sou · GXB344 · 2010-01-01 00:00:00 — tillåtet att behandla anställdas fingeravtryck för att kunna kon- trollera närvaro.25 Beträffande hur personuppgifter får bevaras i olika situationer har Datainspektionen uttalat att uppgifter som en arbetssökande lämnar till en arbetsgivare i samband med en ansökan om anställning inte bör bevaras efter det att ansökan har avslagits.26 Om den sökande framstår som intressant i samband med en annan anställning hos arbetsgivaren, får uppgifterna dock bevaras längre. I ett sådant fall bör dock arbetsgivaren, enligt inspektionen, tillfråga den sökande om uppgifterna fortsättningsvis får behandlas. När det gäller personuppgifter om arbetstagare har Datainspektionen uttalat att sådana uppgifter inte bör bevaras efter det att anställningen eller ett åtagande i anslutning till anställningen har upphört, t.ex. att utfärda tjänstgöringsintyg, betyg eller att betala ut pension. När det gäller frågan om hur länge en arbetsgivare får bevara personuppgifter i form av loggar i syfte att kunna övervaka eller kontrollera de anställdas användning av Internet och e-post har Datainspektionen uttalat att den bedömningen i första hand är beroende av vilka kontrollrutiner som arbetsgivaren har slagit fast i sina interna riktlinjer.27 Enligt inspektionen får personuppgifter bevaras för detta ändamål bara de kan ha betydelse för sådana kontroller. Om arbetsgivaren kontrollerar loggarna en gång , anser Datainspektionen att en rimlig tid att bevara loggarna är . Är det längre intervall mellan kontroll- erna, kan det finnas anledning att i motsvarande mån bevara upp- gifterna . För det fall kontroller av loggar leder till en utredning av t.ex. den anställdes Internetanvändning, får arbetsgivaren bevara uppgifterna så länge utredningen pågår. Som ett allmänt riktmärke för kontroller av loggar som inte sker i övervaknings- eller kontrollsyfte har inspektionen angett att det kan vara rimligt att loggarna gallras inom en månads tid. I fråga om personuppgifter som samlas in med digital teknik i samband med kameraövervakning har Datainspektionen som rikt- märke angett att sådana uppgifter bör gallras eller vecko- vis.28 För behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål gäller vissa särbestämmelser som inte bör ha 25Se samrådsyttrande , dnr 731–2003. 26Se Datainspektionens informationsskrift om hur länge personuppgifter får bevaras, s. 15. 27Datainspektionens rapport 2005:3 s. 19. 28Datainspektionens rapport 2005:3 s. 24. någon större betydelse för lagens tillämpning i arbetslivet (9 § andra–fjärde stycket). Allmänna regler om när behandling av personuppgifter är tillåten En behandling av personuppgifter kan enligt personuppgiftslagens allmänna regler vara tillåten på två olika grunder (10 §). Den regi- strerades samtycke ger så gott som alltid rättsligt stöd för en behandling. Dessutom kan en behandling vara tillåten, oavsett den registrerades inställning, om det är nödvändigt att behandla person- uppgifter för vissa i lagen särskilt uppräknade syften. Det är bara i fråga om direkt marknadsföring som den registrerade alltid kan hindra att personuppgifter behandlas genom att motsätta sig att så sker (11 §). Den enda typen av personuppgifter där den registrerades samtycke inte kan ge privata företag rättslig grund för en behand- ling är sådan som innefattar uppgift om brott (21 §). För att ett samtycke ska vara giltigt och kunna läggas till grund för en behandling krävs att det är fråga om en frivillig, särskild och otvetydig viljeyttring från den registrerades sida. Det förutsätter också att information om behandlingen har lämnats till den regi- strerade innan denne samtycker till behandlingen. Ett samtycke måste finnas innan behandlingen påbörjas.29 Ett samtycke ska vara individuellt i den meningen att det bara berättigar till behandling av personuppgifter som är hänförliga till den person som har samtyckt. Därmed är det uteslutet att en orga- nisation, t.ex. en fackförening, samtycker till behandling av upp- gifter om sina medlemmar. Däremot utesluter inte kravet på indi- viduellt samtycke att en fackförening i egenskap av ombud sam- tycker på den registrerades vägnar.30 En allmänt vedertagen uppfattning är att kravet på att ett sam- tycke måste vara frivilligt innebär att det inte är möjligt för en arbetsgivare att lägga en arbetstagares samtycke till 29Jfr NJA 2005 s. 361. 30SOU 1997:39 s. 341. grund för en behandling av personuppgifter. En arbetstagare står ofta i en sådan beroendeställning till arbetsgivaren att det kan sättas i fråga om ett samtycke verkligen är frivilligt.31 Enligt Data- inspektionen förutsätter ett giltigt samtycke att arbetstagaren har ett verkligt fritt val och senare kan ta tillbaka sitt samtycke utan att det medför några nackdelar för honom eller henne.32 Vad som sagts borde även kunna anses gälla för arbets- sökande, praktikanter och inhyrd personal. För en arbetssökande bör det i praktiken vara konjunkturen på arbetsmarknaden som avgör huruvida ett samtycke kan anses frivilligt eller inte. För inhyrd personal kan det uppstå en intressekonflikt mellan det egna integritetsintresset och uttryckliga eller underförstådda krav från den egna arbetsgivaren om att vara kunden till lags. Det finns de som hävdar att utrymmet för en arbetssökande att lämna ett frivilligt samtycke är större än för en arbetstagare.33 Det skäl som brukar anges för denna ståndpunkt är att det är just genom själva anställningsavtalet som den egentliga beroendeställ- ningen uppkommer. Visserligen uppstår genom anställningsavtalet ett subordinationsförhållande mellan arbetsgivare och arbetstagare. Men ger arbetsrätten arbetstagare ett institutionaliserat system som har till syfte att hantera och väga upp just detta för- hållande. En arbetssökande saknar i princip ett sådant skyddsnät. Sannolikt förhåller det sig i stället precis tvärtom. En arbetssökande är nog beredd att samtycka till att personuppgifter behandlas för att inte förstöra sina chanser att få den sökta anställningen. Konse- kvenserna av att inte samtycka kan för en arbetssökande också upplevas som betydligt mera direkta och definitiva. Den som inte på begäran samtycker är oftast inte längre aktuell för anställning. Det finns nog få situationer i livet där vi är så angelägna om att vara till lags och visa upp våra bästa sidor, som när vi söker anställning. För en arbetsgivare är det inte bara den omständigheten att giltigheten av ett lämnat samtycke kan komma att sättas i fråga som gör att det är vanskligt att lägga ett samtycke till grund för en behandling av personuppgifter om arbetstagare. En behandling grundad enbart på den registrerades samtycke ger också denne ett slags vetorätt. Samtycket kan när som helst komma att återkallas. 31Se t.ex. kommissionens dokument Second stage consultation of social partners on the protection of workers personal data, s. 11 med där gjorda hänvisningar till dokument från artikel 29-gruppen. Datainspektionens rapport 2005:3 s. 7, 22 och 24 samt beslut dnr 763– 2005. 33Jfr Datainspektionens rapport 2005:3 s. 22. Återkallas samtycket, får inga ytterligare uppgifter samlas in eller behandlas på annat sätt, om inte behandlingen kan anses tillåten på någon av de i lagen angivna grunderna där en behandling får ske oavsett samtycke (jfr 12 §). Redan insamlade uppgifter får trots återkallelsen behandlas i enlighet med det ursprungligen lämnade samtycket. I praktiken kan dock de grundläggande kraven på person- uppgifternas kvalitet innebära att de måste utplånas eller avidenti- fieras sedan de blivit inaktuella eller ofullständiga. Den arbetsgivare som förlitar sig på arbetstagarnas samtycke exponerar sig för en risk för att investeringar i tekniska system och utarbetade administrativa rutiner går om intet för det fall sam- tycket återkallas. Det kan ju i praktiken vara tillräckligt att bara en arbetstagare inte samtycker eller återkallar sitt samtycke. Det fram- står därför som lämpligt att behandlingar av arbetstagares person- uppgifter, så långt möjligt, sker med stöd av de bestämmelser i personuppgiftslagen där en behandling är tillåten oavsett arbets- tagarnas inställning. Det framstår till och med som olämpligt att i sådana fall fråga efter arbetstagarnas samtycke. Däremot är det självfallet lämpligt att arbetsgivaren diskuterar behandlingen med de berörda arbetstagarna och arbetstagarorganisationerna i syfte att uppnå en samsyn kring hur behandlingen ska genomföras för att vara tillåten. Ett gemensamt rekvisit för de i lagen angivna situationerna där en behandling av personuppgifter är tillåten, alldeles oavsett den regi- strerades inställning, är att behandlingen ska vara nödvändig för vissa särskilt angivna syften. Vad det rekvisitet innebär är inte alltid helt klart. Om ändamålet med behandlingen inte kan uppnås på något annat sätt, är behandlingen självfallet nödvändig. De flesta arbets- uppgifter kan emellertid i princip utföras manuellt utan sådan behandling som omfattas av personuppgiftslagen. Det bör därför vara tillräckligt att det innebär en påtaglig förenkling för den person- uppgiftsansvarige att personuppgifter behandlas på ett sätt som omfattas av lagen för att behandlingen ska anses vara nödvändig. Kan en arbetsuppgift däremot utföras nästan lika enkelt och billigt, t.ex. genom att använda anonyma uppgifter, kan emellertid en behandling inte anses nödvändig.34 Enligt personuppgiftslagen är det tillåtet att behandla person- uppgifter, om det är nödvändigt för att fullgöra ett avtal med den registrerade. Det framstår inte som särskilt sannolikt att ett avtal med en registrerad kan berättiga till att behandla uppgifter om andra än avtalsparten. Datainspektionen har ansett att ett avtal med en juridisk person, t.ex. ett avtal mellan ett bemanningsföretag och en arbetsgivare, inte innebär att arbetsgivaren, med stöd av denna bestämmelse, får behandla uppgifter om anställda i bemannings- företaget.35 Nödvändiga behandlingar av arbetstagares personuppgifter enligt denna bestämmelse kan vara hänförliga till t.ex. personaladmi- nistrativa system (system för löneberäkning och registrering av sjukfrånvaro), in- och utpasseringssystem, flextidssystem, system för behörighetskontroller och företagshälsovården. Uppgifter om betyg, omdömen eller andra typer av värderande upplysningar, t.ex. från utvecklingssamtal med den anställde, får registreras med stöd av denna bestämmelse, om det behövs för anställningsförhållandet. Samma sak gäller uppgifter om prestationer i de fall det är nödvändigt för att uppfylla skyldigheter enligt ett ackordslöneavtal eller något annat avtalat prestationsbaserat löne- system. En behandling är också tillåten när det är nödvändigt för att på den registrerades begäran vidta åtgärder innan ett avtal träffas. I denna situation krävs det inte att avsikten är att den registrerade ska bli part i avtalet. Att en arbetssökande lämnar uppgifter om referenspersoner, bör i allmänhet kunna uppfattas som en sådan begäran som berättigar den tilltänkte arbetsgivaren att hämta in och behandla personuppgifter om sökanden från de angivna personerna. 34Sören o.a., Personuppgiftslagen, En kommentar, tredje upplagan, 2007, s. 183. 35Datainspektionens informationsskrift om personuppgifter i arbetslivet. Personuppgifter får dessutom behandlas om det är nödvändigt för att den personuppgiftsansvarige ska kunna fullgöra en rättslig skyldig- het. Det krävs inte att det finns en rättslig skyldighet att genomföra själva behandlingen, utan det är tillräckligt att behandlingen är nödvändig för att kunna fullgöra en sådan skyldighet. Arbetsgivare är enligt ett flertal lagar och förordningar skyldiga att lämna ut uppgifter om anställda till bl.a. statliga och kommunala myndigheter. En sådan skyldighet ger också arbetsgivaren rätt att med stöd av denna bestämmelse samla in och registrera nödvändiga personuppgifter beträffande arbetstagarna, t.ex. sådana som krävs för att redovisa skatter och avgifter. Ett annat praktiskt exempel från arbetslivets område är att det kan vara nödvändigt att upprätta listor över arbetstagarna på grund av de turordningsbestämmelser som enligt lag gäller vid uppsägning. Det kan också vara nödvändigt för arbetsgivare att behandla person- uppgifter för att kunna fullgöra de rättsliga skyldigheter som följer av arbetsmiljölagstiftningen. Personuppgifter får behandlas, om det är nödvändigt för att skydda vitala intressen för den registrerade. Det är oklart vad uttrycket vitala intressen syftar på. Enligt motsvarande bestämmelse i data- skyddsdirektivet ska det vara fråga om intressen som är av grund- läggande betydelse för den registrerade (artikel 7 d). talas det i direktivets ingress om sådana intressen som är av avgörande betydelse för den registrerades liv (skäl 31). Det kan därför sättas i fråga om direktivets bestämmelse bara tar sikte på sådant som gäller liv eller död eller om den även avser annat som är av mera grundläggande betydelse. Uttrycket vitala intressen i personuppgifts- lagen valdes därför att det ansågs kunna täcka in båda tolkningarna av direktivet. En rimlig tolkning av vad som kan utgöra vitala intressen förefaller vara att det inte bara kan vara fråga om sådant som gäller liv eller död. krävs det förmodligen att det är fråga om att skydda intressen som kan anses vara av yttersta vikt för den registrerade. Med stöd av denna bestämmelse kan det vara tillåtet att en arbets- givare behandlar arbetstagares personuppgifter, om det är nöd- vändigt för att skydda dessas liv eller hälsa. Utföra arbetsuppgift av allmänt intresse Personuppgiftslagen medger också att personuppgifter behandlas, om det är nödvändigt för att utföra en arbetsuppgift av allmänt intresse. Bedömningen av vad som ska anses vara av allmänt intresse ska göras mot bakgrund av verksamhetens syfte. Arbetsuppgiften kan utföras av såväl en myndighet som ett enskilt subjekt. Ett exempel på en arbetsuppgift av allmänt intresse som nämns i lagens förarbeten är arbetsmarknadsorganisationernas framställning av lönestatistik.36 Utföra arbetsuppgift i samband med myndighetsutövning Enligt personuppgiftslagen får personuppgifter behandlas, om det är nödvändigt för att kunna utföra en arbetsuppgift i samband med myndighetsutövning. Begreppet myndighetsutövning har nog en EG-gemensam innebörd. Man bör kunna utgå från att vad som enligt svensk rätt normalt ryms under detta begrepp ska gälla även vid tillämpningen av personuppgiftslagen.37 Myndighetsutövningen ska utövas av antingen den personuppgiftsansvarige själv eller av en tredje man till vilken uppgifterna lämnas ut. Bestämmelsen är tillämplig även om myndighetsutövningen har anförtrotts ett enskilt subjekt. Genom denna bestämmelse bör en stor del av behandlingen av personuppgifter i den offentliga sektorn vara tillåten såvitt avser den egentliga verksamheten. Det är mer tveksamt om bestämmelsen är tillämplig beträffande intern myndighetsadministration, t.ex. personal- frågor. Det har gjorts gällande att en rimlig utgångspunkt skulle kunna vara att om uppgiften används i den faktiska verksamheten, t.ex. tjänstgörings- och arbetsfördelningslistor, är bestämmelsen tillämplig. Å andra sidan skulle bestämmelsen inte vara tillämplig om uppgifterna bara är av direkt betydelse för förhållandet mellan den anställde och arbetsgivaren.38 Arbetsgivarbeslut som en myndighet 36Se t.ex. SOU 1997:39 s. 305. 37SOU 1997:39 s. 362. 38SOU 2001:32 s. 95. fattar kan i vissa fall vara att betrakta som myndighetsutövning gentemot de anställda.39 Personuppgiftslagen innehåller en generell bestämmelse enligt vilken det är tillåtet att behandla personuppgifter efter en intresse- avvägning. Om det inte finns samtycke och en behandling inte heller kan anses nödvändig för de olika syften som anges i lagen, kan det ändå vara tillåtet att behandla personuppgifter. Har den personuppgifts- ansvarige ett berättigat intresse av att personuppgifter behandlas och väger detta intresse tyngre än den registrerades intresse av skydd för den personliga integriteten, är det nämligen tillåtet att behandla uppgifterna. I de fall personuppgiftslagen är tillämplig på en övervaknings- eller kontrollåtgärd i arbetslivet, krävs det i allmänhet en intresse- avvägning för att pröva om åtgärden är tillåten. I princip blir det således fråga om att tillämpa en liknande norm som vid prövningen av integritetskänsliga åtgärder används av Arbetsdomstolen och . Är åtgärden sakligt motiverad och väger intresset av att den genomförs tyngre än arbetstagarens intresse av skydd för den personliga integriteten, får den genomföras. Ofta sägs att vad som är att anse som god sed på arbetsmarknaden bör vara väg- ledande.40 En intresseavvägning måste alltid avgöras efter en helhets- bedömning av samtliga omständigheter i det enskilda fallet. Enligt Datainspektionen kan man vid en sådan helhetsbedömning bl.a. ta hänsyn till följande omständigheter:41 vilket slag av verksamhet som bedrivs, eventuella överenskommelser som kan finnas i kollektivavtal, branschpraxis (som i det här sammanhanget motsvaras av god sed på arbetsmarknaden), eventuella regler och riktlinjer som arbetsgivaren har utfärdat, t.ex. för privat användning av arbetsgivarens IT-verktyg, 39Se t.ex. , Betydelsen av begreppet myndighetsutövning inom arbets- rätten, JT 1991–92 s. 601 ff. Datainspektionens informationsskrift om personuppgifter i arbetslivet. 41Datainspektionen informerar, Intresseavvägning enligt personuppgiftslagen, s. 14 ff. för vilket ändamål behandlingen ska utföras, hur personuppgifterna behandlas och hur resultatet används, om det finns fungerande rutiner för gallring och säkerhet, och vilken information arbetstagarna har fått om behandlingen. Till följd av ett långtgående uttalande av hävdas ibland att bestämmelsen om intresseavvägning innebär ett slags vetorätt för den registrerade. Om en registrerad meddelar att han eller hon inte vill att behandlingen fortsätter, får den regi- strerades intresse av att slippa fortsatt behandling, enligt kommittén, i allmänhet anses väga över.42 Uttalandet är kritiserat och i kommen- taren rekommenderas ett mer nyanserat förhållningssätt.43 När det gäller frågor om övervakning och kontroll i arbetslivet synes ut- talandet ge uttryck för ett alltför förenklat synsätt för att kunna tillmätas någon egentlig betydelse. I fråga om intresseavvägningen beträffande övervaknings- och kontrollåtgärder kan det finnas anledning att skilja på när sådana åtgärder vidtas av säkerhetsskäl, ordningsskäl respektive effektivitets- skäl.44 I allmänhet bör säkerhetsskäl väga tyngre än t.ex. företags- ekonomiska effektivitetsskäl. Åtgärder som betingas av ordnings- skäl kan ofta väga lättare än sådana som utförs av säkerhetsskäl, men tyngre än de som vidtas av effektivitetsskäl. Ofta påverkas dock bedömningen av att samma behandling utförs för flera olika ändamål. Som redan framgått finns det inget utrymme för schablon- mässiga bedömningar, utan en samlad och nyanserad bedömning av samtliga omständigheter i varje enskilt fall måste alltid göras.45 Artikel 29-gruppen har sammanfattat de olika bedömningar som måste göras innan tekniska övervaknings- och kontrollåtgärder kan genomföras på arbetsplatser i följande frågor. Har de anställda insyn i övervakningsverksamheten? Är den nödvändig eller skulle samma resultat kunna uppnås med andra metoder? Är den planerade personuppgiftsbehandlingen korrekt mot de anställda? 42SOU 1997:39 s. 362, jfr även Datainspektionens informationsskrift om intresseavvägning. 43Sören o.a., Personuppgiftslagen, En kommentar, tredje upplagan, 2007, s. 195 f. 44Jfr t.ex. , Arbetsgivarens kontroll – arbetstagarens integritet – , s. 96 ff. 45Jfr Datainspektionens rapport 2005:3 s. 22. Står åtgärden i proportion till de problem som arbetsgivaren vill lösa? Det står fullt klart att vissa mer raffinerade och uppenbart integritets- kränkande former av övervakning och kontroll som kan genomföras med hjälp av modern informationsteknik inte kan anses tillåtna efter en intresseavvägning. Det är nog inte tillåtet att en arbetsgivare installerar s.k. spionprogram på arbetstagarnas datorer i syfte att hålla sig fullständigt informerad om allt som dessa företar sig vid tangentbordet.46 Datainspektionen har pekat ut vissa ändamål för vilka det normalt är tillåtet att behandla personuppgifter, under förutsätt- ning att detta sker i enlighet med god sed på arbetsmarknaden. Enligt inspektionen är det normalt tillåtet att behandla person- uppgifter för: att kontrollera och övervaka anställda om det krävs av säkerhets- skäl, att kontrollera och övervaka anställdas användning av Internet och e-postsystem av tekniska eller säkerhetsmässiga skäl, och att avsiktligt ta del av arbetstagares privata e-post eller annan privat elektronisk kommunikation vid allvarlig misstanke om illojalt eller brottsligt beteende. Däremot är det, enligt Datainspektionen, normalt inte tillåtet: att använda logguppgifter för andra ändamål eller syften än de som ursprungligen bestämts, att läsa arbetstagares privata e-post eller annan privat elektronisk kommunikation, eller att samköra register med olika ändamål. Det bör vidare normalt vara tillåtet att behandla personuppgifter i den utsträckning som krävs för att använda sedvanliga program för systemunderhåll och säkerhetsskydd. När sådana program används får arbetsgivaren nog anses ha rätt att avsiktligt ta del av även uppgifter kring arbetstagares privata e-post eller liknande, om det är nödvändigt för att utreda eller åtgärda fel i systemen, t.ex. vid ett virusangrepp. 46 Jfr JO 2006/07 s. 108 angående installation av motsvarande programvara på fånges dator. () har utarbetat olika standarder för bl.a. IT-säkerhet. finns det en svensk standard för IT-säkerhet (SS 62 77 99). Syftet med den standarden är att företag och organisationer ska få kontroll över hanteringen av information i datasystemen samt skydd mot oönskade händelser och hot, såväl interna som externa. Loggning av system och kontroll av anställda ingår som en del av det säkerhetsarbete som standarden förutsätter. Även om sådana standarder inte har direkt rättslig betydelse, kan de få betydelse inom ramen för en intresseavvägning. Den tekniska utvecklingen har också inneburit att det genom kontroller av loggar finns möjlighet att övervaka eller kontrollera arbetstagare och andra personer på arbetsplatsen med hjälp av olika lokaliseringsuppgifter. Med lokaliseringsuppgifter menar vi uppgift om att en viss person befunnit sig vid en viss plats eller företagit en viss aktivitet . Om man sammanställer sådana uppgifter från olika tekniska system, kan det vara möjligt att med större eller mindre noggrannhet kartlägga t.ex. en arbetstagares före- havanden. Lokaliseringsuppgifter kan loggas i en mängd olika system, t.ex. när ett kreditkort eller en mobiltelefon används, vid in- och utlogg- ning ur datasystem, andra former av behörighetskontroller, t.ex. vid in- och utpassering, eller när s.k. GPS-system används. I och med att den tekniska utvecklingen går i den riktningen att de tekniska systemen i allt större utsträckning länkas ihop till sammanhållna system, ökar också tillgängligheten till de lokaliseringsuppgifter som finns i olika loggar. Det blir därmed också lättare att sammanställa och bearbeta sådant material. Även frågan om personuppgiftslagen tillåter loggning av lokaliseringsuppgifter och kontroller av sådana loggar, kan för arbetslivets vidkommande i allmänhet behöva avgöras efter en intresseavvägning. Beträffande sådana bedömningar kan inledningsvis anmärkas att det bör vara tillåtet att ersätta system för t.ex. behörighets- kontroller med elektroniska system, om materialet inte loggas. Att t.ex. ersätta ett system med vanliga nycklar med ett elektroniskt system bör vara tillåtet, om det inte sparas uppgifter om vem som utnyttjade systemet och när detta skedde.