sou · GXB344 · 2010-01-01 00:00:00 — Även om det fanns remissinstanser som tillstyrkte utredningen, var flertalet remissinstanser mer eller mindre kritiska till förslaget. Många remissinstanser var, från olika utgångspunkter, kritiska mot den grundläggande lagtekniska konstruktionen, dvs. att lagen tog sin utgångspunkt i personuppgiftslagen, och att lagförslaget där- igenom blev onödigt komplicerat och svårtillämpat. Flera remiss- instanser framhöll att ett grundläggande krav på en lagreglering på detta område måste vara att bestämmelserna är tydliga och enkla att tillämpa för såväl arbetsgivare som arbetstagare. I de avsnitt där vi behandlar olika företeelser som omfattas av vårt uppdrag redovisas även andra synpunkter som framfördes under remissbehandlingen. I övrigt hänvisas till de ingivna remiss- yttrandena.4 4 Dnr N 2002/2919. 3Internationella konventioner och EU I detta avsnitt beskrivs inledningsvis översiktligt svenska konven- tionsåtaganden och annat internationellt samarbete som är av betydelse för vårt uppdrag. I den mån detaljer ur konventioner eller andra internationella dokument är av relevans för någon särskild företeelse, kontrollåtgärd eller liknande, kommer det att närmare belysas i de avsnitt där vi mer ingående behandlar dessa. Därefter behandlas de regler som följer av vårt medlemskap i , främst det s.k. dataskyddsdirektivet. 3.1Konventioner och annat internationellt arbete allmänna förklaring om de mänskliga rättigheterna m.m. I FN:s allmänna förklaring om de mänskliga rättigheterna erkänns skyddet för den personliga integriteten som en mänsklig rättighet. I förklaringen anges i artikel 12 att ingen får utsättas för godtyckliga ingripanden i fråga om privatliv, familj, hem eller korrespondens. I stort sett upprepas vad som redovisats ovan i artikel 17 i den konvention om medborgerliga och politiska rättigheter som FN antog . Det kan noteras att FN:s allmänna förklaring inte är rättsligt bindande för medlemsstaterna. Däremot är konventionen rättsligt bindande som traktat. Internationella konventioner och EU Av intresse för vårt uppdrag är även de riktlinjer som FN:s general- församling antog om datoriserade register med person- uppgifter. Riktlinjerna får uppfattas som anvisningar till den natio- nella lagstiftaren och anger ett antal principer som anses utgöra miniminivåer för ett godtagbart dataskydd.1 Dessa principer går i korthet ut på att personuppgifter inte får hämtas in eller behandlas på ett olagligt eller ohederligt sätt, att personuppgifter som behandlas i datoriserade register ska vara aktuella och relevanta, att ändamålet med registret ska vara specificerat, legitimt och publikt, i vart fall för de som berörs, och att de registrerade uppgifterna inte får behandlas utan samtycke eller lämnas ut för något ändamål som är oförenligt med det som gäller för registret, att var och en ska ha rätt till information om huruvida uppgifter som rör honom eller henne förekommer i registret, och, om så är fallet, även kunna ta del av dessa, samt att vissa känsliga uppgifter inte får registreras, t.ex. uppgifter om ras eller etnisk härkomst, sexualliv, politisk eller religiös uppfatt- ning och medlemskap i föreningar, varav fackligt medlemskap nämns särskilt. Om det är nödvändigt med hänsyn till vissa särskilt uppräknade intressen, bl.a. militär säkerhet och allmän ordning, hälsa eller moral, tillåter riktlinjerna avsteg från de redovisade principerna. Förutsättningarna för sådana undantag ska vara reglerade i lag eller på annat lämpligt sätt som är förenligt med den nationella juridiska kulturen. I en sådan reglering ska det vidare finnas särskilda skyddsmekanismer för den enskilde. Därutöver syftar riktlinjerna till att ge vägledning i frågor om bl.a. säkerhet, tillsyn och sanktioner. 1 Riktlinjerna återges sin helhet i SOU 2004:6 s. 44 f. Internationella konventioner och EU () bildades och är ett av . är en treparts- sammansatt organisation, bestående av representanter för arbets- tagare, arbetsgivare och regeringar. intar en central roll när det gäller konventioner och rekommendationer på arbetslivets område. Det har dock inte inom ramen för arbete antagits några bin- dande konventioner eller rekommendationer som mer i detalj behandlar de frågor vi har att överväga. Däremot har det inom antagits två riktlinjer som behandlar drog- och alkoholtester på arbetsplatser. Dessa instrument behandlas närmare i avsnitt 6. antog en expertgrupp inom riktlinjer angående skydd för arbetstagares personuppgifter.2 Riktlinjerna omfattar såväl som automatiserad behandling av personuppgifter, och är avsedda att tillämpas på arbetstagare i såväl privat som offentlig sektor. Med begreppet arbetstagare avses även tidigare arbetstagare och arbetssökande. Det övergripande syftet med rikt- linjerna är att begränsa behandlingen av personuppgifter i allmänhet och behandlingen av känsliga uppgifter i synnerhet. Riktlinjerna innehåller rekommendationer i detta avseende som är förhållandevis detaljerade. Skyddet för den enskilde arbetstagaren ges en fram- skjuten ställning, bl.a. på så sätt att huvudregeln är att person- uppgifter i första hand ska hämtas in från arbetstagaren själv. Om uppgifter hämtas in från annan än arbetstagaren ska denne informeras och i förväg uttryckligen samtycka till förfarandet. Även om skyddet för den enskilde arbetstagarens personliga integritet tillåts väga förhållandevis tungt, stämmer riktlinjerna i det stora hela förhållandevis väl överens med andra internationella regler och principer om dataskydd, t.ex. de ovan redovisade rikt- linjer som FN antagit. Slutligen har en expertgrupp inom antagit vissa tekniska och etiska riktlinjer för övervakningen av arbetstagares hälsa.3 Samtliga nu behandlade riktlinjer och vägledande principer är inte på något sätt rättsligt bindande. De syftar till att ge vägledning i såväl övergripande regleringsfrågor, oavsett regleringen sker i lag eller kollektivavtal, som mer praktiska frågor som berör den enskilda arbetsplatsen. 2Protection of workers´personal data: An code of practice, 1996. 3Technical and ethical guidelines for workers´ health surveillance (OSH No. 72), 1997. Internationella konventioner och EU Europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna () som är inkorporerad i svensk rätt som vanlig lag, ger även den ett skydd för den person- liga integriteten. I konventionen föreskrivs nämligen i artikel 8 att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Den rättigheten får inte inskränkas av offentlig myndighet annat än med stöd av lag och om det i en demokratisk stat är nödvändigt med hänsyn till vissa särskilt angivna intressen, t.ex. statens eller den allmänna säkerheten, landets ekonomi eller till förebyggande av oordning eller brott. Primärt innebär bestämmelsen att staten ska avhålla sig från ingrepp i den skyddade rättigheten. Den innebär emellertid också i vissa fall en skyldighet för staten att vidta positiva åtgärder för att skydda den enskilde. Sådana åtgärder kan utgöras av lagstiftning, eller andra åtgärder som har till ändamål att på annat sätt tillför- säkra medborgarna skydd mot övergrepp i särskilda situationer.4 har bl.a. prövat ett mål om drogtestning i sär- skilt riskfylld verksamhet – Wretlundmålet – där frågan om skyldigheten för en arbetstagare att underkasta sig drogtest tidigare hade avgjorts av Arbetsdomstolen (se vidare avsnitt 6.3). I det fallet, liksom andra fall inför domstolen som rör den personliga integriteten, tog prövningen i första hand sikte på om intrånget hade skett med stöd av lag, som med termino- logi även kan innefatta regler som följer av rättspraxis eller kollektivavtal. Om så är fallet, gör domstolen en proportionalitets- bedömning, dvs. tar ställning till huruvida intrånget varit nödvän- digt för att i ett demokratiskt samhälle uppnå det som åtgärden syftat till. I sin rättspraxis har framhållit att kravet på att ingreppet ska vara nödvändigt inte är synonymt med oundgängligt. Vad som krävs är att det finns ett angeläget samhäl- leligt behov och att inskränkningen står i rimlig proportion till detta behov. Vid bedömningen av proportionaliteten anses vidare den nationella beslutsfattaren ha en viss diskretionär prövningsrätt (of appreciation). Det innebär att domstolen vanligen godtar den nationella beslutsfattarens bedömning, om det förefaller finnas 4 , Mänskliga rättigheter i europeisk praxis, 3 upplagan, s. 302 f. Internationella konventioner och EU rimliga skäl för den. Omfattningen av den diskretionära prövnings- rätten kan dock variera beroende av frågans natur och de berörda intressenas vikt.5 Det är bara stater som kan vara svarande i mål inför Europa- domstolen. innebär emellertid också att nationella domstolar i allmänhet tolkar nationella regler på ett sådant sätt att man undviker konflikter med konventionens bestämmelser, s.k. fördragskonform tolkning. Från såväl Högsta domstolens som Arbetsdomstolens rättspraxis finns det också exempel på avgöranden som direkt grundar sig på bestämmelser i (se t.ex. NJA 2003 s. 217 och NJA 2005 s. 462 samt AD 1998 nr 17). I Ds 2007:10 föreslås att det rättsläge som råder efter Högsta domstolens sist nämnda avgörande bör kodifieras på så sätt att det av skadeståndslagen uttryckligen ska framgå att både ekonomiskt och ideellt skadestånd ska kunna utgå vid fel eller försummelse vid myndighetsutövning som innebär en överträdelse av samt att skadeståndet i sådana fall ska bestämmas efter en skälighetsbedömning med ledning av praxis. Frågan bereds inom . Även om har inkorporerats i svensk rätt genom vanlig lag, har den i praktiken erhållit visst grundlagsskydd. I 2 kap. 23 § regeringsformen anges nämligen att lag eller annan föreskrift inte får meddelas i strid med åtaganden på grund av konventionen. är rättsligt bindande för de anslutna staterna. Den omständigheten att det genom skapats ett förhållandevis effektivt system för kontroll gör att konventionen, vid sidan av vårt medlemskap i , intar en särställ- ning i fråga om internationella åtaganden eller annat mellanstatligt samarbete. I det sammanhanget finns anledning att notera att även har betydelse för arbetet inom EU. Enligt artikel 6.2 i ska unionen, som allmänna princi- per för gemenskapsrätten, bl.a. respektera de grundläggande rättig- heterna så som de garanteras i konventionen. behandlas även i avsnitt 8.1.2. 5 Se t.ex. beslut i mål mellan mot och jfr även a.a. av s. 305 f. Internationella konventioner och EU Bioetikkonventionen6 syftar till att skydda människor i samband med hälso- och sjukvård och medicinsk forskning. Den specificerar och vidareutvecklar det skydd som följer av . I bioetikkonventionen uppställs bl.a. en allmän regel om att ingrepp inom hälso- och sjukvårdens område endast får företas efter det att den berörda personen har lämnat ett fritt och informerat samtycke, som när som helst kan återkallas. Vidare framgår av konventionen att envar dels har rätt till respekt för sitt privatliv i fråga om upp- gifter om hans eller hennes hälsotillstånd, dels har rätt att få vetskap om all tillgänglig information om sin hälsa. Bioetikkonventionen ger endast ett minimiskydd och utgör inget hinder för att i den nationella rättsordningen erbjuda ett längre gående skydd. Konventionen riktar sig till det allmänna och går inte närmare in på frågan om den enskildes förhållande till andra enskilda personer. Det anges inte heller några egentliga sanktioner gentemot den fördragsslutande part som försummar sina åtaganden enligt konventionen. Det kan noteras att det inom pågår ett arbete med ett tilläggsprotokoll till konven- tionen, som bl.a. kommer att behandla frågor om icke-medicinsk användning av genetiska undersökningar i samband med anställ- ningar.7 , som deltog i utarbetandet av bioetikkonventionen och undertecknade den , avser att ratificera den . Dataskyddskonventionen: nr 108 var det första land som ratificerade konventionen och den trädde i kraft . Dataskyddskonventionen syftar till att säker- ställa respekten för grundläggande fri- och rättigheter, särskilt den 6Konvention angående skydd av de mänskliga rättigheterna och människans värdighet med avseende på tillämpningen av biologi och medicin, som antogs av . publicerade kommittén en s.k. Explanatory Report. 7Se Working document on the applications of genetics for health purposes (CDBI/INF [2003]3) jämte Explanatory note (CDBI/INF [2003]4). 8Konvention om skydd för enskilda vid automatisk databehandling av personuppgifter. 1981/82:189 s. 188 f finns en svensk översättning av konventionstexten. Till konventionen har även en s.k. explanatory report utarbetats som bl.a. går att finna i SOU 1993:10 (bilagedelen) s. 63 f. Internationella konventioner och EU enskildes personliga integritet, i samband med automatisk data- behandling av personuppgifter. Den centrala delen av konventionen innehåller grundläggande principer för dataskydd. Varje konventionsstat ska senast vid tid- punkten för konventionens ikraftträdande ha vidtagit de åtgärder som behövs för att dess nationella lagstiftning ska innehålla denna s.k. gemensamma kärna. Tanken är att den gemensamma kärnan avseende regler om dataskydd ska garantera registrerade personer i alla länder där konventionen gäller ett visst minimiskydd i samband med automatisk databehandling av personuppgifter. Därigenom ska det vara möjligt för konventionsparterna att ömsesidigt avstå från att begränsa dataflödet över gränserna genom olika former av protektionistiska åtgärder. Det finns inget institutionaliserat system för efterlevnads- kontroll. Konventionen bygger i stället på ett frivilligt åtagande från de anslutna staterna att i den nationella rättsordningen införa lämpliga sanktioner och rättsmedel för överträdelser av de natio- nella regler genom vilka konventionens grundläggande principer för dataskydd genomförs i den nationella rätten. Det finns inget i konventionen som hindrar att de nationella reglerna ger ett mer långtgående skydd. Dataskyddskonventionens grundläggande principer för data- skydd har i stor utsträckning präglat allt efterföljande internatio- nellt arbete avseende dataskydd. Dessa principer brukar samman- fattas i termer som relevans, finalitet och proportionalitet. I kort- het innebär detta att behandling bara får ske av sådana personuppgifter som är adekvata och relevanta i förhållande till det ändamål för vilket de har samlats in, att ändamålet med behandlingen inte får förändras, samt att fler uppgifter än vad som är nödvändigt med hänsyn till ändamålet inte får behandlas. Undantag från de centrala artiklarna i konventionen får göras endast om det är medgivet i den nationella lagstiftningen och om det är nödvändigt för att i ett demokratiskt samhälle skydda vissa i konventionen angivna intressen: statens säkerhet, den allmänna säkerheten, statens penningintressen, brottsbekämpning eller den berörda personens eller andra personers fri- och rättigheter. Ytter- ligare vissa undantagsmöjligheter ges för automatiserade person- Internationella konventioner och EU register som används för statistik- eller för vetenskapliga forsk- ningsändamål. Inom har det utarbetats ett flertal rekommendationer om skydd för personuppgifter, jämte förklaringar och utvärderingar av rekommendationerna. I det här sammanhanget bör särskilt nämnas rekommendation om skydd för medicinska data,9 och rekommendation om skydd för person- uppgifter som används för anställningsändamål.10 Internationella riktlinjer för integritetsskydd och flöde av person- uppgifter över nationsgränserna har även utarbetats inom Organi- sationen för ekonomiskt samarbete och utveckling ().11 Ett antal internationella organisationer och företag har också med utgångspunkt i dessa riktlinjer antagit egna interna regler om data- skydd. riktlinjer stämmer i väsentliga delar överens med dataskyddskonventionens bestämmelser och redovisas därför inte närmare här. 3.2.1 Allmänt om skyddet för den personliga integriteten Enligt bygger unionen på principerna om frihet, demokrati och respekt för de mänskliga rättigheterna och grund- läggande friheterna samt på rättsstatsprincipen, vilka principer anses vara gemensamma för medlemsstaterna. Vi har också redan pekat på att unionen, som allmänna principer för gemenskaps- rätten, enligt artikel 6 i ska respektera de grund- läggande rättigheterna såsom de garanteras i . Samma sak anses också gälla för de grundläggande rättigheter som kommer till uttryck i medlemsstaternas gemensamma konstitutio- nella traditioner. Det nämnda stadgandet är primärt riktat till R (97) of to Member States on the Protection of , jämte s.k. Explanatory Memorandum. R (89) 2 of to Member States on the Protection of Used for Employment Purposes. Rekommendationen jämte s.k. Explanatory Memorandum återges i SOU 1993:10, (bilagedelen) s. 87 f. 11Guidelines Governing the Protection of Privacy and Transborder Flows of . Riktlinjerna finns återgivna i SOU 1993:10 (bilagedelen) s. 56 f. Internationella konventioner och EU Genom praxis har dock och tillämpning av den- samma kommit att få ett genomslag i de nationella rättsord- ningarna som går utöver de rent gemenskapsbaserade reglerna. Ur rättslig synvinkel har detta uttryckts som att väsentliga delar av fri- och rättighetssystem via förmedling av EG-rätten har blivit tillämpligt i såsom EG-rätt, och har därmed bl.a. kommit i åtnjutande av den företrädesrätt som gemen- skapsbestämmelserna har gentemot rent nationell rätt.12 Vid Europeiska rådets möte i antogs Europeiska unionens stadga om de grundläggande rättigheterna (EU-stadgan). Såvitt nu är av intresse anges i EU-stadgan att var och en har rätt till fysisk och mental integritet (artikel 3), respekt för sitt privatliv, sin bostad och sina kommunikationer (artikel 7) samt skydd för sina personuppgifter (artikel 8). I förslaget till fördrag om upprät- tandet av en anges att stadgan i första hand riktar sig till unionens institutioner. För medlemsstaternas vid- kommande gäller stadgan endast när dessa tillämpar unionsrätten. I fördraget anges dessutom att unionen ska söka anslutning till . Eftersom frågan om fördragets antagande är oklar är även EU-stadgans framtida rättsliga status oklar. spelade EG en förhållandevis blygsam roll när det gällde den internationella utvecklingen av regler till skydd för den personliga integriteten vid automatiserad behandling av personuppgifter. hade alla dåvarande EG- länder skrivit under dataskyddskonventionen, men bara sex länder hade ratificerat den. Med hänsyn till att konventionen endast ställer minimikrav på den nationella lagstiftningen och dessutom ger stor frihet när det gäller hur dessa krav ska uppfyllas i praktiken, inne- bar det att det rådde betydande skillnader mellan medlemsstaternas lagstiftning. Därtill kom den ökade betydelsen av att person- uppgifter ska kunna flöda fritt mellan medlemsstaterna för att kunna uppnå det för gemenskapen grundläggande målet om en väl fungerande inre marknad. Dessa faktorer skapade såväl anledning 12 SOU 2007:22 s. 47 f. Internationella konventioner och EU som klara rättsliga förutsättningar för kommissionen att lägga fram ett förslag till ett direktiv som syftade till att harmonisera medlems- staternas dataskyddslagstiftning.13 Efter en långdragen och kompli- cerad förhandlingsprocess kunde dataskyddsdirektivet14 antas . Dataskyddsdirektivet bygger i huvudsak på samma grund- läggande principer och systematik som dataskyddskonventionen. I direktivets ingress anges uttryckligen att dess skyddsbestämmelser utgör en precisering och en förstärkning av de principer som kommer till uttryck i dataskyddskonventionen (skäl 11). Direktivet har genomförts i svensk rätt genom personuppgiftslagen (1998:204). Med hänsyn till att den materiella regleringen i dataskydds- direktivet i allt väsentligt är densamma som i personuppgiftslagen, anser vi det inte nödvändigt att redogöra för dataskyddsdirektivets innehåll. Dataskyddsdirektivet kan sägas utgöra ett typexempel – och möjligen det sista exemplet – på en lagstiftningsteknik som i doktrinen brukar benämnas som första generationens regler om dataskydd.15 Bakgrunden till den lagstiftningstekniken var att det gick att skönja ett tillräckligt stort behov av reglering för att kunna motivera ett ingripande av lagstiftaren. Å andra sidan var det svårt att överblicka med vilken intensitet och med vilken räckvidd som den nya tekniken för informations- behandling tillämpades i det praktiska livet. Detsamma gällde tek- nikens framtida utvecklingspotential. Den ambivalenta inställningen hos lagstiftaren motiverade en lagstiftningsteknik som dels var generellt tillämplig för alla sektorer i samhällslivet, dels var till- räckligt oprecis för att kunna täcka in för lagstiftaren oförutsedda situationer, t.ex. i form av ny teknik eller att redan befintlig teknik appliceras på ett nytt sätt. I den internationella utvecklingen kan man dock fr.o.m. skönja vad som kan benämnas som andra generationens dataskyddsregler, som mer tar sikte på behandlingen av person- uppgifter inom en viss sektor. Bakgrunden till den utvecklingen kan kortfattat sammanfattas som att övergripande och allmänna 13Den rättsliga grunden för direktivet är framför allt artikel 100 a i fördraget. 14Europaparlamentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. 15Se t.ex. , From the General on Data Protection to a Specific Regulation of the Use of : Policies and Constraints of Union, , 1998, s. 354 f. Internationella konventioner och EU regler om dataskydd ansågs motiverade för att uttrycka lag- stiftningens syfte och allmänna principer. Däremot ansågs sådana regler inte duga till att lösa enskilda fall inom ett visst område. Därtill behövdes mer specificerade regler som var anpassade till den miljö de skulle verka inom. Ett tydligt exempel på den nu beskrivna utvecklingen är de olika rekommendationer, bl.a. avseende arbets- livets område, som med start har antagit i syfte att komplettera dess dataskyddskonvention. Även för svenskt vidkommande har de generella reglerna om dataskydd kompletterats med mer specifika regler som är anpassade till ett visst område, s.k. registerförfattningar. Inom EU var man självfallet fullt medveten om den nu beskrivna utvecklingen. Man insåg tidigt att dataskyddsdirektivet skulle behöva kompletteras med sektorspecifika regler. I direktivets ingress anges också uttryckligen att det för vissa områdens vid- kommande ska kunna kompletteras eller preciseras med särskilda bestämmelser. Sådana bestämmelser ska dock stämma överens med de principer som slås fast i dataskyddsdirektivet (skäl 22, 23 och 68). Det första exemplet på en sektorspecifik reglering var ett direktiv om behandling av personuppgifter och skydd för privatlivet inom telekommunikationsområdet som antogs år 1997.16 Med hänsyn till den snabba utvecklingen av marknader och teknik för elektroniska kommunikationstjänster ersattes emellertid det direktivet av ett nytt direktiv om integritet och elektronisk kommunika- tion.17 Det senare direktivet har genomförts i svensk rätt genom lagen (2003:389) om elektronisk kommunikation. Efter terror- attentaten i kompletterades direktivet om elek- tronisk kommunikation med ett särskilt direktiv om lagring av trafikuppgifter i allmänt tillgängliga kommunikationsnät.18 Ett annat exempel på en sektorspecifik reglering utgör den sär- skilda förordning som och rådet har antagit i syfte 16Europaparlamentets och rådets direktiv /66/EG av om behandling av personuppgifter och skydd för privatlivet inom telekommunikationsområdet, EGT L 24, 30.1.1998, s. 1. 17Europaparlamentets och rådets direktiv /58/EG av om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation).