sou · H4B341 · 2016-06-07 00:00:00 — Till exempel får alla all- männa utrymmen i en butik kameraövervakas efter att en anmälan har gjorts, under förutsättning att övervakningen görs i syfte att förebygga, avslöja eller utreda brott. Kameraövervakning av en plats dit allmänheten inte har tillträde får bedrivas utan tillstånd. Övervakning får då bedrivas med sam- tycke från dem som övervakas, eller om övervakningen behövs för att förebygga, avslöja eller utreda brott, förhindra olyckor eller andra berättigade ändamål, och övervakningsintresset väger tyngre än den 61 Datainspektionen beslut i ärendena 340-2015, 342-2015, 347-2015 och 351-2015. 62 Ju 2015:14. 63 Dir. 2015:125. enskildes intresse av att inte bli övervakad. Det ska även beaktas hur övervakningen ska utföras, om teknik som främjar skyddet av den enskildes personliga integritet används och vilket område som ska övervakas. När det gäller platser dit allmänheten inte har tillträde, finns det ingen skyldighet för arbetsgivaren att anmäla kameraövervakningen till någon myndighet. Vidare ska enligt 30 § kameraövervakningslagen den som bedriver kameraövervakning vidta lämpliga tekniska och organisatoriska åtgär- der för att skydda det upptagna bild- och ljudmaterialet. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av 1.de tekniska möjligheter som finns, 2.vad det skulle kosta att genomföra åtgärderna, 3.de särskilda risker som finns med behandlingen av materialet, och 4.hur pass känsligt materialet är. 8.8.3Risker för den personliga integriteten Kameraövervakning av arbetsplatser och arbetstagare är i vissa bran- scher mycket vanligt förekommande, företrädesvis i olika service yrken, i transportarbeten och vid arbete på lager. Av såväl länsstyrelsernas ovan nämnda rapport som av uppgifter i media framgår att det i dessa branscher finns allvarliga brister i tillämp- ningen av kameraövervakningslagens integritetsskyddande regler. Det kan således konstateras att många arbetstagare i landet över- vakas för ändamål och på ett sätt som inte är förenligt med gällande lagstiftning. Om den tilltagande teknikutvecklingen och den nedåt- gående prisutvecklingen för kameraövervakningsutrustning håller i sig, finns dessutom en risk för att de redan konstaterade bristerna kommer att öka i takt med att allt fler övervakningskameror instal- leras på arbetsplatserna. Det finns en risk att arbetsgivare felaktigt tror sig kunna grunda kameraövervakningen på arbetstagarnas samtycke. I ett tillsyns ärende hos Datainspektionen grundade en arbetsgivare kamera övervakningen just på arbetstagarnas samtycke, med hänvisning till att arbetstagare som upplevde obehag med övervakningen hade ”möjlighet att ta kontakt med arbetsledningen för eventuellt byte av arbetsplats”.64 Enligt Datainspektionen utgjorde detta inte ett sådant reellt alternativ till kameraövervakning som medförde att samtycke kunde anses föreligga. Risken är också stor att material från kameraövervakning kan komma att användas för andra ändamål än de som ursprungligen för- anledde installationen av övervakningskamerorna.65 Som exempel kan nämnas ett ärende hos Datainspektionen där material från kameraövervakningen i en skola användes för att kontrollera hur den kontrakterade städentreprenören utförde sitt arbete . Kamerorna hade egentligen satts upp för att förhindra skadegörelse, inbrott och stölder. Av rapportering framgår också att länsstyrelserna vanligtvis endast förmår utföra enstaka stickprovskontroller av arbetsgivarnas tillämpning. Tillsyn av kameraövervakning på platser dit allmänheten inte har tillträde görs av Datainspektionen. Det är uppenbart att en så liten myndighet med många andra arbetsuppgifter inte kan göra annat än ett fåtal stickprovskontroller när det gäller en så pass omfattande och nationellt spridd företeelse som kameraövervakning. När det gäller kameraövervakning av platser dit allmänheten har tillträde, krävs antingen ett tillstånd från eller en anmälan till läns- styrelsen. Detta ger länsstyrelserna möjlighet både att hitta arbets- platser som kameraövervakas och att bilda sig en uppfattning om hur omfattande den sammanlagda kameraövervakningen är på landets arbetsplatser. Hur mycket tillsyn av övervakningskameror som läns- styrelserna kan ägna sig åt, är i slutändan en kostnads- och priori teringsfråga. När det gäller kameraövervakning av platser dit allmänheten inte har tillträde, finns det inget sätt för tillsynsmyndigheten inspektionen att få veta att kameraövervakning förekommer, utom genom att ställa frågan till varje arbetsgivare. Datainspektionens till- syn av området försvåras därmed, jämfört med de möjligheter som länsstyrelserna har eftersom dessa åtminstone får in anmälningar (eller ska få in dem) och därmed kan få veta var kameraövervakning bedrivs och kontrollera den. 64 Datainspektionens beslut i dnr 1652-2014. 65 Datainspektionens beslut i dnr 476-2009. Det är mycket vanligt att arbetsgivare anlitar ett vårdföretag för att tillhandahålla företagshälsovårdstjänster till sina arbetstagare, bestå- ende i hälso- och sjukvård. I en sådan situation är vårdgivaren själv ansvarig för den hantering av uppgifter om arbetstagarna som måste göras för att dessa ska kunna ges hälso- och sjukvård. Det förekommer också att arbetsgivaren anlitar samma vårdgivare för att även utföra arbetsuppgifter av rent personaladministrativ natur . Det kan exempelvis röra sig om att för arbetsgivarens räkning ta emot sjuk- och friskanmälningar eller anmälningar om frånvaro på grund av vård av barn. Arbetstagarna instrueras då att göra dessa anmälningar När vårdgivaren tagit emot anmälningarna från arbets tagarna, vidarebefordrar den uppgifterna till arbetsgivaren. Vård givaren utför då ingen hälso- och sjukvård. I en sådan situation är det arbetsgivaren som är ansvarig för vårdgivarens hantering av uppgifter om arbetstagarna. Vårdgivaren utför i denna situation inget själv ständigt uppdrag, utan hanterar endast uppgifter för arbetsgivarens räkning och ändamål. Vårdgivaren är personuppgiftsbiträde till arbets- givaren för hanteringen av uppgifter för den här typen av personal administrativa ändamål. Datainspektionen har i några ärenden granskat ansvarsförhållan- dena i situationer då vårdgivare varit kontrakterade för att tillhanda- hålla både företagshälsovård och personaladministrativa tjänster.66 Företeelsen var föremål för en tvist i Arbetsdomstolen.67 I målet var frågan om en arbetsgivare som anlitat ett privat hälso- och sjukvårdsföretag för att administrera sjuk- och friskanmälningar. menade att arbetsgivaren bröt mot personuppgifts lagen när den behandlade känsliga personuppgifter om hälsa som den fick från vårdgivaren. Bland annat skickade vårdgivaren uppgifter till arbetsgivaren om att den sjuka arbetstagaren inte svarar i telefon när vårdgivaren ringer på tredje sjukdagen. Det ska enligt stämnings ansökan också ha förekommit att uppgifter om sjukdom och diagnos 66 Datainspektionens beslut i dnr 1176-2011, 1177-2011, 1179-2011, 1180-2011, 1181-2011, 1182-2011 och beslutet i dnr 455-2012. 67 Arbetsdomstolens mål A 229/14. Målet avgjordes inte genom dom, utan parterna förliktes och målet avskrevs. skickades från vårdgivaren till arbetsgivaren. Förbundet hade yrkat skadestånd för brott mot personuppgiftslagen till två av sina berörda medlemmar. För arbetsgivaren kan det te sig lämpligt att låta en och samma privata vårdgivare tillhandahålla tjänster för såväl före- tagshälsovård som personaladministration. Vårdgivaren kan då ex- empelvis när den får in en sjukanmälan från en arbetstagare, passa på att ställa frågor och ge råd om hur arbetstagaren så snabbt som möj- ligt ska tillfriskna och kunna återgå i arbete. Vidare har en vårdgivare oftast bättre förutsättningar för att tidigt uppfatta om det bakom en sjukanmälan döljer sig en mer djupgående problematik där det be- hövs andra eller mer omfattande insatser från företagshälsovården eller arbetsgivaren. För vårdgivarens hantering av personuppgifter för personaladminis- trativa ändamål för arbetsgivarens räkning, gäller personuppgifts lagens bestämmelser. När vårdgivaren tillhandahåller företagshälsovårdstjänster och utför hälso- och sjukvård gäller patientdatalagens (2008:355) bestämmelser. Vidare råder inom sådan verksamhet tystnadsplikt en- ligt patientsäkerhetslagen (2010:659) för uppgifter om en enskilds hälsotillstånd eller andra personliga förhållanden. 8.9.3Risker för den personliga integriteten När en vårdgivare ska tillhandahålla både hälso- och sjukvård och personaladministrativa tjänster, finns det en risk för att samtliga in- volverade parter blandar ihop vårdgivarens olika roller. Vårdgivaren kan komma att vidareförmedla uppgifter till arbets- givaren som noga taget hör till hälso- och sjukvårdsdelen av vård givarens uppdrag och som egentligen omfattas av tystnadsplikt även i förhållande till arbetsgivaren. Arbetstagaren kan invaggas i tron att vårdgivaren agerar enbart inom sitt uppdrag som företagshälsovård, och kan då komma att lämna sådana hälsouppgifter som arbetstagaren aldrig skulle ha av- slöjat direkt för arbetsgivaren, trots att uppgifterna faktiskt hamnar just hos arbetsgivaren till slut. Om arbetstagaren inte känner sig säker på vilka uppgifter som vårdgivaren kommer att vidarebefordra till arbetsgivaren, finns det också en risk för att han eller hon kommer att avslöja för litet om sitt hälsotillstånd och undanhåller uppgifter som hade varit relevanta och nödvändiga för att vårdgivaren ska kunna ge adekvata råd och eventuella behandlingar. 8.10Kommitténs samlade bedömning av området Ett tydligt och problematiskt fenomen som gäller generellt inom arbetslivet, är risken för ändamålsglidningar när arbetsgivare digitalt hanterar uppgifter om arbetstagare. Det kan också konstateras att Datainspektionens praxis har varit relativt tillåtande inför ändamåls- glidningar inom arbetslivet. Positionering samt annan övervakning av aktiviteter och beteenden Arbetstagare avsätter allt fler och mer detaljerade elektroniska spår, som utrustning och system för att övervaka och kontrol- lera blir allt billigare och enklare att använda. En annan del av utvecklingen är att uppgifter om arbetstagare i allt större utsträckning hamnar hos externa leverantörer, inte sällan i molntjänster, som kan innebära en omfattande och svårkontrollerad spridning, lagring och vidareanvändning av uppgifterna. Flera led i den hanteringen görs utan vare sig arbetsgivarens eller arbetstagarnas kännedom. Arbetstagaras möjligheter att påverka hanteringen är begränsade redan initialt, pga. arbetsledningsrätten, men försämras ytterligare av bristen på kunskap om hanteringen. Det sagda, i kombinationen med faran för ändamålsglidningar i arbetslivet, medför att kommittén anser att det finns allvarliga risker för den personliga integriteten när arbetsgivare använder sig av posi- tionering och annan övervakning för att kontrollera arbetstagarnas aktiviteter och beteenden på arbetet. måste beaktas att arbetsgivaren för att leda, organisera och följa upp arbetet kan behöva relativt detaljerade uppgifter om var arbetstagarna befinner sig, hur de använder sig av arbetsgivarens ut- rustning och vad de ägnar sin arbetstid åt. När arbetsgivare skannar av sociala medier för att bilda sig en upp- fattning om vad arbetstagarna gör på nätet, innebär det att arbets givaren träder in på en arena som den enskilde vanligen kan betrakta som privat snarare än arbetsrelaterad. Emellertid finns det oftast möjligheter för arbetstagare att begränsa åtkomsten till uttalanden som skulle kunna uppfattas som känsliga eller kontroversiella i för- hållande till arbetsgivaren. Därför anser kommittén att arbetsgivares granskningar av vad arbetstagare skriver på sociala medier, innebär en viss risk för den personliga integriteten. måste anses rimligt att arbetsgivare i sin omvärlds bevakning, inhämtar information från många olika källor, däribland publik information i sociala medier. Både kompetensdatabaser och utförande av bakgrundskontroller, kan innebära att många olika slags uppgifter om arbetstagarna han teras. kan redan enskilda uppgifter vara integritetskänsliga, medan det i andra situationer är sammanställningar av många upp gifter som tillsammans ger en närgången och detaljerad bild av arbetstagaren. är det troligen inte vanligt förekommande med omfattande och detaljerade kompetensdatabaser och bakgrunds kontroller. Vidare är spridningen av uppgifterna sannolikt begrän- sad, liksom åtkomsten till dem. Kommittén anser där- för att kompetensdatabaser och bakgrundskontroller innebär en viss risk för den personliga integriteten. måste beaktas att arbetsgivare kan behöva dokumentera arbetstagarnas kompetenser och genomföra bakgrundskontroller för att effektivt kunna leda och fördela arbetet och så långt som möjligt undvika felrekryteringar som både kan bli kostsamma och ha negativa effekter för andra arbetstagare hos arbetsgivaren. Kameraövervakning omfattar allt fler arbetstagare som det finns granskningar som visar att många arbetsgivare tillämpar den skyddande lagstiftningen på ett felaktigt sätt. Vidare finns det rappor ter om att bilder från kameraövervakning använts för helt andra ända- mål än dem för vilka kamerorna installerades. Kommittén anser där- för att kameraövervakning på arbetsplatser innebär en allvarlig risk för den personliga integriteten. måste beaktas att kameraövervakning kan medföra direkta fördelar för enskilda arbetstagare, främst när säkerheten på arbetsplatsen förbättras av övervakningen. När en vårdgivare ska tillhandahålla både hälso- och sjukvård och personaladministrativa tjänster, kan det uppstå en sammanblandning av vårdgivarens olika roller, som kan få till följd att arbetsgivaren får ta del av uppgifter som hör till hälso- och sjukvårdsdelen av vård givarens uppdrag och som omfattas av tystnadsplikt även i för hållande till arbetsgivaren. Det finns emellertid ett tydligt regelverk både för tystnadsplikt gentemot arbetsgivare i dessa situationer, och för hur en vårdgivare får hantera personuppgifter (patientdatalagen). Kommittén anser att det finns en viss risk för den personliga integri- teten när vårdgivare ska tillhandahålla såväl hälso- och sjukvård som personaladministrativa tjänster. kan det finnas fördelar även för den enskilde arbets tagaren om både företagshälsovård och personaladministrativa tjäns- ter tillhandahålls av samma företag, i form av snabbare och enklare kontakt och hjälp vid sjukfall. I kommitténs möten med arbetsmarknadens parter har vidare fram- kommit att såväl fackliga organisationer som arbetsgivarorganisa tioner anser att personuppgiftslagen är svår att tillämpa på arbetslivs- området. Det har också gjorts gällande att Datainspektionens vägledning, i den mån den efterfrågats, inte alltid är tillräckligt tydlig för att ge parterna den hjälp som de behöver. Brister i kunskap och i den vägledning som ges, kan vara en del av förklaringen till att personuppgiftslagen mycket sällan används som sanktionsmedel av arbetstagarna eller deras organisationer. Det är anmärkningsvärt att det, trots den enorma tekniska utvecklingen, inte har uppkommit särskilt många tvister om personlig integritet inom arbetslivet i samband med användning av informationsteknik. I likhet med vad som konstaterades i betänkandet Integritetsskydd i arbetslivet68, kan det sägas att bestämmelserna i personuppgiftslagen inte förefaller ha fått det genomslag på arbets livets område som man hade kunnat förvänta sig. I betänkandet kunde vid en internationell jämförelse också konstateras att de fin- ländska och norska motsvarigheterna till personuppgiftslagen haft ett större genomslag på arbetslivets område, utan att några avgörande skillnader finns mellan ländernas dataskyddsrättsliga och arbets- rättsliga lagstiftning. Förklaringen antogs vara att aktiviteten helt enkelt varit högre i dessa grannländer och att man tidigare än i hade förstått att utnyttja dataskyddsreglerna på arbetslivets om råde.69 Ett särskilt regelverk för integritetsskydd i arbetslivet skulle kunna medföra att det blir lättare för parterna att förstå hur regel verket ska tillämpas på förhållandena i arbetslivet, och därmed kanske skulle kunna leda till att reglerna börjar användas oftare i par- ternas förhandlingar och tvister. Kommittén kan också konstatera att Datainspektionens tillsyn görs av enstaka företeelser, men att tillsynen inte leder till att myndig heten får en övergripande uppfattning av hur omfattande över vakningen faktiskt är av landets arbetstagare och i vilka former den bedrivs. 68 SOU 2009:44. 69 SOU 2009:44. Beträffande kameraövervakning bedömer vi att det inte förefaller troligt att dagens tillsynsinsatser ensamma skulle kunna åstadkomma någon generell förbättring av arbetsgivarnas tillämpning. Kommittén kan också konstatera att Datainspektionen inte an- vänds av parterna i den utsträckning som faktiskt vore möjligt – exempelvis skulle myndighetens bedömning av olika övervaknings åtgärder kunna inhämtas vid MBL-förhandlingar i samband med införandet av nya system som kan innebära övervakning eller inför tecknandet av nya kollektivavtal. Det är tydligt att ny teknik och nya arbetssätt ökar möjligheterna att kartlägga och övervaka arbetstagare på ett mycket närgånget och detaljerat sätt. Ny teknik i kombination med nya arbetssätt innebär också risk för en ökande och oönskad sammanblandning av arbetstagarnas privatliv och arbetsliv. Till detta kommer att den ökande användningen av övervaknings- tekniker i samhället i stort, träffar arbetstagare även när den egentliga avsikten med övervakningen inte är att kontrollera arbetstagarna, utan verksamhetens kunder, patienter eller brukare. Även när detta görs oavsiktligen, bidrar det ändå till att öka övervakningen av arbets tagarna. Sådan övervakning omfattar särskilt vissa yrken, t.ex. säljare i butik, vårdbiträden samt personal i restauranger och caféer, vilka kännetecknas bl.a. av att de sysselsätter en betydligt högre andel kvinnor än män. Å andra sidan är andra, mer direkt övervakade yrken vanligare för män, t.ex. lastbils- och långtradarförare samt lager arbetare. Dessa yrken sysselsätter dock färre arbetstagare än i de tidi- gare nämnda kvinnodominerade yrkesgrupperna.70 De ökade möjligheterna till detaljerad kontroll, kartläggning och övervakning i realtid riskerar att förskjuta styrkeförhållandena inom arbetslivet och att försvaga arbetstagarnas ställning.71 70 Enligt yrkesregister med yrkesstatistik (). 71 Norska Datatilsynet uttrycker detta i följande ordalag: ”Den totale mengden av kontroll tiltak og registreringer kan også gjøre at balansen mellom partene i arbeidslivet forskyves ytterligere. Arbeidsgiveren vet mye om hver og enkelt av oss, men vi vet ikke nødvendigvis hva som registreres, hvem som ser hva, og hva opplysningene kan og skal brukes til” Datatilsynets rapport ”En vanlig dag på jobb” Arbeidshverdagens elektroniske spor, . är det viktigt att beakta att arbetsgivare har en rätt att vidta sådana åtgärder som är rimliga och som faller inom rätten att leda och fördela arbetet. Arbetsgivaren har också en skyldighet att upprätthålla säkerheten för både arbetstagare och utrustning. Effek- tiva och säkra arbetsplatser har många fördelar även ur den enskilde arbetstagarens perspektiv. Digitaliseringen i samhället innebär att stora mängder uppgifter om arbetstagare kommer att sparas och att uppgifterna lätt kan spridas, bearbetas och vara tillgängliga för många. Det är inte förvånande att många arbetsgivare använder sig av olika kontroll- och övervakningsfunktioner för att minska riskerna för felaktiga beslut i verksamheten och vid rekrytering. riskerar denna utveckling att leda till en exkludering från arbetslivet av allt fler individer. 9Hälso- och sjukvård och välfärdsteknik inom socialtjänst Kommitténs bedömning: Det föreligger allvarliga risker för den personliga integriteten i samband med hantering av person uppgifter inom hälso- och sjukvården och i samband med social- tjänstens användning av välfärdsteknik. I detta kapitel beskriver kommittén några av de integritetsrisker som finns inom hälso- och sjukvården och . När det gäller kommer vi i endast att beskriva de risker som är förenade med viss användning av s.k. välfärdsteknik (begreppet förklaras i avsnitt 9.6). För att den enskilde individen ska kunna erbjudas god vård och omsorg måste de ansvariga verksamheterna dokumentera och i övrigt hantera information om individen och hans eller hennes behov och om de insatser som planeras och genomförs. Även resultaten för indi- viden måste dokumenteras och följas upp. För att verksamheten ska kunna utveckla sin kvalitet behöver resultaten också kunna följas upp. När en person får insatser inom hälso- och sjukvården och social- tjänsten är dokumentationen en integrerad del av analys, bedömning och genomförande av insatsen. Personalen tar del av nödvändiga uppgifter om individen före mötet med honom eller henne samt även under och efter arbetets genomförande. Uppgifter kan behöva doku Hälso- och sjukvård och välfärdsteknik inom socialtjänst menteras och på olika sätt användas under hela detta förlopp. Infor- mationssystem kan också fungera som beslutsstöd direkt i arbets situationen. Dokumentationen i hälso- och sjukvården och är utan tvekan av mer integritetskänslig karaktär än vad information i många andra sammanhang är. Det handlar i princip uteslutande om uppgifter som rör människors hälsa och livssituation. Hos landets alla vårdgivare (offentliga eller privata vårdgivare) lagras uppgifter elektroniskt om större delen av befolkningen. Uppgifter om många av landets invånare hanteras också av dem som bedriver socialtjänst. Vid ett besök i vården hanteras patienternas uppgifter även för andra syften än den hantering som behövs för att kunna ge den vård som behövs i det enskilda fallet. Exempelvis hamnar vissa uppgifter i kvalitetsregister med anknytning till hälso- och sjukvården. Bero- ende på vilka vårdinsatser som har getts, måste uppgifter också skickas av vårdgivaren till något av som officiell statistik. Om patienten vid besöket i vården får ett läkemedel förskrivet, så sänder vårdgivaren receptet elektroniskt till det centrala recept registret hos eHälsomyndigheten. Behörig personal på alla öppen- vårdsapotek i landet har tillgång till detta register. Vidare kan uppgifter om sjukdom och erhållen vård ibland komma att hanteras och läsas i helt andra syften. Exempelvis kan uppgifter komma att användas i ett forskningsprojekt, hanteras i en biobank eller skickas till ett centralt hälsodataregister. Viss hantering av uppgifter får göras oavsett patientens inställ- ning, dvs. att något samtycke inte är nödvändigt och att patienten varken kan hindra eller påverka att eller hur uppgifter behandlas. Vanligen finns dock ett lagkrav på att patienterna ska informeras om att och hur deras uppgifter hanteras. Hanteringen av personuppgifter som förekommer med anledning av ett besök i vården regleras av olika författningar, i huvudsak följande: Hälso- och sjukvård och välfärdsteknik inom socialtjänst •inom vård och kvalitetsutveckling regleras hanteringen i patient- datalagen (2008:355), •hur uppgifter om ordinerade läkemedel får hanteras regleras i lagen (1996:1196) om receptregister, lagen (2005:258) om läke- medelsförteckning och apoteksdatalagen (2009:367), •när uppgifter om blod- och vävnadsprov hanteras, regleras det av lagen (2002:297) om biobanker i hälso- och sjukvården m.m. och personuppgiftslagen, •generellt inom offentlig verksamhet gäller offentlighets- och sekretesslagen (2009:400), för privata vårdgivare finns bestämmel- serna om tystnadsplikt i patientsäkerhetslagen (2010:659), •vårdgivarens övergripande ansvar för kvaliteten i vården regleras i hälso- och sjukvårdslagen (1982:763), patientsäkerhetslagen och i föreskrifter och allmänna råd (SOSFS 2011:9) om ledningssystem för systematiskt kvalitetsarbete.