sou · GXB344 · 2010-01-01 00:00:00 — En arbetsgivare har således relativt omfattande möjligheter att kontrollera loggar för att kontrollera och övervaka arbetstagare, vilket kan medföra en förhållandevis detaljerad kartläggning av enskilda arbetstagare. Kontroll av loggar innebär emellertid en behandling av personuppgifter enligt personuppgiftslagen och begränsas således av bestämmelserna i lagen. Den situationen att en arbetsgivare öppnar en fil och tar del av en arbetstagares privata e-post anses också utgöra en personuppgiftsbehandling enligt person- uppgiftslagen. För att ovan angivna kontroller ska vara tillåtna krävs att de redovisade reglerna i personuppgiftslagen är uppfyllda. Möjlig- heterna till kontroll begränsas därutöver genom att arbetsgivarens arbetsledningsrätt och den däri ingående kontrollrätten inte får strida mot lag, god sed eller annars vara otillbörlig. Vår bedömning är att personuppgiftslagen, med de förändringar som vi föreslår, i förening med de gränser som arbetsledningsrätten får anse ha ger ett gott skydd för arbetstagarnas personliga integritet. Därutöver bör tilläggas att när det gäller offentliga arbetsgivares möjlighet att kontrollera privat e-post begränsas den även av reglerna i regerings- formen och yttrandefrihetsgrundlagen.3 Vi vill än en gång poängtera att en arbetsgivares rätt att kontrollera loggar förutsätter enligt personuppgiftslagen bl.a. ett i förväg angivet särskilt och berättigat ändamål, att endast relevanta uppgifter behandlas samt att information om kontrollåtgärderna har lämnats till arbetstagarna. Den öppenhet som informations- skyldigheten medför innebär att arbetstagarna ska kunna granska om den kontroll av loggar som genomförs är tillåten, berättigad och i övrigt utformad på ett lämpligt sätt. Här har arbetstagarorga- nisationerna också en viktig uppgift att fylla. Vår slutsats är alltså att det föreligger ett tillfredsställande skydd och att ytterligare lagstiftningsåtgärder, utöver de förändringar som närmare redovisas nedan, inte nu behöver vidtas såvitt avser kontroll av loggar eller kontroll av privat användning av e-post. 3 Se vidare SOU 2002:18, avsnitt 5.4. Behandling av personuppgifter i arbetslivet 10.3.3Missbruksregeln ska inte gälla Vårt förslag: Om ändamålet med arbetsgivarens behandling av arbetstagares personuppgifter är att övervaka eller kontrollera, ska missbruksregeln i 5 a § personuppgiftslagen inte gälla utan samtliga bestämmelser i personuppgiftslagen ska tillämpas. Missbruksregeln i 5 a § personuppgiftslagen infördes i syfte att åstadkomma ett förenklat regelsystem för sådana behandlingar av personuppgifter som typiskt sett inte är särskilt integritetskänsliga. Förenklingen består i att flertalet av personuppgiftslagens s.k. hanteringsregler inte behöver tillämpas. I stället gäller en enkel regel som innebär att behandlingen är tillåten så länge den inte innebär en kränkning av den registrerades personliga integritet. Av förarbetena kan man läsa ut att lagstiftaren inte avsett att bestämmelsen ska tillämpas på sådana behandlingar som utgörs av kontroller av loggar.4 Trots tydliga uttalanden i förarbetena kan det, enligt vår mening, inte uteslutas att kontroller av loggar i enstaka fall kan komma att genomföras på sådant sätt att miss- bruksregeln blir tillämplig. Därtill kommer att Datainspektionen har ansett att missbruksregeln är tillämplig på sådan kameraöver- vakning som innebär att personuppgifter behandlas, dvs. kamera- övervakning med digital teknik där enskilda personer kan identifieras. Motsvarande bedömning kan nog göras i fråga om telefonavlyssning med digital teknik. ansåg som nämnts att detta var problematiskt från integritetssyn- punkt.5 En utredning ser vidare över lagen (1998:150) om allmän kameraövervakning med uppdrag att bl.a. överväga om det är lämpligt att kameraövervakning är föremål för den förenklade reglering som missbruksregeln innebär.6 Enligt vår uppfattning bör inte i något fall missbruksregeln vara tillämplig i samband med arbetsgivares behandlingar av arbets- tagares personuppgifter, om ändamålet med behandlingen är att övervaka eller kontrollera. Sådana behandlingar är så gott som alltid känsliga från integritetssynpunkt och de förenklingsskäl som ligger bakom missbruksregeln gör sig över huvud taget inte gällande. Lagens hanteringsregler bör alltid gälla fullt ut och för alla typer av behandlingar så snart ändamålet med en behandling av arbets- 4SOU 2004:6 s. 133 och prop. 2005/06:173 s. 23. 5SOU 2007:22, Del 1, s. 314 f. Behandling av personuppgifter i arbetslivet tagares personuppgifter är övervakning eller kontroll. Med en sådan ordning förenklas också regelsystemet på så sätt att varken arbets- tagare eller arbetsgivare över huvud taget behöver fundera på om missbruksregeln är tillämplig eller inte. Är ändamålet med behandlingen av arbetstagares personuppgifter övervakning eller kontroll, gäller alltid hanteringsreglerna fullt ut. En konsekvens av att hanteringsreglerna är tillämpliga är att det, enligt Datainspek- tionen, inte är tillräckligt att ange att ändamålet med behandlingen är övervakning och kontroll utan att också syftet med kontrollen måste anges. Vi föreslår således att det i den av oss föreslagna lagen förs in en bestämmelse som innebär att, om ändamålet med en arbetsgivares behandling av arbetstagares personuppgifter är att övervaka eller kontrollera ska 5 a § personuppgiftslagen inte gälla. Med en sådan ordning kommer kameraövervakning och telefon- avlyssning som sker med digital teknik att vara att bedöma enligt personuppgiftslagens hanteringsregler. Några bärande skäl för eller konkreta behov av att för arbetslivets del ytterligare reglera dessa övervakningsåtgärder kan vi inte se. Dessutom ser som nämnts en annan utredning över lagen om allmän kameraöver- vakning. Eftersom missbruksregeln inte motsvaras av någon regel i dataskyddsdirektivet är vårt förslag förenligt med direktivet. 10.3.4Samtycke ska inte gälla Vårt förslag: Om ändamålet med arbetsgivarens behandling av arbetstagares personuppgifter är att övervaka eller kontrollera, ska behandlingen inte vara tillåten enligt personuppgiftslagen enbart med stöd av arbetstagarens samtycke. Enligt vår uppfattning finns det starka skäl som talar för att införa en uttrycklig bestämmelse om att en arbetsgivares behandling av t.ex. en arbetstagares eller en arbetssökandes personuppgifter inte ska vara tillåten enbart med stöd av arbetstagarens eller arbets- sökandens samtycke i de fall ändamålet med behandlingen är över- vakning eller kontroll. Både en arbetstagare och en arbetssökande kan anses stå i sådan beroendeställning till arbetsgivaren att det kan sättas i fråga om ett samtycke verkligen är frivilligt på det sätt som Behandling av personuppgifter i arbetslivet krävs i personuppgiftslagen. Det kan inte heller uteslutas att sam- tycke i vissa fall krävs in och lämnas slentrianmässigt och utan att några egentliga reflektioner görs. För den som tycker att person- uppgiftslagen är svår att förstå och tillämpa kan ett samtycke fram- stå som en enkel lösning i stället för att t.ex. göra en intresseavväg- ning enligt personuppgiftslagen där vikten av ens eget intresse av behandlingen måste vägas av mot motstående intressen. I fråga om behandling av arbetstagares personuppgifter för att övervaka eller kontrollera, är det troligt att det i de allra flesta fall är fråga om en sådan situation där t.ex. en arbetstagare eller en arbets- sökande inte kan lämna ett verkligt fritt samtycke som kan återtas utan nackdel. I vart fall gäller det i fråga om behandling av just arbetstagares personuppgifter. När en arbetstagare kan lämna ett verkligt fritt samtycke, t.ex. vid övervakning som innebär att biometriska uppgifter såsom fingeravtryck kontrolleras för identifiering vid inloggning när arbetstagaren även erbjuds en alternativ möjlighet till inloggning7, bör situationen vara sådan att behandlingen är tillåten utan samtycke efter en intresseavvägning. Det enda konkreta exempel som vi kunnat komma på i fråga om övervakning och kontroll där en arbetstagare bör kunna lämna ett frivilligt samtycke till en behandling som inte annars hade varit tillåten, är när en arbetsgivare som förutsättning för att arbets- tagaren ska i viss utsträckning få använda arbetsgivarens IT- utrustning privat kräver att arbetstagaren samtycker till att arbets- givaren får ta del av det som är privat för att t.ex. kontrollera om det förekommit något som kan ge grund för arbetsrättsliga åtgärder.8 Enligt vår mening blir regleringen tydligare om det uttryckligen framgår att en arbetstagares samtycke inte ensamt kan utgöra grund enligt personuppgiftslagen för en behandling av personupp- gifter för att övervaka eller kontrollera. Därmed garanteras att arbetsgivaren vid övervaknings- och kontrollåtgärder alltid på förhand beaktar vilka sakliga skäl som finns för åtgärden och inte bara förlitar sig på ett samtycke som i flera fall kanske inte är giltigt. Vi anser alltså att det i den av oss föreslagna lagen bör tas in en bestämmelse med innebörd att, om ändamålet med en arbetsgivares behandling av arbetstagares personuppgifter är att övervaka eller 7Jfr Datainspektionens rapport 2005:3 s. 22. 8Jfr , Privat e-post på arbetet, Liber Amicorum , 2005, s. 703. Behandling av personuppgifter i arbetslivet kontrollera ska en behandling inte vara tillåten enligt personupp- giftslagen enbart med stöd av den berörda arbetstagarens samtycke. Behandling av arbetstagares personuppgifter för att övervaka eller kontrollera bör således vara tillåten bara om behandlingen har någon annan rättslig grund enligt personuppgiftslagen. När det gäller arbetstagares personuppgifter i allmänhet, kommer i praktiken det avgörande oftast att vara om den tilltänkta behand- lingen är tillåten efter en intresseavvägning enligt personuppgifts- lagen. Vid en sådan intresseavvägning enligt personuppgiftslagen kan de berörda personernas inställning till behandlingen ingå som ett moment. Den föreslagna bestämmelsen innebär formellt sett en inskränkning i den rätt som dataskyddsdirektivet ger personupp- giftsansvariga att behandla personuppgifter i allmänhet med stöd av den registrerades samtycke. Som framgått har vi svårt att se att bestämmelsen i sig kommer att särskilt ofta hindra en personupp- giftsbehandling. Man kanske kan tänka sig någon situation avseende kontroll av arbetssökande, förutom den situation avseende arbets- tagares samtycke till kontroller av privat material som tidigare nämnts. I de undantagssituationer där bestämmelsen medför att en behandling för övervakning eller kontroll inte får genomföras, bör detta inte ha någon som helst påverkan på det fria flödet av person- uppgifter. Vi anser därför att bestämmelsen är en sådan precisering som är tillåten enligt dataskyddsdirektivet. 10.3.5Förstärkt skydd mot ändamålsglidning Vårt förslag: En arbetsgivares behandling av arbetstagares person- uppgifter för att övervaka eller kontrollera en arbetstagare ska vara tillåten enligt personuppgiftslagen bara om det i samband med att personuppgifterna samlades in angetts att ändamålet med behandlingen är just att övervaka eller kontrollera arbets- tagare i något visst avseende. En arbetsgivare ska dock få behandla personuppgifter för att övervaka eller kontrollera även om de samlats in för annat ändamål, om det finns synnerliga skäl och om arbetsgivaren så snart det kan ske informerar berörda arbets- tagare om det nya ändamålet med behandlingen. Behandling av personuppgifter i arbetslivet Personuppgiftslagen innehåller genom finalitetsprincipen ett skydd mot s.k. ändamålsglidning, dvs. skydd mot att personuppgifter behandlas för något annat ändamål än det som bestämdes när personuppgifterna samlades in. Huvudregeln i personuppgiftslagen är också att den registrerade ska informeras om behandlingens ändamål i samband med att uppgifterna samlas in från den registre- rade själv. Vid övervakning och kontroll, t.ex. vid kontroll av loggar eller kameraövervakning, anses i allmänhet personuppgifterna insamlade från den registrerade själv (och inte hämtade från någon annan källa). Utrymmet för att behandla redan registrerade personuppgifter för att övervaka eller kontrollera arbetstagare framstår som litet, om detta ändamål inte angavs redan när uppgifterna samlades in. Personuppgifter får nämligen enligt personuppgiftslagen inte behandlas för något ändamål som är oförenligt med det som bestämdes när uppgifterna samlades in. Ett senare påkommet över- vaknings- eller kontrolländamål avseende arbetstagare är för det mesta att anse som oförenligt med de ändamål som kan ha angetts vid insamlingen av uppgifterna, t.ex. löneadministration eller kontroll av arbetsprocesser eller säkerheten. Skyddet mot ändamålsglidning vid övervakning och kontroll av arbetstagare är enligt vår mening så viktigt att det bör framgå uttryckligen av lagtexten. Skyddet bör vidare förtydligas genom att det såsom huvudregel tydligt framgår att sådan ändamålsglidning inte är tillåten. Eftersom man inte kan vara helt säker på att alla ursprungligen bestämda ändamål, som avser annat än övervakning eller kontroll av en arbetstagare, är oförenliga med en efterkom- mande behandling för att övervaka eller kontrollera en arbetstagare, kan det inte uteslutas att förslaget i någon mindre utsträckning innebär också en skärpning av vad som gäller enligt den generellt formulerade finalitetsprincipen i personuppgiftslagen. Vi anser att en sådan skärpning i så fall är befogad i sak. Genom vårt förslag blir det i vart fall enklare att se vad som ska gälla. Huvudregeln bör alltså vara att en arbetsgivares behandling av arbetstagares personuppgifter för att övervaka eller kontrollera en arbetstagare är tillåten enligt personuppgiftslagen bara om det i samband med att personuppgifterna samlades in angetts att ända- målet med behandlingen är att just övervaka eller kontrollera arbetstagare i något visst avseende. För att undvika stötande resultat – att en konkret misstanke om allvarliga missförhållanden i arbetsgivarens verksamhet inte kan Behandling av personuppgifter i arbetslivet undersökas närmare med hjälp av redan registrerade person- uppgifter – bör dock huvudregeln förses med ett snävt undantag. Om det finns synnerliga skäl, bör därför redan registrerade person- uppgifter få behandlas för att övervaka eller kontrollera en arbets- tagare under förutsättning att arbetsgivaren så snart det kan ske informerar berörda arbetstagare om det nya övervaknings- eller kontrolländamålet. Samhället ålägger på olika sätt arbetsgivaren ett ansvar för det som sker i dennes verksamhet, och då bör också samhället se till att arbetsgivaren har tillgång till de verktyg som behövs för att – i eget och samhällets intresse – ta sitt ansvar. Dataskyddsdirektivet medger också att sådana undantag från finalitetsprincipen som utgör en nödvändig åtgärd med hänsyn till bl.a. undersökning och avslöjande av brott eller skydd av fri- och rättigheter (artikel 13). De situationer vi tänker på är just de där det finns en konkret misstanke om allvarliga missförhållanden i arbetsgivarens verksam- het. Att det ska finnas en konkret misstanke innebär att det ska finnas någon omständighet som tydligt talar för att en viss arbets- tagare gjort sig skyldig till något visst förfarande. Med allvarliga miss- förhållanden avser vi fall där brott eller andra illojala förfaranden, som kan föranleda avskedande av en arbetstagare, förekommer i arbetsgivarens verksamhet. Det kan t.ex. handla om snatteri mot arbetsgivaren, upphovsrättsbrott vid fildelning, barnpornografibrott, hets mot folkgrupp eller förberedande av med arbetsgivaren kon- kurrerande verksamhet eller baktalande av arbetsgivaren inför kunder eller arbetssökande. Arbetsgivaren måste som sagt informera berörda arbetstagare om det nya övervaknings- eller kontrolländamålet så snart det kan ske. Informationen kan lämnas muntligt eller skriftligt. Att infor- mationen ska lämnas så snart det kan ske innebär att arbetsgivaren först kan säkra de redan insamlade personuppgifterna, t.ex. arbets- tagarens e-post, innan informationen behöver lämnas. Undantagsregeln avser bara behandling av redan insamlade person- uppgifter. Det är ju enbart i den situationen där finalitetsprincipen och skyddet mot ändamålsglidning har någon betydelse. Vill arbets- givaren, när det är tillåtet, börja behandla personuppgifter för att övervaka en arbetstagare som misstänks hålla på med något som utgör ett allvarligt missförhållande i arbetsgivarens verksamhet, får arbetsgivaren påbörja en behandling för detta ändamål. De föreslagna bestämmelserna utgör i allt väsentligt en precisering av vad som får antas gälla enligt dataskyddsdirektivet Behandling av personuppgifter i arbetslivet och det är svårt att se att bestämmelserna på något sätt skulle kunna begränsa det fria flödet av personuppgifter. Vi bedömer därför att bestämmelserna är förenliga med dataskyddsdirektivet. Vårt förslag: Bestämmelserna i personuppgiftslagen om rättelse och skadestånd ska gälla vid brott mot de bestämmelser om behandling av personuppgifter som vi föreslår. Enligt 28 § personuppgiftslagen gäller att den personuppgiftsan- svarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har be- handlats i enlighet med den lagen eller föreskrifter som har utfär- dats med stöd av lagen. Den personuppgiftsansvarige ska också underrätta tredje man till vilken uppgifterna har lämnats ut om åtgärden, om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. Någon sådan underrättelse behöver dock inte lämnas om det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Bestämmelserna i 28 § personuppgiftslagen om rättelse m.m. är således bara tillämpliga när uppgifterna behandlats i strid med den lagen eller föreskrifter som utfärdats med stöd av personuppgifts- lagen. Har personuppgifter behandlats på något sätt som bara står i strid med bestämmelser i en registerförfattning, gäller alltså for- mellt inte bestämmelserna i 28 § personuppgiftslagen om rättelse m.m. Arbetstagare och de personer som ingår i den föreslagna lagens personkrets bör emellertid vid behandling av personupp- gifter i strid med de bestämmelser om behandling av personuppgifter som tas in i den av oss föreslagna lagen ha samma möjligheter till rättelse m.m. som enligt 28 § personuppgiftslagen. Det är därför nödvändigt att i den av oss föreslagna lagen ta in en särskild bestämmelse om detta som hänvisar till bestämmelserna om rättelse m.m. i personuppgiftslagen. Enligt 48 § personuppgiftslagen ska den personuppgiftsansvarige ersätta en registrerad för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med personuppgiftslagen har orsakat. Ersättningsskyldigheten kan i den Behandling av personuppgifter i arbetslivet utsträckning det är skäligt jämkas, om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. Bestämmelserna i 48 § personuppgiftslagen om skadestånd gäller således bara ersättningsskyldighet vid behandling av personupp- gifter i strid med bestämmelserna i den lagen. De är alltså inte tillämpliga vid behandling av personuppgifter i strid med andra författningar. Det är enligt vår mening emellertid lämpligt att dessa bestämmelser, och inte de bestämmelser om sanktioner som vi föreslår i avsnitt 16, gäller vid behandling av personuppgifter som utförs i strid med de bestämmelser om behandling av personupp- gifter som tas in i den av oss föreslagna lagen. Vi föreslår därför att det i den av oss föreslagna lagen också ta in en särskild bestäm- melse om detta som hänvisar till bestämmelserna om skadestånd i personuppgiftslagen. Vårt förslag: Datainspektionen ska på gemensam begäran av en arbetsgivarorganisation eller en enskild arbetsgivarens och en arbetstagarorganisation avge yttrande över ett utkast till kollektiv- avtal i de delar utkastet rör arbetsgivares behandling av person- uppgifter. Yttrandet ska avse kollektivavtalets förenlighet med personuppgiftslagen och andra författningar som reglerar den behandling av personuppgifter det är fråga om. Bestämmelserna i personuppgiftslagen kan förefalla svårtillämpade, bl.a. eftersom de innehåller en rad avvägningsnormer (t.ex. en intresseavvägning) och normer som förutsätter individualiserade bedömningar (t.ex. om en viss behandling är oförenlig med ett visst ändamål). För oss står det emellertid klart att det enda sätt som det kan uppkomma en anpassad och tydlig reglering som kan tala om när en viss övervaknings- eller kontrollåtgärd är tillåten är att parterna på arbetsmarknaden träffar kollektivavtal härom. Arbetslivet är ett alldeles för mångfacetterat samhällsområde för att en lagreglering ska kunna bestå av något annat än generella och allmänt hållna regler. Dessa regler kommer alltid, oavsett hur de är utformade, att behöva konkretiseras och anpassas till förhållandena Behandling av personuppgifter i arbetslivet i den enskilda branschen eller till och med på den enskilda arbets- platsen. En reglering i kollektivavtal av frågor om behandling av person- uppgifter i arbetslivet skulle alltså kunna precisera bestämmelserna och underlätta tillämpningen. Sådana kollektivavtal är inte vanliga om de alls förekommer, men vi anser att kollektivavtal på området är något som bör främjas. Det ligger normalt sett inom arbetsgivarens arbets- eller före- tagsledningsrätt att ensam besluta om övervaknings- och kontroll- åtgärder som innefattar behandling av personuppgifter, givetvis inom de ramar som lag, företrädesvis personuppgiftslagen, och, kanske, god sed på arbetsmarknaden ställer upp. Tekniska över- vaknings- och kontrollåtgärder kan kräva stora investeringar. Dessutom har säkerligen arbetsgivare ett allmänt intresse av att verksamheten kan bedrivas på sådant sätt att tvister med arbetstagare undviks. Över huvud taget borde samförstånd och samsyn mellan arbetsgivare och arbetstagare i allmänhet vara en förutsättning för att verksamheten ska utvecklas i en positiv riktning. Det medel som på den svenska arbetsmarknaden används för att uppnå och vidmakthålla samförstånd och samsyn mellan arbetsmarknadens parter är att dels förhandla om saken, dels ingå just kollektivavtal. I avsnitt 16 föreslår vi en skyldighet för arbetsgivare som avser att besluta om en övervaknings- eller kontrollåtgärd som är ägnad att på ett påtagligt sätt påverka en eller flera arbetstagares personliga integritet att först förhandla med berörd arbetstagaror- ganisation. När det gäller träffande av kollektivavtal om övervaknings- och kontrollåtgärder gäller samma inskränkningar som i fråga om arbetsgivarens arbets- eller företagsledningsrätt, nämligen att kollektivavtalet inte får stå i strid med lag eller god sed på arbets- marknaden. Personuppgiftslagen är inte semidispositiv och kan därmed inte frångås genom kollektivavtal. Bland annat därför kan gränserna för det avtalsbara området vara svåra att överblicka för avtalsparterna. Behandling av personuppgifter i arbetslivet Det personuppgiftsombud som en arbetsgivare kan ha utsett kan få råd och hjälp av Datainspektionen om tillämpningen av för- fattningsbestämmelserna om behandling av personuppgifter.9 Är arbetsgivaren med i någon branschorganisation kan denna vidare utforma en s.k. branschöverenskommelse med mer preciserade bestämmelser om behandlingen av personuppgifter och få den granskad av Datainspektionen. Enligt 15 § personuppgifts- förordningen (1998:1191) ska nämligen Datainspektionen på begäran av en organisation som företräder en väsentlig del av de personuppgiftsansvariga inom en viss bransch eller inom ett visst område avge ett yttrande över förslag till överenskommelser vad avser behandling av personuppgifter inom branschen eller området.