11 
  
 Informationsskyldighet och rättelse 
  
 11.1 
  
 Informationsskyldighet 
  
 11.1.1 
  
 PUL 
  
 I 23 och 24 §§ PUL föreskrivs om informationsskyldighet för den personuppgiftsansvarige i samband med att denne samlar in information om den registrerade. I 23 § föreskrivs att om uppgifter om en person samlas in från personen själv, skall den personuppgiftsansvarige i samband därmed självmant lämna den registrerade information om behandlingen. Enligt 24 § skall information även lämnas till den registrerade när personuppgifter har samlats in från någon annan källa än denne. Den person- uppgiftsansvarige skall enligt 24 § även självmant lämna den regi- strerade information om behandlingen när uppgifterna registreras. Är uppgifterna avsedda att lämnas ut till tredje man, behöver dock inte informationen lämnas förrän uppgifterna lämnas ut för första gången. Från huvudregeln i första stycket finns vissa undantag. Information behöver inte lämnas till den registrerade om det i lag eller annan författning framgår vilken behandling av personuppgift- erna som kan bli aktuell. Den personuppgiftsansvarige behöver inte heller uppfylla informationsplikten om det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. 
 23 och 24 §§ kompletteras av 25 § som reglerar vilken information som den personuppgiftsansvarige skall lämna till den registrerade. Informationen skall innehålla uppgift om den personuppgiftsansvariges identitet, ändamålen med behandlingen, och all övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter i samband med behandlingen, 
 223 
  
 Informationsskyldighet och rättelse 
  
 SOU 2002:18 
  
 såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Information behöver dock inte lämnas om sådant som den registrerade redan känner till. 
 I en del fall är avsikten att fortlöpande samla in uppgifter om en och samma person. Det bör då vara möjligt att lämna information vid ett tillfälle – innan uppgifterna registreras för första gången – under förutsättning att den registrerade får information om bl.a. vilken kategori uppgifter som kommer att hämtas in och behandlas. Genom den information som lämnas innan den första registreringen får den registrerade kännedom om de behandlingar som kommer att utföras fortlöpande och vilka kategorier av uppgifter dessa kommer att avse. 
 Den personuppgiftsansvarige har även enligt 26 § en skyldighet att till var och en som ansöker om det en gång per år gratis lämna besked i frågan om personuppgifter som rör sökanden har behand- lats. Har sådana uppgifter behandlats skall skriftlig information också lämnas om vilka uppgifter som behandlats, varifrån dessa uppgifter hämtats, vilka ändamålen med behandlingen är och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. 
 I 27 § återfinns en gemensam undantagsregel från den personuppgiftsansvariges informationsskyldighet som innebär att bestämmelser om sekretess och tystnadsplikt har företräde framför PUL. 
  
 11.2 
  
 Rättelse 
  
 11.2.1 
  
 PUL 
  
 I PUL finns i 28 § en bestämmelse om den personuppgifts- ansvariges skyldighet att korrigera personuppgifter som behandlas. Enligt bestämmelsen är den personuppgiftsansvarige skyldig att på den registrerades begäran rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats enligt lagen eller enligt föreskrifter som utfärdats med stöd av lagen. Dessutom föreskrivs att den personuppgiftsansvarige under vissa förutsättningar skall underrätta tredje man till vilka uppgifterna lämnats ut om åtgärden. 
 Skyldigheten att korrigera uppgifter gäller endast på begäran av den registrerade själv. Här måste dock nämnas att 9 § innefattar en 
 224 
  
 SOU 2002:18 
  
 Informationsskyldighet och rättelse 
  
 skyldighet för den personuppgiftsansvarige att endast behandla korrekta uppgifter, vilket indirekt betyder att den personuppgifts- ansvarige skall korrigera felaktiga eller ofullständiga uppgifter även om sådana uppmärksammas på annat sätt. Den personuppgifts- ansvarige är enligt 9 § också skyldig att vidta alla rimliga åtgärder för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen. En begäran om rättelse kan framställas formlöst och bör föranleda den personuppgiftsansvarige att skyndsamt utreda om de framförda anmärkningarna är befogade. Om det finns skäl för korrigering skall denna genomföras snarast. Vilken av de alternativa metoderna rättelse, blockering eller utplånande, som skall användas får den personuppgiftsansvarige själv välja. Av omständigheterna kan dock följa att någon av metoderna är mer eller mindre naturlig. Rättelse innebär att en ursprunglig, felaktig eller ofullständig uppgift, ersätts av en ny korrekt. Om det inte är möjligt att ersätta uppgiften med en ny, skall i stället blockering eller utplåning ske. Blockering innebär att en uppgift förenas med information om att de är spärrade och om anledningen till detta. Utplåning innebär att uppgifter förstörs så att de inte kan återskapas. 
 Skyldigheten att underrätta om vidtagna korrigeringsåtgärder innebär att den personuppgiftsansvarige under vissa förutsättningar skall lämna information om åtgärden till tredje män till vilka de korrigerade uppgifterna har lämnats ut. Sådan underrättelse skall ske dels på begäran av den registrerade, dels om mer betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en sådan underrättelse. En begäran från den registrerade kan ske formlöst. Även utan begäran från den registrerade skall den personuppgiftsansvarige alltså lämna sådan information om därigenom mer betydande skada eller olägenhet kan undvikas. Om så är fallet får bedömas i varje enskild situation. Vid bedömningen bör då beaktas bl.a. hur känsliga uppgifterna i fråga är och till vilka tredje män uppgifterna har lämnats ut. 
 225 
  
 Informationsskyldighet och rättelse 
  
 SOU 2002:18 
  
 11.3 
  
 Överväganden och förslag 
  
 Utredningen föreslår:  
 I LIA bör införas två bestämmelser som avser information och rättelse. Förslagen har sin motsvarighet i PUL, men har förenklats något i LIA. 
 Bestämmelsen om information innebär att en arbetsgivare vid manuell behandling av personuppgifter som omfattas av LIA utan dröjsmål skall lämna en arbetstagare eller en arbetssökande information om sådana uppgifter om arbetstagaren eller arbetssökanden som arbetsgivaren behandlar och för vilket ändamål behandlingen sker. 
 Bestämmelsen om rättelse innebär att en arbetsgivare i mot- svarande omfattning som gäller för informationsskyldigheten utan dröjsmål skall rätta eller utplåna sådana personuppgifter som inte har behandlats enligt denna lag eller föreskrifter som har utfärdats med stöd av lagen. 
 PUL:s regler om information och rättelse gäller för sådan behandling av arbetstagares personuppgifter som sker automatiserat eller i registerform enligt den lagen. 
 Med de syften och den utformning som LIA har är det ett naturligt inslag i integritetsskyddet att en arbetstagare eller en arbetssökande skall kunna få information om den behandling som förekommer och att ha rätt att få felaktiga eller ofullständiga personuppgifter korrigerade. Som beskrivits ovan finns denna möjlighet i PUL vid behandling av en arbetstagares personuppgifter enligt den lagen. Utanför detta skydd faller emellertid behandling som inte omfattas av PUL, antingen genom att en tillämpning av PUL är utesluten p.g.a. att behandlingen sker helt manuellt eller p.g.a. att LIA innebär en specialreglering. 
 Enligt utredningens uppfattning är det önskvärt att det även vid behandling av arbetstagares eller arbetssökandes personuppgifter enligt LIA finns en rätt till såväl information som rättelse. PUL:s bestämmelser i dessa avseenden är utformade utifrån de behov som finns vid automatiserad behandling. Enligt utredningens mening skall PUL:s regler om information och rättelse gälla även vid sådan behandling enligt LIA som sker automatiserat eller i registerform. För helt manuell behandling däremot är det tillräckligt med mindre långtgående bestämmelser. 
 Förslaget är en förenklad motsvarighet till PUL:s bestämmelser om informationsskyldighet och rättelse. Bestämmelserna innebär 
 226 
  
 SOU 2002:18 
  
 Informationsskyldighet och rättelse 
  
 att arbetsgivaren är skyldig att lämna information om och rätta även sådana helt manuellt behandlade personuppgifter som omfattas av lagen. Med hänsyn till att det anges i bestämmelserna att åtgärderna skall ske utan dröjsmål framgår att information skall lämnas så fort den dokumenterade behandlingen påbörjas eller en felaktighet upptäcks. Ytterligare preciseringar när det gäller omfattningen av arbetsgivarens skyldigheter är inte behövliga. Viss ledning kan vid tillämpningen sökas i PUL:s motsvarande bestämmelser. 
 De föreslagna bestämmelserna i LIA innebär att frågan om informations- och korrigeringsskyldigheten specialregleras i förhållande till PUL. I enlighet med principen om  
 lex-specialis 
  skall då bestämmelserna gälla före PUL:s motsvarande bestämmelser. Avsikten är emellertid inte att inskränka en arbetsgivares skyldigheter enligt PUL i de fall arbetsgivaren som personuppgiftsansvarig behandlar personuppgifter automatiserat eller i registerform. Därför anges särskilt att PUL fortfarande gäller om behandlingen sker automatiserat eller i registerform. 
 227 
 12 Tystnadsplikt 
 För att stärka integritetsskyddet bör möjligheterna för den som behandlar eller har behandlat uppgifter enligt LIA att sprida dessa uppgifter begränsas. Detta stärker integritetsskyddet för arbetstagaren genom att uppgifterna inte sprids i större omfattning än nödvändigt på arbetsplatsen och att uppgifterna inte sprids till någon framtida arbetsgivare. I detta sammanhang är det av vikt att skilja mellan behovet av en rättslig reglering för allmän verksamhet och för privat verksamhet. Detta beror på att det finns bestämmelser i sekretesslagen som samtidigt som de till viss del garanterar den enskilde ett integritetsskydd vid behandling av de uppgifter som regleras i LIA, även uppfyller de krav på offentlighet som gäller för allmän verksamhet. 
  
 12.1 
  
 Den rättsliga regleringen 
  
 12.1.1 
  
 PUL 
  
 I 30 § finns en bestämmelse som innebär att ett person- uppgiftsbiträde och den eller de som arbetar under biträdets eller den personuppgiftsansvariges ledning bara får behandla person- uppgifter i enlighet med instruktioner från den personuppgifts- ansvarige. Om en arbetsgivare instruerar en arbetstagare som för arbetsgivarens räkning behandlar personuppgifter om t.ex. andra arbetstagares hälsa att inte lämna ut dem, kan bestämmelsen sägas innebära en slags tystnadsplikt. 
 Också andra bestämmelser i PUL begränsar möjligheterna för en arbetsgivare och för den som för arbetsgivarens räkning arbetar med personuppgifter att lämna dem vidare. Av de grundläggande bestämmelserna i 9 § framgår att personuppgifter bara får lämnas ut 
 229 
  
 Tystnadsplikt 
  
 SOU 2002:18 
  
 om utlämnandet inte är oförenligt med de ändamål för vilka personuppgifterna samlades in. 
 Personuppgifter om arbetstagarens hälsa får, i enlighet med bestämmelserna om behandling av känsliga personuppgifter, i vissa fall lämnas ut bara om det föreligger en arbetsrättslig skyldighet eller om den enskilde samtyckt. 
 Skulle någon som arbetar för arbetsgivaren lämna ut person- uppgifter i strid med vad som gäller är det arbetsgivaren som bär det rättsliga ansvaret enligt PUL gentemot arbetstagaren. I vilken utsträckning arbetsgivaren i sin tur kan vidta någon åtgärd mot den som lämnat ut uppgiften i strid med givna instruktioner kan framgå av de bestämmelser som reglerar förhållandet dem emellan. 
  
 12.1.2 
  
 Sekretesslagen m.m. 
  
 Om arbetstagaren genomgår en undersökning eller ett test kan arbetsgivaren till följd av bestämmelser om sekretess vara för- hindrad att ta del av och därigenom att behandla de person- uppgifter som kommer fram vid undersökningen eller testet. Beroende på om arbetstagaren varit i kontakt med allmän eller enskild sjukvård följer sekretessen av olika bestämmelser. 
 Enligt 7 kap. 1 § sekretesslagen gäller sekretess inom allmän hälso- och sjukvård för uppgifter om enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgifterna kan röjas utan att den enskilde eller någon närstående lider men. 
 Sekretess till skydd för den enskilde gäller enligt 14 kap. 4 § inte i förhållande till den enskilde själv. Den kan också helt eller delvis efterges av honom eller henne. Vid en genomgång av regerings- rättens praxis framgår att det bara är i undantagsfall som domstolen frånkänt den enskildes samtycke rättsverkan vid en tillämpning av 14 kap. 4 §. 
 1  
 Det är alltså i och för sig möjligt att sekretessen hävs i en situation där den enskilde är föremål för någon påverkan. Det samtycke som den enskilde lämnar för att efterge sekretessen behöver inte heller vara uttryckligt. Också ett tyst samtycke som grundas på den enskildes uppträdande kan vara tillräckligt för att förutsättningarna skall vara uppfyllda. 
 Den enskildes rätt att efterge sekretessen gäller bara om inte annat följer av annan bestämmelse i sekretesslagen. Så kan vara fallet enligt 7 kap. 3 § i fråga om uppgifter om den enskildes 
  
 1  
 Se bl.a. RÅ 1991 not 167. 
 230 
  
 SOU 2002:18 
  
 Tystnadsplikt 
  
 hälsotillstånd om det med hänsyn till ändamålet med den vård eller behandling som den enskilde undergår är av synnerlig vikt att uppgifterna inte lämnas ut till honom eller henne. 
 För hälso- och sjukvårdspersonal inom den enskilda hälso- och sjukvården gäller enligt 2 kap. 8 § lagen (1998:531) om yrkes- verksamhet på hälso- och sjukvårdens område tystnadsplikt för vad som framkommit i verksamheten om en enskilds hälsotillstånd eller andra personliga förhållanden. Tystnadsplikten gäller liksom i den allmänna sjukvården inte i förhållande till den enskilde själv, om det inte med hänsyn till ändamålet med hälso- och sjukvården är av synnerlig vikt att uppgifterna inte lämnas till patienten. 
 Sekretess gäller enligt 7 kap. 11 § första stycket för bl.a. upp- gifter som hänför sig till psykologisk undersökning. Bestämmelsen omfattar inte de uppgifter som kan komma fram vid ett personlighetstest eller resultatet av ett sådant test. I förarbetena till sekretesslagen uttalas att användningen av sådana undersökningar i samband med anställning i offentlig civil tjänst bara förekommer i ytterst begränsad omfattning. I de fall där psykologiska test används i sådana sammanhang är det dessutom i regel inte myndigheten som har hand om testet. Detta genomförs i stället av utomstående organ. Till följd härav har det inte bedömts finnas behov av att låta sekretessen på det personaladministrativa området omfatta också psykologiska undersökningar. 
 2 
  
 I 7 kap. 11 § tredje stycket sekretesslagen finns även bestämmelser som föreskriver om sekretess inom vissa delar av en myndighets personaladministrativa verksamhet. Enligt bestämmel- sen gäller sekretess för bl.a. uppgifter om en enskilds hälsotillstånd, om det kan antas att den enskilde eller någon honom eller henne närstående lider men om uppgifterna röjs. Personuppgifter som en myndighet hämtar in i samband med en arbetstagares sjukledighet eller om arbetstagarens hälsotillstånd i andra sammanhang kan hemlighållas med stöd av denna bestämmelse. Att märka är att sekretessen inte gäller i ett ärende om anställning. Uppgifter om hälsa som en arbetssökande lämnar eller som annars framkommer i ett anställningsärende är därför oftast offentliga. Bestämmelsen i 7 kap. 11 § utgör enligt 14 kap. 7 § inte hinder mot att en myndighet fullgör vad som i lag är föreskrivet om skyldighet att lämna information till företrädare för en arbetstagarorganisation eller till skyddsombud. 
  
 2  
 Se prop. 1979/80:2 del A, s. 203. 
 231 
  
 Tystnadsplikt 
  
 SOU 2002:18 
  
 12.1.3 
  
 Arbetsmiljölagen 
  
 Enligt 4 kap. 7 § arbetsmiljölagen kan regeringen eller, efter särskilt bemyndigande Arbetsmiljöverket, föreskriva att det skall föras register vid hälsoundersökningar som föreskrivits med stöd av 4 kap. 5 eller 6 §§. I registret vid vissa typer av arbetsuppgifter antecknas namnet på den som undersökts och undersöknings- resultatet. 
 I 3 § arbetsmiljöförordningen föreskrivs att register som avses i 4 kap. 7 § arbetsmiljölagen skall förvaras av arbetsgivaren under viss tid. Det finns inte någon författningsreglerad tystnadsplikt för sådana uppgifter som skall föras in i register och som kan avse om arbetstagaren är tjänstbar eller exempelvis om arbetstagaren har bly i blodet. 
  
 12.2 
  
 Överväganden och förslag 
  
 Utredningen föreslår:  
 Det bör införas en bestämmelse i LIA som innebär att den som hos en arbetsgivare med privat verksamhet behandlar eller har behandlat personuppgifter som avses i  
 3–5, 
  8 och 9 §§ inte obehörigen får röja eller utnyttja vad som därvid kommit fram. 
 För den som hos en arbetsgivare med allmän verksamhet be- handlar eller har behandlat sådana personuppgifter gäller be- stämmelserna i sekretesslagen. 
 Som påpekats inledningsvis är en viktig del av ett fungerande integritetsskydd att de uppgifter som arbetsgivaren behandlar inte sprids i större omfattning än vad som är nödvändigt. Detta är särskilt viktigt i de fall där en arbetsgivare enligt lag är tillåten att hämta in vissa särskilt känsliga uppgifter. Arbetstagaren bör därför vara säker på att den eller de personer som behandlar uppgifterna hos arbetsgivaren inte obehörigen får röja eller utnyttja vad som kommit fram. 
 I bestämmelsen föreskrivs tystnadsplikt för privata arbetsgivares verksamhet beträffande samtliga de personuppgifter som omfattas av LIA:s bestämmelser. Vad däremot gäller det allmännas verksamhet finns det bara i vissa fall förutsättningar att tillskapa ett ytterligare integritetsskydd genom att förhindra spridning av arbetstagares personuppgifter. 
 232 
  
 SOU 2002:18 
  
 Tystnadsplikt 
  
 För personuppgifter om enskildas hälsotillstånd inom myndig- heters personaladministrativa verksamhet gäller sekretess enligt 7 kap. 11 § tredje stycket sekretesslagen. Uppgifter som en myndighet hämtar in i samband med arbetstagarens sjukledighet kan alltså hemlighållas med stöd av denna bestämmelse. För att tillgodose kravet på offentlighet och insyn omfattar bestämmelsen inte arbetstagarens hälsouppgifter i ärende om anställning eller disciplinansvar. 
 Visserligen är en av utredningens utgångspunkter att samma skyddsregler skall gälla för den offentliga och privata sektorn. I fråga om tystnadsplikt för arbetsgivarens anställda som behandlar hälsouppgifter är det emellertid inte lämpligt med en bestämmelse som undantagslöst föreskriver att de anställda inte får röja hälsouppgifterna, eftersom det inom den offentliga sektorn är nödvändigt att i vissa fall behålla rätten till insyn och offentlighet. Så är exempelvis fallet i ärende om anställning. I prop. 1999/2000:123 Lämplighetsprövning av personal inom förskole- verksamhet, skola och barnomsorg anmärks särskilt att det är en viktig princip att behålla offentligheten i sådana ärenden. 
 3  
 Lagrådet har i sitt yttrande över detta lagstiftningsärende uttryckligen påpekat att frågan om undantag från denna princip bör prövas noga. 
 Utredningen delar uppfattningen att det krävs en noggrann prövning av om förekomsten av hälsouppgifter i ett anställnings- ärende inom offentlig verksamhet motiverar ett utökat sek- retesskydd i förhållande till 7 kap. 11 § tredje stycket sekretess- lagen. Som tidigare konstaterats vid ett flertal tillfällen är arbetstagarens hälsouppgifter av känslig karaktär. Detta förhållande motiverar emellertid inte ensamt att det i LIA införs en be- stämmelse som innebär ett avsteg från offentlighetsprincipen och begränsar möjligheterna till insyn i denna typ av ärenden. För att så långt som möjligt uppnå ett fullgott integritetsskydd för arbets- tagarens personuppgifter och samtidigt iaktta intresset av offentlig- het inom det allmännas verksamhet föreslår utredningen därför att bestämmelsen i 7 kap. 11 § tredje stycket även fortsättningsvis skall gälla för det allmännas verksamhet och att det i LIA införs en tystnadsplikt inom den verksamhet som bedrivs privat. 
 I detta sammanhang bör erinras om bestämmelsen i 14 kap. 7 § sekretesslagen som innebär att 7 kap. 11 § samma lag inte utgör 
  
 3  
 Se prop. 1979/80:2 del A s. 200 ff. och prop. 1986/87:3 s. 8. 
 233 
  
 Tystnadsplikt 
  
 SOU 2002:18 
  
 hinder mot att en myndighet fullgör vad som i lag är föreskrivet om skyldighet att lämna information till företrädare för en arbetstagarorganisation eller till skyddsombud. För att inte inskränka privata arbetsgivares förhandlingsskyldighet bör mot- svarande ordning gälla inom den privata sektorn. Detta kommer till uttryck genom att förslaget bara tar sikte på obehörigt röjande av uppgifter. 
 Personuppgifter om lagöverträdelser har inte samma sekretesskydd i myndighets personaladministrativa verksamhet som personuppgifter om hälsa eller droganvändning. De person- uppgifter som registreras i belastningsregistret omfattas av särskilda sekretessbestämmelser som tar sikte på registret. Vad där- emot gäller uppgifter om lagöverträdelser som framgår av belastningsregisterutdrag som getts in till exempelvis domstolar eller antecknats i domar och beslut är huvudregeln att offentlighet skall eftersträvas. För att utredningen skulle kunna föreslå en bestämmelse som garanterar ett integritetsskydd i denna fråga för den offentliga sektorn krävs alltså att det tillskapas en särskild bestämmelse. Vid en sådan lösning uppkommer emellertid frågan om det är möjligt att tillskapa ett fungerande integritetsskydd genom att införa en bestämmelse som är konstruerad på ett liknande sätt som övriga bestämmelser i sekretesslagen. I ett tidigare lagstiftningsärende har det framhållits att en sådan integritetsskyddande bestämmelse för uppgifter antecknade i belastningsregistret eventuellt kan komma att få motsatt effekt. 
 4  
 Lagrådet påpekade i sitt yttrande att om en arbetstagare ger in ett registerutdrag som inte innehåller någon anteckning torde detta kunna lämnas ut oavsett om en bestämmelse är konstruerad med ett rakt eller ett omvänt skaderekvisit. Härigenom kommer ett nekande till att få ta del av en uppgift om lagöverträdelse i form av ett belastningsregisterutdrag innebära att det indirekt framgår att det finns en anteckning i arbetstagarens register. Lagrådet ansåg att det finns en klar risk för att det i dessa fall uppstår spekulationer kring vad som finns antecknat och att dessa kan leda till att arbetstagaren kränks. 
 5  
 Därtill kommer som nämnts ovan att huvudregeln under anställningsförfaranden är att det skall råda offentlighet. Detta sett tillsammans med svårigheten att undvika att en sekretessbestämmelse skapar en integritetsproblematik snarare än stärker skyddet innebär att utredningen avstår från att föreslå en 
  
 4 
  
 Se prop. 1999/2000:123 s. 29. 
  
 5 
  
 Se prop. 1999/2000:123 s. 114. 
  
 234 
  
 SOU 2002:18 
  
 Tystnadsplikt 
  
 bestämmelse om sekretess för personuppgifter om lagöverträdelser inom personaladministrativ verksamhet i sekretesslagen. 
 Sekretess gäller enligt 7 kap. 11 § första stycket för bl.a. uppgifter som hänför sig till psykologisk undersökning. Som redovisats ovan uttalades det i förarbetena till sekretesslagen att användningen av sådana undersökningar i samband med anställning i offentlig civil tjänst bara förekom i ytterst begränsad omfattning. I de fall där psykologiska test användes i sådana sammanhang var det dessutom i regel inte myndigheten som hade hand om testet utan detta utfördes av utomstående organ. 
 6  
 Om en personlighetstest utförs i enlighet med vad som föreslås i LIA torde det i större omfattning än vad som i dag är fallet vara så att testet utförs av utomstående personal och att arbetsgivaren bara får en kortare muntlig eller skriftlig redovisning av testet. Huvuddelen av de uppgifter som arbetssökanden lämnat kommer alltså att sorteras bort. Trots detta är det enligt utredningens mening viktigt att de uppgifter som separat eller sammanställda som ett resultat presenteras för arbetsgivaren inte sprids i vidare omfattning än vad som är nödvändigt, varför det föreligger behov av att tillskapa en tystnadsplikt för sådana uppgifter. 
 Med hänsyn till vad som sagts ovan om kravet på offentlighet i anställningsärenden inom allmän verksamhet torde det inte föreligga förutsättningar för att föra in en särskild bestämmelse om tystnadsplikt i sekretesslagen för de uppgifter som arbetsgivaren får del av i anledning av ett utfört personlighetstest. Däremot bör det enligt utredningens uppfattning införas en bestämmelse som gäller för den privata sektorn. 
 Bestämmelsen i LIA innebär att den som behandlar eller har behandlat sådana personuppgifter som avses i 3 och 4 §§, dvs. e- post och andra privata elektroniska uppgifter samt personuppgifter i s.k. loggar inte obehörigen får röja eller utnyttja vad som kommit fram. I denna del innebär bestämmelsen bl.a. en tystnadsplikt för systemadministratörer. För att stärka integriteten vid arbetstagares användning av  
 IT-verktyg 
  är det av vikt att spridningen av de uppgifter som avses i 3 och 4 §§ LIA begränsas. Med hänsyn till att det inte är möjligt att förutse vilka uppgifter som kommer att sekretessbeläggas föreligger det emellertid inte förutsättningar att föra in en sådan tystnadsplikt i sekretesslagen. 
  
 6  
 Se prop. 1979/80:2 del A, s. 203. 
 235 
  
 Tystnadsplikt 
  
 SOU 2002:18 
  
 Bestämmelsen om tystnadsplikt i LIA kommer i likhet med 7 kap. 11 § tredje stycket sekretesslagen inte innebära någon inskränkning i den s.k. meddelarfriheten. 
 236 
 13 Det fackliga inflytandet 
  
 13.1 
  
 Överväganden 
  
 13.1.1 
  
 Inledning 
  
 PUL är utformad som en offentligrättslig lag med vissa privaträttsliga inslag och LIA föreslås vara en lag som tar sin utgångspunkt i PUL:s bestämmelser. I avsnitt 4.2.1 har lämnats en redogörelse för förhållandet mellan LIA och PUL och av denna framgår att båda lagarna bygger på samma grundläggande principer, att de är delvis sammanflätade och att de skall tillämpas jämsides när det gäller sådan behandling av personuppgifter som är helt eller delvis automatiserad eller i registerform. Med hänsyn till det nära sambandet mellan lagarna anser utredningen att utformningen av LIA så långt möjligt bör överensstämma med utformningen av PUL. Skärningspunkterna mellan LIA och PUL kan dock komma att orsaka vissa problem vid tillämpningen, och det är därför viktigt att LIA:s regler får en utformning som klargör och underlättar tillämpningen så långt som möjligt. 
 De fackliga företrädarna i utredningens referensgrupp har i en särskild skrivelse till utredningen framfört kravet att den integritetsskyddande lagstiftning som utredningen kan komma att föreslå skall utformas som en arbetsrättslig lag och sanktioneras med ogiltighet av sådana avtal som är oförenliga med lagen samt med skadestånd. 
 Arbetsmarknadens parter har centrala uppgifter när det gäller all lagstiftning som rör arbetslivet, och en sådan lag som LIA faller självklart inom organisationernas normala intresseområde. Utredningen vill också understryka att parternas ansvar och engagemang behövs för att lagen skall kunna ge arbetstagare och 
 237 
  
 Det fackliga inflytandet 
  
 SOU 2002:18 
  
 arbetssökande det avsedda integritetsskyddet. Effektiviteten av LIA bygger i hög grad på ett fackligt engagemang. 
 Arbetstagarorganisationerna finns representerade på i stort sett alla arbetsplatser i landet och det är viktigt att de följer tillämp- ningen av den föreslagna lagen ute på arbetsplatserna och slår larm om den inte fungerar. Det är viktigt inte minst eftersom det är både mer praktiskt och mindre dramatiskt för en arbetstagare att ta kontakt med den lokala fackliga organisationen för att framföra sina klagomål än att vända sig till en tillsynsmyndighet. En felaktig tillämpning av lagen kan ofta bero på att arbetsgivaren saknar kunskap om lagen eller har missuppfattat dess innebörd och därför torde åtgärder som har vidtagits i strid med lagen i många fall kunna rättas till på ett enkelt sätt genom att informella kontakter tas mellan arbetsgivaren och den lokala fackliga organisationen. 
 Utredningen delar alltså i princip den inställning som uttrycks i skrivelsen från de fackliga representanterna och anser att en sådan lag som LIA som tar direkt sikte på förhållandena inom arbetslivet bör innehålla arbetsrättsliga inslag. I det följande diskuteras hur dessa lämpligen bör utformas. 
  
 13.1.2 
  
 En tvingande lag som inte kan frångås genom avtal 
  
 Den första fråga som uppkommer är om de föreslagna bestämmelserna i LIA bör vara tvingande eller dispositiva, dvs. om det kan överlämnas åt arbetsmarknadens parter att träffa kollektivavtal som avviker från bestämmelserna. Utredningen har inledningsvis som grund för sitt arbete slagit fast att skyddet för den personliga integriteten får anses vara en mänsklig rättighet. Som tidigare framhållits kan därav dras slutsatsen att det ankommer på staten att skapa ett tillfredsställande skydd för den personliga integriteten liksom man gör i övrigt beträffande skydd för mänskliga rättigheter. Staten bör alltså kunna garantera att det finns ett visst skydd för den personliga integriteten, vilket innebär att staten genom lagstiftning måste lägga fast en nivå för skyddet. 
 Dataskyddsdirektivet har lagt fast en bestämd nivå för skyddet av personuppgifter och bestämmelserna i PUL är i enlighet därmed tvingande i den meningen att de inte kan frångås genom kollektivavtal eller andra avtal. Det gäller oavsett om avtalet är mer eller mindre förmånligt för den registrerade än lagens 
 238 
  
 SOU 2002:18 
  
 Det fackliga inflytandet 
  
 bestämmelser. En annan sak är att den registrerades samtycke i vissa lägen har betydelse enligt lagen. 
 Det finns emellertid ett visst spelrum enligt dataskyddsdirektivet som lagstiftaren utnyttjat genom PUL, och det spelrummet skulle lagstiftaren kunna överlåta till avtalsreglering på LIA:s område. Det kan gälla sådant som preciseringar av hur bestämmelsen om att behandling av personuppgifter kan vara tillåten efter en intresse- avvägning skall tillämpas på särskilda områden eller hos en viss personuppgiftsansvarig. LIA skall också gälla på områden där dataskyddsdirektivet inte är tillämpligt och där utrymmet för avvikande avtal skulle kunna vara ännu större. 
 Det blir enklare att tillämpa LIA och PUL parallellt om också LIA är tvingande i samma mening som PUL. Det är vidare svårt att veta exakt hur stort spelrummet enligt dataskyddsdirektivet är och det kan därför vara olämpligt att överlämna dessa svåra rättsliga överväganden till kollektivavtalsparter och enskilda parter. Det kan också vara svårt att bedöma vilka begränsningar som kan finnas i avtalsfriheten med hänsyn till den personliga integriteten (jfr t.ex. NJA 1975 s. 16). 
 Sammanfattningsvis finner utredningen att både principiella och praktiska skäl talar för att LIA skall vara tvingande på samma sätt som PUL. Avtal som strider mot LIA skall således inte kunna göras gällande. 
 Däremot finns det naturligtvis ingenting som hindrar att parterna med LIA som grund träffar kollektivavtal med bestämmel- ser som preciserar lagen i olika hänseenden, t.ex. genom att precisera vad som gäller enligt lagen med hänsyn till förhållandena inom skilda branscher eller lokala förhållanden på olika arbets- platser. Tvärtom är det önskvärt att så sker och det är utredningens förhoppning att den föreslagna lagen skall kunna främja en sådan utveckling. LIA innehåller nämligen flera regler där det inte är på förhand alldeles givet hur de skall tillämpas på en arbetsplats. 
 För att parterna på arbetsmarknaden skall kunna träffa sådana preciserande kollektivavtal krävs det ingen särskild bestämmelse i lagen. Avtalen får nämligen inte stå i strid med lagen utan bara precisera den. Vid tvist om vad lagen innebär i ett visst fall kan sådana kollektivavtal antas få stor betydelse. Enligt 9 § PUL, som skall gälla vid all behandling av personuppgifter som omfattas av LIA, skall nämligen personuppgifter alltid behandlas i enlighet med god sed och vad som utgör god sed får avgöras med beaktande av de preciseringar som kan ha gjorts genom bl.a. kollektivavtal. Brott 
 239 
  
 Det fackliga inflytandet 
  
 SOU 2002:18 
  
 mot kollektivavtal för också med sig skyldighet att betala skadestånd enligt MBL. 
 Avslutningsvis finns det anledning att erinra om att kollektivavtal givetvis bara kan träffas i frågor som är kollektivavtalsmässiga. Det kan t.ex. finnas begränsningar i fråga om möjligheten att träffa sådana avtal i frågor om förhållandet mellan arbetssökande och potentiella arbetsgivare. Inget hindrar emellertid att arbetstagarorganisationer och arbetsgivare eller deras organisationer träffar överenskommelser i annan form med preciserande bestämmelser. 
  
 13.2 
  
 Förslag 
  
 Utredningen föreslår:  
 Det bör i LIA tas in en bestämmelse utan materiell betydelse med hänvisning till arbetsgivares skyldighet att förhandla enligt  
 11–14 
  §§ lagen (1976:580) om medbestämmande i arbetslivet. Vidare bör det i LIA anges att mål om tillämpningen av lagen handläggs enligt lagen (1974:77) om rättegången i arbetstvister. 
  
 13.2.1 
  
 Arbetsgivares förhandlingsskyldighet 
  
 Enligt 11 § MBL skall en arbetsgivare innan han beslutar om viktigare förändring av sin verksamhet på eget initiativ förhandla med arbetstagarorganisation i förhållande till vilken han är bunden av kollektivavtal. Detsamma skall iakttas innan en arbetsgivare beslutar om viktigare förändring av arbets- eller anställnings- förhållandena för arbetstagare som tillhör organisationen. Om synnerliga skäl föranleder det får arbetsgivaren enligt paragrafens andra stycke fatta och verkställa beslut innan han har fullgjort sin förhandlingsskyldighet enligt första stycket. Förhandlingen skall i första hand genomföras på lokal nivå, men den kan därefter enligt 14 § på begäran av arbetstagarsidan föras upp på förbundsnivå på den sidan. I frågor av mindre ingripande betydelse kan enligt 12 § initiativ till förhandling i stället tas från arbetstagarsidan. I 13 § finns en särskild regel om förhandlingsskyldighet för arbetsgivaren även gentemot en arbetstagarorganisation, som saknar kollektiv- avtal, om en fråga särskilt angår arbets- eller anställnings- förhållandena för en arbetstagare som tillhör den organisationen. 
 240 
  
 SOU 2002:18 
  
 Det fackliga inflytandet 
  
 Det är inte prövat i vilken utsträckning det gäller förhandlings- skyldighet enligt  
 11–14 
  §§ MBL inför arbetsgivarbeslut i alla de frågor som regleras i LIA; frågor som bara berör förhållandet mellan arbetssökande och arbetsgivaren torde dock falla utanför MBL:s tillämpningsområde. Utredningen anser emellertid att det är så viktigt att förhandlingsskyldigheten enligt MBL inför arbetsgivarbeslut i frågor som regleras i LIA uppmärksammas att det i LIA bör tas in en hänvisning utan materiell betydelse till bestämmelserna i MBL. 
  
 13.2.2 
  
 Rättegången i tvister 
  
 Enligt 1 kap. 1 § lagen (1974:371) om rättegången i arbetstvister (LRA) tillämpas lagen på rättegången i tvister om kollektivavtal och andra tvister rörande förhållandet mellan arbetsgivare och arbetstagare. Från lagens tillämpning undantas enligt 1 kap. 2 § bl.a. mål om skadestånd i anledning av brott, om talan förs i samband med åtal för brottet. 
 Enligt LRA:s förarbeten skall lagen tillämpas på tvister som rör arbetsgivare och arbetstagare i denna deras egenskap. LRA är tillämplig på alla tvister som omfattas av definitionen arbetstvist och det behövs således inte någon särskild forumregel för att den skall tillämpas. Det avgörande är om tvisten har uppkommit i ett anställningsförhållande. Som exempel på tvister där LRA skall tillämpas anges i förarbetena sådana tvister som uppkommit i ett anställningsförhållande och som gäller tillämpningen av bl.a. avtalslagen eller skadeståndslagen. 
 1 
  
 Mot den nu angivna bakgrunden och med hänsyn till LIA:s tillämpningsområde kan det konstateras att en tvist mellan en arbetstagare och en arbetsgivare om sådant som regleras i LIA definitionsmässigt är en arbetstvist, liksom tvister mellan arbetsgivare och arbetstagare om det som regleras enligt PUL. LRA skall därmed tillämpas. Talan kan gälla t.ex. skadestånd enligt LIA eller vara en talan om fastställelse om vad som gäller enligt LIA i ett visst konkret fall. Eftersom brott mot några av bestämmelserna i LIA är straffsanktionerade blir även de ovan nämnda reglerna i 1 kap. 2 § aktuella vid tillämpningen av LIA. En skadeståndstalan som handläggs tillsammans med ett åtal avseende brott mot PUL 
  
 1  
 SOU 1974:8, prop. 1974:77 s. 138 ff. 
 241 
 Det fackliga inflytandet SOU 2002:18 
 skall alltså enligt 22 kap. RB handläggas tillsammans med brottmålet i allmän domstol. 
 Enligt 2 kap. 1 § LRA skall Arbetsdomstolen som första domstol ta upp och avgöra tvist som väcks av en arbetsgivar- eller arbetstagarorganisation eller av en arbetsgivare som själv slutit kollektivavtal under förutsättning att målet gäller dels tvist om kollektivavtal eller annan arbetstvist som avses i MBL, dels arbetstvist i övrigt under förutsättning att kollektivavtal gäller mellan parterna eller att enskild arbetstagare som berörs av tvisten sysselsätts i arbete som avses i kollektivavtal vilket arbetsgivaren är bunden av. I alla andra fall skall en arbetstvist enligt 2 kap. 2 § tas upp och avgöras av tingsrätt. Enligt 4 kap. 5 § LRA kan arbets- och arbetsgivarorganisation föra talan för medlem. Och i enlighet med 4 kap. 7 § LRA måste rättegången i Arbetsdomstolen föregås av föreskrivna fackliga tvisteförhandlingar. 
 Utredningen anser att det är ändamålsenligt att alla tvister om tillämpningen av LIA handläggs enligt LRA. Utredningen föreslår därför att det i LIA införs en bestämmelse härom och att det i den bestämmelsen – efter mönster från antidiskrimineringslagstiftningen – tas in en föreskrift om att därvid skall anses som arbetstagare också arbetssökande och som arbetsgivare också den som någon har sökt arbete hos. Brottmål och överklaganden av Datainspektionens beslut enligt PUL skall dock givetvis inte handläggas enligt LRA. 
  
 13.2.3 
  
 Sammanfattning 
  
 Sammanfattningsvis kan konstateras att det kommer att finnas väsentliga arbetsrättliga inslag vid tillämpningen av LIA. Sålunda kan kollektivavtal träffas i fråga om den närmare tillämpningen av lagen, förhandlingar skall föras enligt MBL och LRA gäller beträffande alla tvister som rör lagen, varvid organisation kan företräda medlem. Det är utredningens förhoppning att dessa inslag sammantaget skall främja ett aktivt deltagande av de fackliga organisationerna i det viktiga arbetet att se till att skyddet för den personliga integriteten effektiviseras och utvecklas enligt de intentioner som uttrycks i LIA. 
 242 
 14 Tillsyn 
  
 14.1 
  
 Inledning 
  
 Ett naturligt inslag i en lag med LIA:s karaktär är bestämmelser om tillsyn över lagens rätta tillämpning. Bl.a. kan det vara en stor fördel för den arbetstagare som anser att arbetsgivaren bryter mot lagen att kunna vända sig till en tillsynsmyndighet i stället för att vara hänvisad till att stämma arbetsgivaren eller anmäla denne till åtal. Med hänsyn till tillämpningsområdet kan det övervägas om tillsyn skall ske av antingen Datainspektionen (DI) eller Arbetsmiljö- verket. Vidare bör övervägas om arbetstagarorganisationerna bör ges någon slags kontrollfunktion i detta avseende. 
  
 14.1.1 
  
 Datainspektionen 
  
 Enligt PUL:s regler om tillsyn har tillsynsmyndigheten, DI, rätt att på begäran få tillgång till de personuppgifter som behandlas, att få upplysningar om och dokumentation av behandlingen av personuppgifter och säkerheten vid denna samt att få tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter. Vidare har DI möjlighet att vid vite förbjuda fortsatt behandling av personuppgifter, undantaget lagring, om det inte är klart att behandlingen är laglig. DI kan också hos länsrätten ansöka om att sådana personuppgifter som har behandlats på ett olagligt sätt skall utplånas. 
 243 
  
 Tillsyn 
  
 SOU 2002:18 
  
 14.1.2 
  
 Arbetsmiljöverket 
  
 Arbetsmiljöverket är central förvaltningsmyndighet för arbetsmiljö- och arbetstidsfrågor och har som övergripande mål att minska riskerna för ohälsa och olycksfall i arbetslivet och att förbättra arbetsmiljön från såväl fysisk, psykisk som social och arbetsorganisatorisk synpunkt. Verket skall, enligt förordningen (2000:1211) med instruktion för Arbetsmiljöverket, särskilt ha tillsyn över bl.a. arbetsmiljö- och arbetstidslagstiftningen samt, inom arbetsmiljöområdet, lagstiftningen om tobak. 
 Arbetsmiljölagen, som är den centrala lagen på arbetsmiljö- området, har enligt 1 kap. 1 § till ändamål att förebygga ohälsa och olycksfall i arbetet samt att även i övrigt uppnå en god arbetsmiljö. Bestämmelsen avser inte enbart arbetsmiljö i fysiskt hänseende, utan en samlad bedömning skall göras, varvid även skall beaktas olika förhållanden som berör arbetets psykiska och sociala innehåll. Arbetsmiljölagens 7 kap. innehåller bestämmelser om tillsyn. Enligt dessa har Arbetsmiljöverket för sin tillsyn bl.a. rätt att få erforderliga upplysningar av arbetsgivaren och rätt till tillträde till arbetsställe. Polismyndighet skall lämna den handräckning som behövs för att tillsynen skall kunna utövas. Arbetsmiljöverket får meddela förelägganden eller förbud, vilka får förenas med vite. 
  
 14.1.3 
  
 Arbetstagarorganisationerna 
  
 Även om inte arbetstagarorganisationerna har någon formell tillsynsuppgift på ett sätt som motsvarar DI:s och Arbetsmiljö- verkets, ligger det inom organisationernas intresseområde att bevaka att gällande regler tillämpas på ett sätt som gagnar medlemmarna. 
 Enligt  
 11–14 
  §§ MBL är en arbetsgivare i vissa angivna situationer skyldig att förhandla med arbetstagarorganisation innan beslut om förändringar som påverkar organisationens medlemmar fattas. T.ex. torde införande av kontroller av arbetstagarna i form av hälsokontroller och drogtester samt mer omfattande loggning i många fall vara sådana viktigare förändringar som avses i lagen. Redan enligt gällande bestämmelser har arbetstagar- organisationerna därmed inflytande över de aktuella frågorna. 
 244 
  
 SOU 2002:18 
  
 Tillsyn 
  
 14.2 
  
 Överväganden och förslag 
  
 För vissa av de situationer som utredningen behandlar omfattar befintliga kontrollfunktioner även LIA:s tillämpning, genom Datainspektionens (DI) och Arbetsmiljöverkets tillsyn. Om man bortser från dessa fall finns emellertid också situationer där någon egentlig kontrollfunktion inte finns. Särskilt gäller det uppgifter om arbetstagare som behandlas manuellt och där behandlingen inte innebär vare sig risker för ohälsa eller viktigare förändringar av arbets- eller anställningsvillkoren. 
 När det gäller arbetstagares personuppgifter som behandlas automatiserat eller i registerform anser utredningen att DI:s befogenheter enligt PUL får anses tillräckliga. Att i LIA införa bestämmelser som skärper DI:s befogenheter vid sådan behandling i arbetslivet är därför inte påkallat. På motsvarande sätt har Arbetsmiljöverket långtgående befogenheter när det gäller situationer där verksamheten kan strida mot arbetsmiljölagen. Inte heller för dessa situationer finns därför något behov av att skärpa tillsynsbestämmelserna för arbetslivets del. 
 Mot den angivna bakgrunden är frågan om det finns något behov av tillsynsbestämmelser dels för situationer där personuppgifter behandlas helt manuellt och dels där behandlingen inte kan sägas utgöra ett arbetsmiljöproblem. 
 Vad först gäller DI:s uppgift som tillsynsmyndighet enligt PUL grundas denna på internationellt överenskomna regler om dataskydd. Även om det i viss mån skulle kunna vara befogat med särskilda regler om tillsyn också när det gäller helt manuellt behandlade uppgifter, torde intresset härav vara avsevärt mindre än när det gäller automatiserad behandling eller behandling i registerform. Vidare måste beaktas att bestämmelser i LIA som motsvarar PUL:s bestämmelser om tillsyn skulle innebära en rätt för DI att t.ex. få tillträde till alla lokaler där manuellt behandlade uppgifter kan finnas, vilket i praktiken torde innebära samtliga lokaler där arbetsgivaren bedriver verksamhet. En sådan utvidgning av föremålet för DI:s tillsyn skulle inte falla sig helt naturlig. 
 Liknande resonemang kan föras beträffande Arbetsmiljöverket. Myndighetens nuvarande tillsynsverksamhet motiveras av arbetsmiljöintressen. Att då utvidga tillsynen även till annat än sådant som kan utgöra risker för den psykiska arbetsmiljön ter sig därför i förstone inte särskilt naturligt. Arbetsmiljöverkets område omfattar emellertid till stor del frågor rörande hälsorisker, där 
 245 
  
 Tillsyn 
  
 SOU 2002:18 
  
 hälsokontroller utgör ett viktigt inslag. Att utöka Arbetsmiljöverkets tillsyn till alla former av hälsokontroller och behandlingen av hälsouppgifter över huvud taget skulle därför kunna vara motiverat. Vidare kan beaktas att Arbetsmiljöverkets tillsyn redan omfattar vissa former av det som utredningen valt att benämna loggning, framför allt sådan som innefattar kvantitativa eller kvalitativa kontroller vid bildskärmsarbete. 
 Vid en samlad bedömning anser utredningen emellertid att värdet av att införa en särskild bestämmelse om tillsyn vore ringa. Mot den bakgrunden saknas det skäl att i LIA föreslå någon särskild tillsynsbestämmelse. 
 246 
 15 Sanktioner 
  
 15.1 
  
 Skadestånd 
  
 15.1.1 
  
 Den rättsliga regleringen 
  
 15.1.1.1 Skadeståndslagen 
 I skadeståndslagen (1972:207) återfinns grundläggande bestämmelser om skadestånd. Lagen är generellt tillämplig och gäller om inte annat är föreskrivet eller föranleds av avtal eller i övrigt följer av regler om skadestånd i avtalsförhållanden. Enligt ordalydelsen är lagen tillämplig också i avtalsförhållanden, även om modifikationer och undantag är vanliga i sådana fall. Inom arbetsrätten finns det flera sådana undantag som särskilt reglerar skadeståndsfrågor i förhållandet mellan arbetsgivare och arbets- tagare. Här kan bara nämnas 54 § MBL och 38 § lagen (1982:80) om anställningsskydd som ett par av de viktigare. 
 När det gäller rätt till ersättning för ideella skador, eller kränk- ningar, intar svensk rätt en restriktiv hållning. I princip förutsätts att en sådan rätt framgår direkt av lag eller avtal. 
 1  
 I skadestånds- lagen 2 kap. 3 § finns en mer allmän bestämmelse om ersättning för kränkning. Rätten till ersättning enligt bestämmelsen är dock begränsad till allvarliga kränkningar som uppkommer genom vissa brott som riktar sig mot enskildas personliga integritet. Särskilda skadeståndsregler som ger rätt till ersättning för olika slag av integritetskränkningar finns också, t.ex. 48 § PUL, 18 § inkasso- lagen, 21 § kreditupplysningslagen och 7 § lagen (1998:714) om frihetsberövande och andra tvångsåtgärder. Även de ovan nämnda arbetsrättsliga skadeståndsbestämmelserna ger en rätt till ideell ersättning. 
  
 1  
 Se Smith, Crane,  
 Skadeståndsrätt,  
 6 u, s. 371. 
  
 Sanktioner 
  
 SOU 2002:18 
  
 2 kap. 3 § skadeståndslagen 
 Med hänsyn till att 17 § LIA föreskriver straff för vissa över- trädelser av LIA kommer sådana förfaranden att definitionsmässigt utgöra av kränkningar genom brott. Frågan är i vilken mån kränkningarna är sådana som avses i 2 kap. 3 § skadeståndslagen och om den bestämmelsen därmed skulle kunna bli tillämplig vid överträdelser av LIA. 2 kap. 3 § skadeståndslagen tillämpas emeller- tid inte generellt på alla kränkningar av personlig integritet. Enligt bestämmelsens ordalydelse är skadeståndsskyldigheten begränsad till fall när någon allvarligt kränker någon annan genom brott som innefattar ett angrepp mot dennes person, frihet, frid eller ära. Angrepp mot annans frid avser enligt motiven främst den enskildes rätt att få vara i fred och hålla sitt privatliv okänt för andra. 
 2  
 Som exempel på sådana brott anges i motiven bl.a. brytande av post- eller telehemlighet, intrång i förvar och olovlig avlyssning. 
 Att döma av förarbetena till bestämmelsen och av den praxis som bildats 
 3  
 är det tveksamt ett brott mot LIA skulle komma att medföra rätt till skadestånd enligt bestämmelsen. Däremot kan tänkas fall där en arbetsgivares brott mot LIA samtidigt utgör t.ex. brottet ofredande eller sådana ärekränkande gärningar som avses med bestämmelsen. Så bör vara fallet om en arbetsgivares åtgärder direkt syftar till att exempelvis ofreda arbetstagaren eller att kränka dennes frid eller ära. Som redovisats ovan skulle en arbetsgivares åtgärd att ta del av en arbetstagares privata elektroniska uppgifter under vissa förutsättningar kunna bedömas som brytande av post- eller telehemlighet. I sådant fall blir också 2 kap. 3 § skadestånds- lagen enligt sin ordalydelse tillämplig. Även om inte brottet dataintrång nämns särskilt i motiven, torde även det brottet kunna medföra skadeståndsskyldighet. 
 Sammanfattningsvis kan således 2 kap. 3 § skadeståndslagen bli tillämplig vid brott mot LIA, men endast om gärningen samtidigt utgör brott enligt andra straffstadganden. Att ett förfarande är straffbart enligt LIA innebär därmed i sig inte att 2 kap. 3 § skadeståndslagen blir tillämplig. Med hänsyn till att bestämmelsens ordalydelse ger visst utrymme åt rättstillämpningen bör dock framhållas att denna bedömning är något osäker. 
  
 2 
  
 Se prop. 2000/01:68 s. 64. 
  
 3 
  
 För en genomgång härav, se SOU 1992:84,  
  
 Ersättning för kränkning genom brott,  
 avsnitt 5.3. 
 248 
  
 SOU 2002:18 
  
 Sanktioner 
  
 15.1.1.2 PUL 
 Vid behandling av en arbetstagares personuppgifter som sker automatiserat eller i registerform och således omfattas av PUL, blir skadeståndsbestämmelsen i 48 § PUL tillämplig. Enligt den bestämmelsen är den personuppgiftsansvarige skyldig att ersätta den registrerade för skada och kränkning av den personliga integriteten som orsakats av en behandling i strid med lagen. Ersättningsskyldigheten förutsätter inte vare sig uppsåt eller vårdslöshet från den personuppgiftsansvariges sida, utan är ett strikt ansvar. Ersättningsskyldigheten kan dock jämkas om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. Enligt bestämmelsen kan skadestånd komma ifråga vid varje brott mot lagen. All ekonomisk skada skall ersättas, dvs. person- skada, sakskada och ren förmögenhetsskada. Därutöver skall ersätt- ning utgå för kränkning av den personliga integriteten. I för- arbetena till PUL motiverades rätten till ersättning för kränkning med att rätten till personlig integritet är en immateriell rättighet och att det vid en kränkning av denna inte behöver uppkomma någon ekonomisk skada. Därför bör den enskilde, som drabbas av en olaglig behandling, ha rätt till ekonomisk kompensation för själva kränkningen förutom rätt till ersättning för ekonomisk skada. Ersättningen för kränkningen bör uppskattas efter skälighet mot bakgrund av samtliga omständigheter i det aktuella fallet. 
 4 
  
 15.1.2 
  
 Överväganden och förslag 
  
 Utredningens förslag:  
 En bestämmelse bör införas som innebär att arbetsgivare skall ersätta en arbetstagare eller en arbets- sökande för den skada och kränkning av den personliga integri- teten som behandling av personuppgifter i strid med LIA har orsakat. 
 Ersättningsskyldigheten bör i den utsträckning det är skäligt kunna jämkas, om arbetsgivaren visar att felet inte berodde på arbetsgivaren. 
 Av redogörelsen för nuvarande reglering framgår att en arbets- tagare 
 5  
 redan med gällande bestämmelser har vissa möjligheter till 
  
 4 
  
 Se prop. 1997/98:44 s. 106. 
  
 5 
  
 Med arbetstagare avses här i förekommande fall även tidigare arbetstagare och arbetssökande. 
  
 249 
  
 Sanktioner 
  
 SOU 2002:18 
  
 ersättning för skada i situationer som omfattas av LIA. Möjlig- heterna är emellertid begränsade till sådana fall där arbetsgivaren samtidigt gör sig skyldig till brott enligt andra straffstadganden. Vid flertalet överträdelser av LIA skulle därmed en arbetstagare sakna rätt till skadestånd, vilket utredningen finner otillfreds- ställande. Utgångspunkten bör enligt utredningens mening vara densamma som i PUL, nämligen att alla överträdelser av lagens bestämmelser bör medföra rätt till ersättning för såväl skada som kränkning av arbetstagarens personliga integritet. 
 Den föreslagna bestämmelsen innebär att en arbetstagare får rätt till ersättning för skada eller kränkning av den personliga integriteten vid alla brott mot LIA. Förslaget har utformats i enlighet med 48 § PUL och omfattar sak- och personskada, ren förmögenhetsskada och kränkning. Eftersom det torde vara mycket sällsynt att ersättningsgilla rena förmögenhetsskador samt sak- och personskador uppkommer vid brott mot LIA, är den praktiskt mest betydelsefulla skadeformen i bestämmelsen kränk- ning av den personliga integriteten. Detta är, som nämnts ovan, fråga om ett ideellt intresse som i många fall kan vara svårt att ange mer exakt. LIA:s utformning innebär emellertid att en gräns har dragits mellan vad som inom lagens tillämpningsområde är tillåtet och otillåtet i fråga om åtgärder som kan kränka en arbetstagares personliga integritet. Om en arbetsgivare går utöver vad som är tillåtet och alltså bryter mot LIA:s bestämmelser måste en kränk- ning av den personliga integriteten ha uppkommit. Arbetsgivarens ansvar är strikt och gäller därmed oavsett uppsåt eller oaktsamhet från dennes sida. Arbetsgivaren blir ansvarig inte bara för egna åtgärder, utan även för åtgärder som t.ex. någon anställd vidtar mot en annan anställd eller som ett rekryteringsföretag har vidtagit under ett anställningsförfarande. Den möjlighet till jämkning som intagits i bestämmelsen innebär emellertid att arbetsgivaren kan bli fri från ansvar om han eller hon visar att skadan eller kränkningen har uppkommit på grund av fel som inte berodde på arbetsgivaren. Ansvaret bör kunna jämkas bl.a. om arbetsgivaren kan visa att han vidtagit tillräckliga åtgärder för att LIA skall följas, men en kränk- ning trots det uppkommer på grund av att en arbetstagare eller ett rekryteringsföretag behandlar personuppgifter i strid med arbets- givarens riktlinjer. 
 För en arbetstagare är det således tillräckligt att visa att personuppgifter har behandlats eller att annan åtgärd har vidtagits i strid med LIA för att en kränkning skall anses ha uppkommit. Om 
 250 
 SOU 2002:18 Sanktioner 
 arbetsgivaren häremot gör gällande att det föreligger skäl för jämkning, är det arbetsgivarens sak att visa att så är fallet. 
 När det i övrigt gäller grunderna för jämkning eller bedömning av ersättningens storlek bör tillämpningen överensstämma med vad som gäller enligt PUL. 
 Här bör särskilt påpekas att en tvist om skadestånd enligt bestämmelsen normalt skall handläggas enligt lagen (1974:371) om rättegången i arbetstvister, vilket närmare har redovisats i avsnitt 
  
 15.1.3 
  
 Förhållandet till andra bestämmelser 
  
 15.1.3.1 
  
 Skadeståndslagen 
  
 Enligt 1 kap. 1 § skadeståndslagen gäller lagen inte om annat är föreskrivet. I förhållande till 2 kap. 3 § skadeståndslagen är de före- slagna skadeståndsbestämmelserna i LIA sådana specialbestämmel- ser som tar över de allmänna skadeståndsreglerna i skadestånds- lagen. Vid sådana förfaranden som utgör överträdelse av LIA och samtidigt utgör brott enligt andra straffbestämmelser kan ersätt- ning utgå enligt såväl LIA som skadeståndslagens bestämmelser. Den omständigheten att arbetsgivarens åtgärder – förutom överträdelse av LIA – också är straffbara på annan grund bör kunna beaktas vid bedömningen av allvaret i kränkningen. 
 Skadeståndslagens karaktär av generell lag innebär att dess be- stämmelser tillämpas i den utsträckning en skadeståndsfråga inte berörs i LIA. Således skall skadeståndslagen tillämpas bl.a. när det gäller skadeståndets beräkning (5 kap.) eller frågan om ansvaret när det finns flera skadeståndsskyldiga (6 kap. 3 §). Frågan om jämk- ning p.g.a. medvållande (6 kap. 1 §) får emellertid anses reglerad i den föreslagna bestämmelsen i LIA. 
 15.1.3.2 PUL 
 I likhet med vad som allmänt sagts beträffande förhållandet mellan LIA och PUL gäller även i fråga om skadestånd att LIA:s bestämmelse tar över PUL:s i de fall LIA innebär en specialreglering av en skadegörande handling. Om en arbetsgivare t.ex. inhämtar personuppgifter från tredje man utan arbetstagarens samtycke, står det i strid med en särskild bestämmelse i LIA, vilket 
 251 
  
 Sanktioner 
  
 SOU 2002:18 
  
 medför att LIA:s skadeståndsbestämmelse tar över 48 § PUL. Om de i exemplet ovan inhämtade uppgifterna behandlas automatiserat och arbetsgivaren därvid exempelvis i strid med 33 § PUL överför personuppgifterna till tredje land rör det sig om en åtgärd som inte regleras särskilt i LIA. Därmed skall skadeståndsbestämmelsen i PUL tillämpas. 
 Således kan olika skadeståndsbestämmelser komma att tillämpas avseende olika skeden i behandlingen av en och samma person- uppgift. Detta har emellertid ingen materiell betydelse, eftersom LIA:s och PUL:s skadeståndsbestämmelser innehållsmässigt överensstämmer med varandra. 
  
 15.2 
  
 Straff 
  
 15.2.1 
  
 Den rättsliga regleringen 
  
 15.2.1.1 PUL 
 I 49 § PUL finns regler om straff för den som bryter mot vissa bestämmelser i lagen. De förfaranden som är straffbelagda är om någon uppsåtligen eller av oaktsamhet lämnar osanna uppgifter i vissa angivna fall, behandlar känsliga uppgifter eller uppgifter om lagöverträdelser i strid med lagen, överför personuppgifter till tredje land i strid med lagen eller underlåter att till tillsyns- myndigheten anmäla vilken behandling som sker. Straffbestämmel- sen riktar sig mot varje fysisk person som gör sig skyldig till den straffbara handlingen och är alltså inte särskilt knuten till den personuppgiftsansvarige. 
  
 15.2.2 
  
 Behovet av ytterligare reglering 
  
 För att föreslå nya straffbestämmelser bör krävas starka skäl, bl.a. att det är fråga om ett så allvarligt brott att en straffrättslig sanktion är befogad och att det inte finns andra sätt att reagera mot beteendet i fråga. Vidare måste en straffbestämmelse vara så preciserad att den enskilde klart kan förutse var gränserna för tillåtet beteende går. 
 Utredningen föreslår att överträdelser av LIA:s bestämmelser skall vara förenade med en skadeståndsskyldighet för arbetsgivaren. 
 252 
  
 SOU 2002:18 
  
 Sanktioner 
  
 Vidare har i avsnitt redovisats hur frågor om arbetstagares integritetsskydd praktiskt bör komma att hanteras på arbets- platserna. Fackföreningarna förutses här få ett betydande inflytande. Förutsättningarna att ge de föreslagna bestämmelserna tillräcklig effektivitet utan att förena dem med en straffsanktion tycks därmed goda. 
 Trots att det alltså enligt utredningens mening inte finns något självständigt behov av att straffsanktionera LIA:s bestämmelser måste följande beaktas. I förhållande till PUL utgör LIA en specialreglering när det gäller bl.a. behandling av personuppgifter om arbetstagares hälsa. Det innebär att PUL:s bestämmelser om behandling av hälsouppgifter inte skall tillämpas inom LIA:s tillämpningsområde, dvs. i förhållandet mellan arbetsgivare och arbetstagare eller arbetssökande. Med hänsyn till att de paragrafer som straffbestämmelsen i PUL hänvisar till därmed inte är tillämpliga innebär de föreslagna bestämmelserna i LIA i praktiken en avkriminalisering i de fall där behandlingen sker helt eller delvis automatiserat. Enligt utredningens mening är det inte lämpligt att här avkriminalisera lagstridig behandling av hälsouppgifter i arbetslivet, när sådan behandling är straffbar i andra sammanhang. 
 Trots de ovan redovisade betänkligheterna beträffande kriminalisering anser utredningen därför att det är ofrånkomligt att i LIA införa en straffbestämmelse som motsvarar vad som gäller enligt PUL. För att motsvara PUL:s tillämpningsområde är tillräckligt att i LIA införa en bestämmelse som kriminaliserar brott mot 5 § LIA. I förhållande till PUL innebär LIA en specialreglering även t.ex. när det gäller behandling av personuppgifter om lagöverträdelser eller när det gäller arbetsgivarens skyldighet att lämna information till arbetstagarna eller att rätta felaktiga uppgifter. I dessa fall har emellertid direkt i de föreslagna bestämmelserna föreskrivits att motsvarande bestämmelser i PUL fortfarande skall gälla vid helt eller delvis automatiserad behandling eller behandling i registerform. Därför gäller PUL:s straffbestämmelse och någon särskild reglering i LIA behövs inte i de fallen. 
 253 
  
 Sanktioner 
  
 SOU 2002:18 
  
 15.2.3 
  
 Överväganden och förslag 
  
 Utredningen föreslår:  
 En straffbestämmelse föreslås, enligt vilken den som uppsåtligen eller av oaktsamhet behandlar personuppgifter i strid med 5 § kan dömas till böter eller fängelse i högst sex månader eller, om brottet är grovt, till fängelse i högst två år. Det straffbara området är begränsat till behandling som sker helt eller delvis automatiserat eller i registerform, varför helt manuell behandling undantas. 
 Bestämmelsen straffsanktionerar förfaranden som innebär att en arbetsgivare behandlar en arbetstagares eller en arbetssökandes personuppgifter om hälsa eller droganvändning i strid med 5 §. Bestämmelsen utformas med 49 § PUL som förebild och avser därmed såväl uppsåtliga som oaktsamma förfaranden. I likhet vad som gäller enligt PUL är det den fysiska person som gjort sig skyldig till förfarandet som kan dömas till ansvar. Vilken person som i ett enskilt fall kan dömas till ansvar får bedömas utifrån allmänna straffrättsliga principer. 
  
 15.2.4 
  
 Förhållandet till PUL 
  
 Straffbestämmelsen i PUL gäller även i fortsättningen för sådana förfaranden som bestämmelsen avser, med undantag för de fall där LIA innebär en specialreglering. I 9, 11, 12 och 13 §§ har uttryckligen angetts att PUL skall gälla även i fortsättningen vid behandling som sker helt eller delvis automatiserat eller i registerform. Därmed skall också 49 § PUL tillämpas i de fall det sker en straffbar överträdelse av 21 och  
 23–28 
  samt 30 och 31 §§ PUL. När det gäller förfaranden i strid med 3 § har tidigare anförts att sådana förfaranden kan vara att bedöma som dataintrång enligt 4 kap. 9 c § BrB. 
 254 
 16 Konsekvenser av förslagen 
  
 16.1 
  
 Inledning 
  
 Enligt 14 § kommittéförordningen (1998:1474) gäller att om förslagen i ett betänkande påverkar kostnaderna eller intäkterna för staten, kommuner, landsting, företag eller andra enskilda skall en beräkning av dessa konsekvenser redovisas i betänkandet och om förslagen innebär samhällsekonomiska konsekvenser i övrigt skall också dessa redovisas. När det gäller kostnadsökningar och intäktsminskningar för staten, kommuner eller landsting skall kommittén föreslå en finansiering. I 15 § nu nämnda förordning sägs att om förslagen i ett betänkande har betydelse för den kommunala självstyrelsen skall konsekvenserna i det avseendet anges i betänkandet. Detsamma gäller när ett förslag har betydelse för brottsligheten och det brottsförebyggande arbetet, för sysselsättningen och offentlig service i olika delar av landet, för små företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i förhållande till större företags, för jämställdheten mellan kvinnor och män eller möjligheterna att nå de integrationspolitiska målen. I 16 § sägs att regeringen anger närmare i utrednings- uppdraget vilka konsekvensbeskrivningar som skall finnas i ett betänkande. 
 I Integritetsutredningens direktiv har angetts att utredaren särskilt skall ta hänsyn till de små företagens arbetsförutsättningar, konkurrensförmåga och villkor i övrigt. 
  
 16.2 
  
 Ekonomiska konsekvenser 
  
 Utredningens förslag till integritetsskyddande lag kommer att beröra de flesta arbetsgivares verksamhet. Det är därför önskvärt 
  
 Konsekvenser av förslagen 
  
 SOU 2002:18 
  
 att både arbetsgivare och arbetstagare informeras om lagens innebörd. Enligt utredningens mening är det lämpligast att överlåta åt arbetsgivar- och arbetstagarorganisationerna att informera sina medlemmar på det sätt som är mest praktiskt och effektivt. För denna uppgift bör det utgå extra medel. Frågan om beloppets storlek får behandlas vid överläggningar mellan regeringen och berörda organisationer. 
 I övrigt kan lagförslaget inte anses medföra några kostnader som bör täckas med särskilda anslag. 
  
 16.3 
  
 Övriga konsekvenser 
  
 Bestämmelserna om genomförandet av hälsoundersökningar och drogtester kan föranleda en mindre kostnad för de arbetsgivare som i syfte att uppfylla lagens krav ansluter sig till företags- hälsovården eller liknande inrättningar. 
 Utredningen har fortlöpande bedrivit sitt arbete med hänsyn till att kvinnor och män skall behandlas lika. Uppmärksamheten har alltså kontinuerligt varit riktad mot jämställdhetsfrågor och utred- ningen anser att lagförslaget är helt i enlighet med intentionerna i jämställdhetslagstiftningen. Utredningen har också tagit del av rele- vanta  
 EG-direktiv 
  och avgöranden från  
 EG-domstolen 
  angående familjeplaneringsfrågor och beaktat de resonemang som fram- kommit i avgörandena vid utformningen av såväl lagtext som betänkandetext. 
 Enligt direktiven har utredningen att beakta de föreslagna bestämmelsernas konsekvens för de små företagens arbets- förutsättningar, konkurrensförmåga och villkor i övrigt. Utred- ningen anser inte att lagförslaget kommer att få verkningar som påverkar de mindre företagens förutsättningar i nämnda avseenden. 
 Utredningen anser inte heller att förslaget får några konsekvenser i övrigt i de hänseenden som bör beaktas. 
 256 
 17 Författningskommentar 
 Förslag till lag om skydd för personlig integritet i arbetslivet 
 Syftet med lagen 
 1 § 
 Syftet med denna lag är att med utgångspunkt i personuppgiftslagen (1998:204) stärka skyddet för den personliga integriteten i arbetslivet. 
 Paragrafen är en s.k. portalparagraf som upplyser om att målsättningen med lagen är att stärka integriteten i arbetslivet. 
 Förslaget motiveras utförligt i kapitel 3 i den allmänna motiveringen. 
 Lagens tillämpningsområde 2 § 
 Lagen tillämpas på arbetsgivares dokumenterade behandling av arbetstagares och arbetssökandes personuppgifter. Med arbetstagare förstås i förekommande fall även tidigare arbetstagare. 
 Vid all behandling av personuppgifter som omfattas av denna lag tillämpas även  
 7–9 
  §§ personuppgiftslagen. 
 Om det i en annan lag än personuppgiftslagen eller i en förordning finns bestämmelser som avviker från denna lag, skall de bestämmelserna gälla. 
 257 
  
 Författningskommentar 
  
 SOU 2002:18 
  
 I paragrafen finns bestämmelser om tillämpningsområdet för lagen. Bestämmelserna har ingående beskrivits i kapitel 4 i den allmänna motiveringen. 
 Med begreppet behandling av personuppgifter avses detsamma som anges i 3 § PUL, nämligen varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. 
 Med begreppet personuppgift avses, likaledes enligt 3 § PUL, all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. 
 Alla former av behandling av personuppgifter – manuell och automatiserad – omfattas av LIA. För det första krävs det dock att personuppgifterna är dokumenterade. En personuppgift är dokumenterad om den finns i en framställning i skrift eller bild eller i en upptagning som kan läsas, avlyssnas eller på annat sätt uppfattas med tekniskt hjälpmedel (jfr motsvarande krav i fråga om handlingar i 2 kap. 3 § första stycket TF). Personuppgifter som en arbetsgivare har fått muntligt och som inte därefter dokumenterats omfattas således inte. 
 För det andra krävs att det är en arbetsgivare som behandlar personuppgifter om en person som är eller har varit arbetstagare hos arbetsgivaren eller söker eller har sökt anställning hos arbets- givaren. Lagen bygger på det civilrättsliga arbetstagarbegreppet. Med arbetssökande avses detsamma som enligt 45 § jämställdhets- lagen (1991:433). En arbetsgivare anses behandla personuppgifter om arbetsgivaren ensam eller tillsammans med annan bestämmer ändamålen med och medlen för behandlingen (jfr definitionen av personuppgiftsansvarig i 3 § PUL). Att en arbetsgivare som anlitar rekryteringsföretag eller liknande företag under vissa förutsättning- ar anses ansvarig enligt LIA för företagets behandling av person- uppgifter har berörts i avsnitt i den allmänna motiveringen. 
 Av paragrafen framgår vilken behandling av personuppgifter som omfattas av LIA. I andra stycket föreskrivs att  
 7–9 
  §§ PUL skall tillämpas vid all behandling som omfattas av LIA. Det innebär att dessa bestämmelser skall tillämpas också på sådan manuell behand- ling som inte omfattas av 5 § PUL men som omfattas av LIA, dvs. vad som i betänkandet benämns helt manuell behandling. 
 258 
  
 SOU 2002:18 
  
 Författningskommentar 
  
 Vid tillämpning av  
 7–9 
  §§ PUL avses arbetsgivare med begreppet personuppgiftsansvarig och arbetstagare eller arbetssökande med begreppet registrerad. Den som är anställd och inom ramen för arbetsgivarens verksamhet behandlar personuppgifter är inte personuppgiftsansvarig. Arbetsgivaren är personuppgiftsansvarig och den anställde är medhjälpare och har som sådan inte något eget skadeståndsansvar gentemot andra anställda eller mot arbetssökande. 
 I 9 § PUL slås fast grundläggande krav på behandlingen av personuppgifter. Paragrafen har följande lydelse: 
 Den personuppgiftsansvarige skall se till att 
  
 a) 
  
 personuppgifter behandlas bara om det är lagligt, 
  
 b) 
  
 personuppgifter alltid behandlas på ett korrekt sätt och i enlighet med god sed, 
  
 c) 
  
 personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål, 
  
 d) 
  
 personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, 
  
 e) 
  
 de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen, 
  
 f) 
  
 att inte fler uppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen 
  
 g) 
  
 de personuppgifter som behandlas är riktiga och, om det är nödvändigt, aktuella 
  
 h) 
  
 alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen, 
  
 i) 
  
 personuppgifter inte bevaras under en längre tid än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. 
  
 I fråga om första stycket d gäller dock att en behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte skall anses som oförenlig med de ändamål för vilka uppgifterna samlades in. 
 Personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål under längre tid än som sagts i första stycket i. Personuppgifterna får dock i sådana fall inte bevaras under en längre tid än vad som behövs för dessa ändamål. 
 Personuppgifter för historiska, statistiska eller vetenskapliga ändamål får användas för att vidta åtgärder i fråga om den registrerade bara om den registrerade har lämnat sitt samtycke eller 
 259 
  
 Författningskommentar 
  
 SOU 2002:18 
  
 om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. 
 Bestämmelserna i 7 och 8 §§ PUL, som behandlar förhållandet till tryckfriheten, yttrandefriheten och offentlighetsprincipen, berörs i den allmänna motiveringen i avsnitt Av tredje stycket framgår att bestämmelserna i LIA är subsidiära i förhållande till bestämmelser i andra lagar än PUL och i förordningar utfärdade av regeringen. Beslut som riksdagen eller regeringen har fattat i annan form än lag eller förordning tar däremot inte över bestämmelserna i LIA. Att bestämmelser i grundlag vid konflikt tar över bestämmel- serna i LIA följer redan av den vedertagna principen om grundlags överhöghet. 
 Frågan om en viss bestämmelse innefattar en avvikelse från vad som skall gälla enligt LIA får avgöras med tillämpning av sedvanliga metoder för tolkning av författningar. En bestämmelse om att en arbetsgivare får eller skall registrera eller lämna ut vissa uppgifter kan t.ex. avvika från bestämmelserna i LIA. 
 Privat  
 e-post 
  och andra privata elektroniska uppgifter 3 § 
 En arbetsgivare får inte avsiktligt ta del av en arbetstagares privata e- post eller andra privata elektroniska uppgifter. 
 Första stycket gäller inte om arbetstagaren har lämnat sitt samtycke till åtgärden. 
 Första stycket gäller inte heller om åtgärden är nödvändig för arbetsgivarens verksamhet. Vid bedömningen härav skall särskilt beaktas om det föreligger fara för informationssäkerheten eller om det finns skälig misstanke att arbetstagaren har gjort sig skyldig till brott vid användning av arbetsgivarens elektroniska utrustning eller till sådant illojalt beteende som kan utgöra saklig grund för uppsägning eller föranleda skadeståndsskyldighet. 
 I första stycket slås fast som huvudregel att en arbetstagares privata  
 e-post 
  eller andra privata elektroniska uppgifter som finns i arbets- givarens  
 IT-utrustning 
  är skyddade från insyn från arbetsgivarens sida och att denne därmed inte får ta del av uppgifterna. Med hänsyn till de praktiska svårigheterna att på förhand avgöra om vissa uppgifter är privata eller inte har införts en begränsning till fall där arbetsgivaren avsiktligt tar del av uppgifterna. Bestämmel- 
 260 
  
 SOU 2002:18 
  
 Författningskommentar 
  
 sen hindrar således inte att en arbetsgivare i oklara fall tar del av uppgifter för att undersöka om de är privata. Om det då visar sig att uppgifterna är privata får arbetsgivaren inte vidta några ytterligare åtgärder för att ta del av uppgifterna. 
 Av andra stycket framgår dock att arbetsgivaren alltid har rätt att ta del av privata elektroniska uppgifter om arbetstagaren har sam- tyckt till åtgärden. Med samtycke avses detsamma som enligt PUL. 
 I tredje stycket anges vidare att arbetsgivaren får ta del av en arbetstagares privata elektroniska uppgifter även i de fall att det är nödvändigt för verksamheten. Vilka omständigheter som kan göra detta berättigat har exemplifierats. Med uttrycket fara för informationssäkerheten avses ett påtagligt och betydande hot. Åt- gärden att ta del av uppgifterna måste också vid en objektiv bedömning framstå som nödvändig med hänsyn såväl till arbetsgivarens verksamhet som till den föreliggande faran. Vid misstanke om brott eller illojalt beteende krävs en konkret misstanke, vilket uttrycks på så sätt att det skall finnas en skälig misstanke. 
 En arbetsgivares åtgärd att ta del av privat elektronisk information utgör enligt PUL behandling av personuppgifter om arbetstagaren. PUL:s bestämmelser skall därför tillämpas vid sidan av den nu föreslagna bestämmelsen. 
 Loggning 4 § 
 I fråga om behandling av personuppgifter om arbetstagare som har samlats in helt eller delvis automatiserat (loggning) gäller vad som föreskrivs i personuppgiftslagen. 
 Bestämmelsen har inget materiellt innehåll utan är endast en hänvisning till PUL. Motiven till att en hänvisning har ansetts erforderlig utvecklas i avsnitt 5.5.3. 
 261 
  
 Författningskommentar 
  
 SOU 2002:18 
  
 Personuppgifter om hälsa eller droganvändning 
 5 § 
 En arbetsgivare får inte behandla personuppgifter om en arbetstagares eller en arbetssökandes hälsa eller droganvändning. 
 Första stycket gäller inte om behandlingen är nödvändig för att bedöma om arbetstagaren eller arbetssökanden är lämpad för att utföra arbetsuppgifter i arbetsgivarens verksamhet eller för att bedöma arbetstagarens rätt till förmåner om arbetstagaren har begärt detta. 
 De ställningstaganden som motiverar lagförslaget i detta avseende har redovisats i avsnitt och förslagets närmare utformning har redovisats i avsnitt. 
 I första stycket anges huvudregeln som är ett förbud för arbetsgivaren att behandla de angivna personuppgifterna. 
 Av andra stycket framgår de två undantagen från huvudregeln. Det första undantaget, som innebär att arbetsgivaren får behandla personuppgifter om hälsa eller droganvändning för att bedöma om en arbetstagare eller en arbetssökande är lämpad för de aktuella arbetsuppgifterna, villkoras av att behandlingen av hälsouppgifterna skall vara nödvändig. Det är inte möjligt att hänvisa till att vissa verksamheter generellt är att betrakta som riskfyllda eller att en arbetstagare kan misstänkas få missbruksproblem framledes. Arbetsgivaren måste i stället i varje enskilt fall överväga om behandlingen är nödvändig för en bedömning av arbetstagarens möjligheter att utföra arbetsuppgifter. Om en arbetsgivare t.ex. behandlar uppgifter om arbetstagares droganvändning i syfte att förebygga risker på arbetsplatsen kan ofta informationsinsatser och en gemensamt utarbetad policy utgöra ett fullgott alternativ till behandlingen och denna kan då inte anses nödvändig. 
 Undantaget innebär att arbetsgivaren får behandla uppgifter om en arbetstagares eller en arbetssökandes hälsa för att kunna bedöma om han eller hon överhuvudtaget är i stånd att utföra arbets- uppgifter. Detta aktualiseras t.ex. när det ställs särskilda krav på arbetstagarens förmåga. I de flesta fall torde dock arbetsgivaren genom stöd och anpassningsåtgärder kunna utforma arbetsmiljön på ett sätt som innebär att det inte är nödvändigt att behandla hälsouppgifter enligt LIA. 
 Enligt det andra undantaget skall behandlingen föregås av en begäran från arbetstagaren. Denna kan framställas både muntligen 
 262 
  
 SOU 2002:18 
  
 Författningskommentar 
  
 och skriftligen eller framgå av s.k. konkludent handlande. En begäran anses också framställd om arbetstagaren ger in handlingar till arbetsgivaren, t.ex. i form av kvitton, eller om arbetstagaren uppträder på ett sätt som ger arbetsgivaren befogad anledning att anta att arbetstagaren önskar att få del av förmånen. 
 Hälsoundersökningar och drogtester 6 § 
 En arbetsgivare skall tillse att hälsoundersökningar avseende arbetstagare eller arbetssökande bara genomförs av personal inom hälso- och sjukvården eller under överinseende av sådan personal. 
 7 § 
 En arbetsgivare skall tillse att drogtester avseende arbetstagare eller arbetssökande bara genomförs med metoder som är tillförlitliga. 
 Arbetsgivaren skall därvid tillse att andra prover än utandnings- prov bara tas av personal inom hälso- och sjukvården eller under överinseende av sådan personal samt att proven analyseras av ett laboratorium som är ackrediterat enligt lagen (1992:1119) om teknisk kontroll. 
 Förslagen i dessa bestämmelser har behandlats utförligt i den allmänna motiveringen i avsnitt. 
 Tillsynen över personal inom hälso- och sjukvården utövas av Socialstyrelsen enligt 6 kap. lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område. 
 Personlighetstester 8 § 
 En arbetsgivare får inte behandla personuppgifter om en arbetstagare eller en arbetssökande som har hämtats in genom ett personlighetstest annat än med samtycke. 
 Arbetsgivaren skall tillse att personlighetstester bara genomförs på ett betryggande sätt med testinstrument som är tillförlitliga och av personer med adekvat utbildning. 
 263 
  
 Författningskommentar 
  
 SOU 2002:18 
  
 Förslaget har motiverats närmare i kapitel i den allmänna motiveringen. 
 I bestämmelsen uppställs som krav för att arbetsgivaren skall vara tillåten att använda personlighetstester att de skall vara tillförlitliga. De svårigheter som för närvarande föreligger vid en bedömning av om en metod är tillförlitlig har utvecklats särskilt i den allmänna motiveringen. Det bör uppmärksammas att även de principer som kommer till uttryck i 9 § PUL skall iakttas vid tillämpningen av bestämmelsen. 
 Personuppgifter om lagöverträdelser 9 § 
 En arbetsgivare får inte behandla personuppgifter om lagöverträdelser avseende arbetstagare eller arbetssökande som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. 
 Första stycket gäller inte om behandlingen är nödvändig för att bedöma arbetstagarens eller arbetssökandens tillförlitlighet med hänsyn till säkerheten för det allmänna eller för arbetsgivarens verksamhet. 
 Om behandlingen sker helt eller delvis automatiserat eller i registerform skall även 21 § personuppgiftslagen gälla. 
 LIA:s definition av lagöverträdelser och straffprocessuella tvångsmedel överensstämmer med definitionen i 21 § PUL. 
 Beträffande sådan behandling av personuppgifter om lagöver- trädelser som sker helt eller delvis automatiserat eller i registerform gäller fortfarande 21 § PUL. Detta utvecklas i kapitel 8 i den allmänna motiveringen. 
 Inhämtande av uppgifter 10 § 
 En arbetsgivare skall i första hand hämta in sådana personuppgifter som avses i 5 och 9 §§ från arbetstagaren eller arbetssökanden själv. Bara om detta inte är möjligt och under förutsättning av arbetstagarens eller arbetssökandens samtycke, får arbetsgivaren hämta in sådana personuppgifter från någon annan källa. 
 264 
  
 SOU 2002:18 
  
 Författningskommentar 
  
 I bestämmelsen slås fast att en arbetstagare eller en arbetssökande har rätt till kontroll över de uppgifter om honom eller henne som behandlas av arbetsgivaren. Även om arbetsgivaren vänder sig till en annan källa för att hämta in uppgifter om arbetstagaren eller arbetssökanden bibehålls rätten till kontroll genom att arbets- tagaren eller arbetssökanden skall lämna sitt samtycke till åtgärden. I sistnämnda fall får också bestämmelserna om information i 12 § betydelse, eftersom arbetsgivaren är skyldig att informera arbets- tagaren om samtliga omständigheter som behövs för att arbets- tagaren eller arbetssökanden skall kunna ta tillvara sina rättigheter i samband med behandlingen. 
 Förvaring av personuppgifter 11 § 
 En arbetsgivare skall förvara sådana personuppgifter som avses i 3, 5, 8 och 9 §§ på ett betryggande sätt och åtskilda från övriga personuppgifter. Dessa personuppgifter får bara behandlas av en begränsad krets av personer. 
 Om behandlingen sker helt eller delvis automatiserat eller i registerform skall även 30 och 31 §§ personuppgiftslagen gälla. 
 Förslaget har behandlats närmare i kapitel i den allmänna motiveringen. 
 Information och rättelse 12 § 
 En arbetsgivare skall utan dröjsmål lämna information om sådana personuppgifter om en arbetstagare eller en arbetssökande som arbetsgivaren behandlar och om ändamålen med behandlingen. 
 Om behandlingen sker helt eller delvis automatiserat eller i registerform skall  
 23–27 
  §§ personuppgiftslagen gälla. 
 265 
  
 Författningskommentar 
  
 SOU 2002:18 
  
 13 § 
 En arbetsgivare skall utan dröjsmål rätta eller utplåna sådana personuppgifter om en arbetstagare eller en arbetssökande som inte har behandlats enligt denna lag eller enligt föreskrifter som har utfärdats med stöd av lagen. 
 Om behandlingen sker helt eller delvis automatiserat eller i registerform skall 28 § personuppgiftslagen gälla. 
 Bestämmelserna innebär en skyldighet för arbetsgivaren att dels informera en arbetstagare om pågående behandling av uppgifter beträffande denne, dels rätta eller utplåna uppgifter som är felaktiga eller har behandlats i strid med lagen. Eftersom PUL gäller behandling som sker automatiserat eller i registerform avser bestämmelserna endast helt manuell behandling. Utformningen är enklare än motsvarande bestämmelser i PUL. Att skyldigheten att lämna information eller att vidta rättelse inträder så snart behandlingen påbörjas eller ett fel upptäcks framgår av att det anges att åtgärden i fråga skall ske utan dröjsmål. 
 Tystnadsplikt 
 14 § 
 Den som hos en arbetsgivare med privat verksamhet behandlar eller har behandlat sådana personuppgifter som avses i  
 3–5, 
  8 och 9 §§ får inte obehörigen röja eller utnyttja vad som därvid kommit fram. 
 Bestämmelsen gäller bara obehörigt röjande eller utnyttjande av uppgifter. I avsnitt i den allmänna motiveringen har anförts att det inte är fråga om obehörigt förfarande i de fall där arbetsgivaren enligt lag har rätt att föra uppgifterna vidare. Det är inte heller fråga om obehörigt förfarande när arbetstagaren samtyckt till att uppgifterna förs vidare. 
 Den som behandlar uppgifter i strid med bestämmelsen kan göra sig skyldig till brott mot tystnadsplikt enligt 20 kap. 3 § brottsbalken och dömas till böter eller fängelse i högst ett år. 
 Motsvarande bestämmelser i fråga om offentlig verksamhet finns i 7 kap. 11 § sekretesslagen. 
 266 
  
 SOU 2002:18 
  
 Författningskommentar 
  
 MBL-förhandling 
  
 15 § 
 I fråga om arbetsgivarens skyldighet att förhandla före beslut som rör verksamheten gäller  
 11–14 
  §§ lagen (1976:580) om medbestämmande i arbetslivet. 
 I bestämmelsen har tagits in en hänvisning till MBL. Hänvisningen har ingen materiell betydelse utan syftet med paragrafen är att framhäva vikten av att arbetstagarnas inflytande uppmärksammas i de frågor som omfattas av LIA. 
 Skadestånd 
 16 § 
 En arbetsgivare skall ersätta en arbetstagare eller en arbetssökande för skada och kränkning av den personliga integriteten som en behandling i strid med denna lag har orsakat. 
 Ersättningsskyldigheten kan i den utsträckning det är skäligt jämkas, om arbetsgivaren visar att felet inte berodde på arbetsgivaren. 
 Paragrafen föreskriver ett strikt skadeståndsansvar för sak- och personskada, ren förmögenhetsskada samt för kränkning av den personliga integriteten. Enligt andra stycket kan emellertid ansvaret jämkas i den utsträckning det är skäligt. 
 Beträffande den närmare tillämpningen hänvisas till avsnitt 15.1 i den allmänna motiveringen. 
 Straff 
 17 § 
 Till böter eller fängelse i högst sex månader eller, om brottet är grovt, till fängelse i högst två år döms den som uppsåtligen eller av oaktsamhet behandlar personuppgifter i strid med 5 §. 
 Första stycket gäller endast behandling som sker helt eller delvis automatiserat eller i registerform. 
 267 
  
 Författningskommentar 
  
 SOU 2002:18 
  
 Paragrafen har införts för att möjligheterna att med straff beivra lagstridiga behandlingar inte skall vara mindre när det gäller en arbetsgivares behandling av arbetstagares eller arbetssökandes personuppgifter än vad som gäller i övrigt. Bestämmelsen omfattar således behandling av arbetstagares eller arbetssökandes personuppgifter som sker helt eller delvis automatiserat eller i registerform. Helt manuellt behandlade uppgifter faller utanför. 
 Straffansvaret åvilar den fysiska person som utför behandlingen. Bestämmelsen har utformats med 49 § PUL som förebild. 
 Överklagande av myndighetsbeslut 
 18 § 
 En myndighets beslut om att inte lämna information eller meddela rättelse enligt 12 och 13 §§ får överklagas hos allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. 
 Paragrafen innehåller bestämmelser om sättet för överklagande av myndighets beslut i angivna frågor. 
 Rättegången 
 19 § 
 Mål om tillämpningen av denna lag skall, utom i fall som avses i 17 och 18 §§, handläggas enligt lagen (1974:371) om rättegången i arbetstvister. Därvid anses som arbetstagare också arbetssökande och som arbetsgivare också den som någon har sökt arbete hos. 
 Enligt huvudregeln i 1 kap. 1 § lagen (1974:371) om rättegången i arbetstvister (LRA) äger den lagen tillämpning på rättegången i tvister om kollektivavtal och andra tvister rörande förhållandet mellan arbetsgivare och arbetstagare (arbetstvister). Tvister som rör tillämpningen av LIA skall, med det undantag som anges i 1 kap. 2 § punkt 3 LRA, i enlighet därmed handläggas av Arbetsdomstolen. 
 268 
 Särskilt yttrande 
 Särskilt yttrande av Le 
 En mycket viktig fråga för utredningen har varit vilken typ av lagstiftning som bör väljas för att uppnå målet: ett starkare integritetsskydd i arbetslivet. Det är enligt min mening en omväg att bygga upp ett skydd för arbetstagares och arbetssökandes personliga integritet genom att skapa en speciallag till personuppgiftslagen (PUL). Integritetsfrågorna rör relationen mellan arbetsgivare och arbetstagare. I denna relation är inte hanteringen av uppgifter det centrala – även om effektiva skyddsregler för sådan hantering är en viktig del i ett fungerande integritetsskydd – utan den handling varigenom arbetstagarens/arbetssökandens integritet hotas eller åsidosätts. En fokusering på behandlingen av personuppgifter får dessutom den olyckliga konsekvensen att situationer som inte innefattar eller leder till personuppgiftshantering helt hamnar utanför skyddszonen. Det finns utifrån det arbetsrättsliga synsättet inga bärande skäl till att en lag som ska skydda integriteten i arbetslivet utformas som en pendang till PUL. Integritetsfrågorna närliggande lagstiftning såsom diskrimineringslagarna bygger inte på PUL och det har såvitt känt aldrig hävdats att detta skulle skapa några problem. 
 En lag som handlar om skydd för den personliga integriteten ligger nära – och sammanfaller i viktiga delar – med lagstiftning om mänskliga rättigheter och lagstiftning till skydd mot diskriminering. Det talar starkt för att lagförslaget borde utformas som en rättighetslag med vissa starkt begränsade undantag från rätten till integritet. Eftersom det handlar om rättigheter för individen är det viktigt att lagstiftningen är lätt att tillämpa. Annars riskerar den att bli ineffektiv. Arbetsgivare och fackliga företrädare är vana att hantera traditionell arbetsrättslig lagstiftning. Däremot är det tveksamt om de besitter den kunskap om PUL:s regler som är nödvändig för att man ska kunna förstå och tillämpa 
 269 
  
 Särskilt yttrande 
  
 SOU 2002:18 
  
 bestämmelserna om de utformas på sätt nu föreslås. PUL är svår att tränga in i också för juridiskt skolade personer. 
 Lagstiftning om skydd för den personliga integriteten måste ha viss dignitet. Enligt min mening ger den nu föreslagna regleringen (speciallag till PUL) inga sådana signaler. Den föreslagna lagen underordnas all annan lagstiftning än PUL. Det föreligger en klar risk för att en på detta sätt utformad lag ute i arbetslivet kommer att uppfattas som administrativa föreskrifter för personalansvariga och inte som en skyddslag för den enskilde. 
 En lagstiftning som ska utgå från rättighetsbegreppet kan inte bygga på en balans mellan arbetsgivar- och arbetstagarintressen. Många arbetsrättsliga lagar såsom t.ex. lagen om anställningsskydd utgår från att intressekollisioner ska avgöras genom avvägningar från fall till fall mellan arbetsgivarens och arbetstagarens intressen och det är också den metod som används i rättskipningen. Det är emellertid inte en modell som är lämplig att använda i lagstiftning till skydd för personlig integritet lika litet som när det gäller skydd mot diskriminering. Skyddet ska vara absolut och undantagen relaterade till situationer som ska uppfylla samma kriterier oavsett arbetsplatsens storlek, arbetsgivarens ekonomiska resurser eller liknande. Arbetstagarens rätt till personlig integritet ska respekteras – inte balanseras. Detta kan tyckas vara en teoretisk lagteknisk aspekt utan praktiskt intresse. Jag menar dock att metoden att balansera arbetsgivarintressen mot arbetstagarintressen får praktiska konsekvenser. Respekten för arbetstagarens/arbetssökandens integritet tenderar hela tiden att komma i skymundan av de risker för skador och olägenheter som lätt kan målas upp av arbetsgivarsidan. Också denna utredning har fått en sådan slagsida. Vi har saknat material och närmare information om vilka fysiska, psykiska, ekonomiska och andra effekter integritetskränkande åtgärder kan förorsaka medan arbetsgivarens behov av kontroller är mera utförligt beskrivet. 
 Det råder delade meningar om var gränserna enligt gällande rätt går för arbetsgivarens rätt att leda och fördela arbetet. Oavsett om man, för att ta ett exempel, kommer fram till att gällande rätt innebär att privata arbetsgivare med stöd av arbetsledningsrätten i vissa situationer får beordra drogtestning – eller att sådana ingrepp under alla förhållanden ligger utanför arbetsledningsrätten – efterlyser jag en kritisk diskussion av rättstillämpningen på detta område. 
 270 
  
 SOU 2002:18 
  
 Särskilt yttrande 
  
 Så länge tillsvidareanställningar var den allt överskuggande anställningsformen hade arbetsgivaren ett långtgående ansvar för den anställde som i någon mån kunde rättfärdiga en långtgående lydnadsplikt. I dagens arbetsliv finns inte äldre tiders patriarkala åtaganden för arbetskraften. Samtidigt vill man gärna se arbetsgivare och arbetstagare som medarbetare och jämbördiga parter. Det är i många avseenden en falsk bild. Arbetstagares och arbetssökandes utsatthet har ökat liksom risken att på mer eller mindre seriösa grunder bli bortsållad. Den tekniska utvecklingen har samtidigt inneburit att arbetsgivares möjligheter att övervaka de anställda ökat, vilket medfört särskilda risker för integritetskränkningar. Valet för den enskilde att motsätta sig integritetskränkande kontroller finns i praktiken inte, om man vill erhålla eller behålla en anställning. Denna utveckling motiverar i sig en annan och modernare syn på arbetsledningsrätten och med större respekt för individens integritet än som hittills kommit till uttryck i Arbetsdomstolens rättspraxis. 
 Sammanfattningsvis anser jag att en lag till skydd för den personliga integriteten i arbetslivet bör utformas som en rättighetslag och täcka alla typer av integritetskränkningar som kan drabba en arbetstagare/arbetssökande. Detta kan självklart medföra att vissa följdändringar måste göras i PUL inom de gränser som gällande  
 EU-direktiv 
  stipulerar. Jag kan inte se att detta skulle vara något allvarligt hinder för den utformning jag förordar. En sådan lag kunde lämpligen inledas med en målsättningsparagraf inspirerad av den finska lagen om integritetsskydd i arbetslivet (i kraft den 1 oktober 2001) alternativt en generell bestämmelse av förslagsvis följande lydelse. 
 Arbetsgivare får inte åsidosätta arbetssökandes och arbetstagares rätt till personlig integritet såvida det inte är nödvändigt av hänsyn till liv eller hälsa eller eljest finns synnerliga skäl. Syftet med denna lag är att stärka skyddet för den personliga integriteten. 
 271 
 Bilaga 1 
 Kommittédirektiv 
 Den personliga integriteten i arbetslivet 
 Dir. 
 1999:39 
 Beslut vid regeringssammanträde den 23 september 1999 
 Sammanfattning av uppdraget 
 En särskild utredare tillkallas för att se över behovet av lagstiftning eller andra åtgärder för att stärka skyddet av den enskildes personliga integritet i arbetslivet. 
 I översynen skall det i första hand ingå frågor om användning av drogtester och andra medicinska kontroller samt frågor om användning av persondatorer, elektronisk post  
 (e-post) 
  och Internet i arbetet. Även andra integritetsfrågor som kommer upp under utredningsarbetets gång och där skyddet för den personliga integriteten i arbetslivet kan vara allvarligt hotat skall tas upp av utredaren. Behovet av skydd för arbetssökande skall särskilt belysas. 
 Utredaren skall utnyttja det arbete som utförts av tidigare utredningar och beakta det underlag som redan finns, t.ex. i betänkandet Medicinska undersökningar i arbetslivet (SOU 1996:63). 
 Bakgrund 
 Övervakning och kontroll i arbetet 
 I de flesta verksamheter förekommer någon form av övervakning och kontroll av arbetet samt registrering av uppgifter om arbetet 
 275 
  
 Bilaga 1 
  
 SOU 2002:18 
  
 och de enskilda arbetstagarna. Det innebär att mer eller mindre omfattande uppgifter om arbetet och arbetstagarna registreras, lagras och bearbetas av arbetsgivaren. Övervakningen och kontrollen kan sägas vara ett led i utövandet av arbetsgivarens arbetsledningsrätt, dvs. rätten att leda och fördela arbetet samt att anställa och säga upp personal. 
 Kontrollen kan ha olika ändamål. Det kan handla om närvaro- och frånvaroregistrering och andra sedvanliga personaladministrativa åtgärder. Kontrollen kan vara av huvudsakligen produktionsteknisk natur och avse arbetsprocessen och produktionsflödet. Även om en sådan kontroll primärt inte syftar till att kontrollera de enskilda individerna kan registrerade uppgifter i vissa fall ändå hänföras till en enskild person. Tillträdes- och behörighetskontroll för att bl.a. skydda information och andra tillgångar förekommer i de flesta verksamheter. Medicinska kontroller av olika slag används i en hel del verksamheter inför och under anställningen. Hit hör drogtester för att kontrollera om de arbetssökande eller anställda använder narkotika eller andra droger. 
 I samband med rekrytering av personal används olika metoder för att granska arbetssökandes kompetens, egenskaper och lämplighet. Lämplighetstester av olika slag är därvid vanliga. Faktorer som minskad bemanning på arbetsplatserna, ökad betydelse av personliga egenskaper och höga krav på kompetens kan eventuellt leda till krav på ökad kontroll av de arbetssökande. Det har förekommit att arbetssökande ombetts att visa utdrag ur kriminalregistret eller att uppgifter hämtats in om förekomsten av betalningsförsummelser. Det har även förekommit att arbetssökande har avkrävts graviditetstest. 
 Den snabba utvecklingen av informationstekniken har förändrat produktionsprocesser och arbetsmetoder. Tekniken har blivit tillgänglig för allt fler. I stort sett alla, oberoende av var man arbetar, använder i dag en persondator eller annan datorutrustning i arbetet. Tekniken har också förändrat möjligheterna till kontroll. Stora mängder information om arbetet och om de enskilda arbetstagarna kan registreras och lagras elektroniskt. Verksamheter och system blir känsligare för störningar och risken för intrång och obehörigt utnyttjande av information ökar. Detta kan i sig leda till behov av ökad kontroll. I en allt hårdare konkurrens ökar vidare kraven på kostnadseffektivitet, kundanpassning och kvalitetssäkring. Även detta kan leda till ett ökat behov av mer 
 276 
  
 SOU 2002:18 
  
 Bilaga 1 
  
 ingående kontroll. Den kontroll som sker genom registrering i datamedier är för den enskilde ofta dold och svår att upptäcka. 
  
 E-post 
  och Internet används i arbetet av allt fler arbetstagare. Internet ger med sin öppenhet tillgång till en enorm informationsmängd och stora möjligheter att sprida information. Detta leder samtidigt till ett ökat behov för arbetsgivaren av att kontrollera användningen. Ett skäl för det kan vara skyddet mot att utomstående får obehörig åtkomst till uppgifter i verksamheten genom Internetuppkopplingen. Ett annat skäl kan vara en önskan att begränsa eller helt förhindra en privat användning av Internet på arbetsplatsen. 
 I de flesta datasystem loggas transaktionerna i systemet som en del av behörighetskontrollen. Registreringen av användningen av  
 e-postsystem 
  och Internet innebär en mer komplicerad integritetsproblematik bl.a. av det skälet att meddelanden och uppgifter av privat natur kan bli registrerade. Liksom annan kontroll av användningen av datorsystem sker registreringen dessutom i regel utan någon direkt insyn från den enskilde. 
 Elektronisk övervakning kan också användas på ett mer sofistikerat sätt för att kontrollera den enskildes arbete. Electronic Performance Monitoring (EPM) handlar om system och program för att på elektronisk väg samla in information om och närmare analysera de anställdas aktiviteter. I bl.a. USA används sådana system i vissa telefonserviceföretag, t.ex. bokningscentraler, samt i bank- och telekommunikationsföretag. 
 En del av den registrering och kontroll som sker är en nödvändig följd av anställningsförhållandet, t.ex. för att lön och andra förmåner skall kunna betalas ut på ett korrekt sätt. Andra kontroller kan vara nödvändiga av säkerhetsskäl och i vissa fall rent av obligatoriska på grund av författningsbestämmelser. 
 Den kontroll och registrering som sker innebär att omfattande uppgifter om de enskilda arbetstagarna kan komma att registreras. Uppgifterna kan avse närvaro och frånvaro, mer eller mindre detaljerade uppgifter om arbetsprestationer, registrerad  
 e-post 
  och Internetanvändning, utbildning, förtjänst- och resultatuppgifter m.m. Under vissa förutsättningar kan även hälsouppgifter och uppgifter om resultatet av drogtester registreras. En hel del av dessa uppgifter är till karaktären integritetskänsliga. För den enskilde är situationen i arbetet normalt sådan att det inte är möjligt att påverka om och hur personuppgifterna skall registreras. Även om det finns en teoretisk valsituation, vilket är fallet för en 
 277 
  
 Bilaga 1 
  
 SOU 2002:18 
  
 arbetssökande, kan situationen ändå vara sådan att det i praktiken är svårt att avvisa en viss kontroll. 
 Generellt sett kan, på grund av de skyldigheter som följer av anställningsförhållandet, handlingsfriheten och den fredade sektorn för den enskilde betraktas som mer inskränkt i arbetslivet än i andra delar av samhällslivet. De enskilda arbetstagarna får i relativt stor utsträckning tåla att arbetsgivaren utför kontroll och har tillgång till en mängd uppgifter om dem och det arbete de har utfört. Arbetsgivarens berättigade intresse av kontroll för att kunna leda och fördela arbetet m.m. måste ställas mot arbetstagarnas anspråk på ett skydd för den personliga integriteten. 
 Den tidigare behandlingen av frågor om drogtestning och annan medicinsk kontroll 
 I september 1994 tillsattes en särskild utredare för att utreda vissa frågor om medicinska kontroller i arbetslivet. Utredaren redovisade i april 1996 sitt arbete i betänkandet Medicinska undersökningar i arbetslivet (SOU 1996:63). Utredaren bedömde att de dåvarande förhållandena inte motiverade någon begränsande lagstiftning vad gäller sedvanliga medicinska undersökningar i samband med eller under en anställning. När det gäller narkotikatester fann utredaren inte heller skäl att föreslå lagstiftning. Enligt utredaren borde frågan om narkotikatester lösas av arbetsmarknadens parter. Någon lagstiftning vad avser alkoholtester föreslogs inte heller. Betänkandet har remissbehandlats. Flera av remissinstanserna anser att frågan om en reglering av medicinska kontroller borde utredas ytterligare. 
 I svensk rätt finns det för närvarande ingen lagstiftning som direkt tar sikte på skyldigheten att genomgå narkotikatester eller andra drogtester i arbetslivet. Frågan om drogtester inom ramen för anställningen har dock i två fall varit uppe till Arbetsdomstolens (AD) prövning. 
 Det ena målet är från 1991 och det rörde montage av byggnadsställningar. I det målet fann AD, med utgångspunkt i arbetstagarnas medansvar för arbetsmiljön, att de anställda, som arbetade med montage av byggnadsställningar, var skyldiga enligt anställningsavtalet att underkasta sig provtagning för att utröna användning av cannabis (AD 1991 nr 45). 
 I det andra målet från hösten 1998 prövade AD om en städerska på kärnkraftsverket i Oskarshamn kunde anses skyldig att genomgå 
 278 
  
 SOU 2002:18 
  
 Bilaga 1 
  
 alkohol- och narkotikatest (AD 1998 nr 97). AD ansåg att arbetsgivaren hade starka skäl för att genomföra narkotikatester på samtliga anställda och att städerskan därför var skyldig att genomgå sådana tester enligt den ordning som beslutats gälla på arbetsplatsen. Även i detta fall skedde bedömningen mot bakgrund av skyldigheter enligt arbetsmiljölagen. Domstolen kom dock av olika skäl till motsatt ståndpunkt när det gällde skyldigheten att genomgå alkoholtestning. 
 AD uttalade i domen från 1991 att mer vittsyftande bedömningar på det aktuella området inte borde göras på grundval enbart av förhållandena i en enskild tvist. Det naturliga var enligt domstolen att ett ämne som detta regleras i kollektivavtal eller i förekommande fall genom lagstiftning. 
 Lufträttsutredningen, som i mars 1999 avlämnade sitt slutbetänkande Ny luftfartslag (SOU 1999:42), har föreslagit att det i en ny luftfartslag tas in bestämmelser som gör det möjligt att föreskriva att den som fullgör tjänst som är av betydelse för flygsäkerheten skall genomgå drogtest. 
 Gentester 
 I betänkandet om medicinska undersökningar i arbetslivet behandlas även gentester, dvs. medicinska undersökningar med hjälp av genteknik. Utredaren gjorde bedömningen att gentester i arbetslivet borde förbjudas. Utredaren lämnade emellertid inget förslag i denna del utan hänvisade till det förslag till lag om genetisk integritet som hade lämnats i en rapport från Socialdepartementet (Ds 1996:13). 
 I oktober 1998 tillsattes en arbetsgrupp inom Regeringskansliet med uppgift att ytterligare analysera en rad frågor om genetisk integritet. Regeringen har i skrivelse (skr 1998/99:136) redogjort för beredningsarbetet bl.a. när det gäller frågorna om den genetiska integriteten i arbetslivet. Regeringen har bedömt att dessa frågor behöver övervägas ytterligare i ett större sammanhang. Avsikten är att en parlamentarisk kommitté skall tillkallas med uppgift att lägga fram ett samlat förslag till hur det på alla samhällsområden skall kunna garanteras att det inte sker någon diskriminering på grund av det genetiska arvet. 
 279 
  
 Bilaga 1 
  
 SOU 2002:18 
  
 Den tidigare behandlingen av frågor om elektronisk övervakning 
 I oktober 1988 tillsattes en arbetsgrupp inom dåvarande Arbetsmarknadsdepartementet för att göra en kartläggning av arbetsgivarnas användning av datatekniken för att leda, övervaka och kontrollera arbetet och de enskilda arbetstagarna. I kartläggningen ingick också att studera arbetstagarnas inflytande över inrättande och drift av datasystemen. 
 Arbetsgruppen presenterade i maj 1989 sitt arbete i rapporten Datatekniken och den personliga integriteten i arbetet - en kartläggning (Ds 1989:24). Arbetsgruppen fann att då gällande lagstiftning i princip gav tillfredsställande möjligheter till integritetsskydd och inflytande för arbetstagarna när det gäller personregistrering i arbetet. Gruppen ansåg dock att bl.a. frågan om arbetstagarnas rätt till insyn i vilka datasystem och personregister som arbetsgivaren har borde övervägas i en kommande översyn av datalagen. Gruppen uppmärksammade vidare bl.a. behovet av forskning och utbildning inom området. 
 Datalagen (1973:289) har sedermera ersatts av personuppgiftslagen (1998:204) som genomför Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Lagen omfattar all automatiserad behandling av personuppgifter och manuell behandling av personregister. Rent privat användning är dock undantagen. 
 Uppdraget 
 Allmänna utgångspunkter 
 En hel del frågor är obesvarade när det gäller behovet av lagstiftning om drogtester och andra medicinska kontroller och det finns fortfarande en betydande osäkerhet om rättsläget när det gäller möjligheterna att genomföra sådana kontroller. Det saknas också en gemensam grundsyn på arbetsmarknaden om när och hur t.ex. drogtester bör få utföras. 
 Som AD har uttalat bör mer vittsyftande bedömningar på det aktuella området inte göras på grundval enbart av förhållandena i en enskild tvist. Det bör därför övervägas om frågor som dessa bör regleras i lagstiftning eller kollektivavtal. 
 280 
  
 SOU 2002:18 
  
 Bilaga 1 
  
 Användningen av persondatorer samt  
 e-post 
  och Internet i arbetet ger upphov till en hel del nya frågor när det gäller kontrollen och skyddet av den personliga integriteten i arbetet. Den utveckling som skett sedan frågorna om datatekniken och den personliga integriteten kartlades förra gången gör det motiverat att se över integritetsskyddet vid användning av datatekniken i arbetslivet med särskild tonvikt på användning av persondatorer, e- post och Internet. 
 Den snabba utvecklingen av informationstekniken och möjligheterna att hämta in och samla omfattande information om enskilda individer, ökade krav på kostnadseffektivitet och ökade krav på den enskildes kompetens och personliga egenskaper i arbetslivet är faktorer som kan skapa behov av mer ingående kontroll. Integritetsfrågorna i arbetslivet behöver därför även i övrigt uppmärksammas. 
 Uppdraget till den särskilde utredaren 
 En särskild utredare tillkallas för att mot den angivna bakgrunden se över behovet av lagstiftning eller andra åtgärder för att stärka skyddet för den enskildes personliga integritet i arbetslivet. I översynen skall det i första hand ingå frågor om användning av drogtester och andra medicinska kontroller samt frågor om användning av persondatorer,  
 e-post 
  och Internet i arbetet. Även andra integritetsfrågor som kommer upp under utredningsarbetets gång och där skyddet för den personliga integriteten i arbetslivet kan vara allvarligt hotat skall tas upp av utredaren. Behovet av skydd för arbetssökande skall särskilt belysas. 
 Utredaren skall klarlägga de behov av kontroll och övervakning som arbetsgivarna har. De integritetsproblem som kontrollen och övervakningen leder till skall belysas. Utredaren skall därvid utnyttja det arbete som utförts av tidigare utredningar och beakta det underlag som redan finns, t.ex. i betänkandet Medicinska undersökningar i arbetslivet (SOU 1996:63). 
 Utredaren skall bedöma behovet av ny eller kompletterande lagstiftning till skydd för den personliga integriteten i arbetet och i det sammanhanget göra en avvägning mellan de berättigade behoven av kontroll och den enskildes integritetsskydd. En utgångspunkt för bedömningen bör vara att den tekniska och arbetsorganisatoriska utvecklingen i arbetslivet är positiv för tillväxten och för att få bättre arbetsvillkor och arbetsmiljö, men att 
 281 
  
 Bilaga 1 
  
 SOU 2002:18 
  
 en förutsättning för detta är att individen kan känna trygghet i arbetssituationen, vilket bl.a. förutsätter respekt för den personliga integriteten. 
 Utredaren skall beakta kollektivavtal på området och möjligheterna för arbetsmarknadens parter att träffa sådana avtal. Även andra åtgärder och initiativ från parterna bör beaktas. 
 Utredaren skall informera sig om hur andra länder har hanterat de aktuella frågorna. Även utvecklingen inom EU samt det arbete som har utförts inom ILO och andra internationella organisationer bör beaktas. 
 Om utredaren bedömer att det finns ett behov av reglering skall förslag om den närmare utformningen av regleringen lämnas. 
 Utredaren skall ange kostnaderna för sina förslag samt föreslå hur de skall finansieras. 
 Utredaren skall särskilt ta hänsyn till de små företagens arbetsförutsättningar, konkurrensförmåga och villkor i övrigt. 
 Arbetsformer 
 Utredaren skall i sitt arbete samråda med arbetsmarknadens parter,  
 IT-kommissionen 
  samt andra berörda myndigheter. 
 Redovisning av uppdraget 
 Utredaren skall redovisa resultatet av sitt uppdrag senast den 1 april 2001. 
 (Näringsdepartementet) 
 282 
 Bilaga 2 
 Personuppgiftslagen 
 Inledning 
 Personuppgiftslagen (1998:204), nedan PUL, är den lag som för närvarande ger det mest heltäckande integritetsskyddet vid behandling av information om enskilda. Lagen är generellt tillämplig och gäller således även vid behandling av personuppgifter i arbetslivet. 
 För att på ett överskådligt sätt försöka visa på hur en tillämpning av PUL skulle kunna falla ut när lagen tillämpas i en arbetsgivare- och arbetstagarsituation respektive en arbetsgivare- och arbetssökandesituation redovisas nedan dels en allmän redogörelse för PUL:s bestämmelser, dels kommentarer och resonemang kring frågor som är av särskild betydelse för PUL:s tillämpning i arbetslivet. Framställningen har begränsats till de bestämmelser och de resonemang som varit av betydelse för utredningen. 
 Till grund för redovisningen ligger framför allt lagförarbetena, proposition 1997/98:44,  
 Personuppgiftslag  
 (nedan propositionen) och Datalagskommitténs betänkande  
 Integritet Offentlighet Informationsteknik,  
 SOU 1997:39 (nedan Datalagskommitténs betänkande). Vidare har använts  
 Personuppgiftslagen, En kommentar 
 , 1 uppl. 1998, av Harris och  
 Gonzalez (nedan lagkommentaren). I samband med redogörel- serna för gällande rätt anges var i förarbetena respektive fråga diskuteras. Detta för att underlätta för läsaren om han eller hon själv vill ta del av det material som ligger till grund för utredningens redovisning. 
 Förutom i de fall där arbetssökandens situation särskilt diskuteras innefattar begreppet arbetstagare fortsättningsvis såväl arbetstagare som arbetssökande. 
 283 
  
 Bilaga 2 
  
 SOU 2002:18 
  
 Personuppgiftslagens bestämmelser 
 Definitioner – 3 § 
 I 3 § anges de i lagen viktigaste begreppens innebörd. 
 Begreppet  
 personuppgifter  
 innefattar enligt PUL all slags information som direkt eller indirekt kan hänföras till en person som är i livet. Att uppgifter som namn och personnummer är sådan information är uppenbart. Även olika typer av kundnummer och andra beteckningar som används för att särskilja individer utgör personuppgifter, så länge det går att identifiera en enskild utifrån uppgifterna. Att det inte direkt går att utläsa vilken individ som viss information avser hindrar inte att det ändå är en personuppgift. Även information som är krypterad eller på annat sätt avidentifi- erad omfattas av bestämmelsen. För att avgöra om en person är identifierbar skall man beakta alla hjälpmedel som i syfte att identifiera vederbörande rimligen kan komma att användas av den personuppgiftsansvarige eller av annan. Om uppgifter, som i sig är anonyma, med s.k. bakvägsidentifikation kan knytas till en viss individ omfattas de av bestämmelserna. Datalagskommittén har som exempel nämnt det fallet att ett trafikföretag registrerar resor med ett personligt och numrerat kort. Även om trafikföretaget inte har registrerat vem som är innehavare av kortet, kan sådana upp- gifter finnas på annat håll, t.ex. på den skola eller socialförvaltning som delat ut kortet. Datalagskommittén har anfört att motsvarande resonemang kan föras beträffande uppgifter om s.k. nätnodsadress- er och motsvarande elektroniska identiteter som den som driver elektroniska tjänster på Internet samlar in. Sådana uppgifter om an- vändarna kan ofta hänföras till en individ med hjälp av de uppgifter som användarens Internetleverantör har tillgång till. I vissa fall kan det vara så att en mindre krets personer har tillgång till samma dator eller telefon och att man då med hjälp av andra uppgifter enkelt kan avgöra till vilken individ vissa uppgifter är hänförliga. Uppgifterna får även i det fallet betraktas som personuppgifter. 
 1 
  
 Bestämmelsens betydelse för utredningen 
 De situationer som utredningen har att beakta inom ramen för uppdraget torde i allmänhet utgöra personuppgifter i lagens mening. I sådana fall där det finns risk för intrång i den personliga 
  
 1  
 Se prop. s. 116 f. och Datalagskommitténs betänkande s. 336 f. 
 284 
  
 SOU 2002:18 
  
 Bilaga 2 
  
 integriteten förutsätts ju i allmänhet att personen i fråga kan identifieras. 
 Med hänsyn till ändamålen med hälso- och drogkontroller i arbetslivet ligger det i sakens natur att de inte kan vara anonyma, utan att uppgifterna som behandlas kan hänföras till enskilda individer. Samma sak gäller beträffande datoriserade kontroller i de fall där det finns ett ursprungligt syfte att kontrollera arbets- tagarna, t.ex. så kallad EPM, eller där kontrollerna avser filer lag- rade i personliga datorer eller andra personliga virtuella förvar. 
 När det gäller kontroller eller övervakning med hjälp av loggfiler kan det förhålla sig annorlunda. Utformningen av loggfiler varierar mycket beroende på bl.a. i vilken typ av tillämpning de förekommer och vilket behov av uppgifter som har förutsetts när tillämpningen skapades. I vissa fall kan också användaren av en tillämpning genom inställningar i programmet välja vilka uppgifter som skall registreras i en loggfil. I många fall kan det således vara så att uppgifterna i en loggfil inte går att knyta till en enskild individ. Uppgifterna utgör då inte personuppgifter i lagens mening. Det normala i moderna nätverk torde emellertid vara att enskilda användares åtgärder kan identifieras och att därmed uppgifterna i en loggfil utgör personuppgifter. Frågan om loggfilen innehåller personuppgifter får avgöras i det enskilda fallet. 
 Inpasseringskontroller där passerkort och/eller kod är personliga torde förutsätta att uppgifter om kortets eller kodens innehavare finns registrerade hos arbetsgivaren. Om varje användning av kortet eller koden registreras i en loggfil innefattar registreringen behandling av personuppgift. 
 De ovan nämnda möjligheterna att identifiera enskilda användare förutsätter att användarna har försetts med vad som kan kallas en elektronisk identitet, bestående av ett unikt användarnamn och lösenord. I praktiken finns det förstås möjligheter att sådana identiteter kan används av någon annan än den egentlige innehavaren, antingen efter medgivande från innehavaren eller genom ett obehörigt förfogande över identiteten. Detta kan naturligtvis i olika avseenden vara en komplikation för arbets- givaren. Emellertid påverkar det knappast den omständigheten att de registrerade uppgifterna utgör personuppgifter avseende den rätte innehavaren av identiteten. Det förhållandet att den rätte innehavaren av identiteten i själva verket inte har vidtagit de registrerade åtgärderna innebär i detta sammanhang endast att de 
 285 
  
 Bilaga 2 
  
 SOU 2002:18 
  
 personuppgifter om honom eller henne som finns registrerade är felaktiga eller i vart fall missvisande. 
 Det kan förekomma att vissa – eller kanske alla – datorer i ett nätverk är allmänt tillgängliga, dvs. att det inte behövs något personligt lösenord för att använda dem. I så fall är informationen inte automatiskt knuten till en viss individ. Detta bör emellertid inte helt utesluta att uppgifter i en loggfil utgör personuppgifter. Frågan måste avgöras med ledning av omständigheterna i det enskilda fallet. Avgörande blir om man från de faktiska omständlig- heterna kan sluta sig till att vissa uppgifter är hänförliga till en viss individ. Exempelvis kan det vara så att en dator – även om den i och för sig är allmänt tillgänglig – rent faktiskt bara används av en arbetstagare. I ett sådant fall bör man nog i många fall kunna utgå från att innehållet i en loggfil knuten till den specifika datorn är hänförliga till den arbetstagare som använder datorn. Även om det är flera personer som använder datorn kan man ibland, som nämnts ovan, med hjälp av andra uppgifter sluta sig till vilken individ som vissa uppgifter är hänförliga. 
 Med  
 behandling  
 av personuppgifter avses varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte. Som exempel på sådana åtgärder nämns i bestämmelsen insamling, registrering, organisering, lag- ring, bearbetning eller ändring, återvinning, inhämtande, använd- ning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. Härigenom omfattar alltså begreppet all hantering av personuppgifter, såväl manuell som automatiserad. Enligt 5 § omfattas emellertid inte all behandling av personuppgifter, utan endast sådan som sker antingen automa- tiserat eller manuellt i registerform, se närmare nedan. 
 2 
  
 Bestämmelsens betydelse för utredningen 
 Med hänsyn till att definitionen innefattar all hantering av personuppgifter utgör alla åtgärder som en arbetsgivare vidtar med personuppgifter sådan behandling som avses i PUL. 
 Som  
 mottagare  
 betecknas den till vilken personuppgift lämnas ut, oavsett om denne är någon som är nära knuten till den person- uppgiftsansvarige eller någon helt utomstående. Även den regi- 
  
 2  
 Se prop. s. 116 f. och Datalagskommitténs betänkande s. 332. 
 286 
  
 SOU 2002:18 
  
 Bilaga 2 
  
 strerade, personuppgiftsbiträdet och sådana personer som under den personuppgiftsansvariges eller personuppgiftsbiträdets direkta ansvar har befogenhet att behandla personuppgifter samt personuppgiftsombud kan betraktas som mottagare. Som mottagare betraktas emellertid inte en myndighet som får personuppgifter som ett led i tillsyn, kontroll eller revision som myndigheten i fråga är skyldig att sköta. 
 3 
  
 Bestämmelsens betydelse för utredningen 
 I arbetslivet kan märkas att exempelvis av arbetsgivaren anställd personal som behandlar personuppgifter anses som mottagare. Även den registrerade arbetstagaren själv är mottagare i de fall han tar emot uppgifter som finns hos arbetsgivaren. Med de undantag som angetts ovan är även tredje man att anse som mottagare, vilket innebär att bl.a. fackliga företrädare anses som mottagare i de fall personuppgifter lämnas ut till sådan. 
  
 Personuppgiftsansvarig  
 är den som själv eller tillsammans med annan bestämmer ändamålen med och medlen för behandlingen. Vem som i ett enskilt fall är personuppgiftsansvarig för en viss behandling får avgöras med ledning av de faktiska omständlig- heterna. Vidare följer av 2 § att det genom lag eller förordning kan bestämmas vem som är personuppgiftsansvarig för en viss behandling. Enligt 4 § gäller bestämmelserna om personuppgifts- ansvarig även för företrädare som utländska personuppgifts- ansvariga ställer för sig. För varje behandling som sker finns det därmed alltid någon eller några som är personuppgiftsansvariga för den. Den personuppgiftsansvarige kan utse ett  
 personuppgiftsbiträde  
 för att för sin räkning utföra behandling av personuppgifter. Den personuppgiftsansvarige kan också förordna en fysisk person att självständigt se till att personuppgifter behandlas på ett korrekt och lagligt sätt. Denne fysiske person betecknas som  
 personuppgifts- ombud 
 . Varken personuppgiftsbiträde eller personuppgiftsombud anses som tredje män. 
 4 
  
 Bestämmelsens betydelse för utredningen 
 Vid behandling av personuppgifter beträffande arbetstagare i de fall utredningen har att beakta torde den personuppgiftsansvarige alltid 
  
 3 
  
 Se prop. s. 116 f. och Datalagskommitténs betänkande s. 332. 
  
 4 
  
 Se prop. s. 116 f. och Datalagskommitténs betänkande s. 333 f. 
  
 287 
  
 Bilaga 2 
  
 SOU 2002:18 
  
 utgöras av den fysiska person eller det organ hos en juridisk person som enligt allmänna principer är att betrakta som arbetsgivare. Var ansvaret närmare skall anses placerat torde ha en underordnad betydelse för behandlingen av frågor om intrång i den personliga integriteten. 
 Den  
 registrerade  
 är den som en personuppgift avser. Som nämnts ovan vid definitionen av personuppgift, förutsätts att en person- uppgift avser en identifierbar fysisk person. Den registrerade är således den eller de personer som på ovan angivet sätt kan identifieras. 
 5 
  
 Bestämmelsens betydelse för utredningen 
 Av intresse för utredningen är naturligtvis de fall där den regi- strerade är arbetstagare. Här kan emellertid märkas att vid behand- ling av uppgifter om arbetstagaren, kan samtidigt komma att behandlas uppgifter om dennes anhöriga, tidigare arbetskamrater eller andra. Även dessa är då registrerade enligt PUL:s definition. 
 Begreppet  
 samtycke  
 förekommer på flera ställen i PUL och innefattar enligt definitionen varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Samtycket innefattar alltså en tydlig viljeyttring från den registrerade. Det krävs inte att samtycket är skriftligt. Enligt Datalagskommittén måste det vara den registrerade som genom viljeyttringen godtar behandlingen av personuppgifter. Det är alltså inte tillräckligt att en organisation – t.ex. en fackförening – som den registrerade tillhör godtar behandling av uppgifter om sina medlemmar. Samtycket måste i den meningen vara individuellt. Datalagskommittén konstaterar att det är svårt att utifrån direktivet besvara frågan huruvida samtycket i alla lägen måste avges personligen, dvs. av den registrerade själv. Efter ett resonemang kring frågan drar Datalagskommittén den slutsatsen att det inte bör finnas något hinder mot att ett ombud eller ställföreträdare med generell behörighet att företräda den registrerade lämnar samtycke på dennes vägnar, även om den registrerade faktiskt inte har fått information om behandlingen. 
 Kravet på frivillighet är svårt att precisera med hänsyn till avsaknad av vägledning i dataskyddsdirektivet. Man kan tänka sig 
  
 5  
 a.a. s. 117 resp. a.a. s. 337 f. 
 288 
  
 SOU 2002:18 
  
 Bilaga 2 
  
 den situationen att ett samtycke till viss uppgiftsbehandling uppställs som en förutsättning för att den registrerade skall få något som han eller hon önskar eller behöver, t.ex. ett telefonabonnemang en semesterresa, en livsnödvändig sjukvårds- behandling, anställning, bostadsbidrag etc. Enligt Datalags- kommittén kan samtycket inte gärna vara frivilligt om situationen är sådan att den registrerade i praktiken inte kan avstå, möjligen med undantag för det fallet det kan visas att den registrerade även utan tvånget skulle ha lämnat uppgifterna. 
 Kravet på att samtycket skall vara särskilt innebär att ett generellt samtycke till uppgiftsbehandling inte godtas. Datalagskommittén har konstaterat att det förefaller rimligt att koppla samman kraven på information och särskilt samtycke. Den registrerade skall informeras om en eller flera tilltänkta behandlingar, och det är dessa och inga andra behandlingar som samtycket avser. Ett s.k. hypotetiskt samtycke kan inte godtas. 
 6 
  
 I lagkommentaren anförs att inte heller s.k. tyst samtycke, där den registrerade informeras om en tilltänkt behandling och ges en viss frist att motsätta sig denna, kan godtas. Däremot torde s.k. konkludent handlande kunna konstituera ett samtycke, t.ex. när den registrerade lämnar efterfrågade uppgifter efter att ha fått information om den tilltänkta behandlingen och om att det är frivilligt att lämna uppgifter samt att ett uppgiftslämnande betraktas som ett samtycke. 
 7 
  
 Bestämmelsens betydelse för utredningen 
 En fråga av särskild betydelse för arbetslivet är hur den om- ständigheten att arbetstagare ofta befinner sig i en beroende ställ- ning i förhållande till arbetsgivaren skall beaktas vid bedömning av kravet på frivillighet. Detta särskilt med beaktande av de utvidgade möjligheterna till behandling av känsliga personuppgifter som ett samtycke enligt t.ex. 15 §§ kan ge i en arbetsgivare- och arbetstagarrelation. 
 Det territoriella tillämpningsområdet – 4 § 
 Enligt 4 § tillämpas PUL på sådana personuppgiftsansvariga som är etablerade i Sverige. Även när en personuppgiftsansvarig från tredje 
  
 6 
  
 Se prop. s. 116 f. och Datalagskommitténs betänkande s. 340. 
  
 7 
  
 Se lagkommentaren s. 37. 
  
 289 
  
 Bilaga 2 
  
 SOU 2002:18 
  
 land använder utrustning som finns i Sverige för behandling av personuppgifter skall som huvudregel den svenska lagen tillämpas. I sådant fall skall den ansvarige utse en företrädare för sig som är etablerad i Sverige. 
 Enligt punkt 19 i ingressen till dataskyddsdirektivet förutsätter etablering på en medlemsstats territorium en effektiv och faktisk verksamhet med hjälp av en stabil struktur. I samma punkt anges vidare att den berörda verksamhetens rättsliga form inte har avgörande betydelse, oavsett om det är fråga om en filial eller om ett dotterbolag som är en juridisk person. 
 8 
  
 Bestämmelsens betydelse för utredningen 
 Enligt Datalagskommittén är dataskyddsdirektivets bestämmelser svårtolkade, vilket kan leda till vissa svårigheter när det gäller att avgöra vilket lands lag som skall gälla t.ex. i de fall där en arbetsgivare bedriver verksamhet i flera länder inom EU. Detta är naturligtvis en fråga av betydelse för de frågor utredningen har att behandla bl.a. med hänsyn till näringslivets internationalisering. Emellertid bör man kunna utgå från att svenska arbetstagare i allt väsentligt är anställda av arbetsgivare som i PUL:s mening kan anses etablerade i Sverige. 
 Behandling av personuppgifter som omfattas av lagen – 5 § 
 Av 5 § framgår vilken behandling av personuppgifter som lagen avser att omfatta. Enligt bestämmelsen faller dels sådan behandling av personuppgifter som är helt eller delvis automatiserad, dels viss manuell behandling av personuppgifter inom lagens tillämpnings- område. Genom att PUL kan omfatta såväl automatiserad som manuell behandling har lagen gjorts teknikoberoende, vilket enligt Datalagskommittén hindrar den från att få en hämmande effekt på användningen av ny informationsteknik. 
 När det gäller den behandling av uppgifter som är  
 helt automatiserad  
 innefattar denna personuppgifter som finns i dator- format (binär form) i datorer. Även överföring av personuppgifter till sådant format kan innefattas i begreppet. Enligt Datalags- kommittén är det tveksamt om och i vilken utsträckning reglerna om automatiserad behandling skall tillämpas på behandling av 
  
 8  
 Se prop. s. 55 och 118 samt Datalagskommitténs betänkande s. 347 f. 
 290 
  
 SOU 2002:18 
  
 Bilaga 2 
  
 personuppgifter som inte finns i datorformat, t.ex. vad gäller bilder och ljud som lagrats på ljud- eller videoband. Själva överföringen av en enskild persons utseende eller röst till ett ljud- eller videoband kan därvid inte ses som automatiserad behandling. Enligt Datalags- kommittén anses det även tveksamt om rekvisitet automatiserad innefattar en analog upptagning av en persons utseende eller röst som påbörjas och avslutas utan att någon operatör är inblandad, t.ex. vid vissa former av videoövervakning och telefonavlyssning. Detta gäller även beträffande uppgifter som registreras mekaniskt såsom t.ex. vid användning av mekaniska stämpelklockor och kassaregister. 
 Som tidigare nämnts innefattar lagen även  
 delvis automatiserad  
 behandling av personuppgifter. Om det till en samling av akter som innehåller personuppgifter finns ett datoriserat diarium med hänvisningar till akterna uppkommer frågan hur personuppgifterna i pappershandlingarna skall betraktas. Enligt Datalagskommittén krävs för att 5 § överhuvud skall vara tillämplig att den automatiserad delen av behandlingen omfattar personuppgifter. Det är således inte fråga om sådan behandling om man inte i diariet med hjälp av automatiserad behandling kan söka fram uppgifter om en individ. För det fall det datoriserade diariet är sökbart på personuppgifter, såsom namn, bör behandlingen anses vara automatiserad. De akter eller andra pappershandlingar som är knutna till diariet bör emellertid bedömas enligt bestämmelserna för manuell behandling. 
 När det gäller  
 manuell behandling  
 av personuppgifter på papper omfattas endast sådana uppgifter av lagen som ingår i eller är avsedda att ingå i ett register. Med register avses därvid en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden. Eftersom ett register utgörs av en samling av personuppgifter bör det krävas att det finns uppgifter som avser mer än en person. Vidare bör krävas att samlingen har en viss beständighet. En hög med papper på ett skrivbord innefattas således inte i begreppet, även om de är sorterade i bokstavsordning efter namn. Däremot kan det inte uppställas som krav att handlingarna finns på ett och samma ställe. Om personuppgifterna i pappershandlingarna är utspridda på olika håll i landet, men tillgängligt enligt ett centralt index kan det alltså ändå vara fråga om ett enda register och personuppgifterna som 
 291 
  
 Bilaga 2 
  
 SOU 2002:18 
  
 ingår i registret omfattas således av lagen. Vidare uppställs som krav att samlingen av personuppgifter skall vara strukturerad. Personuppgifterna måste således vara ordnade efter något visst system. Det krävs därutöver även att uppgifterna i samlingen är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, vilket innebär att det måste vara möjligt att söka bland uppgifterna i samlingen för att det skall vara fråga om ett register. Ett manuellt register som innehåller personuppgifter men som inte är sökbart med hjälp av en sådan uppgift omfattas således inte av lagen. Enligt 5 § måste samlingen av personuppgifter vara sökbar på mer en ett kriterium för att betraktas som register. Av punkten 27 i ingressen till dataskyddsdirektivet framgår att nu nämnda kriterier skall avse enskilda personer och vara utformade för att lätt ge tillgång till personuppgifterna. En förteckning i bokstavsordning över personer som endast är sökbar på namnet skulle således inte vara att betrakta som ett register. Varken av lagtext eller av förarbeten framgår om kriterierna måste avse personuppgifter för att uppfylla kraven. 
 När det gäller automatiserad övervakning är det tveksamt om vissa förfaranden kan anses falla inom PUL:s tillämpningsområde, bl.a. avser detta telefonavlyssning som sker helt automatiskt. Det är således inte säkert att personuppgifter om arbetstagare där behandlingen går till på det sättet omfattas av det integritetsskydd som ges i lagen. Detta gäller även vid t.ex. användandet av mekaniska stämpelklockor på arbetsplatser. Vid vissa former av insamling av personuppgifter genom övervakning och kontroll av arbetstagare bestäms således PUL:s tillämplighet av hur övervakningen eller kontrollen rent faktiskt organiserats. 
 9 
  
 Bestämmelsens betydelse för utredningen 
 Hur behandlingen av personuppgifter organiserats kan få en avgörande betydelse vid bedömningen av om personuppgifter är föremål för manuell behandling. För det fall en arbetsgivare under ett anställningsförfarande samlar samtliga ansökningar i en hög på skrivbordet ordnade efter bokstavsordning kan det exempelvis ifrågasättas om samlingen har sådan beständighet att handlingarna kan anses ingå i ett register och om personuppgifterna till följd därav verkligen omfattas av PUL. 
  
 9  
 Se prop. s. 38 f. samt Datalagskommitténs betänkande s. 116 f., 197 f, 339 f. och 343 f. 
 292 
  
 SOU 2002:18 
  
 Bilaga 2 
  
 För att 5 § skall vara tillämplig på manuell behandling av personuppgifter krävs även att uppgifterna i samlingen skall vara tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Det är i detta sammanhang inte klart om personuppgifter om arbetstagare i ett register som endast är sökbart på den enskildes namn omfattas av PUL. Arbetsgivaren skulle således kunna välja att ordna register på ett sådant sätt att arbetstagaren inte får det integritetsskydd som PUL:s bestämmelser garanterar. Här kan också hänvisas till att nödvändighetskravet i 10 § dessutom innebär en skyldighet för arbetsgivaren att om möjligt undvika sådan behandling som omfattas av PUL. 
 För fullständighetens skull bör även påpekas att personuppgifter som arbetsgivaren samlar in men som denne aldrig har för avsikt att dokumentera vare sig automatiskt eller manuellt inte omfattas av PUL. 
 Grundläggande krav på behandling av personuppgifter – 9 § 
 I 9 § stadgas om de krav på behandlingen av personuppgifter som den personuppgiftsansvarige måste uppfylla. Det är emellertid inte tillräckligt att den personuppgiftsansvarige uppfyller dessa krav för att en behandling av personuppgifter skall vara laglig. Därutöver måste behandlingen även kunna hänföras till något av de fall som räknas upp 10 §. För det fall behandlingen avser känsliga personuppgifter måste behandlingen dessutom vara tillåten enligt  
 13–22 
  §§. 
 Av bestämmelsen framgår att det är den personuppgiftsansvarige gentemot den registrerade som ansvarar för att de grundläggande kraven uppfylls och att detta måste vara fallet under hela den tid som behandlingen pågår. Den personuppgiftsansvarige har därvid enligt bestämmelsen att se till att 
 a) – b) personuppgifter behandlas bara om det är lagligt samt att behandlingen skall ske på ett korrekt sätt och i enlighet med god sed 
 När en behandling är laglig och korrekt framgår av PUL och anknytande lagstiftning. Det förefaller osäkert om den uttryckliga bestämmelsen i dataskyddsdirektivet om att personuppgifter skall behandlas på ett lagligt och korrekt sätt har någon självständig betydelse. Bestämmelsen har tagits med för säkerhets och fullständighetens skull. 
 293 
  
 Bilaga 2 
  
 SOU 2002:18 
  
 Att personuppgifter skall behandlas i enlighet med god sed har inte någon motsvarighet i dataskyddsdirektivet. Vad som är god sed vid behandling av personuppgifter får avgöras i rättstillämp- ningen mot bakgrund av bl.a. de mer preciserade föreskrifter som kan utfärdas med stöd av lagen, branschregler som kan ha ut- arbetats av etablerade branschorganisationer eller andra representa- tiva sammanslutningar och hur ansvarsfulla personuppgifts- ansvariga uppför sig. 
 10 
  
 c) 
  
 personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål 
  
 Bestämmelsen ger uttryck för relevansprincipen och innebär att ändamålen med behandlingen av personuppgifterna måste bestämmas redan när uppgifterna samlas in. Ändamålen måste då anges uttryckligen. Det finns inget krav på att ändamålsangivelsen skall nedtecknas. Vad som stadgas om information till den registrerade i  
 23–25 
  §§ medför emellertid att information om ändamålen i de flesta fall måste lämnas i samband med att behandlingen påbörjas. Att ändamålen skall vara särskilda, innebär att en alltför allmänt hållen ändamålsangivelse inte kan godtas. Hur pass detaljerad ändamålsangivelsen skall vara för att uppfylla kravet på att vara särskild får avgöras i praxis och eventuella kompletterande föreskrifter. Det är möjligt att ange flera ändamål när uppgifterna samlas in. De ändamål för vilka uppgifterna samlas in skall även vara berättigade. I vilka fall det är berättigat att samla in och behandla personuppgifter framgår av lagen och anknytande lagstiftning. Det förefaller osäkert om bestämmelsen om berättigade ändamål har någon självständig betydelse. Den har, enligt vad som anges i Datalagskommitténs betänkande, trots detta tagits med i lagen för säkerhets och fullständighets skull. 
 11 
  
 d) 
  
 personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in 
  
 De insamlade personuppgifterna får behandlas för andra ändamål än de för vilka uppgifterna samlades in bara om de nya ändamålen inte är oförenliga med de ursprungliga ändamålen. Vad som är oförenligt med de ursprungliga ändamålen får bestämmas genom praxis och kompletterande föreskrifter. Även ett utlämnande till annan av uppgifter måste vara förenligt med de ursprungliga ändamålen. Det bör således inte vara möjligt att kringgå reglerna 
  
 10 
  
 Se prop. s. 120 f. och 143 f. samt Datalagskommitténs betänkande s. 349. 
  
 11 
  
 a.a. s. 63 f. och 120 f. resp. a.a. s. 125 f., 306 f. och 350 f. 
  
 294 
  
 SOU 2002:18 
  
 Bilaga 2 
  
 genom att en personuppgiftsansvarig lämnar ut uppgifterna till en annan, som vid sin insamling bestämmer ändamål som är oförenliga med de ursprungliga. 
 Bestämmelsen ger uttryck för finalitetsprincipen och begränsar möjligheterna till samkörning av olika register som innehåller personuppgifter. 
 12 
  
 e) – f) de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen och att inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen 
 Bestämmelsen innebär att det inte är tillåtet att behandla personuppgifter som är ovidkommande. Det är vidare inte tillåtet att behandla fler personuppgifter än som är nödvändigt med hänsyn till ändamålet med behandlingen. 
 Enligt lagkommentaren torde det vara den personuppgifts- ansvarige som skall göra bedömningen av om uppgifterna är relevanta och adekvata till ändamålet för behandlingen. 
 13 
  
 g) – h) de personuppgifter som behandlas är riktiga och, om det är  
 nödvändigt, aktuella och vidta alla rimliga åtgärder för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen 
  
 De behandlade personuppgifterna skall vara riktiga och aktuella. De behandlade personuppgifterna behöver emellertid endast vara aktuella i de fall det är nödvändigt. Enligt lagkommentaren bör denna bedömning ske utifrån de för behandlingen angivna ändamålen. Vidare uttalas i lagkommentaren att en personuppgift är riktig i de fall då den överensstämmer med de verkliga förhållandena. I de fall det uppkommer svårighet att bedöma om så är fallet torde man få söka ledning i ändamålet med behandlingen av personuppgifterna. I lagkommentaren sägs i detta sammanhang även att i de fall där avsikten med behandlingen endast är att registrera uppgifter, t.ex. vid mottagande av en order, så får de registrerade personuppgifterna bedömas som riktiga om de stämmer överens med de uppgifter som getts in till den personuppgiftsansvarige. Detta oavsett om de ingivna uppgifterna stämmer överens med verkliga förhållanden. 
 14 
  
 12 
  
 Se prop. s. 63 f. och 120 f. samt Datalagskommitténs betänkande s. 350 f. 
  
 13 
  
 Se lagkommentaren s. 60 f. 
  
 14 
  
 Se lagkommentaren s. 60 f. 
  
 295 
  
 Bilaga 2 
  
 SOU 2002:18 
  
 Enligt bestämmelsen åligger det den personuppgiftsansvarige att självmant rätta, blockera eller utplåna personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Bestämmelsen omfattar inte personuppgifter som är missvisande utan att vara felaktiga eller ofullständiga. 
 15 
  
 i) personuppgifter inte bevaras under längre tid än vad som är nödvändigt med hänsyn till ändamålen med behandlingen 
 Personuppgifterna får endast lagras så länge som det är nödvändigt med hänsyn till de ändamål för vilka uppgifterna behandlas. Därefter måste personuppgifterna avidentifieras eller förstöras. 
 Enligt lagkommentaren kan ändamålen med behandlingen i vissa fall göra det nödvändigt att bevara personuppgifter även sedan de inte längre används aktivt. Detta kan exempelvis vara fallet med bokföringsmaterial som måste bevaras till följd av skatte- och bokföringslagstiftning. 
 16 
  
 Bestämmelsens betydelse för utredningen 
 Vad inledningsvis gäller kravet på god sed finns det i arbetslivet ofta de föreslagna riktlinjer för datoranvändning som arbetsgivaren 
 – eventuellt efter samråd med företrädare för arbetstagarna – har infört och som kan innefatta regler bl.a. för hur arbetsgivaren får logga arbetstagarnas datoranvändning. Sådana de föreslagna riktlinjer kan möjligen utgöra en utgångspunkt för att avgöra vad som är god sed i sammanhanget. 
 Reglerna i 9 § innebär att stora krav ställs på en arbetsgivare när det gäller att redan från början bestämma ändamålet med insamling av personuppgifter om arbetstagare. När personuppgifter samlas in t.ex. om en arbetssökande måste arbetsgivaren redan vid insamlingen avgöra hur uppgifterna skall behandlas efter anställningsförfarandet, oavsett om den sökande blir anställd eller inte. En tillämpning av relevans- och finalitetsprinciperna i exempelvis en anställningssituation kan avsevärt begränsa arbets- givarens möjligheter att behandla personuppgifter beträffande en arbetssökande. Bestämmelserna kan t.ex. innebära att en arbetsgivare inte får ställa frågor som är ovidkommande för en bedömning av sökandens lämplighet för den tänkta anställningen 
  
 15 
  
 Se prop. s. 63 och 120 samt Datalagskommitténs betänkande s. 126 och 353. 
  
 16 
  
 Se lagkommentaren s. 61. 
  
 296 
  
 SOU 2002:18 
  
 Bilaga 2 
  
 eller att arbetsgivaren inte senare i anställningsförhållandet får behandla uppgifter som samlades in för att ligga till grund för anställningsbeslutet. Detta under förutsättning att uppgifterna behandlas på ett sätt som omfattas av lagen. 
 Även vid insamling av uppgifter genom hälso- eller drogkontroller måste arbetsgivaren ange ett uttryckligt ändamål med insamlingen. Här har det mycket stor betydelse för arbetstagarnas integritetsskydd att det noga prövas om insamlingen är berättigad, att tydliga ändamål anges och att uppgifterna inte används för andra ändamål. 
 Bestämmelsen gäller även sådana fall där utrustning hos arbetsgivaren loggar t.ex. arbetstagarnas Internetanvändning. Om uppgifterna i loggen innefattar personuppgifter bör bestämmelsen uppfattas så att arbetsgivaren är skyldig att innan insamlingen, dvs. i praktiken innan tillämpningen tas i bruk, uttryckligen bestämma ändamålet med behandlingen. Om arbetsgivaren har bestämt att ändamålet med loggningen är uteslutande teknisk övervakning av en tillämpning, torde bestämmelserna i 9 § utgöra hinder mot att använda loggen för att utreda arbetstagares missbruk av systemet. 
 Den närmare omfattningen av det skydd som lagen ger är emellertid svår att klarlägga, eftersom innebörden och betydelsen av flera av de viktiga begreppen, t.ex. adekvans, relevans och berättigat, inte närmare har preciserats i lagtext eller förarbeten. 
 Frågan är även hur integritetsskyddet påverkas av att det är den personuppgiftsansvarige som skall göra bedömningen av om uppgifterna är relevanta och adekvata i förhållande till ändamålet med behandlingen. Det kan exempelvis i en anställningssituation vara svårt för en enskild att bedöma om arbetsgivarens bedömning i dessa delar är riktig. Det kan även vara problematiskt för en arbetssökande att ifrågasätta arbetsgivarens bedömning om det klart framgår att denna är felaktig. 
 Det skydd som 9 § ger mot ett integritetskränkande behandling av personuppgifter förstärks av att en enskild inte kan samtycka till en behandling av personuppgifter som står i strid med bestämmelsen. Detta medför exempelvis att en arbetssökande, under de pressade förhållanden som ett anställningsförfarande innebär, inte kan efterge sin rätt till integritetsskyddet genom att samtycka till att arbetsgivaren behandlar personuppgifter utöver vad som medges enligt 9 §. 
 297 
  
 Bilaga 2 
  
 SOU 2002:18 
  
 När behandling av personuppgifter är tillåten – 10 § 
 I 10 § finns en uttömmande uppräkning av i vilka fall person- uppgifter får behandlas. Om behandlingen avser känsliga person- uppgifter, uppgifter om lagöverträdelser m.m. eller personnummer måste behandlingen dessutom vara tillåten enligt bestämmelserna i  
 13–22 
  §§. I 12 § andra stycket regleras den situationen att den registrerade återkallar ett redan lämnat samtycke. 
 Personuppgifter får behandlas om den registrerade har lämnat sitt  
 samtycke  
 till behandlingen. Vad som förutsätts av ett samtycke har behandlats ovan. 
 Behandling av personuppgifter är, med undantag för det fallet att samtycke har lämnats, tillåten endast under förutsättning att sådan behandling som omfattas av lagen är  
 nödvändig 
 . All behandling av personuppgifter utgör enligt definitionen i 3 § behandling av personuppgifter i lagens mening. I 10 § avses emellertid endast behandling som omfattas av PUL enligt 5 §, dvs. automatiserad behandling och behandling i registerform. Nödvändighetskravet innebär alltså att den personuppgiftsansvarige skall pröva om det är nödvändigt att behandlingen sker automatiserat eller i registerform. Om uppgifterna lika väl kan behandlas på annat sätt är nödvändighetskravet inte uppfyllt. 
 I praktiken kan de flesta arbetsuppgifter rent faktiskt utföras utan att personuppgifter behandlas automatiserat eller i register- form, även om det kostar mer och tar längre tid. Enligt Datalags- kommittén kan nödvändighetskravet inte rimligen innebära att det skall vara faktiskt omöjligt att utföra en uppgift utan att den innefattar behandling av personuppgift enligt lagen. Kan en uppgift däremot utföras nästan lika enkelt och billigt utan sådan behandling av personuppgifter som omfattas av lagen, kan det inte anses nödvändigt enligt 10 § att behandla personuppgifterna. Vid bedömning av nödvändigheten bör även prövas om syftet med behandlingen kan uppnås med användande av anonyma uppgifter. 
 17 
  
 Bestämmelsens betydelse för utredningen 
 Syftet med nödvändighetskravet är att, genom att undvika behand- ling som sker automatiserat eller i registerform, i möjligaste mån undanta behandling av personuppgifter från lagens tillämpnings- område. I arbetslivet är det troligen så att många uppgifter i 
  
 17  
 Se prop. s. 65 f. och 121 f. samt Datalagskommitténs betänkande s. 359. 
 298 
  
 SOU 2002:18 
  
 Bilaga 2 
  
 praktiken kan behandlas manuellt. Detta gäller kanske särskilt behandling av uppgifter om arbetssökande, eftersom dessa ännu inte ingår i arbetsgivarens personalregister. I ett anställnings- förfarande kan man anta att uppgifter om arbetssökandes meriter o. d. i många fall kan behandlas lika enkelt manuellt som automatiserat. Även när det gäller anställda kan arbetsgivaren skapa sådana rutiner att olika typer av uppgifter om arbetstagare kan behandlas manuellt och utan att ingå i ett register. En behandling enligt PUL är i sådant fall inte nödvändig. 
 De fall som redovisas i avsnitt  
 Fel! Hittar inte referenskälla.  
 innefattar en sådan automatiserad behandling att det i samtliga fall blir fråga om en behandling av personuppgifter inom PUL:s tillämpningsområde. Någon alternativ,  
 icke-automatiserad, 
  behand- ling kan därför inte förekomma. Däremot kan sådan loggning som sker i syfte att övervaka ett systems tekniska funktion i vissa fall ordnas på ett sådant sätt att det kan fungera lika väl med anonyma uppgifter, dvs. att det i loggfilen inte registreras vilken enskild användare som vidtagit olika åtgärder. Även kontroller av arbets- tagares arbetsprestationer som syftar till att uppskatta t.ex. personalbehov torde kunna ske utan att enskilda arbetstagare identifieras. 
 När en arbetsgivare samlar in uppgifter om arbetstagare torde syftet i allmänhet vara att uppgifterna skall ligga till grund för olika bedömningar av betydelse för arbetstagaren. Att personuppgifter dokumenteras på ett systematiskt sätt är ofta en förutsättning för att arbetstagaren skall kunna få del av de uppgifter som är av betydelse för ett beslut eller någon annan bedömning beträffande arbetstagaren som arbetsgivaren har gjort eller avser att göra. Att uppgifter hålls utanför en personalakt kan vidare innebära att uppgifter som finns i akten blir ofullständiga eller rent av miss- visande. Om det t.ex. framgår eller är allmänt känt att en arbets- tagare har genomgått en drogkontroll, kan det vara av betydelse för helhetsbilden att det också framgår att arbetstagaren varit drogfri vid kontrollen. Nödvändighetskravet i 10 § kan därmed i vissa fall innebära en konflikt mellan olika integritetsintressen. 
 Behandling av personuppgifter kan vara tillåten när det är nödvändigt  
 för att fullgöra ett avtal  
 med den registrerade eller för att på dennes begäran vidta åtgärder innan ett avtal träffas. När det gäller fullgörelse av ett avtal krävs det att den registrerade själv är avtalspart. Ett avtal mellan en personuppgiftsansvarig och en juridisk person kan således inte enligt denna bestämmelse medföra 
 299 
  
 Bilaga 2 
  
 SOU 2002:18 
  
 att behandling av personuppgifter, t.ex. beträffande anställda hos den juridiska personen, blir tillåten. När det gäller åtgärder som vidtas innan ett avtal träffas krävs det att den registrerade har begärt att de åtgärder som gör det nödvändigt att behandla personuppgifter skall vidtas. Vad som närmare avses med att behandlingen skall vara nödvändig för att  
 fullgöra  
 ett avtal är inte riktigt klart, utan får avgöras i praxis. Klart är emellertid att enbart förekomsten av ett avtal inte kan legitimera behandling av alla tänkbara personuppgifter. 
 18 
  
 Bestämmelsens betydelse för utredningen 
 I arbetslivet är det uppenbart att det kan vara nödvändigt för arbetsgivaren att behandla en hel del uppgifter för att avtalet mellan denne och arbetstagaren skall kunna fullgöras. Till fullgörelse av avtalet bör kunna hänföras bl.a. uppgifter om närvaro och – om lönen är resultatbaserad – arbetsprestation. I vilken mån insamling av uppgifter genom exempelvis loggning i datoriserade system eller insamling av uppgifter om anställdas ekonomiska förhållanden kan betraktas som nödvändiga för att fullgöra anställningsavtalet på det sätt som avses i bestämmelsen är emellertid oklart och får avgöras från fall till fall. 
 Åtgärder vid anställningsförfarande bör betraktas som sådana åtgärder som i bestämmelsens mening vidtas innan ett avtal träffas. I likhet med vad som har sagts ovan är det klart att insamling och övrig behandling av en hel del personuppgifter är nödvändiga i detta sammanhang. Den närmare gränsdragningen får dock avgöras från fall till fall. Härvid torde man bl.a. behöva beakta vilken typ av arbete som ansökan avser. 
 Personuppgifter får behandlas om behandlingen är nödvändig för att den personuppgiftsansvarige skall kunna fullgöra en  
 rättslig skyldighet  
 som åvilar denne. Förpliktelser som ålagts genom såväl offentligrättsliga som civilrättsliga lagar och författningar av olika valör omfattas, liksom även förpliktelser som ålagts genom myndighetsbeslut i enskilda fall. Enligt Datalagskommittén är det oklart om en förpliktelse som någon åtagit sig genom avtal med annan kan vara en sådan rättslig skyldighet som avses i detta sammanhang. 
 19 
  
 18 
  
 Se prop. s. 65 f. och s. 121 f. samt Datalagskommitténs betänkande s. 128 och 359. 
  
 19 
  
 a.a. s. 65 f. och 121 f. resp. a.a. s. 128 och 360. 
  
 300 
  
 SOU 2002:18 
  
 Bilaga 2 
  
 Bestämmelsens betydelse för utredningen 
 Även med stöd av denna bestämmelse kan det vara tillåtet för en arbetsgivare att behandla personuppgifter om arbetstagare. Här kan nämnas t.ex. att arbetsgivarens skyldighet att redovisa skatter och avgifter beträffande arbetstagarna gör det nödvändigt att behandla vissa personuppgifter. För vissa arbetstagare kan arbetsgivaren vara skyldig enligt arbetsmiljölagen och Arbetarskyddsstyrelsens föreskrifter att föra register över anställda som genomgått läkarundersökningar p.g.a. särskilda hälsorisker i arbetet. Vidare kan de civilrättsliga turordningsbestämmelserna som gäller vid uppsägning av arbetstagare p.g.a. arbetsbrist sägas innebära en rättslig skyldighet för arbetsgivare att upprätta listor över sina anställda. I många affärsmässiga avtal föreskrivs om skyldigheter för parterna att hantera information på visst sätt. Sådan information kan även innefatta personuppgifter. I Sverige finns sedan 1999 en svensk standard för  
 IT-säkerhet, 
  SS 62 77 99. Syftet med denna är att företag och organisationer ska få fullgod kontroll över hanteringen av information och data samt skydd mot oönskade händelser och hot, såväl interna som externa. Som en del av det säkerhetsarbete som förutsätts enligt standarden ingår loggning av system och kontroll av de anställda i olika avseenden. I enlighet med vad som anförts ovan, är det oklart i vilken mån sådana åtaganden kan omfattas av bestämmelsen. 
 Känsliga uppgifter får också behandlas om den registrerades eller annans  
 vitala intressen  
 skall kunnat skyddas. Det oklart om det bakomliggande dataskyddsdirektivet syftar bara på det som är livsviktigt – som gäller liv och död – eller om även sådant som är bara av grundläggande betydelse avses. Bestämmelsen i PUL har utformats så att den omfattar båda fallen. 
 20 
  
 Personuppgifter får behandlas om det är nödvändigt för att utföra en arbetsuppgift av  
 allmänt intresse 
 . Sådan behandling får också ske om den är nödvändig för att utföra en arbetsuppgift i samband med  
 myndighetsutövning 
 . Myndighetsutövningen skall då utföras av den personuppgiftsansvarige själv eller av tredje man till vilken uppgifterna har lämnats ut. 
 Som exempel på uppgifter som kan vara av allmänt intresse nämner Datalagskommittén arkivering, forskning och framställ- ning av statistik samt etablerade idrottsorganisationers registrering av personer som har vunnit svenska mästerskap eller innehar 
  
 20  
 Se prop. s. 65 och 121 samt Datalagskommitténs betänkande s. 129 och 361. 
 301 
  
 Bilaga 2 
  
 SOU 2002:18 
  
 svenskt rekord i erkända sportgrenar. Också den registrering som sker av personer som har fått allmänt erkända utmärkelser, t.ex. Nobelpris, kan enligt Datalagskommittén vara en arbetsuppgift av allmänt intresse. 
 21 
  
 Det är slutligen möjligt att tillåta behandling av personuppgifter efter en  
 intresseavvägning 
 . Behandlingen måste då vara nödvändig för ändamål som rör berättigade intressen hos den registeransvarige och dessa intressen får inte uppvägas av den registrerades intressen. Om en registrerad meddelar den personuppgiftsansvarige att han eller hon inte vill att behandlingen fortsätter får enligt Datalags- kommittén den registrerades intresse av att slippa fortsatt behand- ling i allmänhet anses väga över. Bara i synnerliga undantagsfall bör den personuppgiftsansvariges intresse av fortsatt behandling väga över intresset hos en registrerad som uttryckligen har motsatt sig fortsatt behandling. Finns inte längre förutsättningar att behandla personuppgifter måste de behandlade uppgifterna förstöras eller avidentifieras eftersom även lagring av personuppgifter anses som en form av behandling. 
 22 
  
 Vad som avses med berättigat intresse är inte klart. Som konstateras i lagkommentaren innebär redan de grundläggande kraven på all behandling att personuppgifter bara får samlas in för berättigade ändamål. 
 23 
  
 Enligt 50 § a är avsikten att Datainspektionen skall meddela när- mare föreskrifter när det gäller de överväganden som skall göras vid intresseavvägningen. Några sådana föreskrifter har inte meddelats. 
 Bestämmelsens betydelse för utredningen 
 I 10 § punkten f) ges uttryck för den s.k. proportionalitets- principen. Denna princip är av stor betydelse vid utformningen av varje bestämmelse där integritetsskyddet skall bestämmas efter en avvägning mellan två motstående intressen. Proportionalitets- principen kommer också till uttryck i den modell för intresse- avvägning som Arbetsdomstolen tillämpat i de fall där det varit fråga om en av arbetsgivaren vidtagen kontrollåtgärder kränkt arbetstagarens integritet. 
 24  
 Att det i förarbetena till PUL inte getts några hållpunkter för hur bedömningen skall göras innebär 
  
 21 
  
 Se prop. s. 65 och 121 samt Datalagskommitténs betänkande s. 130 f. och 361. 
  
 22 
  
 a.a. s. 65 och 121 resp. a.a. s. 130 f. och 362. 
  
 23 
  
 Se lagkommentaren s. 72. 
  
 24 
  
 Se bl.a. AD 2001 nr 3. 
  
 302 
  
 SOU 2002:18 
  
 Bilaga 2 
  
 naturligtvis att det inte mer preciserat går att resonera kring hur principen som den kommer till uttryck i PUL, skulle kunna tillämpas i arbetslivet. Fråga är emellertid om det vore möjligt att närmare ange några kriterier för hur en sådan bedömning bör göras. 
 Återkallelse av samtycke – 12 § 
 Bestämmelsen i 12 § reglerar vad som gäller när den registrerade återkallar ett redan lämnat samtycke till behandling av personuppgifter och i vilka fall den registrerade i övrigt skall ha rätt att motsätta sig sådan behandling. 
 Bestämmelsens  
 första stycke  
 rör frågan om återkallelse av den registrerades samtycke i de fall där behandling av personuppgifter endast är tillåten efter sådant medgivande. En återkallelse av det slaget kan avges muntligen eller skriftligen till den person- uppgiftsansvarige eller någon som på laglig grund företräder denne t.ex. det personuppgiftsbiträde som för den personuppgifts- ansvariges räkning tagit emot samtycket. Sedan den person- uppgiftsansvarige mottagit och registrerat återkallelsen får ytter- ligare uppgifter om den registrerade inte samlas in eller annars behandlas. Behandlingen av redan insamlade uppgifter får trots återkallelsen fortsätta i enlighet med det ursprungligen lämnade samtycket, men uppgifterna får exempelvis inte uppdateras eller kompletteras. 
 25 
  
 Enligt lagkommentaren kan de grundläggande kraven på kvalitet avseende behandlade personuppgifter enligt 9 § i detta hänseende komma att innebära att den personuppgiftsansvarige efter ett återkallat samtycke måste utplåna eller avidentifiera uppgifter sedan de blivit inaktuella eller ofullständiga. 
 26 
  
 Regleringen i första stycket har ansetts innebära en lämplig avvägning mellan den registrerades och den personuppgifts- ansvariges intressen. Lösningen innebär att den registrerades självbestämmanderätt beträffande vilka uppgifter som får samlas in respekteras samtidigt som den personuppgiftsansvariges befogade anspråk på att få behandla de uppgifter färdigt som denne kommit över med stöd av ett frivilligt lämnat samtycke kan tillgodoses. 
 27 
  
 25  
 Se 10 § grundläggande krav på tillåten behandling, 15 § behandling av känsliga personuppgifter och 34 § överföring av personuppgifter till tredje land. 
  
 26 
  
 Se lagkommentaren s. 77. 
  
 27 
  
 Se Datalagskommitténs betänkande s. 364. 
  
 303 
  
 Bilaga 2 
  
 SOU 2002:18 
  
 Bestämmelsens betydelse för utredningen 
 Möjlighet att återkalla ett tidigare avgett samtycke kan innebära en begränsning för en arbetsgivare att behandla personuppgifter mot en arbetstagares vilja. Exempelvis ges en arbetssökande som vid en anställningsintervju gått med på att arbetsgivaren skall få samla in viss information som kräver samtycke möjlighet att i efterhand underrätta arbetsgivaren om att samtycket inte längre gäller. Det skydd som nu beskrivits inskränks av att arbetsgivaren trots en återkallelse av samtycket har rätt att avsluta behandling av personuppgifter som redan samlats in. 
 När det gäller frågan om vilket integritetsskydd som PUL ger i arbetslivet bör även uppmärksammas bestämmelsens andra stycke, där det sägs att arbetsgivaren även utan arbetstagarens samtycke har rätt att behandla vissa personuppgifter. Beträffande sådana situationer kan hänvisas särskilt till 10 §. 
 Förbud mot behandling av känsliga uppgifter 
 Huvudregeln när det gäller känsliga uppgifter är, som framgår av 13 §, att behandling av sådana är förbjuden. I  
 14–20 
  §§ återfinns undantag från huvudregeln, där behandling under vissa förutsätt- ningar är tillåten. 
 Känsliga uppgifter i lagens mening är sådana som rör ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt hälsa och sexualliv. 
 Undantag från förbudet mot behandling av känsliga personuppgifter 
 I kommentaren till PUL har undantagen sammanfattats enligt följande: 
 28 
  
 N  
 Den registrerades uttryckliga samtycke (15 §)  
 N  
 Den registrerades offentliggörande (15 §) 
  
 N  
 Behandling av den personuppgiftsansvarige inom arbetsrätten (16 §) 
  
 N  
 För att skydda vitala intressen (16 §) 
  
 N  
 För att kunna fastställa, göra gällande eller försvara rättsliga anspråk (16 §) 
  
 28  
 Se lagkommentaren s. 81. 
 304 
  
 SOU 2002:18 
  
 Bilaga 2 
  
 N  
 Behandling inom ideella organisationer (17 §) 
  
 N  
 Behandling för hälso- och sjukvårdsändamål (18 §) 
  
 N  
 Behandling av personuppgifter som omfattas av hälso- och sjukvårdssekretess (18 §) 
  
 N  
 Behandling för forsknings- och statistikändamål (19 §) 
 Denna uppräkning är uttömmande och annan behandling av känsliga uppgifter än sådan som tas upp i  
 15–20 
  § är inte tillåten. Vidare måste all behandling även vara tillåten enligt 9 och 10 §§ i enlighet med vad som redovisats ovan. 
 29 
  
 För utredningens del är bestämmelserna i  
 17–20 
  §§ av så begränsat intresse att de i fortsättningen lämnas utanför denna redovisning. 
 Samtycke 
 Förbudet att behandla känsliga personuppgifter gäller inte om den registrerade har lämnat sitt samtycke till behandlingen. Innebörden av begreppet samtycke har berörts ovan. Enligt dataskydds- direktivet finns en möjlighet för medlemsstaterna att bestämma att förbudet inte kan upphävas genom den registrerades samtycke. 
 30  
 Denna möjlighet har inte utnyttjats i PUL, vilket innebär att ett samtycke enligt PUL alltid utgör en tillräcklig förutsättning för behandling av personuppgifter. 
 31 
  
 Bestämmelsens betydelse för utredningen 
 Vid bedömning av arbetstagares samtycke kan det finnas skäl att särskilt beakta att arbetstagare ibland kan ha en beroende ställning i förhållande till arbetsgivaren som gör att ett lämnat samtycke kanske inte ger uttryck för arbetstagarens verkliga vilja. Det är naturligtvis svårt att generellt uttala sig om förutsättningarna för att ett verkligt samtycke skall föreligga. Frågan får avgöras från fall till fall med tillämpning av vad som anförts ovan vid definitionen av begreppet samtycke. Här kan nämnas att Arbetsmiljöverket vid remissbehandlingen av Datalagskommitténs betänkande ansåg att lagen borde ge regeringen eller Datainspektionen möjlighet att i särskilda fall förbjuda behandling av känsliga personuppgifter även 
  
 29 
  
 Se prop. s. 67 f. och 124 samt Datalagskommitténs betänkande s. 132 f., 295 f. och 369 f. 
  
 30 
  
 Se direktivet artikel 8.2 a). 
  
 31 
  
 Se prop. s. 68 f. och 124 f. samt Datalagskommitténs betänkande s. 132, 295 och 370. 
  
 305 
  
 Bilaga 2 
  
 SOU 2002:18 
  
 om det finns samtycke. Departementschefen ansåg emellertid inte att det, när någon har lämnat ett frivilligt samtycke till en viss behandling, kan finnas något integritetsskyddsintresse som gör det befogat att förbjuda den behandling som den registrerade och den personuppgiftsansvarige är överens om. 
 32 
  
 Offentliggörande 
 Förbudet mot behandling av känsliga personuppgifter gäller inte heller om behandlingen rör uppgifter som den registrerade har offentliggjort på ett tydligt sätt. Det måste således vara fråga om uppgifter som den registrerade själv offentliggjort. Uppgifter om den registrerade som någon annan har avslöjat för offentligheten omfattas inte om inte den registrerade själv offentligt bekräftar uppgiften. 
 33 
  
 Bestämmelsens betydelse för utredningen 
 För förhållandena i arbetslivet innebär detta bl.a. att det kan vara tillåtet för en arbetsgivare att behandla en uppgift om medlemskap i fackförening om arbetstagaren såsom styrelseledamot Kirby har en sådan ställning i föreningen han får anses ha offentliggjort uppgiften. Enbart deltagande i möten anordnade av en fackförening kan dock knappast uppfylla kraven på ett tydligt offentliggörande av medlemskapet. Inte heller i sådana fall då en arbetstagare offentliggjort andra känsliga uppgifter, såsom t.ex. politisk åskåd- ning eller sexuell läggning, gäller förbudet enligt 13 § mot behand- ling av personuppgifterna. Som nämnts ovan måste emellertid behandlingen även uppfylla kraven i 9 § och vara tillåten enligt 10 §. Man kan anta att alla dessa förutsättningar är uppfyllda endast i rena undantagsfall när det gäller arbetsgivares behandling av personuppgifter om arbetstagare. 
 Nödvändig behandling 
 I 16 § undantas från förbudet mot behandling av känsliga uppgifter sådana fall där behandlingen är nödvändig av de i paragrafen närmare angivna skälen. När det gäller nödvändighetskravet kan 
  
 32 
  
 Se prop. s. 69. 
  
 33 
  
 Se prop. s. 68 f. och 124 f. samt Datalagskommitténs betänkande s. 133, 295 och 370. 
  
 306 
  
 SOU 2002:18 
  
 Bilaga 2 
  
 hänvisas till vad som anförts ovan vid 10 §. Förutom de där angivna allmänna kraven tillkommer här att behandlingen måste vara nödvändig just för de syften som anges under punkterna  
 a)–c) 
  i bestämmelsens första stycke. För utredningens del förefaller punkterna b) och c) ha så begränsat intresse att de här kan bortses från. 
 Enligt 16 § första stycket punkt a) får känsliga personuppgifter behandlas om behandlingen är nödvändig för att den person- uppgiftsansvarige skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter enligt arbetsrätten. Såsom Datalagskommittén konstaterar har arbetsrätten som rättsområde inte någon klar eller en gång för alla given gräns. Enligt Datalagskommittén bör emellertid inte uttrycket inom arbetsrätten ges en allt för snäv betydelse. I stort sett alla skyldigheter och rättigheter för arbetsgivare beträffande arbetstagare och deras organisationer bör enligt kommittén kunna innefattas. 
 34 
  
 Bestämmelsens betydelse för utredningen 
 I många fall följer det av lagstiftning inom arbetsrätten att vissa uppgifter måste behandlas för att lagstadgade skyldigheter skall kunna fullgöras, t.ex. i samband med sjuklön eller rehabilitering av arbetstagare eller fullgörande av förhandlingsskyldighet. Men även skyldigheter och rättigheter inom arbetsrätten som följer av avtal – kollektivavtal och andra avtal – eller myndighetsbeslut i enskilda fall omfattas av bestämmelsen. Har en arbetsgivare t.ex. åtagit sig att göra avdrag på lön för fackföreningsavgift, får enligt bestämmelsen uppgift om medlemskap i fackföreningen behandlas. 
 Enligt 16 § andra stycket får uppgifter som behandlas med stöd av första stycket lämnas ut till tredje man endast om det inom arbetsrätten finns en skyldighet för den personuppgiftsansvarige att göra det eller om den registrerade uttryckligen har samtyckt till utlämnandet. Denna bestämmelse motiveras av att dataskydds- direktivet föreskriver att en behandling enligt ovan förutsätter att det i nationell lagstiftning finns lämpliga skyddsåtgärder. Genom bestämmelsen garanteras att den känsliga frågan om spridning av uppgifterna får särskild uppmärksamhet vid utformning av kollektivavtal och lagstiftning. Enligt Datalagskommittén innebär bestämmelsen att en arbetsgivare inte utan vidare får lämna ut 
  
 34  
 Se prop. s. 125 samt Datalagskommitténs betänkande s. 132 och 370 f. 
 307 
  
 Bilaga 2 
  
 SOU 2002:18 
  
 uppgifter om en tidigare anställds sjukfrånvaro till en annan arbetsgivare. 
 35 
  
 Bestämmelsens betydelse för utredningen 
 En bestämmelse som innebär en rättslig skyldighet för arbetsgivaren att lämna ut känsliga uppgifter till tredje man är 11 § MBL, där den s.k. primära förhandlingsskyldigheten för arbets- givare återfinns. Denna innefattar en skyldighet för arbetsgivaren att inför viktigare förändringar av verksamheten förhandla med arbetstagarorganisation i förhållande till vilken han är bunden av kollektivavtal. I den mån förändringen avser t.ex. omplacering av arbetstagare är arbetsgivaren skyldig att lämna uppgifter om arbetstagaren till arbetstagarorganisationen. Detta gäller oavsett om arbetstagaren är medlem i organisationen och även oavsett om arbetstagaren motsätter sig ett utlämnande. 
 Här bör också nämnas att det I jämställdhetslagen stadgas att arbetsgivare, som ett led i kartläggning av löneskillnader mellan kvinnor och män, kan bli skyldiga att till arbetstagarorganisation lämna ut uppgifter om enskilda arbetstagares löner, oavsett om dessa är medlemmar i organisationen. Som en lämplig avvägning gentemot arbetsgivarens och den berörde arbetstagarens intresse av att skydda uppgiften om lön föreslås att facklig företrädare som får del av informationen skall kunna beläggas med tystnadsplikt. 
 Uppgifter om lagöverträdelser – 21 § 
 I bestämmelsens  
 första stycke  
 stadgas som huvudregel ett förbud för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straff- processuella tvångsmedel eller administrativa frihetsberövanden. Annan än myndighet får emellertid behandla personuppgifter av det slaget om det framgår av särskilda författningsbestämmelser att detta är tillåtet eller om det beslutats om undantag i det enskilda fallet. Den registrerades samtycke medger inte undantag från det förbud som utgör huvudregeln. 
 Enligt lagkommentaren omfattas endast överträdelse av förhållningsregler i lag för vilka straff är föreskrivna. Därigenom skulle osanktionerade överträdelser som endast för med sig 
  
 35  
 Se prop. s. 125 samt Datalagskommitténs betänkande s. 370 f. 
 308 
  
 SOU 2002:18 
  
 Bilaga 2 
  
 administrativa sanktioner, tex. oriktigt uppgiftslämnande på skatteområdet, inte omfattas av förbudet. 
 36  
 Av förarbetena framgår inte i vilken utsträckning överträdelse av utländsk lagstiftning omfattas av bestämmelsen. En upplysning om att någon har eller kan ha begått ett visst brott utgör en sådan uppgift om lagöverträdelse som omfattas av 21 §, även om överträdelsen inte varit föremål för prövning genom dom eller liknande förfarande. 
 37 
  
 Även uppgifter om domar i brottmål omfattas av bestämmelsen. Enligt lagkommentaren gäller detta även om uppgifterna inte skulle innehålla någon uppgift om en viss lagöverträdelse. För det fall brottmålsdomen innefattar civilrättsliga frågor, t.ex. förordnande i skadeståndsfrågor, omfattas även dessa uppgifter av 21 §. 
 38 
  
 Med straffprocessuella tvångsmedel avses exempelvis häktning, kvarstad i brottmål och beslag. 
 Bestämmelsen omfattar slutligen även uppgifter om administra- tiva frihetsberövanden. Härmed avses uppgift om någon varit föremål för tvångsingripande enligt lagen (1990:52) med särskilda bestämmelser om vård av unga, lagen (1988:870) om vård av miss- brukare i vissa fall, lagen (1991:1128) om psykiatrisk tvångsvård, lagen (1991:1129) om rättspsykiatrisk vård, lagen (1967:940) an- gående omsorger om vissa psykiskt utvecklingsstörda och utlänningslagen (1989:529). Om 21 § även omfattar uppgifter om motsvarande frihetsberövanden enligt utländska lagstiftning framgår inte av förarbetena. 
 39 
  
 I bestämmelsens  
 andra och tredje stycke  
 ges möjlighet för regeringen eller den myndighet regeringen bestämmer att meddela föreskrifter om undantag från förbudet i första stycket. 
 Bestämmelsens betydelse för utredningen 
 Bestämmelsen innebär ett förbud för statlig arbetsgivare som inte är myndighet och för arbetsgivare på den kommunala och privata sektorn att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Att exempelvis en privat arbetsgivare vid en anställningsintervju ställer frågor om kriminell belastning eller uppställer som krav att den arbetstagare själv skall 
  
 36 
  
 Se lagkommentaren s. 101. 
  
 37 
  
 Se prop. s. 75 f. och 129 f. samt Datalagskommitténs betänkande s. 136 och 378 f. 
  
 38 
  
 Se lagkommentaren s. 101. 
  
 39 
  
 Se prop. s. 75 f. och 129 f. samt Datalagskommitténs betänkande s. 136 och 378 f. 
  
 309 
  
 Bilaga 2 
  
 SOU 2002:18 
  
 ge in ett belastningsregisterutdrag står således i strid med PUL, för det fall arbetsgivaren inte har särskilt författningsstöd eller myndighetsstillstånd att behandla uppgifterna. 
 Myndigheter som arbetsgivare träffas emellertid inte av förbudet. För det fall de grundläggande kraven för behandling av personuppgifter i övrigt är uppfyllda är det således tillåtet för en myndigheten att behandla sådana personuppgifter. 
 I detta sammanhang bör nämnas att särskilda författnings- bestämmelser återfinns i bl.a. Datainspektionens föreskrifter och lagen (1998:620) om belastningsregister. I lagen om belastnings- register regleras bl.a. vilken information som får lämnas ut till arbetsgivare. Nämnas bör även lagen (2000:873) om register- kontroll av personal inom förskoleverksamhet, skola och barnomsorg där det sägs att arbetsgivaren skall genomföra registerkontroll vid vissa typer av anställningar och att underlaget för kontrollen skall tillhandahållas av den enskilde. 
 Informationsskyldighet och rättelse –  
 23–28 
  §§ 
 I 23 och 24 §§ föreskrivs om informationsskyldighet för den personuppgiftsansvarige i samband med att denne samlar in information om den registrerade. 
 För att informationsskyldigheten skall inträda krävs att person- uppgifterna samlats in. Enligt lagkommentaren får detta anses innefatta samtliga tillvägagångssätt på vilka den personuppgifts- ansvarige kan få tillgång till personuppgifter för behandling som omfattas av lagen. Det är således inte möjligt att undgå informationsskyldigheten genom att hävda att personuppgifterna inte samlats in när de skickats in självmant av den registrerade. 
 40 
  
 Om uppgifter om en person samlas in från personen själv, skall den personuppgiftsansvarige i samband därmed självmant lämna den registrerade information om behandlingen enligt 23 §. Samlar den personuppgiftsansvarige in uppgifterna från de registrerade utan att då berätta vad uppgifterna skall användas till, kan behandlingen av personuppgifterna inte anses korrekt. Det har inte föreskrivits något undantag från den personuppgiftsansvariges informationsplikt i denna situation. Att informationen skall lämnas i samband med att personuppgifterna samlas in torde enligt 
  
 40  
 Se lagkommentaren s. 124. 
 310 
  
 SOU 2002:18 
  
 Bilaga 2 
  
 lagkommentaren innebära att den registrerade får information innan det att uppgiften eller uppgifterna samlas in. 
 41 
  
 Enligt 24 §  
 första stycket  
 skall information även lämnas till den registrerade när personuppgifter har samlats in från någon annan källa än den registrerade. Bestämmelsen är tillämplig både när personuppgifter hämtas in från en annan personuppgiftsansvarig, t.ex. genom samkörning, och när den personuppgiftsansvarige hämtar in information på annat sätt. Enligt lagkommentaren är det inte fråga om ett insamlande av personuppgifter när den person- uppgiftsansvarige använder redan insamlade personuppgifter för ett nytt ändamål som inte är oförenligt med det ursprungligen bestämda. 
 42 
  
 Den personuppgiftsansvarige skall även enligt 24 § självmant lämna den registrerade information om behandlingen när uppgift- erna registreras. Är uppgifterna avsedda att lämnas ut till tredje man, behöver dock inte informationen lämnas förrän uppgifterna lämnas ut för första gången Om uppgifterna används för att vidta åtgärder som rör den registrerade, skall information lämnas senast i samband med förfarandet. 
 43 
  
 Från huvudregeln i första stycket finns vissa undantag. Enligt  
 andra stycket  
 behöver information inte lämnas till den registrerade om det i lag eller annan författning framgår vilken behandling av personuppgifterna som kan bli aktuell. Den som enligt lag eller föreskrift har skyldighet att registrera vissa uppgifter behöver inte lämna information när uppgifterna hämtas in från annat håll än den registrerade själv. Inte heller den som enligt en sådan föreskrift har rätt att få ut vissa uppgifter behöver informera om sin efterföljande behandling. Däremot kan den som lämnar ut uppgifterna vara skyldig att lämna information i samband med att uppgifterna samlas in. 
 Den personuppgiftsansvarige behöver enligt  
 tredje stycket  
 inte heller uppfylla informationsplikten för de fall där det visar sig vara omöjligt eller innebära en oproportionerligt stor arbetsinsats. I artikel 11.2 i dataskyddsdirektivet talas om en oproportionerligt stor ansträngning i stället för en oproportionerligt stor arbets- insats. Enligt punkt 40 i ingressen till direktivet finns vissa de före- slagna riktlinjer för bedömningen av när det kan innebära en oproportionerligt stor ansträngning att lämna information. Vid 
  
 41 
  
 a.a. s. 125. 
  
 42 
  
 Se lagkommentaren s. 126. 
  
 43 
  
 Se prop. s. 78 f. och 130 f. samt Datalagskommitténs betänkande s. 139 f. och 383 f. 
  
 311 
  
 Bilaga 2 
  
 SOU 2002:18 
  
 denna bedömning kan bl.a. beaktas antalet registrerade, uppgifternas ålder och de kompensatoriska åtgärder som kan vidtas. Av mötesprotokollet framgår att rådet och kommissionen anser att man vid denna bedömning måste ta i beaktande vikten av det allmänna intresse för vilken uppgifterna behandlas. I kommissionens förklaring anges vidare att frågan om informations- lämnandet i praktiken får bero på de särskilda omständigheter under vilka informationen samlas in från de registrerade. I lagkommentaren uttalas att arbetsinsatsen bör sättas i relation till arten av personuppgifterna, behandlingens ändamål, de särskilda integritetsrisker som kan vara förknippade med behandlingen och det intresse de registrerade kan antas ha av att bli informerade om behandlingen. 
 44 
  
 Bestämmelserna i 23 och 24 §§ kompletteras av 25 § som reglerar vilken information som den personuppgiftsansvarige skall lämna till den registrerade. 
 Enligt 25 §  
 första stycket  
 skall den registrerade få uppgifter om den personuppgiftsansvariges identitet. Härmed avses förmodligen att uppgift skall lämnas om namn och adress beträffande den fysiska eller juridiska person som är personuppgiftsansvarig. Vidare skall den registrerade få uppgift om ändamålen med behandlingen. Slutligen skall även lämnas upplysningar om all övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. 
 I dataskyddsdirektivet finns en exemplifiering av den information som skall lämnas i sistnämnda hänseende. Beträffande det fallet att uppgifterna samlas in från den registrerade själv anges som exempel information om mottagarna eller kategorier av mottagare, information om huruvida det är obligatoriskt eller frivilligt att besvara frågorna och om eventuella följder av att inte svara samt information om förekomsten av rättigheter att få tillgång till och att få rättelse av uppgifterna. För det fallet upp- gifterna hämtas in på annat sätt anges som exempel information om de kategorier av uppgifter som behandlingen gäller, information om mottagarna eller de kategorier som mottar uppgifterna samt information om förekomsten av rättigheter att få tillgång till och att få rättelse av uppgifterna. 
  
 44  
 Se lagkommentaren s. 129. 
 312 
  
 SOU 2002:18 
  
 Bilaga 2 
  
 Det finns inte någon skyldighet för en personuppgiftsansvarig att lämna information vid mer än ett tillfälle. De insamlade uppgifterna kan således under den tid det är nödvändigt behandlas för de ändamål som angetts vid insamlingen och för alla andra ändamål som inte är oförenliga med de ursprungliga ändamålen utan att den registrerade behöver informeras på nytt. Ny information behöver vidare inte lämnas varje gång uppgifterna lämnas ut till tredje man under förutsättning att information om åtminstone de aktuella kategorierna av mottagare har lämnats. Lämnas uppgifterna ut till tredje man för vidare behandling måste givetvis denne informera den registrerade om sin behandling av uppgifterna i den mån de registrerade inte redan känner till informationen t.ex. genom den information de fått från den förste personuppgiftsansvarige. 
 I en del fall är avsikten att fortlöpande samla in uppgifter om en och samma person. Det bör då vara möjligt att lämna information vid ett tillfälle – innan uppgifterna registreras för första gången – under förutsättning att den registrerade får information om bl.a. vilken kategori uppgifter som kommer att hämtas in och behandlas. Genom den information som lämnas innan den första registre- ringen får den registrerade kännedom om de behandlingar som kommer att utföras fortlöpande och vilka kategorier av uppgifter dessa kommer att avse. 
 När det gäller insamling av personuppgifter i samband med användning av Internet och liknande elektroniska tjänster t.ex. i form av s.k. loggar är det viktigt att de personer som utnyttjar tjänsterna informeras om utnyttjandet av de s.k. elektroniska spår som de omedvetet kan ha lämnat. 
 Det finns inte något krav på att informationen skall lämnas skriftligen. Det emellertid den personuppgiftsansvarige som har att visa att varje registrerad har fått den information som krävs om det blir tvist om saken, vilket kan antas medföra att de flesta väljer att om möjligt lämna informationen skriftligen och på en framträdande plats. 
 45 
  
 Enligt  
 andra stycket  
 behöver information inte lämnas om sådant som den registrerade redan känner till. På vilket sätt den regi- strerade fått tillgång till informationen spelar i sammanhanget ingen roll. Enligt Datalagskommittén omfattar detta undantag bl.a. att allmänna handlingar kan lämnas ut till den som begär det enligt 
  
 45  
 Se prop. s. 78 f och 131 samt Datalagskommitténs betänkande s. 140 och 385 f. 
 313 
  
 Bilaga 2 
  
 SOU 2002:18 
  
 offentlighetsprincipen. Detta motiveras av att utlämnande av handlingar enligt offentlighetsprincipen sedan lång tid tillbaka är föreskriven i svensk grundlag och att det kan förutsättas att allmänheten redan känner till att handlingar kan komma att lämnas ut med stöd av denna princip. 
 46 
  
 Den personuppgiftsansvarige har även enligt 26 § en skyldighet att till var och en som ansöker om det en gång per år gratis lämna besked i frågan om personuppgifter som rör sökanden har behand- lats. Har sådana uppgifter behandlats skall skriftlig information också lämnas om vilka uppgifter som behandlats, varifrån dessa uppgifter hämtats, vilka ändamålen med behandlingen är och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. I bestämmelsen föreskrivs vissa undantag från den personuppgiftsansvariges skyldigheter i detta avseende. 
 47 
  
 I 27 § återfinns en gemensam undantagsregel från den person- uppgiftsansvariges informationsskyldighet. Enligt paragrafen har bestämmelser om sekretess och tystnadsplikt företräde framför PUL. Enligt  
 första meningen  
 gäller inte  
 23–26 
  §§ om det bl.a. i lag eller annan författning är särskilt föreskrivet att uppgifterna inte får lämnas ut till den registrerade. Med beslut som meddelats med stöd av författning avses t.ex. beslut om förbehåll enligt 14 kap. 9 och 10 §§ sekretesslagen. 
 48 
  
 I  
 andra meningen  
 föreskrivs att även en personuppgiftsansvarig som inte är myndighet får vägra att lämna information till den registrerade i motsvarande fall som avses i sekretesslagen. Bestäm- melsen motiveras av att enskilda i lika hög grad som myndigheter kan ha ett befogat intresse av att hemlighålla personanknuten information som t.ex. samlats inför en domstolsprocess om det kan antas att ett utlämnande av informationen skulle försämra den enskildes ställning som part i rättegången. Samma hänsyn gör sig exempelvis gällande i försäkringsverksamhet där det inte sällan registreras uppgifter om personer som misstänks för försäkrings- bedrägeri eller annan brottslig verksamhet. 
 49 
  
 Enligt 28 § är den personuppgiftsansvarige skyldig att på begäran av den registrerade snarast rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med lagen eller föreskrifter som utfärdats med stöd av lagen. Den personuppgifts- 
  
 46 
  
 Se prop. s 78 f och 131 samt Datalagskommitténs betänkande s. 140 och 385 f. 
  
 47 
  
 a.a. s. 81 f. och 131 f. resp. a.a. s. 141 f., 144 f., 313 f. och 389 f. 
  
 48 
  
 a.a. s. 80, 84 f., 133 och 241 f. resp. a.a. s. 144 f. och 394 f. 
  
 49 
  
 Se prop. s. 80, 84 f., 133 och 241 f. samt Datalagskommitténs betänkande s. 144 f. och 
  
 394 
  
 f. 
  
 314 
  
 SOU 2002:18 
  
 Bilaga 2 
  
 ansvarige skall även underrätta tredje man som uppgifterna lämnats ut till om åtgärden, om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. Någon sådan underrättelse behöver dock inte lämnas, om det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. 
 Enligt  
 första meningen  
 föreskrivs en korrigeringsskyldighet för den personuppgiftsansvarige. Den registrerades begäran om korrigering eller underrättelse till tredje man kan framställas form- löst till den personuppgiftsansvarige eller någon som företräder denne. Det räcker att det av begäran framgår att den registrerade är missnöjd med behandlingen i något visst avseende och vill att korrigering skall vidtas. Framställs en sådan begäran bör den personuppgiftsansvarige skyndsamt utreda om de framförda anmärkningarna är befogade och, om så skulle vara fallet, snarast vidta korrigering. Omfattningen av utredningen får bero av de anmärkningar den registrerade framställt. Uppkommer oenighet mellan den personuppgiftsansvarige och den registrerade om uppgifterna skall korrigeras eller inte, kan den registrerade anmäla förhållandet till tillsynsmyndigheten, som har möjlighet att förelägga vite om lagen inte följs, och ansöka om utplånande av uppgifterna, eller själv väcka talan om saken vid allmän domstol. En personuppgiftsansvarig som efter utredning inte är övertygad om att det är nödvändigt att korrigera uppgifterna behöver således inte självmant göra det. 
 50 
  
 Enligt lagkommentaren måste förmodligen en begäran avse korrigering beträffande personuppgifter som faktiskt behandlats vid den tidpunkt då begäran framställts. Detta innebär att det inte borde vara möjligt att begära korrigering av personuppgifter som den personuppgiftsansvarige skall behandla i framtiden. 
 51 
  
 Korrigeringsskyldigheten kan uppfyllas genom rättelse, blockering och utplåning av personuppgifter. Det är i princip den personuppgiftsansvarige som själv väljer korrigeringsmetod. Av annan lagstiftning eller av sakens natur kan dock följa att vissa korrigeringsmetoder inte kan användas i vissa fall, t.ex. när det gäller korrigering av personuppgifter i bokföring. Att en uppgift rättas innebär att den ursprungliga, felaktiga, missvisande eller ofullständiga uppgiften ersätts av en uppgift om de rätta 
  
 50 
  
 Se prop. s. 46 f., 86 f. och 133 f. samt Datalagskommitténs betänkande s. 143, 217 f.., 316 och 396 f. 
  
 51 
  
 Se lagkommentaren s. 150 f. 
  
 315 
  
 Bilaga 2 
  
 SOU 2002:18 
  
 förhållandena eller att uppgifterna annars kompletteras. Det finns inte något krav på att den felaktiga uppgiften skall utplånas. Det bör vara upp till den som är ansvarig för behandlingen att avgöra hur rättelsen skall göras. Det enda kravet är att det i alla sammanhang klart skall framgå att den felaktiga uppgiften har ersatts av en annan uppgift och vilka de rätta förhållandena är. Med utplåna avses att personuppgifterna förstörs så att de inte kan återskapas. Beträffande definitionen av begreppet blockera hänvisas till vad som redovisats om 3 §. 
 52 
  
 Enligt  
 andra meningen  
 åvilar det den personuppgiftsansvarige en viss underrättelseskyldighet beträffande korrigering av person- uppgifter. Underrättelseskyldigheten är därvid begränsad till korrigeringar som vidtagits med stöd av första meningen. Den personuppgiftsansvarige är således inte skyldig att lämna under- rättelse om en vidtagen åtgärd för det fall korrigeringen skett självmant. 
 Den personuppgiftsansvarige är under alla förhållanden skyldig att underrätta tredje man om korrigering av personuppgifter om det kan antas att en underrättelse skulle kunna innebära att mer betydande skada eller olägenhet för den registrerade kan undvikas. En felaktig, känslig personuppgift som lämnats ut till tredje man, t.ex. om att den registrerade är sjuk eller har en extrem politisk eller religiös övertygelse, kan regelmässigt antas föranleda sådan skada eller olägenhet som avses. Gäller det däremot mer harmlösa uppgifter t.ex. den registrerades adress, bör det som regel krävas någon särskild omständighet för att man skall kunna anta att en underrättelse skulle kunna undvika sådan skada eller olägenhet som avses. Det måste vidare kunna antas att underrättelsen medför att skada eller olägenhet kan undvikas. Detta är inte fallet när det är känt att aktuella tredje män redan korrigerat uppgiften. 
 Inte heller för underrättelse till tredje man om korrigering uppställs något formkrav. I underrättelsen skall emellertid anges den åtgärd som den personuppgiftsansvarige har vidtagit beträffande personuppgifterna. I detta krav på att åtgärden skall anges innefattas att information skall lämnas om anledningen till åtgärden t.ex. att de tidigare uppgifterna varit felaktiga eller ofullständiga. Har en felaktig uppgift rättats måste vidare, om det är nödvändigt, underrättelse lämnas om såväl den tidigare felaktiga uppgiften som den nya, riktiga uppgiften. Avsikten med 
  
 52  
 Se prop. s. 46 f., 86 f. och 133 f. samt Datalagskommitténs betänkande s. 143, 217 f.., 316 och 396 f. 
 316 
  
 SOU 2002:18 
  
 Bilaga 2 
  
 underrättelseskyldigheten är att de som tagit emot en uppgift som korrigerats i sin tur skall kunna på lämpligt sätt korrigera de mottagna uppgifterna och eventuella åtgärder som har vidtagits med ledning av uppgiften. Underrättelsen bör därför innehålla sådan information som gör detta möjligt. Rör felaktigheten exempelvis en uppgift som mottagaren kan antas använda som enda sökbegrepp, t.ex. namn eller personnummer, är det nödvändigt att den felaktiga uppgiften anges för att mottagaren i praktiken skall kunna göra en rättelse i sin tur. 
 Det finns inte någon formell skyldighet att självmant underrätta i flera led. Det får dock förutsättas att de personuppgiftsansvariga frivilligt på lämpligt sätt ser till att mildra skadeverkningarna av felaktiga eller ofullständiga uppgifter som självmant rättats. 
 53 
  
 Enligt  
 tredje meningen  
 behöver inte underrättelse lämnas om det visar sig omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. 
 54 
  
 Bestämmelsernas betydelse för utredningen 
 Enligt bestämmelserna i 23 och 24 §§ garanteras arbetstagare information om behandlingen av de personuppgifter som arbetsgivaren samlar in. För det fall arbetsgivaren exempelvis vid en anställningsintervju samlar in information från en arbetssökande måste arbetsgivaren enligt PUL informera om vad person- uppgifterna skall användas till. Det åligger även arbetsgivaren en skyldighet att informera den arbetssökande om det är obligatoriskt att svara på en fråga, och därigenom lämna personuppgifter, och vilka följderna blir om den arbetssökande vägrar att göra detta. PUL garanterar även en arbetssökande information för det fall arbetsgivaren väljer att inhämta referenser från tredje man. Även här måste arbetsgivaren lämna information om bl.a. vilka uppgifter som samlats in och ändamålet med att personuppgifterna samlas in. 
 Även när det gäller datorrelaterade kontroller av arbetstagare kan arbetsgivarens informationsskyldighet enligt PUL vara av betydel- se. Detta gäller bl.a. när arbetsgivaren i loggar samlar in personuppgifter i samband med användning av bl.a. Internet. Arbetsgivaren skall i detta sammanhang lämna information om hur arbetsgivaren avser att behandla sådana uppgifter. 
  
 53 
  
 Se prop. s. 46 f., 86 f. och 133 f. samt Datalagskommitténs betänkande s. 143, 217 f.., 316 och 396 f. 
  
 54 
  
 Ibid. 
  
 317 
  
 Bilaga 2 
  
 SOU 2002:18 
  
 Att arbetsgivaren i egenskap av personuppgiftsansvarig ålagts den informationsskyldighet som framgår av 23 och 24 §§ innebär att arbetstagaren ges möjlighet till insyn beträffande den behand- ling av personuppgifter som äger rum. Detta ger ökat utrymme att utnyttja de kontrollmöjligheter som står till buds i 26 § och att utnyttja möjligheten till korrigering i 28 §. 
 Säkerhetsåtgärder – 31 § 
 Den personuppgiftsansvarige skall enligt  
 första stycket  
 vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna skall åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheterna som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna och hur känsliga de behandlade person- uppgifterna är. Som exempel på en faktor som berör de särskilda risker som finns med behandling nämns i Datalagskommitténs betänkande antalet personer som de behandlade uppgifterna avser. Skadorna av ett eventuellt angrepp kan givetvis bli mer omfattande när det är uppgifter om många personer som behandlas på en gång. Vad avser bedömningen av känsligheten av de behandlade personuppgifterna bör de regler i PUL som särskilt reglerar behandling av personuppgifter eller liknande tas som riktmärke. 
 Även om de tekniska möjligheterna skall beaktas är det väsentliga att en lämplig säkerhetsnivå uppnås oavsett om denna kommer till stånd genom tekniska hjälpmedel eller genom organisatoriska åtgärder. Det måste alltid bli fråga om en avvägning för att åstadkomma en lämplig säkerhetsnivå, dvs. en säkerhet som med beaktande av samtliga omständigheter får anses tillräcklig. 
 De allmänt hållna reglerna i bestämmelsen beskriver på ett kortfattat sätt de överväganden som måste göras i fråga om säkerhetsåtgärder. Reglerna ger dock inte tillräcklig vägledning för den personuppgiftsansvarige för att avgöra vilka säkerhetsåtgärder som bör vidtas i det enskilda fallet för att nå upp till en lämplig säkerhetsnivå. Avsikten är att regeringen eller den myndighet som regeringen bestämmer skall meddela de närmare föreskrifter om säkerhetsåtgärder som behövs. Tillsynsmyndigheten bör även i rimlig utsträckning lämna råd i säkerhetsfrågor. I Data- inspektionens allmänna råd – Säkerhet för personuppgifter, lämnas 
 318 
  
 SOU 2002:18 
  
 Bilaga 2 
  
 bl.a. rekommendationer om den personuppgiftsansvariges organisation, säkerhetsnivå och säkerhetsåtgärder. 
 Bestämmelser om säkerhetsåtgärder kan även finnas i annan lagstiftning, t.ex. i arkivlagen med anknytande författningar. Dessa bestämmelser gäller vid sidan av de bestämmelser om skyddsåtgärder som framgår av PUL med anknytande författningar och beslut. Den personuppgiftsansvarige måste uppfylla alla de regler om säkerhets- och skyddsåtgärder som kan ha meddelats för den berörda verksamheten. 
 55 
  
 I  
 andra stycket  
 föreskrivs att den personuppgiftsansvarige skall förvissa sig om att ett anlitat personuppgiftsbiträde kan genomföra de säkerhetsåtgärder som måste vidtas och se till att biträdet verkligen vidtar åtgärderna. Det är dock den personuppgifts- ansvarige som har ansvaret gentemot den registrerade avseende behandlingen även när ett personuppgiftsbiträde har anlitats. I vilken utsträckning den personuppgiftsansvarige i sin tur kan utkräva ansvar av ett anlitat personuppgiftsbiträde följer av avtalet med denne och allmänna bestämmelser. 
 56 
  
 Bestämmelsens betydelse för utredningen 
 Enligt bestämmelsen skall en arbetsgivare vidta åtgärder för att uppnå en viss säkerhetsnivå beträffande de personuppgifter som behandlas. Vad som avses med lämplig säkerhetsnivå eller hur detta skall ske är inte närmare preciserat i lagtext eller förarbeten. Av naturliga skäl är detta heller inte möjligt, eftersom PUL reglerar behandling av personuppgifter i vitt skilda verksamheter och för ett stort antal ändamål. Bestämmelsen i 31 § om säkerhetsåtgärder får trots detta anses innebära ett viktigt skydd för de integritets- känsliga uppgifter som kan samlas in och behandlas under ett anställningsförfarande och anställningsförhållande. 
 Skadestånd – 48 § 
 Reglerna om skadestånd i PUL utgör specialbestämmelser som tar över de allmänna skadeståndsreglerna i skadeståndslagen. I den mån en skadeståndsfråga inte berörs i PUL, tex. vad gäller beräkning av skadestånd för personskada eller sakskada eller fråga om ansvaret i en situation med flera skadeståndsskyldiga, bör 
  
 55 
  
 Se prop. s. 90 f. och 136 samt Datalagskommitténs betänkande s. 146 f. och 409 f. 
  
 56 
  
 Se vad som anförts om regressansvar vid 48 §. 
  
 319 
  
 Bilaga 2 
  
 SOU 2002:18 
  
 emellertid de allmänna skadeståndsrättsliga reglerna tillämpas. Bestämmelsen i 48 § gäller vidare endast skadestånd vid behandling av personuppgifter i strid med PUL. Detta får bl.a. till följd att skadestånd med stöd av 48 § inte kan utgå vid brott mot bestämmelse i de s.k. särskilda registerförfattningar som enligt 2 § gäller framför PUL. Det torde således krävas en uttrycklig hänvisning i nu nämnda författningar till bestämmelsen i PUL för att detta skall vara tillämpliga. 
 Av  
 första stycket  
 framgår att den personuppgiftsansvarige är ersättningsskyldig gentemot den registrerade så snart behandling har skett i strid med någon bestämmelse i lagen. Detta inbegriper även att den personuppgiftsansvarige är skyldig att iaktta god sed enligt 9 §. För att ersättningsskyldighet enligt första stycket skall föreligga behöver den registrerade således endast bevisa att det från den personuppgiftsansvariges sida har förekommit en olaglig behandling av den registrerades personuppgifter och att denna behandling kränkt den registrerade. Skadeståndsskyldigheten avser ersättning för personskada, sakskada och ren förmögenhetsskada samt kränkning av den personliga integriteten. Det är därvid endast skada eller kränkning som den olagliga behandlingen har fört med sig som ersätts. Detta framgår uttryckligen genom att det av lagtexten framgår att behandlingen av uppgifterna skall ha orsakat skada respektive kränkning. Orsakssambandet skall naturligtvis vara adekvat. 
 När det gäller ersättningen för kränkning får denna uppskattas efter skäligheten mot bakgrund av samtliga omständigheter i det aktuella fallet. I det sammanhanget kan beaktas bl.a. sådana faktorer som om det funnits risk för otillbörlig spridning av känsliga eller felaktiga uppgifter och om den registrerade på grund av den felaktiga behandlingen blivit utsatt för något beslut eller några åtgärder som kunnat innebära något negativt. Har den registrerade själv lämnat en oriktig eller ofullständig uppgift till den personuppgiftsansvarige, kan den personuppgiftsansvariges behandling av uppgiften inte anses innebära någon sådan kränkning av den personliga integriteten som bör föranleda ersättning enligt bestämmelsen. Kränkningsersättningen bör i princip fastställas för varje kränkt registrerad för sig. 
 57 
  
 I  
 andra stycket  
 finns bestämmelser om jämkning av den ovan beskrivna ersättningsskyldigheten. Jämkningsbestämmelserna inne- 
  
 57  
 Se prop. s. 105 f., 143 f. och 242 f. samt Datalagskommitténs betänkande s. 158 och 429. 
 320 
  
 SOU 2002:18 
  
 Bilaga 2 
  
 bär att den personuppgiftsansvariges ersättningsskyldighet kan sättas ned eller falla bort. Om den registrerade lyckas bevisa att det från den personuppgiftsansvariges sida förekommit en olaglig behandling av den registrerades personuppgifter och att denna behandling föranlett en kränkning är det upp till den personuppgiftsansvarige att bevisa att den olagliga behandlingen inte berodde på denne. Lyckas den personuppgiftsansvarige med detta får i sista hand domstol bedöma om och i vilken omfattning det kan vara skäligt att jämka ersättningsskyldigheten. 
 Den personuppgiftsansvarige är gentemot den registrerade i och för sig ansvarig för all den behandling som denne har ansvaret för, även i de fall den personuppgiftsansvarige anlitat ett person- uppgiftsbiträde eller annan hjälp. Ett fel av ett anlitat person- uppgiftsbiträde får således anses bero på den personuppgifts- ansvarige. Den personuppgiftsansvarige torde emellertid i allmänhet kunna få ersättning av ett försumligt personuppgifts- biträde för den ersättning som måste betalas till den registrerade. Däremot kan den personuppgiftsansvarige som regel inte med framgång kräva försumlig arbetstagare på ersättning, se 4 kap 1 § skadeståndslagen. 
 När den olagliga behandlingen beror på att den registrerade exempelvis lämnat felaktiga eller ofullständiga uppgifter kan den olagliga behandlingen i allmänhet inte anses bero på den personuppgiftsansvarige. Vid sådana förhållanden kan det vara skäligt att helt befria den personuppgiftsansvarige från ersättningsskyldighet för skada och kränkning som användningen av personuppgifterna kan ha förorsakat den registrerade. Bestämmelsen i 6 kap. 1 § skadeståndslagen om medvållande kan därvid komma att tillämpas om den personuppgiftsansvarige inte fullt ut lyckas visa att felet berodde på denne. 
 En olaglig behandling av den personuppgiftsansvarige som beror på att denne hämtat in felaktiga eller ofullständiga uppgifter från annan personuppgiftsansvarig kan inte anses bero på den personuppgiftsansvarige om det inte funnits någon anledning att misstänka att uppgifterna var felaktiga eller ofullständiga. I vilken utsträckning ansvaret för den personuppgiftsansvarige skall mildras i sådana fall är en skälighetsfråga. 
 En olaglig behandling på grund av att personuppgifter utan den personuppgiftsansvariges instruktioner har kommit ut till utomstående, t.ex. genom brottsligt intrång i ett datasystem, kan inte anses bero på den personuppgiftsansvarige, om denne i 
 321 
  
 Bilaga 2 
  
 SOU 2002:18 
  
 enlighet med tillämpliga bestämmelser har en skälig säkerhetsnivå och intrånget har kunnat komma till stånd genom att angriparen var beredd på att lägga ned mycket stora resurser för att komma åt informationen. I sådana fall kan det vara skäligt att mildra ansvaret. Har den personuppgiftsansvarige å andra sidan försummat säkerheten, får den olagliga behandlingen anses bero på denne. 
 En olaglig behandling som beror på felaktighet i den utrustning som den personuppgiftsansvarige ansvarar för får som regel anses bero på den personuppgiftsansvarige. Endast i särpräglade fall kan den personuppgiftsansvarige anses oskyldig till den olagliga be- handlingen, t.ex. om uppgifterna på ett helt oförutsett vis för- vanskats till följd av blixtnedslag eller avbrott eller felaktigheter i ett publikt datanätverk. I sådana fall kan det vara skäligt att mildra ansvaret. 
 Vid den skälighetsbedömning som skall göras i de fall där den olagliga behandlingen bevisligen inte beror på den personuppgifts- ansvarige bör beaktas också den registrerades behov av skadestånd och den personuppgiftsansvariges förmåga att betala skadestånd. Om en viss felaktig behandling har omfattat uppgifter om många människor, bör man dock kunna ta hänsyn till att den samlade ersättningsskyldigheten för den personuppgiftsansvarige inte blir orimligt stor. 
 58 
  
 Beträffande denna bestämmelses betydelse för arbetstagarens integritetsskydd hänvisas till 49 §. 
 Straff – 49 § 
 Paragrafen innehåller bestämmelser om straff för den som bryter mot vissa bestämmelser i lagen. I bestämmelsen räknas de för- faranden upp som är straffbara enligt PUL. För ansvar krävs att handlandet antingen varit uppsåtligt eller oaktsamt. Att märka är att det inte utkrävs straffrättsligt ansvar av den personuppgiftsansvarige, utan av den person som gjort sig skyldig till ett förfarande som är straffbart enligt bestämmelsen. 
 Enligt punkten a) inträder straffansvar för det fall någon lämnar osann uppgift i sådan information till den registrerade som föreskrivs i lagen enligt  
 23–27 
  §§ och 29 § andra stycket, i en an- mälan till tillsynsmyndigheten enligt 36 § eller till tillsyns- myndigheten när myndigheten begär information enligt 43 §. 
  
 58  
 Se prop. s. 105 f., 143 f. och 242 f. samt Datalagskommitténs betänkande s. 158 och 429. 
 322 
  
 SOU 2002:18 
  
 Bilaga 2 
  
 Vidare är det enligt punkten b) straffbart att behandla känsliga personuppgifter och uppgifter om lagöverträdelser i strid med 13– 21 §§. Enligt punkten c) är det även straffbart att föra över personuppgifter till tredje land i strid med  
 33–35 
  §§. Kriminali- seringen av det sistnämnda förfarandet motiveras av att person- uppgifterna i praktiken försvinner utom räckhåll för svenska skyddsåtgärder. Slutligen stadgas i punkten d 
 )  
 att det är straffbart att underlåta att göra anmälan enligt 36 § första stycket eller enligt föreskrift som ha meddelats med stöd av 41 §. 
 Vid en bedömning av om brottet är att rubricera som grovt bör beaktas bl.a. om de olagligt behandlade uppgifterna avsett förhållanden av avsevärd betydelse för den registrerade och om gärningsmannen insett detta, om gärningsmannen lämnat osanna uppgifter för att undkomma påföljd eller vinna någon annan fördel samt om det brottsliga utnyttjandet av uppgifterna annars framstår som hänsynslöst. Bara i undantagsfall torde en gärning som begåtts av oaktsamhet kunna bedömas som grovt brott. 
 För brott av normalgraden stadgas böter eller fängelse i högst sex månader och för grovt brott fängelse i högst två år. För brott som är att bedöma som ringa skall inte dömas till ansvar. 
 För det fall en arbetsgivare vid behandling av arbetstagares personuppgifter inte iakttar de bestämmelser i PUL som ger arbetstagare integritetsskydd kan denne, enligt vad som framgår ovan, bli såväl skadeståndsskyldig gentemot den registrerade som straffrättsligt ansvarig för sitt handlande. De skadestånds- och straffrättsliga bestämmelserna i PUL får därigenom indirekt anses stärka arbetstagares och arbetssökandes integritetsskydd genom att sanktionera de bestämmelser som garanterar nu nämnda skydd. 
 59 
  
 Bestämmelsens betydelse för utredningen 
 Såväl 48 som 49 §§ innebär att integritetsskyddet sanktioneras rättsligt, vilket medför att skyddet för den enskilde stärks. 
 Avslutning 
 I samband med den redovisning som ovan gjorts av PUL:s regler har konsekvenserna av lagens tillämpning i arbetslivet i viss utsträckning kommenterats och exemplifierats. Det kan 
  
 59  
 Se prop. s. 108 f., 145 f. och 243 f. samt Datalagskommitténs betänkande s. 158 f. och 437 f. 
 323 
  
 Bilaga 2 
  
 SOU 2002:18 
  
 konstateras att PUL, i de fall lagen är tillämplig, garanterar arbetsstagaren ett straffsanktionerat integritetsskydd som gäller alla anställningsförhållanden och som omfattar all slags information oavsett om det gäller resultat av hälsoundersökningar, uppgifter i loggar eller information som samlats in från tidigare arbetsgivare genom referenser. Vidare ger lagen ett integritetsskydd som sträcker sig från det att information samlas in under ett anställningsförfarande tills arbetsgivaren förvarar personuppgifter efter det att anställningsförhållandet har upphört. 
 Den omständigheten att PUL inte är tillämplig på alla situationer i arbetslivet gör emellertid att omfattningen av integritetsskyddet kan variera på ett sätt som inte är sakligt motiverat. Som exempel kan nämnas att det som enligt 5 § är avgörande för om PUL blir tillämplig är sättet för arbetsgivarens behandling av personuppgifterna, dvs. om behandlingen sker automatiserat eller i registerform, vilket innebär att arbetsgivaren i praktiken kan välja om arbetstagarna skall få del av lagens skydd eller inte. Enligt nödvändighetskravet i 10 § är det dessutom så att arbetsgivaren har en skyldighet att i möjligaste mån undvika att PUL blir tillämplig. 
 Sådana regler är naturliga i en lag med PUL:s generella karaktär. I arbetslivet kan emellertid antas att obefogade integritetsintrång i många fall kan ske även om uppgifter inte skall behandlas automatiserat eller i registerform. Som exempel kan nämnas att inhämtande av uppgifter genom av hälsokontroller eller drogtester kan utgöra ett allvarligt integritetsintrång och få stor betydelse även om uppgiften inte nedtecknas eller bara antecknas på en lös lapp. Vidare kan nämnas att 21 § innebär att vissa arbetsgivare, nämligen myndigheter, kan samla in information om lagöverträdelser m.m. medan andra arbetsgivare är förhindrade att göra det. 
 Även om PUL:s bestämmelser i vissa fall är mindre väl anpassade till integritetskyddsintressen i arbetslivet ger de dock uttryck för de grundläggande principer som måste gälla, nämligen relevansprincipen, finalitetsprincipen, personuppgiftsansvariges informationsskyldighet och restriktiviteten vid behandling av känsliga uppgifter. 
 324 
 Bilaga 3 
 ILO:s riktlinjer 
 Inledning 
 International labour organization (ILO) har sedan 1946 ställning som ett av Förenta Nationernas fackorgan.  
 ILO-konferensen 
  utarbetar konventioner och rekommendationer på arbetslivets område. Dessa innehåller minimistandarder som anger den lägsta godtagbara nivån i olika arbetsrättsliga hänseenden. Konventionerna blir bindande för Sverige genom ratificering. Som exempel på sådana för landet bindande konventioner kan nämnas 1981 års konvention om arbetarskydd och arbetsmiljö 
 1  
 samt 1985 års konvention om företagshälsovård. 
 2 
  
 I det följande redovisas de som är relevanta i förhållande till de frågor som tas upp i Integritetsutredningens direktiv. 
 Guiding principles on drug and alcohol testing in the workplace 
 När det gäller medicinska undersökningar finns endast ett fåtal allmänna konventionsregler på detta område. 
 3  
 Någon för Sverige bindande konvention som enbart eller mer i detalj berör dessa frågor finns inte. 
 Inom ILO pågår emellertid arbete med här aktuella frågor, vilket ännu inte fått formen av konventioner eller rekommendationer. Vad gäller drog- och alkoholtester kan exempelvis nämnas att det vid ett interregionalt expertmöte inom ILO lagts fram vissa förslag till riktlinjer, Guiding principles on drug and alcohol testing in the workplace as adopted by the ILO Interregional Tripartite Experts Meeting on Drug and Alcohol Testing in the Workplace,  
 10–14 
  May 1993, Oslo (Honesfoss), Norway. Riktlinjerna behandlar 
  
 1 
  
 Nr 55 ratificerad 1982. 
  
 2 
  
 Nr 161 ratificerad 1986. 
  
 3 
  
 Se de exempel som anges i not 52 och 53. 
  
 325 
  
 Bilaga 3 
  
 SOU 2002:18 
  
 juridiska och etiska frågeställningar, tekniska och vetenskapliga aspekter samt utformningen av drogprogram och drogplaner. 
 I riktlinjerna förespråkas bl.a. att arbetsgivaren tillsammans med arbetstagarna och deras representanter utvärderar arbetsplatsens behov av åtgärder mot alkohol och narkotika samt beslutar vilka åtgärder som är lämpliga för arbetsplatsen. Om drogtesterna skall ingå i företagets strategi mot alkohol och droger, bör de utgöra en del av företagets program för att öka säkerheten på arbetsplatsen och för att förbättra företagets arbetsmiljö och produktivitet. En viktig del av företagets drogprogram bör vara drogpolicies. I denna del bör alla detaljer kring drogtesterna och testprocedurerna regleras, t.ex. syftet med testen, vad resultatet skall användas till, en beskrivning av test- och analysmetoder, sekretessbestämmelser samt vilka droger som företaget avser att testa för. 
 I riktlinjerna behandlas också kraven på testprocedurens säkerhet och där rekommenderas att denna procedur skall följa de krav som National Institute on Drug Abuse (NIDA) ställer på amerikanska laboratorier. I de föreslagna riktlinjerna föreslås också att tester för annat än droger, t.ex. för aids och andra sjukdomar eller graviditetstester, inte bör utföras. Vidare bör ett testresultat från en screening av urin alltid konfirmeras med en annan metod. Positiva resultat skall alltid utvärderas av oberoende medicinsk expertis för att utesluta alternativa orsaker till resultatet. 
 Som ovan nämnts behandlar riktlinjerna också etiska och juridiska aspekter på drogtester. De etiska aspekterna innefattar framför allt att företagen måste väga behovet av tester mot det faktum att arbetstagarens integritet kränks av dessa och att företagen måste se till att sekretesskraven kring testresultaten uppfylls. De juridiska aspekterna kan sammanfattas på så sätt att testerna och testproceduren måste överensstämma med internationella överenskommelser och nationell lag. 
 Slutligen understryks att det inte finns några undersökningar som visar att drogtestningsprogram minskar de problem som missbruk av alkohol och narkotika kan orsaka på en arbetsplats. Det finns inte heller några belägg för att drogtesterna innebär att produktiviteten eller säkerheten på arbetsplatsen ökar. 
 ILO har under 1994 och 1995 utarbetat en handledning om hanterandet av alkohol- och drogrelaterade problem på arbetsplatsen. 
 4  
 Denna handledning behandlar bl.a. frågor om 
  
 4  
 Se revision 2, 31 January 1995. 
 326 
  
 SOU 2002:18 
  
 Bilaga 3 
  
 drogpolicys. När det gäller drog- och alkoholtester hänvisas till riktlinjerna från 1993. 
 Code of practice on the protection of workers personal data 
 En expertgrupp inom ILO, med företrädare för regeringar, arbetsgivare och arbetstagare, antog 1996 riktlinjer angående skydd för anställdas personuppgifter. ILO:s styrelse tog riktlinjerna ad notam och beslöt att delge dem till medlemsstaternas regeringar samt till nationella och internationella arbetsgivar- och arbetstagarorganisationer. Riktlinjerna är inte rättsligt bindande men avsedda att tjäna som vägledning. De har publicerats i engelsk, fransk och spansk version som en  
 ILO Code of practice. 
  
 Riktlinjerna omfattar både manuell och automatiserad behandling av personuppgifter och är avsedda att tillämpas på arbetstagare, tidigare arbetstagare och arbetssökande. Det övergripande syftet med riktlinjerna är att begränsa behandlingen av personuppgifter i allmänhet och behandlingen av känsliga personuppgifter i synnerhet. Riktlinjerna innehåller rekommendationer i detta avseende som överensstämmer väl med internationella och nationella regler om dataskydd. 
 Vad gäller de frågor som är av särskilt intresse för utredningen innehåller riktlinjerna följande. 
 Information som har samlats in genom åtgärder som syftar till att garantera säkerhet eller korrekt användning av datasystem får inte användas för att kartlägga arbetstagarnas beteenden. Med hänsyn till riskerna för integritetsintrång får sådan information bara användas för ursprungligen bestämda syften, t.ex. för att motverka missbruk av datasystem. Undantag får dock göras om en arbetstagare har brutit mot säkerhetsföreskrifter och informationen därför måste behandlas för att disciplinära åtgärder skall kunna vidtas. Sådan användning skall anses överensstämma med ändamålet med insamlingen av uppgifterna. 
 Automatiskt behandlade uppgifter får inte utgöra det enda underlaget vid beslut som gäller arbetstagare. Sådana uppgifter får inte heller utgöra det enda underlaget vid bedömningen av arbetstagares prestationer. 
 Huvudregeln är att personuppgifter i första hand skall hämtas in från arbetstagaren själv. Om uppgifter hämtas från någon 
 327 
 Bilaga 3 SOU 2002:18 
 utomstående skall arbetstagaren informeras och i förväg uttryckligen samtycka till förfarandet. 
 Arbetsgivaren bör inte samla in personuppgifter om bl.a. lagöverträdelser. Undantag får dock göras om det är tillåtet enligt nationell lag och om uppgifterna är relevanta för anställningsförhållandet. I kommentaren till riktlinjerna sägs att en uppgift om fällande dom för övergrepp på barn är relevant om anställningen innefattar arbete med barn. En arbetstagare eller en arbetssökande är i sådant fall även skyldig att lämna arbetsgivaren uppgift om en sådan dom. 
 Personuppgifter om medicinska förhållanden får inhämtas enligt nationell lagstiftning och i övrigt enligt god sed, under förutsättning att detta är nödvändigt för att avgöra om arbetstagaren är lämpad för en särskild anställning, för att uppfylla arbetsmiljökrav och krav på säkerhet samt för att bestämma och utge sociala förmåner. 
 Om en arbetstagare eller en arbetssökande lämnar oriktiga uppgifter som svar på frågor som inte är relevanta i förhållande till arbetsuppgifterna får arbetsgivaren inte avsluta anställningen eller vidta andra disciplinära åtgärder. Sådana uppgifter som arbetstagaren eller arbetssökanden lämnar i övrigt får inte heller behandlas. 
 Riktlinjerna innehåller även vissa restriktioner för sättet att inhämta personuppgifter. Med hänsyn till såväl den stora variationen av kontroller och tester som den snabba utvecklingen på området ges endast några typiska exempel. Lögndetektorer eller liknande får inte användas. Personlighetstester måste överensstämma med vad anges generellt i riktlinjerna och arbetstagaren måste kunna vägra att delta i ett sådant test. I kommentaren till riktlinjerna framhålls att man nationellt bör införa regler om kvalitetssäkring av tester och testanvändares kompetens. Genetiska tester får utföras endast i särskilda fall som angivits i nationell lagstiftning. Drogtester bör genomföras bara i enlighet med nationell lag och praxis eller enligt internationell standard. 
 Vid teknisk övervakning av arbetstagare måste arbetsgivaren informera arbetstagarna i förväg om skälen till övervakningen och sättet för denna. Arbetsgivaren skall vidare se till att integritetsintrånget minimeras. Hemlig övervakning får bara ske i enlighet med nationell lag eller om det finns skälig misstanke om brott eller om annat felaktigt förfarande av allvarlig natur. Icke 
 328 
  
 SOU 2002:18 
  
 Bilaga 3 
  
 tidsbegränsad övervakning bör bara tillåtas om det är nödvändigt av hälsoskäl eller för att skydda egendom. 
 I övrigt innehåller riktlinjerna bestämmelser om förvar av personuppgifter, bl.a. anges att hälsouppgifter bör förvaras särskilda från övriga personuppgifter och behandlas bara av personer med tystnadsplikt. Vidare finns bestämmelser om arbetstagares rätt till information beträffande alla uppgifter hos arbetsgivaren som rör honom eller henne samt om arbetstagares rätt att begära rättelse eller utplåning av felaktiga uppgifter. 
 Riktlinjerna innehåller också vissa bestämmelser om rättigheter för arbetstagarnas företrädare, t.ex. rätten att bli informerade och konsulterade inför förändringar som innefattar bl.a. behandling av arbetstagares personuppgifter och automatisk övervakning av arbetstagarna. 
 Slutligen finns en bestämmelse som innebär att en arbetsgivare som anlitar en arbetsförmedling bör kräva att arbetsförmedlingen behandlar personuppgifter enligt riktlinjerna. 
 329 
 Bilaga 4 
 Viss utländsk rätt 
 Inledning 
 Utredningen har under arbetet närmare studerat utländsk lagstiftning liknande den utredningen föreslagit. Av störst intresse har varit den lagstiftningsprocess som under Integritetsutredningens arbete pågått i Finland och som resulterat i lagen om integritetsskydd i arbetslivet samt den danska loven om brug af helbredsoplysningar m.v. på arbejdsmarknaden. 
 1. Finland 
 Lag om integritetsskydd i arbetslivet 
 Den finska lagen om integritetsskydd i arbetslivet trädde i kraft den 1 oktober 2001. Syftet med lagen är att genomföra de grundläggande fri- och rättigheter som tryggar skyddet för den personliga integriteten samt att främja utvecklingen och iakttagandet av god informationshantering när personuppgifter behandlas i arbetslivet. 
 Lagen gäller alla anställningsförhållanden och med arbetstagare avses i lagen även arbetssökande. För behandlingen av person- uppgifter tillämpas dessutom den finska personuppgiftslagen. 
 För tillämpningen av lagen gäller ett övergripande krav på direkt relevans. Arbetsgivaren får behandla endast sådana personuppgifter som har direkt relevans för arbetstagarens anställningsförhållande och som har att göra med hanteringen av rättigheter och skyldigheter för parterna i anställningsförhållandet eller med de förmåner som arbetsgivaren erbjuder arbetstagarna eller med arbetsuppgifternas särskilda natur. Avvikelser från kravet kan inte göras med arbetstagarens samtycke. 
 331 
  
 Bilaga 4 
  
 SOU 2002:18 
  
 I propositionen 
 1  
 sägs att med personuppgifter som är direkt relevanta för anställningsförhållandet avses t.ex. uppgifter som behövs dels för att arbetstagaren skall kunna utföra sina arbetsuppgifter, dels för att vissa bestämmelser i arbets- och tjänstekollektivavtal skall kunna uppfyllas, dels för att lagstiftning skall kunna följas. Beträffande arbetsgivarens rätt att samla in personuppgifter om en arbetssökande i en anställningssituation sägs att bedömningen skall ske utifrån de arbetsuppgifter som sökanden vill ha, t.ex. uppgifter som visar att sökanden är behörig att inneha en viss tjänst. Vidare framhålls i propositionen att relevanskravet i lagen om integritetsskydd i arbetslivet är mer precist utformat än relevanskravet i personuppgiftslagen och på så sätt mer anpassat till de förhållanden som råder i arbetslivet. 
 Beträffande insamling av personuppgifter föreskrivs i lagen att arbetsgivaren skall samla in sådana uppgifter i första hand från arbetstagaren själv. För att samla in uppgifter från annat håll måste arbetsgivaren har arbetstagarens samtycke. 
 Samtycke krävs dock inte när arbetsgivaren hämtar in kredit- upplysningar eller straffregisteruppgifter för utredning av en arbetstagares tillförlitlighet. I dessa fall är arbetsgivaren dock skyl- dig att på förhand informera arbetstagaren om att sådana uppgifter samlas in. Om uppgifterna har samlats in från annat håll än från arbetstagaren själv är arbetsgivaren skyldig att informera arbets- tagaren om uppgifterna innan de används som underlag för beslut. 
 Under förutsättning av arbetstagarens samtycke kan arbets- tagaren testas genom person- och lämplighetstester för att utreda hans eller hennes förutsättningar för att sköta arbetsuppgifterna eller behovet av utbildning och övrig utveckling inom yrket. Arbetsgivaren är skyldig att se till att tillförlitliga testmetoder används, att de utförs av sakkunniga och att de uppgifter som erhålls är korrekta med beaktande av testmetoden och dess beskaffenhet. Arbetstagaren har rätt att ta del av det skriftliga eller muntliga utlåtande som efter testet lämnas till arbetsgivaren. 
 Vid genomförande av kontroller och tester beträffande arbetstagares hälsa samt provtagningar avseende alkohol och narkotika skall yrkesutbildade personer inom hälso- och sjukvården, personer med behörig laboratorieutbildning och hälso- och sjukvårdstjänster anlitas enligt hälso- och sjukvårdslagstiftningen. 
  
 1  
 RP 75/2000. 
 332 
  
 SOU 2002:18 
  
 Bilaga 4 
  
 I fråga om genetiska undersökningar är det förbjudet för arbetsgivaren att kräva att arbetstagaren skall delta i genetisk undersökning. Arbetsgivaren har inte heller rätt att få veta om arbetstagaren har genomgått en sådan undersökning. 
 Arbetsgivaren får behandla personuppgifter om hälsa avseende en arbetstagare endast under vissa förutsättningar. Uppgifterna skall ha samlats in hos arbetstagaren själv eller med arbetstagarens skriftliga samtycke hos någon annan. Behandlingen skall erfordras för utbetalning av lön för sjukdomstid eller liknande eller för utredning av om det finns grundad anledning till frånvaron från arbetet. Vidare får behandling ske om arbetstagaren uttryckligen önskar att arbetsförmågan utreds på grund av uppgifter om hans eller hennes hälsotillstånd eller om behandling av hälsouppgifter föreskrivs i särskild lag. 
 Personuppgifter om hälsotillstånd får behandlas endast av personer som med ledning av uppgifterna bereder eller fattar beslut om ett anställningsförhållande eller verkställer sådana beslut. Dessa personer har tystnadsplikt och denna gäller även efter det att anställningen har avslutats. Personuppgifter om hälsotillstånd skall förvaras åtskilda från andra personuppgifter. 
 Vad avser den tekniska bevakningen av arbetstagarna (t.ex. kameraövervakning och in- och utpasseringskontroller), som grundas på arbetsgivarens arbetslednings- och övervakningsrätt, samt användningen av  
 e-post 
  och datanät skall syftet med dessa åtgärder först bli föremål för s.k. samarbetsförfarande enligt lagen om samarbete inom företag och lagen om samarbete inom statens ämbetsverk och inrättningar. Arbetsgivaren skall bereda arbetstagare, som inte omfattas av dessa lagar, tillfälle att bli hörda beträffande åtgärderna. Arbetsgivaren skall därefter definiera ändamålet med och metoderna för den tekniska övervakningen samt informera arbetstagarna om syftet med, ianspråktagandet av och metoderna för denna och om användningen av  
 e-post 
  och datanät. Vidare föreskrivs i lagen att arbetsgivaren inte genom sina åtgärder får äventyra sekretessen beträffande arbetstagarens förtroliga meddelanden av privat natur vid användningen av  
 e-post 
  och datanät. 
 Tillsyn över lagen utövas av arbetarskyddsmyndigheterna tillsammans med dataombudsmannen och lagen skall hållas tillgänglig för arbetstagarna på arbetsplatserna. 
 För överträdelse av bestämmelser i lagen kan utgå skadestånd. 
 333 
  
 Bilaga 4 
  
 SOU 2002:18 
  
 2. Danmark 
 Lov om brug af helbredsoplysningar m.v. på arbejdsmarknaden 
 I Danmark stadgas i Lov om brug af helbredsoplysningar m.v. på arbejdsmarknaden om användandet av hälsouppgifter i arbetslivet. Lagen, som är subsidiär i förhållande till befintlig lagstiftning på området, avser användningen av sådana uppgifter på arbetsmarknaden och har till syfte att säkerställa att hälsouppgifter inte används för att begränsa arbetstagarens möjligheter att få eller behålla en anställning. Lagen är tillämplig oavsett om uppgifterna hämtas in genom genetiska tester, allmänna undersökningar eller på annat sätt. Undersökningar som inte har till syfte att inhämta information om en persons sjukdomar eller symptom på sjukdomar omfattas inte av lagen. Till den kategorin av undersökningar hör bl.a. alkohol- eller drogtester i kontrollerande syfte. Huruvida sådana tester kan anses berättigade ses istället en allmän arbetsrättslig fråga. 
 Som huvudregel gäller att en arbetsgivare i samband med eller under en anställning bara får begära uppgifter om en arbetstagares hälsa, om syftet med detta är att få klarlagt om arbetstagaren lider av eller lidit av en sjukdom eller har eller har haft symptom på en sjukdom som kan ha en väsentlig betydelse för dennes arbetsförmåga i det aktuella arbetet. Lagen förbjuder i princip en arbetsgivare att inhämta eller använda hälsouppgifter som rör arbetstagarens risk för att utveckla eller få en sjukdom. Undantag kan dock medges bl.a. p.g.a. arbetsmiljöförhållanden eller för att tillgodose vaesentlig hensyn til virksomhedens drift. I det sistnämnda fallet krävs att avtal träffats mellan arbetsgivaren eller arbetsgivarorganisationen och arbetstagarorganisationen. 
 Arbetstagaren har vidare en skyldighet att i samband med anställningen eller på fråga av arbetsgivaren informera om huruvida han lider av eller har symptom på en sjukdom som kan ha väsentlig betydelse för hans arbetsförmåga i det aktuella arbetet. Det förhållandet att en person är  
 HIV-positiv 
  skall inte omfattas av arbetstagarens upplysningsplikt. 
 En begäran om undersökning skall genom arbetstagaren och efter arbetstagarens val överlämnas antingen till den läkare som arbetstagaren vanligen besöker eller till en sakkunnig vid den företagshälsovård till vilken arbetsgivarens verksamhet är knuten. Den som mottar en begäran om undersökning ansvarar för att 
 334 
  
 SOU 2002:18 
  
 Bilaga 4 
  
 denna utförs med tillräcklig sakkunskap och att resultatet av denna överlämnas till arbetstagaren. 
 Innan en hälsoundersökning genomförs skall den som utför undersökningen försäkra sig om att arbetstagaren är både skriftligt och muntligt informerad om bl.a. undersökningens ändamål, art och metod. Eftersom en undersökning endast får ske om arbetstagaren skriftligen samtyckt till detta har arbetstagaren en betänketid om två dagar från det att han fått del av informationen om undersökningen. 
 Lagen innehåller även bestämmelser om ett sakkunnigt råd, som i vissa riskfall med hänsyn bl.a. till konsumentsäkerhet skall kunna medge att uppgifter hämtas in i vidare mån än vad lagen föreskriver. Vidare finns bestämmelser om tystnadsplikt för de läkare, kliniker, laboratorier och myndigheter som medverkat vid en undersökning. 
 Utöver nu nämnd lagstiftning återfinns vissa bestämmelser om medicinska undersökningar i  
 Lov om arbejdsmiljø  
 (AML). Av denna lag framgår att arbetsministern är bemyndigad att föreskriva om hälsoundersökningar för verksamheter som är farliga för de anställdas hälsa. Sådana föreskrifter finns bl.a. rörande arbete med asbest, bly och joniserande strålning. 
 335