sou · GXB344 · 2010-01-01 00:00:00 — Skyldighet att rätta personuppgifter Den personuppgiftsansvarige är enligt personuppgiftslagen skyldig att på begäran av den registrerade rätta, blockera eller ut- plåna uppgifter som har behandlats på ett otillåtet sätt (28 §). Den bestämmelsen hänger ihop med bestämmelsen i 9 § som innebär att den personuppgiftsansvarige självmant ska vidta alla rimliga åtgärder för att de uppgifter som behandlas är riktiga och aktuella samt adekvata och relevanta i förhållande till ändamålet med behand- lingen. Den personuppgiftsansvarige ska i sådant fall som huvud- regel också underrätta tredje man till vilken uppgifterna har lämnas ut, om den registrerade begär det eller i de fall en sådan under- rättelse skulle kunna undvika mera betydande skada eller olägenhet för den registrerade. I personuppgiftslagen finns det regler om bl.a. informations- skyldighet vid s.k. automatiserade beslut (29 §). Med automati- serade beslut avses sådana beslut som grundar sig enbart på auto- matiserad behandling av sådana personuppgifter som är avsedda att bedöma egenskaper hos den registrerade. Därutöver krävs att beslutet antingen har rättsliga följder eller annars har märkbara verkningar för den registrerade. Det kan här vara fråga om att på automatisk väg bedöma t.ex. arbetsprestationer, pålitlighet och uppträdande. För sådana beslut finns det en särskild regel om informations- skyldighet som innebär att den registrerade har rätt att på begäran få information om vad som styrt den automatiserade behandling som har lett fram till beslutet. Den som berörs av ett automatiserat beslut har också rätt att på begäran få beslutet granskat av en person som har befogenhet att ersätta det automatiserade beslutet med ett annat, dvs. en rätt till omprövning. Säkerheten vid behandling av personuppgifter Personuppgiftslagen innehåller särskilda regler om säkerhet och sekretess (30–32 §§). Enligt dessa bestämmelser gäller i huvudsak följande. Den som arbetar med personuppgifter får bara behandla sådana uppgifter i enlighet med instruktioner från den personuppgifts- ansvarige. Det ska finnas ett skriftligt avtal mellan ett personuppgifts- biträde och den personuppgiftsansvarige som reglerar biträdets behandling av personuppgifter. Om det i lag eller annan författning finns särskilda bestämmelser avseende behandlingen i det allmännas verksamhet, ska i stället dessa regler gälla (30 §). Därutöver finns det en allmän bestämmelse om vilka säkerhets- åtgärder som den personuppgiftsansvarige ska vidta för att skydda de personuppgifter som behandlas (31 §). Enligt denna bestämmelse ska den personuppgiftsansvarige vidta de tekniska och organisa- toriska åtgärder som krävs för att åstadkomma en lämplig säkerhets- nivå. Bedömningen ska göras med beaktande av de tekniska möjlig- heter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med den aktuella behandlingen och hur pass känsliga de behandlade uppgifterna är. I de fall den person- uppgiftsansvarige anlitar ett personuppgiftsbiträde, åligger det denne att förvissa sig om att biträdet kan genomföra de säkerhetsåtgärder som krävs och att åtgärderna verkligen vidtas. Det är alltid den personuppgiftsansvarige som bär ansvaret gentemot den registrerade för att lämpliga säkerhetsåtgärder vidtas. Datainspektionen kan i enskilda fall besluta om vilka säkerhets- åtgärder den personuppgiftsansvarige ska vidta. Sådana beslut får förenas med vite (32 och 45 §§). Datainspektionen har utfärdat dels ett allmänt råd om säkerhet för personuppgifter, dels ett särskilt faktablad om säkerheten.66 Som en sammanfattning anges i de allmänna råden att den personuppgifts- ansvarige bör tänka på: att kartlägga hotbilden, att sätta mätbara mål för säkerheten, att fastställa en policy för säkerheten, att skapa en fungerande organisation för säkerheten, att skaffa den utrustning som behövs och använda den rätt, att upprätta regler och rutiner, att informera och utbilda kontinuerligt, att följa upp att regler och rutiner följs och respekteras, och att testa säkerheten regelbundet. 66 Säkerhet för personuppgifter, 1999, och Informationssäkerhet, . Även om säkerhetsnivån ska anpassas till en nivå som är lämplig i det enskilda fallet, står det klart att lagens krav på säkerhet innebär att den personuppgiftsansvarige alltid måste ha god kontroll över hur personuppgifter hanteras och noggrant överväga vilka åtgärder som måste vidtas för att skydda dessa. Överföring av personuppgifter till tredje land Det är enligt personuppgiftslagen som huvudregel förbjudet att föra över personuppgifter till tredje land som inte har en adekvat skyddsnivå (33 §). Med tredje land avses enligt lagen en stat som inte ingår i EU eller är ansluten till EES (3 §). Undantag från huvudregeln får göras antingen om den regi- strerade har lämnat sitt samtycke eller om överföringen är nöd- vändig för att uppnå vissa i lagen uppräknade syften (33 och 34 §§). För att en överföring till tredje land utan adekvat skyddsnivå ska kunna ske utan samtycke krävs att det är nödvändigt för att ett avtal mellan den registrerade och den personuppgiftsansvarige ska kunna fullgöras eller för att åtgärder som den registrerade begärt ska kunna vidtas innan ett avtal träffas. Detsamma gäller om det är nödvändigt för att ett avtal mellan den personuppgiftsansvarige och tredje man ska kunna ingås eller fullgöras, om avtalet är i den registrerades intresse. Det är också tillåtet att föra över uppgifter till tredje land utan adekvat skyddsnivå, om det är nödvändigt för att fastställa, göra gällande eller försvara rättsliga anspråk eller för att skydda vitala intressen för den registrerade. Regeringen eller Datainspektionen kan meddela ytterligare undantag. De nu angivna kraven gäller utöver de grundläggande kvalitets- kraven och såväl de allmänna som de särskilda bestämmelserna avseende bl.a. känsliga personuppgifter som reglerar när en behand- ling är tillåten. Till följd av åtaganden enligt dataskyddskonvention anges i en särskild bestämmelse att det alltid är tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till konventionen (34 § andra stycket). I princip är den personuppgiftsansvarige skyldig att anmäla all behandling av personuppgifter som sker helt eller delvis på auto- matiserad väg till Datainspektionen. Regeringen eller Datainspek- tionen kan meddela föreskrifter om undantag från anmälnings- skyldigheten för sådana typer av behandlingar som sannolikt inte kommer att leda till otillbörliga intrång i den personliga integriteten (36 §). Så har också skett i stor omfattning, bl.a. för arbetslivets område.67 Samma sak gäller även för det motsatta förhållandet. Regeringen får även meddela föreskrifter om obligatorisk anmälnings- skyldighet för sådana behandlingar av personuppgifter som innebär särskilda risker för otillbörliga intrång i den personliga integriteten (41 §). Som redan nämnts kan den personuppgiftsansvarige enligt 37 § i stor utsträckning slippa anmälningsskyldigheten genom att utse ett personuppgiftsombud. I fråga om behandlingar som inte har anmälts till Data- inspektionen finns det vidare i 42 § en särskild bestämmelse om informationsskyldighet. Enligt den bestämmelsen är den person- uppgiftsansvarige skyldig att lämna upplysningar om icke anmälda behandlingar till var och en som begär det. 5.1.10Tillsyn, sanktioner och rättegång Som redan framgått är det Datainspektionen som har att utöva tillsyn enligt personuppgiftslagen. I praktiken anser sig Data- inspektionen ha ett sådant ansvar beträffande de olika registerförfattningarna som kompletterar och förtydligar person- uppgiftslagen. Inspektionen har rätt att för sin tillsyn på begäran att få tillgång till de personuppgifter som behandlas, upplysningar om och dokumentation av behandlingen och säkerheten vid denna samt tillträde till sådana lokaler som har anknytning till behandlingen (43 §). Får Datainspektionen inte på begäran tillgång till de uppgifter som behövs för att kunna konstatera att behandlingen är laglig, kan 67 Se o.a., Personuppgiftslagen, En kommentar, tredje upplagan, 2007, s. 403 ff. Det har varit en medveten strategi att så långt dataskyddsdirektivet medger meddela föreskrifter om undantag för att minska de negativa effekterna av den hanteringsmodell som direktivet bygger på (se prop. 1997/98:44 s. 98). inspektionen vid vite förbjuda den personuppgiftsansvarige att behandla personuppgifter på något annat sätt än att lagra dem (44 §). Den som inte tillmötesgår en begäran från Datainspektionen riskerar således att bli förbjuden att i fortsättningen behandla personuppgifter på annat sätt än att lagra dem. Vad som sagts gäller även om inspektionen kan konstatera att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt. För ett sådant förbud krävs det dock också antingen att det inte går att få den personuppgiftsansvarige att vidta rättelse på annat sätt eller att saken är brådskande (45 §). Datainspektionen kan också ansöka hos länsrätten om att sådana personuppgifter som har behandlats på ett olagligt sätt ska utplånas. Länsrätten får inte meddela ett beslut om utplånande om det är oskäligt (47 §). Datainspektionens beslut i enskilda fall får i allmänhet över- klagas till allmän förvaltningsdomstol (51 §). Den som har lidit skada till följd av en otillåten behandling har rätt till ersättning för den skada och kränkning som han eller hon därigenom lidit. Den personuppgiftsansvarige kan dock, genom att visa att felet inte berodde på honom eller henne, helt eller delvis befrias från sin ersättningsskyldighet (48 §). Vissa olagliga förfaranden är dessutom straffsanktionerade, nämligen olaglig behandling av känsliga personuppgifter och upp- gifter om brott m.m., olaglig överföring till tredje land och underlåtenhet att göra anmälan till Datainspektionen. Detsamma gäller för den som lämnar osann uppgift i sådan information till den registrerade som lagen kräver eller i anmälan till Datainspek- tionen (49 §). Straffskalan för normalbrottet är böter eller fängelse . Om brottet är grovt, döms till fängelse i högst . I subjektivt hänseende krävs det uppsåt eller grov oaktsamhet. I ringa fall ska inte dömas till ansvar. I enlighet med allmänna prin- ciper (principen om ne bis in idem, dvs. förbudet mot dubbel bestraffning) anges det uttryckligen att straff inte kan komma i fråga för gärningar som omfattas av ett vitesföreläggande En kon- sekvens av personuppgiftslagens sanktionssystem är att det är möjligt att föra process om lagens tillämpning i de allmänna förvaltningsdomstolarna och i de allmänna domstolarna på såväl civilrättslig som straffrättslig väg samt i Arbetsdomstolen. I våra direktiv anges att vårt lagförslag ska reglera kontroll av Internetbruk och övrig loggning. Frågan är vad loggning är och vad begreppet står för. Vi har i det föregående avsnittet lämnat en relativt utförlig redogörelse för personuppgiftslagen. Som vi anger där kan något förenklat uttryckt sägas att personuppgiftslagen blir tillämplig så snart personuppgifter registreras i en dator eller annat digitalt minne. Det innebär att loggning och kontroll av loggar, med den innebörd vi i detta avsnitt redovisar, är en form av behandling av personuppgifter för vilken personuppgiftslagen alltid är tillämplig. Loggning är ett centralt och grundläggande begrepp i samband med teknisk övervakning och kontroll. Ordet loggning och dess avled- ningar används dock i olika sammanhang och med olika betydelser. Det är inte heller alltid fullt klart vad som egentligen avses. Någon närmare ledning för förståelsen av orden logg, logga eller loggning i samband med datoranvändning ges inte i . Enligt Nationalencyklopedin68 är en logg i datorsammanhang ett rutinmässigt uppsamlande av data och händelser. Vidare uttalas att en logg är viktig om fel uppstår och genomförda transaktioner ska återskapas. Enligt samma källa betyder verbet logga att upprätta eller avbryta samband med en dataanläggning (logga in respektive logga ur eller ut). Substantivformen av verbet logga anges bl.a. vara loggning, som i det sammanhanget torde syfta på själva förfarandet där sambandet med en data-anläggning upprättas eller avbryts (in- respektive utloggning). I en ordbok på Internet som förklarar olika IT-begrepp anges att en logg är en kontinuerlig förteckning över de händelser som inträffar medan ett program eller ett programsystem körs eller installeras.69 68Nationalencyklopedins Internettjänst, . Regeringen har i en skrivelse till om målen för IT- användningen i vård och omsorg (Skr. 2005/06:139 s 41) förklarat innebörden av begreppet loggning som att det avser en registrering av vem som har tagit del av eller förändrat elektroniskt lagrad information. Över huvud taget förefaller begreppet loggning i svenska förarbeten i allmänhet syfta på att olika händelser i datoriserade system automatiskt förtecknas eller registreras när de inträffar för att sedan sparas för framtida bruk, t.ex. för felsökning i systemen eller för att återskapa transaktioner och material. När begreppet loggning diskuterades av förefaller det dock ha haft en delvis annan innebörd. Med loggning avsåg utredningen all insamling av sådana elektroniska spår som innehåller information om aktiviteter som har vidtagits av en fysisk person vid användning av en datoriserad tillämpning70. Denna inne- börd av begreppet loggning återkommer sedan i våra direktiv där det uttalas att genom insamling av elektroniska spår kan ett flertal aktiviteter som arbetstagaren vidtar registreras. Enligt direktiven går detta bruk under benämningen loggning. Det står således klart att begreppet loggning används i olika samman- hang och med skilda betydelser. I det ena fallet avses själva uppkomsten av elektroniska spår, dvs. att händelser i datoriserade system förtecknas eller registreras när de inträffar för att sparas för framtiden. Att logga in eller logga ut ur systemen hör nära samman med denna betydelse med hänsyn till att man därmed torde syfta på de olika verifikationsprocesser, vanligtvis bestående av att ange ett visst användarnamn och lösen- ord, som måste till för att det ska vara möjligt att knyta enskilda händelser i systemen till en viss individ, kategori av användare eller dataterminal. Med denna innebörd är det således i princip fråga om att på automatisk väg och med stor noggrannhet föra en elektronisk loggbok över hur systemen används. Eftersom det ofta är fråga om stora system med många olika användare och aktiviteter, kan själv- fallet det samlade informationsinnehållet i loggarna bli mycket stort. Av betydelse i sammanhanget är att materialet i loggarna i princip ligger dolt fram till dess den som förfogar över systemet bestämmer sig för att genom ytterligare automatiska eller 70 SOU 2002:18 s. 134. åtgärder göra det synligt. En logg består i allmänhet av en tecken- sträng, och det närmare informationsinnehållet i teckensträngen är inte lättillgängligt för en lekman. Materialet i loggarna måste därför sammanställas och bearbetas av den som förfogar över systemet för att den sökta informationen ska framträda tydligt. Dessa processer kan ske helt eller delvis på automatisk väg med speciella verktyg (program) eller på väg. Beroende av systemens komplexitet och hur pass detaljerad information man vill få fram kan dessa åtgärder naturligtvis vara mer eller mindre resurskrävande. Den andra betydelsen av begreppet loggning, som synes före- komma på arbetslivets område, syftar i stället på det nämnda synliggörandet. Det är, som redan nämnts, här fråga om olika för- faranden varigenom de elektroniska och i princip osynliga spår som finns lagrade i loggarna ställs samman och bearbetas i syfte att göra de individer, terminaler eller aktiviteter som har skapat spåren synliga. Även om loggning i den först nämnda betydelsen är en nöd- vändig förutsättning för att de åtgärder som ryms i begreppets andra betydelse ska kunna äga rum, är det i princip fråga om två olika aktiviteter. Det gäller inte minst när man anlägger integritets- aspekter på fenomenet loggning. I båda fallen är det dock fråga om en behandling av personuppgifter för vilken personuppgiftslagen är tillämplig. De olika loggningsbegreppen skulle således mot den ovan beskrivna bakgrunden kunna förstås på följande sätt. Med logga/loggning avses enbart det automatiska förfarande var- igenom händelser och aktiviteter i datoriserade system förtecknas eller registreras i syfte att spara informationen för eventuellt fram- tida bruk. Det förfarande varigenom samband med en dataanläggning upp- rättas eller avbryts skulle kunna benämnas in- respektive utloggning. För en i datasystemet förtecknad eller sparad uppgift om en viss händelse eller aktivitet kan då användas beteckningen logg. När det gäller de olika förfaranden och processer varigenom materialet i en eller flera olika loggar undersöks i syfte att göra de bakomliggande individerna, terminalerna eller andra tekniska applika- tioner eller aktiviteter synliga, kan uttrycket kontroller av loggar användas. Som ett samlingsnamn för alla de åtgärder som en arbetsgivare kan vidta för att övervaka eller kontrollera arbetstagare med hjälp av tekniska system som arbetsgivaren själv förfogar kan man använda benämningen teknisk övervakning och kontroll. Kontroll av loggar kan alltså avse olika system som helt eller delvis bygger på digitalteknik, som datorstödd kommunikation, t.ex. e-post och telefonväxlar Genom kontroll av loggarna kan information inhämtas som är hän- förliga till en fysisk person och som därmed utgör personuppgifter. Vad som är en personuppgift enligt personuppgiftslagen redovisas i avsnitt 5.1.2. De centrala aktiviteterna i de tekniska systemen och från arbets- givarens sida i samband med teknisk övervakning och kontroll i arbetslivet måste så gott som alltid vara loggning och kontroller av loggar. Det gäller oavsett vilken typ av åtgärd det är fråga om. Utan information om vem, när och vad som hände torde inte en teknisk övervaknings- eller kontrollåtgärd tjäna något syfte. Det är loggen som är startpunkten utifrån vilken det är möjligt att leta sig fram till vad som hände i systemet, när det hände och vem det var som vidtog åtgärden. Det är därmed också loggen som är den centrala länken i den eventuella bevisning som en arbetsgivare kan vilja säkra för att t.ex. kunna göra gällande att en arbetstagare har använt arbetsplatsens e-postsystem eller Internetanslutning på ett otillåtet sätt, eller på annat sätt missbrukat det förtroende eller de lojalitets- plikter som följer av anställningsavtalet. Det är den omständigheten att aktiviteter loggas, eller kanske rättare sagt av hänsyn till systemsäkerhet och systemunderhåll måste loggas, som gör att de tekniska systemen får en så stor potential när det gäller övervakning och kontroll. Utan loggning skulle ju möjligheterna till att använda de tekniska systemen i övervaknings- eller kontrollsyfte starkt begränsas av att all övervakning skulle behöva ske i realtid. Ett sådant förfarande innebär också att arbets- givaren skulle vara tvungen att binda stora resurser för att övervaka eller kontrollera arbetstagare, en prioritering som sannolikt sällan skulle vara motiverad från ett företagsekonomiskt perspektiv. Med loggningen fås övervaknings- och kontrollfunktionerna så att säga på köpet och kan i princip när som helst aktiveras på förekommen anledning eller för rutinmässiga kontroller. Även de särskilda program som är konstruerade för att göra avancerade former av övervakning och kontroll i datormiljö möjliga, t.ex. s.k. spyware-program, bygger i princip på att aktiviteter loggas. 6Medicinska undersökningar – gällande regler och praxis Information om arbetstagares och arbetssökandes hälsa och drog- användning kan vara av intresse för en arbetsgivare både under själva anställningsförfarandet och under ett bestående anställ- ningsförhållande. Arbetsgivarens intresse av att få del av medicinsk information kan emellertid komma i konflikt med en arbetssökan- des eller en arbetstagares intresse av skydd för sin personliga integritet. Den reglering som finns om arbetsgivares möjlighet att kräva medicinska kontroller och om arbetstagares och arbetssökandes skydd mot att utsättas för sådana kontroller är svåröverskådlig. Frågorna är endast delvis reglerade och bestämmelserna återfinns i olika lagar och förordningar. I detta avsnitt redovisar vi den rättsliga reglering som aktualiseras när arbetsgivare önskar få information om en arbets- sökandes eller en arbetstagares hälsa. I avsnittet redovisas också några avgöranden av intresse från Arbetsdomstolen. Avslutningsvis lämnas en redogörelse för regleringen av medicinska undersök- ningar i arbetslivet i , och . En kortare sammanfattning av rättsläget finns i avsnitt 12 där vi behandlar våra överväganden och förslag om medicinska undersök- ningar. Medicinska undersökningar – gällande regler och praxis Några bindande eller rekommendationer som direkt tar sikte på de frågor vi behandlar i detta avsnitt har inte antagits. Däremot har inom antagits dels vägledande principer för drog- och alkoholtester på arbetsplatser (1993), dels riktlinjer för hur alkohol- och drogrelaterade problem bör hanteras på arbetsplatsen (1996). Dessutom har riktlinjer antagits till skydd för arbetstagares personuppgifter. I de vägledande principerna för drog- och alkoholtester på arbets- platser som utarbetades av förespråkas bl.a. följande. Arbetsgivaren ska tillsammans med arbetstagarna och deras representanter utvärdera arbetsplatsens behov av åtgärder mot narkotika och alkohol samt med utvärderingen som underlag besluta om vilka åtgärder som är lämpliga. Om tester ska ingå som ett led i företagets strategi, bör de utgöra en del av företagets program för att öka säkerheten på arbetsplatsen och för att för- bättra arbetsmiljön och produktiviteten. Alla detaljer kring eventuella tester och testprocedurer bör regleras i s.k. drogpolicys, t.ex. syftet med drogtest, vad resultatet ska användas till, test- och analysmetoder och frågor om sekretess. Tester för annat än droger, t.ex. för aids och andra sjukdomar eller graviditetstester, bör inte genomföras. Angående testprocedurens säkerhet rekommenderas att denna procedur ska följa de krav som () ställer på amerikanska laboratorier. Test- resultat från en screening av urin bör alltid konfirmeras med en annan metod. Positivt resultat ska alltid utvärderas av oberoende medicinsk expertis för att utesluta alternativa orsaker till resultatet. Även de etiska aspekterna berörs. Dessa innebär framför allt att företagen måste väga behovet av tester mot det faktum att sådana tester kränker den enskilde arbetstagarens personliga integritet. De juridiska aspekterna kan sammanfattas med att tester och test- procedurer måste stämma överens med internationella överens- kommelser och nationell lag. I riktlinjerna för hur alkohol- och drogrelaterade problem bör hanteras på arbetsplatsen anges bl.a. följande. Drogpolitiken och drogprogrammen bör gälla hela personalen och behandla alla lika. En central utgångspunkt är att alkohol- och narkotikaproblem utgör hälsoproblem precis som andra hälsoproblem på arbets- Medicinska undersökningar – gällande regler och praxis platsen och bör skötas utan någon som helst diskriminering. Arbetsgivarna och arbetstagarna samt deras företrädare bör till- sammans bedöma konsekvenserna av drogbruk på arbetsplatsen, utveckla ett skriftligt drogprogram och i möjlig mån identifiera arbetssituationer som medför risk för att någon börjar missbruka droger samt vidta behövliga förebyggande eller korrigerande åtgärder. Arbetsgivarna ska erbjuda en trygg och sund arbetsplats och upprätthålla den enligt tillämpliga lagar och bestämmelser. De ska vidta de åtgärder som behövs för att förebygga olyckor och trygga de anställdas hälsa.