot en viss person som beman- ningsföretaget erbjuder arbetsgivaren. Redan genom att den personen genom sin egen arbetsgivare, bemanningsföretaget, står till förfogande blir diskrimineringsförbudet tillämpligt. Här inställer sig frågan om det finns motsvarande behov att låta vår lag omfatta också denna personkategori. Ett företag som hyr eller lånar ut sina arbetstagare ansvarar som sagts i första hand själv i sin egenskap av arbetsgivare för de övervaknings- och kontrollåtgärder som det vidtar gentemot sina arbetstagare. Skyddet mot obefogat integritetsintrång för den som står till förfogande för att utföra arbete som inhyrd eller inlånad personal bör enligt vår uppfattning vara tillgodosett redan genom de regler som gäller den egna arbets- givaren. Inte heller här finner vi några starka skäl som talar för att denna personkategori borde omfattas av lagen. Som framgår senare (se avsnitt 16.1.) förslår vi en uttrycklig regel om förhandlingsskyldighet enligt lagen (1976:580) om medbe- stämmande i arbetslivet. Enligt t.ex. 11 och 13 §§ lagen om medbe- stämmande i arbetslivet har en arbetsgivare en primär förhandlings- skyldighet inför beslut om viktigare förändring av arbets- eller anställningsförhållandena för arbetstagare som tillhör en arbets- tagarorganisation. Vi anser inte att den förhandlingsskyldighet som vi föreslår bör omfatta någon annan personkrets än som gäller enligt medbestämmandelagen, dvs. Vid tillämpning av den föreslagna paragrafen om förhandlingsskyldighet anser vi därför att begreppet arbetstagare inte bör utvidgas till att avse ovan angivna personkategorier. Eftersom det inte föreligger något anställningsförhållande mellan en arbetssökande eller praktiksökande och den hos vilken arbetet eller praktiken söks och inte heller mellan en inhyrd eller inlånad arbetstagare och den hos vilken arbetet utförs, bör det i lagen anges att med arbetsgivare likställs den hos vilken arbetet eller praktiken söks eller utförs. 9.3Lagens regler bör i huvudsak vara tvingande Vårt förslag: Ett avtal som inskränker en arbetstagares skydd enligt den föreslagna lagen ska vara utan verkan i den delen. Två av den föreslagna lagens bestämmelser föreslås bli semidispositiva, nämligen bestämmelsen om förhandlingsskyldighet och bestäm- melsen om för vilka berättigade ändamål en medicinsk undersök- ning får begäras. De regler vi föreslår till skydd för den personliga integriteten anser vi i huvudsak bör vara tvingande. Rätten till privatliv, vari inbegrips rätten till respekt för den personliga integriteten, skyddas i olika internationella konventioner som förpliktat sig att följa, däribland . Genom dessa konventionsåtaganden får det anses ankomma på staten att garantera ett tillfredsställande skydd för den personliga integriteten. Redan detta talar starkt för att den reglering vi föreslår bör vara tvingande i den meningen att ett avtal inte med giltig verkan skall kunna träffas om avvikelser från lagen till en arbetstagares nackdel. I personuppgiftslagen (1998:204) – som har till syfte att garantera skyddet för den personliga integriteten vid behandling av personuppgifter och som kommer att vara tillämplig på en stor del av de övervaknings- och kontrollåtgärder som aktualiseras i arbetslivet – har reglerna denna karaktär. I lagen har lagts fast en nivå för skyddet vid behandling av personuppgifter. Dessa regler är tvingande och kan alltså inte frångås genom enskilda avtal eller kollektivavtal. En överensstämmelse mellan vår lag och personupp- giftslagen i detta hänseende har den fördelen att frågan om huru- vida en kontroll- eller övervakningsåtgärd regleras av den ena eller den andra lagen inte av denna anledning kommer att få någon avgörande betydelse när det gäller skyddet för den personliga integriteten. Lagens tvingande karaktär bör framgå av en särskild bestämmelse När det är fråga om att skydda en grundläggande rättighet kan det ligga ett värde i att lagens tvingande karaktär framgår uttryckligen av lagtexten. En sådan regel bidrar också till att lagen blir tydlig för dem som har att tillämpa den. Vi föreslår därför att det i vår lag införs en bestämmelse som anger att ett avtal som inskränker en arbetstagares skydd enligt lagen är utan verkan i den delen. Att en bestämmelse är tvingande hindrar inte att avtal ingås som ger arbetstagaren bättre skydd än vad som gäller enligt den föreslagna lagen. Det kan avse både enskilda avtal och kollektiv- avtal. Parter i ett kollektivavtal kan därutöver t.ex. närmare precisera hur bestämmelserna ska tillämpas avseende en viss fråga eller inom en viss bransch. Vi anser att den bestämmelse som vi föreslår om förhandlings- skyldighet, som vi redan nämnt i detta avsnitt, bör vara semidispositiv. Arbetsmarknadens parter bör på samma sätt som gäller avseende reglerna i medbestämmandelagen ha möjlighet att avtala om avvikande regler såvitt gäller primär förhandlingsskyldig- het. Det bör vara tillåtet med sådana avvikelser genom reglering i såväl centrala som lokala kollektivavtal. Som kommer att framgå i ett senare avsnitt i betänkandet anser vi att det även bör vara möjligt för arbetsmarknadens parter att, i centrala kollektivavtal, komma överens om att en arbetsgivare får kräva en medicinsk undersökning för andra berättigade ändamål än som anges i lagen. Därigenom kan en arbetstagare bli skyldig att underkasta sig en kontrollåtgärd i vidare mån än vad som annars skulle ha varit fallet. Se härom i avsnitt 12.9. 10Behandling av personuppgifter i arbetslivet Enligt utredningsdirektiven ska vi lämna förslag till reglering av kontroll av privat användning av e-post och Internet liksom kontroll genom annan datoranvändning, exempelvis loggning. Sådana kontroller som avses får anses innefatta sådan behandling av personuppgifter som regleras av personuppgiftslagen (1998:204). Vi ska enligt utredningsdirektiven också i övrigt överväga i vilken mån det behövs kompletterande lagstiftning vid sidan av person- uppgiftslagen för att säkerställa en integritetssäker hantering av de uppgifter som tillåten kontroll genererar i arbetslivet. Vi har i avsnitt 5 lämnat en relativt utförlig redogörelse för innehållet i personuppgiftslagen. Vår avsikt är att den redogörelsen ska kunna ge ökad kunskap om personuppgiftslagens tillämpning inom arbetslivet. Vi har där även redogjort för begreppet loggning. I detta avsnitt behandlar vi de överväganden och förslag vi kommit fram till med anledning av personuppgiftslagens reglering. I ett första delavsnitt erinrar vi om ett antal centrala begrepp och bestämmelser i personuppgiftslagen, vilka alltså mer utförligt har behandlats i avsnitt 5. Lagens syfte och dataskyddsdirektivet Personuppgiftslagen är den övergripande lagstiftning som tillgodo- ser regeringsformens krav på att det i lag ska vara reglerat i vilken utsträckning den enskilde är skyddad mot kränkningar av den personliga integriteten beträffande uppgifter som registreras med Behandling av personuppgifter i arbetslivet hjälp av automatisk databehandling. I lagens portalparagraf anges uttryckligen att lagen syftar till att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Lagen följer i stort sett dataskyddsdirektivets struktur och lag- texten utgör i väsentliga delar en nära avbildning av texten i direktivet. Med hänsyn till att många bestämmelser och uttryck i personuppgiftslagen anses ha en EG-gemensam innebörd är det ytterst som avgör direktivets närmare innebörd. I 3 § personuppgiftslagen finns definitioner av ett antal grund- läggande begrepp som används i lagen. Med personuppgift avses all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Varje åtgärd eller serie av åtgärder som vidtas i fråga om person- uppgifter innebär med lagens terminologi att dessa behandlas, oavsett om åtgärderna sker på automatisk väg eller inte. Begreppet behandling är inte på något sätt särskiljande i den meningen att det kan användas för att skilja ut vissa hanteringsformer som inte omfattas av lagen. I lagtexten återfinns en exemplifiering av åtgärder som innebär att personuppgifter behandlas; nämligen att samla in, registrera, organisera, lagra, bearbeta eller ändra, åter- vinna, hämta in, använda, lämna ut genom översändande, sprida eller på annat sätt tillhandahålla, sammanställa eller samköra, blockera, utplåna eller förstöra sådana uppgifter. Lagens behand- lingsbegrepp är så vitt att det framstår som närmast omöjligt att tänka sig någon form av aktivitet som innebär att man befattar sig med personuppgifter och som inte skulle omfattas av begreppet. I personuppgiftslagen definieras också olika subjekt. Först och främst benämns den person som en viss personuppgift avser som den registrerade. Som redan framgått måste det alltid vara fråga om en fysisk person som är i livet. Den som ensam eller tillsammans med andra bestämmer ända- målen med och medlen för behandlingen kallas för personuppgifts- ansvarig. Såväl fysiska som juridiska personer kan vara personupp- giftsansvariga. Så snart det förekommer en behandling av person- uppgifter finns det alltid någon eller några som är ansvariga för den behandlingen. Formuleringen i lagtexten kan leda tanken till att det först och främst är en fysisk person som är personuppgiftsansvarig. Behandling av personuppgifter i arbetslivet I själva verket vilar personuppgiftsansvaret på en juridisk person, inte minst lär så vara fallet på arbetslivets område. I sammanhanget kan framhållas att skadeståndsansvaret i princip alltid vilar på den personuppgiftsansvarige. Samtycke är ett annat centralt begrepp i personuppgiftslagen. Därmed avses varje slag av frivillig, särskild och otvetydig viljeytt- ring genom vilken den registrerade godtar behandling av person- uppgifter som rör honom eller henne. Dessutom krävs att det är fråga om ett informerat samtycke, dvs. att samtycket lämnas efter det att information om behandlingen lämnats. Det krävs inte att ett samtycke är skriftligt, men vid tvist torde den personuppgiftsan- svarige ha bevisbördan för att samtycke lämnats. Kravet på att vilje- yttringen ska vara otvetydig understryker att det inte bör finnas några tvivel om att den registrerade avsett att frivilligt samtycka till en viss åtgärd. I vissa bestämmelser i lagen anges vidare att sam- tycket ska vara uttryckligt (15 §, 16 § andra stycket och 17 §). Det kan emellertid sättas i fråga om detta krav tillför något. Ett sam- tycke måste ju alltid vara en viljeyttring från den registrerade som i någon mening måste komma till uttryck på ett sätt som en utom- stående kan iaktta. Kravet på att det måste vara fråga om en otvetydig viljeyttring anses i doktrinen även innebära att ett hypotetiskt samtycke inte kan godtas, oavsett hur välgrundad den gissning som ligger till grund för hypotesen är. Detsamma anses gälla för tyst samtycke, dvs. att den registrerade informeras om behandlingen och ges för att motsätta sig denna. Däremot torde ett konkludent handlande kunna konstituera ett samtycke, dock råder det delade meningar om kravet i vissa fall på uttryckligt samtycke utesluter att samtycke lämnas på detta sätt.1 Ett samtycke är självfallet individuellt i den meningen att det bara berättigar till behandling av personuppgifter som är hänförliga till den person som har samtyckt. Kravet på individuellt samtycke anses vidare utesluta att en organisation, t.ex. en fackförening, samtycker till behandling av uppgifter om sina medlemmar. Kravet på individuellt samtycke utesluter troligen inte att ett ombud eller en ställföreträdare samtycker på den registrerades vägnar. 1 Se m.fl. s. 89 f och jfr bl.a. , Personuppgiftslagen i praktiken, tredje upplagan 2004, s. 112. Behandling av personuppgifter i arbetslivet