Till statsrådet Rogers 
 Genom beslut den 23 september 1999 bemyndigade regeringen statsrådet Rogers att tillkalla en särskild utredare med uppgift att se över behovet av lagstiftning eller andra åtgärder för att stärka skyddet av den enskildes personliga integritet i arbetslivet. 
 Den 20 december 1999 förordnades f.d. kammarrättspresidenten Myers att vara särskild utredare. 
 Till sakkunniga förordnades fr.o.m. den 5 april 2000 kanslirådet Warren, datarådet Jordan, f.d. generaldirek- tören Miller, hovrättsassessorn Cortez (t.o.m. den 9 maj 2000), professorn Hughes (t.o.m. den 26 september 2000), ge- neraldirektören Wade och chefsjuristen Graves, fr.o.m. den 10 maj 2000 hovrättsassessorn Johnson och överläkaren Crawford samt fr.o.m. den 27 septem- ber 2000 numera professorn Miranda. Till expert förordnades fr.o.m. den 10 maj 2000  
 IT-specialisten 
  Thomas. 
 Som sekreterare förordnades fr.o.m. den 14 mars 2000 hovrätts- assessorn Sutton och fr.o.m. den 15 mars 2000 hovrätts- assessorn Castillo. 
 En referensgrupp med företrädare för arbetsmarknadens parter har knutits till utredningen. 
 Utredningen har antagit namnet Integritetsutredningen. Utredningen överlämnar härmed betänkandet (SOU 2002:18) 
 Personlig integritet i arbetslivet. Uppdraget är därmed slutfört. I arbetet har samtliga sakkunniga och experten deltagit. Graves har dessutom i betydande utsträckning bistått utredningen med såväl tänkbara förslag som faktagranskning av materialet. 
 Till betänkandet fogas ett särskilt yttrande. 
 Stockholm i mars 2002 
 Myers 
 /Monica Nebelius Castillo 
 Innehåll 
  
 Sammanfattning ................................................................ 
  
 15 
  
 Summary .......................................................................... 
  
 25 
  
 Förkortningar ..................................................................... 
  
 35 
  
 Författningsförslag ............................................................. 
  
 37 
  
 Förslag till Lag om skydd för personlig integritet i arbetslivet ...... 
  
 37 
  
 1 
  
 Utredningsuppdraget och dess genomförande................ 
  
 43 
  
 2 
  
 Bakgrund ................................................................. 
  
 49 
  
 2.1 
  
 Integriteten i ett förändrat arbetsliv........................................ 
  
 49 
  
 2.2 
  
 Behovet av en särskild integritetsskyddande lag i 
  
 arbetslivet ................................................................................ 
  
 52 
  
 2.2.1 
  
 Bakgrund .................................................................. 
  
 52 
  
 2.2.2 
  
 Nuvarande rättsliga skydd för den personliga 
  
 integriteten ............................................................... 
  
 53 
  
 2.2.3 
  
 Finns det behov av en integritetsskyddande 
  
 lag i arbetslivet?........................................................ 
  
 56 
  
 3 
  
 Lagens syfte............................................................... 
  
 59 
  
 3.1 
  
 Bakgrund 
  
 ................................................................................ 
  
 59 
  
 3.2 
  
 Överväganden och förslag ....................................................... 
  
 60 
  
 3.3 
  
 Förhållandet till dataskyddsdirektivet .................................... 
  
 62 
  
 5 
  
 Innehåll SOU 2002:18 
  
 4 
  
 Lagens tillämpningsområde ......................................... 
  
 65 
  
 4.1 
  
 Överväganden och förslag....................................................... 
  
 65 
  
 4.2 
  
 Förhållandet till andra författningar....................................... 
  
 66 
  
 4.2.1 
  
 Förhållandet till PUL ........................................... 
  
 66 
  
 4.2.1.1 
  
 Allmänt.................................................................. 
  
 66 
  
 4.2.1.2 
  
 Relevans-, 
  finalitets- och 
  
 proportionalitetsprinciperna................................ 
  
 67 
  
 4.2.2 
  
 Förhållandet till tryck- och yttrandefriheten 
  
 samt till offentlighetsprincipen............................ 
  
 70 
  
 4.2.3 
  
 Förhållandet till andra författningar m.m........... 
  
 71 
  
 4.3 
  
 Vissa begrepp som används i LIA........................................... 
  
 72 
  
 4.3.1 
  
 Behandling............................................................. 
  
 72 
  
 4.3.2 
  
 Personuppgift/dokumenterad personuppgift..... 
  
 73 
  
 4.3.3 
  
 Samtycke ............................................................... 
  
 73 
  
 4.3.4 
  
 Arbetsgivare, arbetstagare och arbetssökande.... 
  
 74 
  
 4.4 
  
 Ett förstärkt integritetsskydd för 
  
 arbetssökande........................................................ 
  
 75 
  
 4.4.1 
  
 Allmänt.................................................................. 
  
 75 
  
 4.4.2 
  
 Ett förbud mot muntliga frågor?......................... 
  
 75 
  
 4.5 
  
 Offentliganställda och privatanställda.................................... 
  
 76 
  
 5 
  
 Arbetstagarnas användning av informationsteknik........... 
  
 81 
  
 5.1 
  
 Inledning 
  
 ............................................................................... 
  
 81 
  
 5.2 
  
 Privata elektroniska uppgifter och loggning.......................... 
  
 82 
  
 5.3 
  
 Tekniska utgångspunkter........................................................ 
  
 83 
  
 5.3.1 
  
 Från stordatorer till integrerade 
  
 informations- och kommunikationssystem........ 
  
 83 
  
 5.3.2 
  
 Några viktigare begrepp och funktioner............. 
  
 85 
  
 5.3.2.1 
  
 Persondatorer........................................................ 
  
 85 
  
 5.3.2.2 
  
 Lokala nätverk....................................................... 
  
 86 
  
 5.3.2.3 
  
 Fjärrnätverk........................................................... 
  
 87 
  
 5.3.2.4 
  
 Internet.................................................................. 
  
 87 
  
 5.3.2.5 
  
 Filserver................................................................. 
  
 88 
  
 5.3.2.6 
  
 Brandvägg.............................................................. 
  
 89 
  
 5.3.2.7 
  
 Proxyserver ........................................................... 
  
 89 
  
 5.3.2.8 
  
 E-postserver .......................................................... 
  
 89 
  
 6 
  
 SOU 2002:18 
  
 Innehåll 
  
 5.3.2.9 
  
 Behörighetskontroller........................................... 
  
 90 
  
 5.3.2.10 
  
 Systemadministratör ............................................. 
  
 91 
  
 5.3.2.11 
  
 Säkerhetskopiering................................................ 
  
 91 
  
 5.3.2.12 
  
 Telefoni.................................................................. 
  
 91 
  
 5.3.2.13 
  
 Passerkontroller..................................................... 
  
 92 
  
 5.3.2.14 
  
 Lokaliseringsuppgifter .......................................... 
  
 92 
  
 5.3.2.15 
  
 Särskilt om loggning.............................................. 
  
 93 
  
 5.3.2.16 
  
 Filtrering ................................................................ 
  
 94 
  
 5.3.3 
  
 Sammanfattande kommentarer............................. 
  
 95 
  
 5.4 Arbetstagares privata elektroniska uppgifter.......................... 
  
 96 
  
 5.4.1 
  
 Inledning................................................................ 
  
 96 
  
 5.4.1.1 
  
 Förutsättningar för en arbetstagares rätt att 
  
 använda arbetsgivarens  
 IT-verktyg 
  för 
  
 privata ändamål...................................................... 
  
 97 
  
 5.4.1.2 
  
 Förutsättningar för arbetsgivarens rätt att 
  
 kontrollera en arbetstagares privata 
  
 elektroniska uppgifter........................................... 
  
 99 
  
 5.4.1.3 
  
 Särskilda förutsättningar i offentlig 
  
 verksamhet........................................................... 
  
 100 
  
 5.4.1.4 
  
 Utredningens definition av privata 
  
 elektroniska uppgifter......................................... 
  
 101 
  
 5.4.1.5 
  
 Föremålet för integritetsskyddet ....................... 
  
 102 
  
 5.4.2 
  
 Den rättsliga regleringen..................................... 
  
 103 
  
 5.4.2.1 
  
 Arbetsgivarens arbetsledningsrätt...................... 
  
 104 
  
 5.4.2.2 
  
 Europakonventionen........................................... 
  
 106 
  
 5.4.2.3 
  
 Regeringsformen 2 kap. 6 § ................................ 
  
 107 
  
 5.4.2.4 
  
 Inskränkningar i enskildas skydd enligt RF ...... 
  
 109 
  
 5.4.2.5 
  
 Straffrättsliga bestämmelser................................ 
  
 110 
  
 5.4.2.6 
  
 PUL...................................................................... 
  
 115 
  
 5.4.2.7 
  
 Offentlighetsprincipen........................................ 
  
 120 
  
 5.4.2.8 
  
 God offentlighetsstruktur .................................. 
  
 121 
  
 5.4.2.9 
  
 Meddelar- och anskaffarfrihet enligt 
  
 tryckfrihetsförordningen m.m. .......................... 
  
 122 
  
 5.4.2.10 
  
 Sammanfattning av det rättsliga skyddet........... 
  
 123 
  
 5.4.3 
  
 Behovet av ytterligare reglering.......................... 
  
 123 
  
 5.4.4 
  
 Överväganden och förslag .................................. 
  
 124 
  
 5.4.4.1 
  
 Förbud för arbetsgivare att ta del av 
  
 arbetstagares privata elektroniska uppgifter...... 
  
 125 
  
 5.4.4.2 
  
 Endast avsiktliga intrång omfattas ..................... 
  
 126 
  
 5.4.4.3 
  
 Rutiner för att undvika oavsiktliga intrång........ 
  
 126 
  
 7 
  
 Innehåll SOU 2002:18 
  
 5.4.4.4 
  
 Samtycke ............................................................. 
  
 127 
  
 5.4.4.5 
  
 Undantag om det är nödvändigt för 
  
 arbetsgivarens verksamhet ................................. 
  
 128 
  
 5.4.4.6 
  
 Nödvändighetskravet ......................................... 
  
 128 
  
 5.4.4.7 
  
 Vid fara för informationssäkerheten ................. 
  
 129 
  
 5.4.4.8 
  
 Vid skälig misstanke om brott ........................... 
  
 129 
  
 5.4.4.9 
  
 Vid skälig misstanke om illojalitet ..................... 
  
 130 
  
 5.4.5 
  
 Förhållandet till andra författningar .................. 
  
 131 
  
 5.4.5.1 
  
 Regeringsformen och Europakonventionen ..... 
  
 131 
  
 5.4.5.2 
  
 Tryckfrihetsförordningen och 
  
 yttrandefrihetsgrundlagen .................................. 
  
 132 
  
 5.4.5.3 
  
 Brottsbalken ........................................................ 
  
 132 
  
 5.4.5.4 
  
 PUL ..................................................................... 
  
 133 
  
 5.4.6 
  
 Förhållandet till dataskyddsdirektivet ............... 
  
 133 
  
 5.5 
  
 Loggning 
  
 ................................................................................ 
  
 134 
  
 5.5.1 
  
 Den rättsliga regleringen .................................... 
  
 135 
  
 5.5.1.1 ..................... 
  
 Arbetsgivarens arbetsledningsrätt 
  
 135 
  
 5.5.1.2 ..................................................................... 
  
 PUL 
  
 135 
  
 5.5.1.3 
  
 Arbetarskyddsstyrelsens föreskrifter om 
  
 ........................................... 
  
 arbete vid bildskärm 
  
 139 
  
 5.5.2 ............ 
  
 Behovet av ytterligare rättslig reglering 
  
 140 
  
 5.5.2.1 ........ 
  
 Arbetstagares intresse av integritetsskydd 
  
 141 
  
 5.5.2.2 
  
 Arbetsgivarens intresse av att logga 
  
 ...................................... 
  
 arbetstagares aktiviteter 
  
 142 
  
 5.5.3 .................................. 
  
 Överväganden och förslag 
  
 143 
  
 6 
  
 Personuppgifter .............om hälsa och droganvändning 
  
 147 
  
 6.1 
  
 Inledning ................................................................................ 
  
 147 
  
 6.1.1 
  
 Vad avses med personuppgifter om hälsa och 
  
 .............. 
  
 personuppgifter om droganvändning? 
  
 149 
  
 6.2 
  
 Medicinska ..................................................utgångspunkter 
  
 150 
  
 6.2.1 
  
 Hälsoundersökningar av medicinska skäl och 
  
 ....................................................... 
  
 säkerhetsskäl 
  
 150 
  
 6.2.2 ................................................... 
  
 Narkotikatester 
  
 151 
  
 6.2.3 ...................................................... 
  
 Alkoholtester 
  
 152 
  
 6.2.4 ................................................... 
  
 Dopningstester 
  
 154 
  
 6.2.5 ................. 
  
 SWEDAC:s kvalitetssäkringssystem 
  
 154 
  
 6.2.6 
  
 Betänkandet om Medicinska undersökningar 
  
 .......................................................... 
  
 i arbetslivet 
  
 156 
  
 8 
  
 SOU 2002:18 
  
 Innehåll 
  
 6.3 Den rättsliga regleringen........................................................ 
  
 158 
  
 6.3.1 
  
 Regler för arbetsgivarens behandling av personuppgifter om hälsa eller 
  
 droganvändning................................................... 
  
 158 
  
 6.3.1.1 PUL...................................................................... 
  
 158 
  
 6.3.2 
  
 Arbetstagarens skyldighet att genomgå 
  
 hälsoundersökningar och drogkontroll ............. 
  
 162 
  
 6.3.2.1 
  
 Europakonventionen........................................... 
  
 162 
  
 6.3.2.2 
  
 Regeringsformen ................................................. 
  
 163 
  
 6.3.2.3 
  
 LOA ..................................................................... 
  
 164 
  
 6.3.2.4 
  
 Anställningsförordningen................................... 
  
 166 
  
 6.3.2.5 
  
 Lagen om fullmaktsanställning........................... 
  
 166 
  
 6.3.2.6 
  
 Arbetsmiljölagen ................................................. 
  
 167 
  
 6.3.2.7 
  
 Lagstiftning inom vissa yrkesområden med 
  
 speciella riskförhållanden.................................... 
  
 168 
  
 6.3.3 
  
 ALNA .................................................................. 
  
 168 
  
 6.3.4 
  
 ILO:s riktlinjer .................................................... 
  
 168 
  
 6.3.5 
  
 Europarådets rekommendation om skydd för personuppgifter som används för 
  
 anställningsändamål............................................. 
  
 169 
  
 6.3.6 
  
 Praxis.................................................................... 
  
 169 
  
 6.3.7 
  
 Arbetsgivarens arbetsledningsrätt...................... 
  
 174 
  
 6.4 
  
 Behovet av ett utökat rättsligt integritetsskydd i 
  
 arbetslivet................................................................................ 
  
 176 
  
 6.4.1 
  
 Avvägningen mellan arbetsgivarens och 
  
 arbetstagarens intressen ...................................... 
  
 177 
  
 6.4.1.1 
  
 Arbetstagarens rätt till integritet vid behandling av personuppgifter om hälsa eller 
  
 droganvändning................................................... 
  
 177 
  
 6.4.1.2 
  
 Arbetsgivarens intressen av att kontrollera 
  
 och övervaka ........................................................ 
  
 178 
  
 6.4.1.3 
  
 Balansen mellan arbetstagarens och 
  
 arbetsgivarens intressen ...................................... 
  
 179 
  
 6.5 Överväganden och förslag ..................................................... 
  
 182 
  
 6.5.1 
  
 Inledning.............................................................. 
  
 182 
  
 6.5.2 
  
 Behandling av personuppgifter om hälsa eller 
  
 droganvändning................................................... 
  
 184 
  
 6.5.2.1 
  
 Nödvändighetskravet.......................................... 
  
 185 
  
 9 
  
 Innehåll 
  
 SOU 2002:18 
  
 6.5.2.2 
  
 Bedömning av om arbetstagaren eller arbetssökanden är lämpad för att utföra 
  
 arbetsuppgifterna i arbetsgivarens 
  
 verksamhet. ......................................................... 
  
 186 
  
 6.5.2.3 
  
 Arbetstagarens förmåner.................................... 
  
 187 
  
 6.5.3 
  
 Förhållandet till PUL och 
  
 dataskyddsdirektivet m.m.................................. 
  
 187 
  
 6.5.4 
  
 Hälsoundersökningar och drogtester................ 
  
 188 
  
 6.5.4.1 
  
 Inledning ............................................................. 
  
 188 
  
 6.5.4.2 
  
 Arbetstagarens skyldighet att underkasta sig 
  
 hälsoundersökningar och drogtester................. 
  
 189 
  
 6.5.4.3 
  
 Genomförandet av hälsoundersökningar.......... 
  
 195 
  
 6.5.4.4 
  
 Genomförandet av drogtester .............................. 
  
 196 
  
 7 
  
 Personlighetstester.................................................... 
  
 199 
  
 7.1 
  
 Inledning 
  
 ................................................................................ 
  
 199 
  
 7.2 
  
 Överväganden och förslag..................................................... 
  
 201 
  
 8 
  
 Personuppgifter om lagöverträdelser ........................... 
  
 203 
  
 8.1 
  
 Den rättsliga regleringen....................................................... 
  
 203 
  
 8.1.1 
  
 Dataskyddsdirektivet.......................................... 
  
 203 
  
 8.1.2 
  
 PUL ..................................................................... 
  
 204 
  
 8.1.3 
  
 Belastningsregisterförfattningarna .................... 
  
 205 
  
 8.1.4 
  
 Säkerhetsskyddsförfattningarna ........................ 
  
 206 
  
 8.1.5 
  
 Sekretesslagen ..................................................... 
  
 206 
  
 8.1.6 
  
 Lagen om registerkontroll av personal inom 
  
 förskoleverksamhet, skola och barnomsorg ..... 
  
 207 
  
 8.1.7 
  
 ILO:s riktlinjer ................................................... 
  
 208 
  
 8.2 Överväganden och förslag..................................................... 
  
 209 
  
 8.2.1 
  
 Intresseavvägningen mellan arbetsgivare och 
  
 arbetstagare ......................................................... 
  
 210 
  
 8.2.2 
  
 Nödvändighetskravet ......................................... 
  
 210 
  
 8.2.3 
  
 Säkerhetsaspekter ............................................... 
  
 211 
  
 8.2.4 
  
 Registerkontroll.................................................. 
  
 213 
  
 8.3 Förhållandet till PUL och dataskyddsdirektivet ................. 
  
 215 
  
 10 
 SOU 2002:18 Innehåll 
  
 9 
  
 Sättet för inhämtande av uppgifter ............................. 
  
 217 
  
 9.1 
  
 Överväganden och förslag ..................................................... 
  
 217 
  
 10 
  
 Förvaring av personuppgifter...................................... 
  
 221 
  
 10.1 
  
 Överväganden och förslag ..................................................... 
  
 221 
  
 11 
  
 Informationsskyldighet och rättelse ............................ 
  
 223 
  
 11.1 
  
 Informationsskyldighet ......................................................... 
  
 223 
  
 11.1.1 
  
 PUL...................................................................... 
  
 223 
  
 11.2 
  
 Rättelse 
  
 .............................................................................. 
  
 224 
  
 11.2.1 
  
 PUL...................................................................... 
  
 224 
  
 11.3 
  
 Överväganden och förslag ..................................................... 
  
 226 
  
 12 
  
 Tystnadsplikt ........................................................... 
  
 229 
  
 12.1 
  
 Den rättsliga regleringen........................................................ 
  
 229 
  
 12.1.1 
  
 PUL...................................................................... 
  
 229 
  
 12.1.2 
  
 Sekretesslagen m.m. ............................................ 
  
 230 
  
 12.1.3 
  
 Arbetsmiljölagen ................................................. 
  
 232 
  
 12.2 
  
 Överväganden och förslag ..................................................... 
  
 232 
  
 13 
  
 Det fackliga inflytandet ............................................. 
  
 237 
  
 13.1 
  
 Överväganden......................................................................... 
  
 237 
  
 13.1.1 
  
 Inledning.............................................................. 
  
 237 
  
 13.1.2 
  
 En tvingande lag som inte kan frångås genom 
  
 avtal ...................................................................... 
  
 238 
  
 13.2 
  
 Förslag 
  
 .............................................................................. 
  
 240 
  
 13.2.1 
  
 Arbetsgivares förhandlingsskyldighet................ 
  
 240 
  
 13.2.2 
  
 Rättegången i tvister............................................ 
  
 241 
  
 13.2.3 
  
 Sammanfattning................................................... 
  
 242 
  
 14 
  
 Tillsyn 
  
 243 
  
 14.1 
  
 Inledning 
  
 .............................................................................. 
  
 243 
  
 14.1.1 
  
 Datainspektionen ................................................ 
  
 243 
  
 11 
  
 Innehåll SOU 2002:18 
  
 14.1.2 
  
 Arbetsmiljöverket............................................... 
  
 244 
  
 14.1.3 
  
 Arbetstagarorganisationerna.............................. 
  
 244 
  
 14.2 
  
 Överväganden och förslag..................................................... 
  
 245 
  
 15 
  
 Sanktioner 
  
 247 
  
 15.1 
  
 Skadestånd 
  
 ............................................................................. 
  
 247 
  
 15.1.1 
  
 Den rättsliga regleringen.................................... 
  
 247 
  
 15.1.1.1 
  
 Skadeståndslagen ................................................ 
  
 247 
  
 15.1.1.2 
  
 PUL ..................................................................... 
  
 249 
  
 15.1.2 
  
 Överväganden och förslag.................................. 
  
 249 
  
 15.1.3 
  
 Förhållandet till andra bestämmelser ................ 
  
 251 
  
 15.1.3.1 
  
 Skadeståndslagen ................................................ 
  
 251 
  
 15.1.3.2 
  
 PUL ..................................................................... 
  
 251 
  
 15.2 
  
 Straff 
  
 ............................................................................. 
  
 252 
  
 15.2.1 
  
 Den rättsliga regleringen.................................... 
  
 252 
  
 15.2.1.1 
  
 PUL ..................................................................... 
  
 252 
  
 15.2.2 
  
 Behovet av ytterligare reglering......................... 
  
 252 
  
 15.2.3 
  
 Överväganden och förslag.................................. 
  
 254 
  
 15.2.4 
  
 Förhållandet till PUL ......................................... 
  
 254 
  
 16 
  
 Konsekvenser av förslagen ......................................... 
  
 255 
  
 16.1 
  
 Inledning 
  
 ............................................................................. 
  
 255 
  
 16.2 
  
 Ekonomiska konsekvenser.................................................... 
  
 255 
  
 16.3 
  
 Övriga konsekvenser............................................................. 
  
 256 
  
 17 
  
 Författningskommentar.............................................. 
  
 257 
  
 Förslag till lag om skydd för personlig integritet i arbetslivet..... 
  
 257 
  
 Särskilt yttrande ............................................................... 
  
 269 
  
 Bilagor: 
  
 Bilaga 1 
  
 Kommittédirektiv................................................ 
  
 275 
  
 Bilaga 2 
  
 Personuppgiftslagen ........................................... 
  
 283 
  
 12 
  
 SOU 2002:18 
  
 Innehåll 
  
 Bilaga 3 
  
 ILO:s riktlinjer ................................................... 
  
 325 
  
 Bilaga 4 
  
 Viss utländsk rätt ............................................... 
  
 331 
  
 13 
 Sammanfattning 
 De senaste årens snabba utveckling på såväl informationsteknikens som medicinens område har medfört dramatiskt ökade möjligheter för arbetsgivare att på olika sätt kontrollera arbetstagare. Riskerna för intrång i arbetstagarnas personliga integritet har därmed blivit avsevärt större. Detta har också föranlett de fackliga organisationerna att efterlysa ett förstärkt skydd för den personliga integriteten för arbetstagare och arbetssökande. 
 Vid genomgången av gällande rätt har konstaterats att det inte finns någon samlad reglering till skydd för den personliga integriteten i arbetslivet. Inte heller finns det någon lagstiftning i detta avseende som har utformats med hänsyn till den tekniska och medicinska utvecklingen. 
 Utredningen har i enlighet med sina direktiv inriktat arbetet framför allt på frågor kring risker för kränkningar av arbetstagarnas personliga integritet i samband med dels användningen av informationsteknik i arbetslivet, dels arbetsgivarens kontroller av arbetstagarnas hälsa eller droganvändning. Dessutom har utredningen tagit upp andra situationer där arbetstagarnas personliga integritet kan anses allvarligt hotad. Behovet av skydd för arbetssökande har särskilt uppmärksammats och i utredningens arbete har såväl arbetssökande som tidigare arbetstagare i förekommande fall jämställts med arbetstagare. 
 Enligt vad utredningen funnit saknas det ett godtagbart, rättsligt bindande skydd för arbetstagares personliga integritet. Såväl internationellt som nationellt råder det dock bred enighet om att respekten för enskildas privatliv och skyddet för den personliga integriteten är en mänsklig rättighet som staten har en skyldighet att garantera. En sådan garanti kan bara ställas ut genom lagstiftning. 
 Utredningen föreslår därför en  
 lag om skydd för personlig integritet i arbetslivet (LIA). 
  
 15 
  
 Sammanfattning 
  
 SOU 2002:18 
  
 Förslaget till lag om skydd för personlig integritet i arbetslivet 
 Utredningen skall enligt direktiven se över behovet av lagstiftning eller andra åtgärder för att stärka skyddet av den enskildes personliga integritet i arbetslivet. De situationer som ingår i översynen utgörs av kontroller och andra åtgärder, varigenom arbetsgivaren avser att skaffa sig information i olika avseenden om arbetstagare eller arbetssökande. Risker för intrång i den personliga integriteten uppkommer då i samband med att uppgifter om enskilda samlas in eller behandlas på annat sätt. Utredningen har därför inriktat sitt arbete på att försöka begränsa arbetsgivarens rätt att behandla personuppgifter i de situationer där den personliga integriteten kan anses allvarligt hotad. 
 Personuppgiftslagen (PUL), som gäller all behandling som sker automatiserat eller i registerform, är den lag som för närvarande ger det bästa integritetsskyddet vid behandling av personuppgifter. Utredningen har funnit att det är naturligt och i praktiken även ofrånkomligt att LIA tar sin utgångspunkt i PUL. 
 Genom PUL har det s.k. dataskyddsdirektivet 
 1  
 införts i svensk lagstiftning. Att LIA nu tar sin utgångspunkt i PUL medför därför bl.a. att de grundläggande principer om relevans och finalitet, som varit styrande för utformningen av dataskyddsdirektivet och PUL, kommer att gälla även för LIA. 
 Dessa principer, som alltså genomsyrar hela lagförslaget, innebär i korthet 
  
 – 
  
 att de personuppgifter som samlas in måste vara adekvata och relevanta i förhållande till ändamålen med behandlingen, 
  
 – 
  
 att ändamålen måste vara särskilda, uttryckligt angivna och berättigade, och 
  
 – 
  
 att personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlats in. 
  
 I förhållande till PUL är LIA en speciallag, vilket innebär att bestämmelserna i LIA i förekommande fall tar över vad som föreskrivs i PUL. LIA begränsas dock inte till att utveckla och precisera de regler av särskilt intresse för arbetslivet som finns i PUL utan lagförslaget har ett något bredare anslag. 
 Vid arbetsgivarens behandling av arbetstagares personuppgifter finns det risker för integritetskränkningar även om behandlingen 
  
 1  
 Europaparlamentets och rådets direktiv 95/46/EG om skydd för enskilda personer med avseende på behandlingen av personuppgifter och om det fria flödet av sådana uppgifter. 
 16 
  
 SOU 2002:18 
  
 Sammanfattning 
  
 sker helt manuellt. Utredningen föreslår därför att LIA skall tillämpas även vid helt manuell behandling av personuppgifter. Det innebär att behandling av alla dokumenterade personuppgifter, alltså även skriftliga anteckningar på lösa papperslappar, omfattas. 
 LIA omfattar även sättet för genomförande av olika åtgärder som kan innebära kränkningar av den personliga integriteten. Det föreslås t.ex. att personuppgifter i första hand skall inhämtas från arbetstagaren själv. Bara om detta inte är möjligt får arbetsgivaren efter samtycke från arbetstagaren inhämta uppgifter från någon annan källa. Vidare anges hur hälsoundersökningar, drogtester och personlighetstester skall genomföras för att så långt som möjligt skydda arbetstagarnas personliga integritet. 
 LIA föreslås gälla för både den offentliga och den privata sektorn av arbetsmarknaden och lagförslaget syftar till att stärka inte bara arbetstagarnas integritetsskydd utan även skyddet för arbetssökande och tidigare arbetstagare. 
 2 
  
 Omfattningen av det skydd som LIA erbjuder för den personliga integriteten i arbetslivet framgår genom kombinationen av de olika bestämmelser som utredningen föreslår. 
 Användningen av informationsteknik i arbetslivet 
 Den ökade användningen av informationsteknik i arbetslivet har medfört större risker än tidigare för intrång i arbetstagarnas personliga integritet och riskerna har även fått en något annan karaktär än tidigare. Den tekniska utrustningen i dag ger arbetsgivaren stora möjligheter till kontroller och dessa kan även lätt utföras utan att den arbetstagare som blir kontrollerad vet om det. 
 Användningen av informationsteknik orsakar risker för arbetstagarnas personliga integritet framför allt i två typsituationer. Den ena, som också fått stor uppmärksamhet bl.a. i massmedia, rör frågan om vilken rätt en arbetsgivare har att ta del av privat  
 e-post 
  eller andra privata uppgifter som finns elektroniskt tillgängliga. Den andra situationen rör arbetsgivarens användning av loggningsfunktioner som automatiserat samlar in uppgifter om arbetstagarnas beteenden och aktiviteter. 
  
 2  
 Med arbetstagare avses i det följande i förekommande fall även arbetssökande och tidigare arbetstagare. 
 17 
  
 Sammanfattning 
  
 SOU 2002:18 
  
 Privat  
 e-post 
  och andra elektroniska uppgifter 
 Utredningen konstaterar inledningsvis att arbetsgivaren har rätt att bestämma över användningen av sin tekniska utrustning. Det är alltså arbetsgivaren som avgör om och i vilken utsträckning som en arbetstagare får använda utrustningen för privat bruk. Riktlinjer och policies för privat användning av  
 e-post 
  och Internet finns numera på de flesta större företag och myndigheter och torde i regel medge de anställda att i begränsad omfattning använda arbetsgivarens dator för privat bruk. På arbetsmarknaden i övrigt förefaller dock frågan om privat användning av  
 e-post 
  och Internet i stor utsträckning ha lämnats oreglerad. 
 En arbetstagares privata användning av arbetsgivarens dator medför att privata elektroniska uppgifter kan komma att lagras hos arbetsgivaren. Uppgifterna finns som regel i form av skickade och mottagna  
 e-postmeddelanden 
  men också i form av andra typer av filer, t.ex. text- eller bildfiler. Utredningens genomgång av gällande rätt visar att arbetsgivaren har stora möjligheter att göra kontroller som innebär att arbetsgivaren tar del av sådana uppgifter. Enligt vedertagen praxis i arbetslivet får kontrollerna dock inte strida mot lag, god sed eller annars vara otillbörliga. Eftersom en åtgärd som innebär att arbetsgivaren tar del av privata elektroniska uppgifter utgör en behandling av personuppgifter enligt PUL måste även den lagens bestämmelser följas. 
 LIA innehåller en bestämmelse som avser att precisera och begränsa arbetsgivarens rätt att ta del av sådana privata elektroniska uppgifter. Att tillförsäkra arbetstagarna ett absolut integritetsskydd för privat  
 e-post 
  eller andra privata elektroniska uppgifter genom en generell lagstiftning för hela arbetslivet har däremot visat sig ogörligt. En sådan reglering skulle medföra alltför stora negativa och svåröverskådliga konsekvenser för arbetsgivarna och därmed för hela samhället. 
 I LIA föreslås som en utgångspunkt ett förbud för arbetsgivaren att ta del av en arbetstagares privata  
 e-post 
  eller andra privata elektroniska uppgifter. För att arbetsgivaren skall kunna använda sina  
 IT-verktyg 
  på ett rationellt sätt gäller förbudet bara avsiktliga intrång, dvs. arbetsgivaren måste vara medveten om att uppgifterna är arbetstagarens privata. En arbetstagare skall också kunna samtycka till att arbetsgivaren tar del av sådana uppgifter. Vidare föreslås undantag från förbudet när det är nödvändigt för 
 18 
  
 SOU 2002:18 
  
 Sammanfattning 
  
 arbetsgivarens verksamhet att arbetsgivaren tar del av privata elektroniska uppgifter. Vilka dessa situationer är har inte uttryckligen angetts, däremot har de exemplifierats på ett sätt som förutsätter en restriktiv tillämpning av möjligheten till undantag från förbudet. Som exempel anges att det särskilt skall beaktas om det finns fara för informationssäkerheten eller om det finns skälig misstanke att arbetstagaren har gjort sig skyldig till brott vid användningen av arbetsgivarens utrustning eller till sådant illojalt beteende som kan utgöra saklig grund för uppsägning eller föranleda skadeståndsskyldighet. 
 Den föreslagna bestämmelsen gäller oavsett om arbetstagaren har haft arbetsgivarens tillstånd att använda arbetsgivarens dator för privat  
 e-post 
  eller andra privata elektroniska uppgifter. 
 Loggning 
 Vid praktiskt taget all användning av informationsteknik sker loggning av de aktiviteter som förekommer vid användningen. De s.k. elektroniska spår som samlas in på detta sätt kan ofta knytas till en enskild individ och innehåller då information om den enskildes åtgärder och beteenden i olika avseenden. Uppgifterna kan gälla relativt harmlösa förhållanden, t.ex. den tidpunkt när en arbetstagare loggade in sin PC mot nätverket. Med mer avancerad teknik kan dock arbetsgivaren registrera en arbetstagares samtliga åtgärder vid användning av vissa  
 IT-verktyg, 
  vilket förekommer bl.a. vid prestationsmätning i teletjänstverksamhet. Vidare kan med användning av s.k.  
 GPS-teknik 
  registreras en arbetstagares fysiska vistelseort, vilket förekommer t.ex. i transportbranschen. En arbetsgivare har således relativt omfattande möjligheter att använda loggning för att kontrollera arbetstagare. Möjligheterna begränsas dock genom att kontrollerna inte får strida mot lag, god sed eller annars vara otillbörliga. 
 Sådan loggning som innebär att insamlade uppgifter kan knytas till vissa enskilda arbetstagare utgör behandling av personuppgifter enligt PUL. Vid bedömningen av det integritetsskydd som PUL erbjuder har utredningen funnit att den lagen får anses ge ett tillfredsställande skydd för arbetstagares personliga integritet vid loggning. Den omständigheten, tillsammans med det förhållandet att loggning som företeelse knappast går att reglera i en generell bestämmelse, har medfört att utredningen avstår från att föreslå någon bestämmelse som materiellt reglerar loggning. Däremot 
 19 
  
 Sammanfattning 
  
 SOU 2002:18 
  
 finns det anledning att lyfta fram och tydliggöra det integritetsskydd som PUL innebär. Utredningen föreslår därför att det i LIA tas in en hänvisning till PUL:s bestämmelser. 
 Personuppgifter om hälsa eller droganvändning 
 Personuppgifter om hälsa eller droganvändning är känsliga uppgifter och det krävs därför att sådana uppgifter behandlas med stor restriktivitet. Av utredningens genomgång av gällande rätt framgår att det inte finns något heltäckande godtagbart integritetsskydd för arbetstagare i detta avseende. 
 Med hänsyn till uppgifternas känsliga natur föreslår utredningen som huvudregel ett förbud för arbetsgivaren att behandla personuppgifter om arbetstagares hälsa eller droganvändning. Regeln ger inte något utrymme för samtycke av arbetstagaren. Undantag föreslås dock om det är nödvändigt att arbetsgivaren får behandla personuppgifter om en arbetstagares hälsa eller droganvändning för att bedöma om arbetstagaren är lämpad för att utföra arbetsuppgifter i arbetsgivarens verksamhet. 
 Undantaget är avsett att tillämpas när det är nödvändigt för säkerheten för arbetstagaren själv, andra anställda, verksamheten eller allmänheten. Men även i andra fall när det bedöms nödvändigt för att bedöma om arbetstagaren är lämpad för att utföra arbetsuppgifter, t.ex. vid alkohol- eller droganvändning som inverkar påtagligt negativt på arbetstagarens arbetsförmåga eller på arbetsmiljön för övriga anställda. Arbetsgivaren får också behandla personuppgifter om en arbetstagares hälsotillstånd för att kunna bedöma om arbetstagaren har de fysiska förutsättningar, exempelvis beträffande syn eller hörsel, som krävs för arbetsuppgifterna. 
 Vidare får undantag från förbudet även göras för att arbetsgivaren skall kunna bedöma en arbetstagares rätt till sådana förmåner som inte följer av lag, under förutsättning att arbetstagaren själv har begärt detta. 
 Genomförandet av hälsoundersökningar och drogtester 
 LIA innehåller bestämmelser som avser att garantera arbetstagarna att hälsoundersökningar och drogtester utförs med tillförlitliga metoder. Hälsoundersökningar och drogtester får sålunda enligt LIA bara utföras av personal inom hälso- och sjukvården eller under överinseende av sådan personal. 
 20 
  
 SOU 2002:18 
  
 Sammanfattning 
  
 Beträffande drogtester ställs det dessutom krav på att prov skall analyseras av ett laboratorium som är ackrediterat enligt lagen om teknisk kontroll. Detta gäller alla slags prov som kan ligga till grund för en analys av droganvändning, med undantag för utandningsprov. För att minska risken för att falska positiva resultat godtas som slutresultat föreslår utredningen vidare att prov som visar positivt resultat skall genomgå två analyssteg. 
 Under utredningens arbete har det framförts önskemål från företrädare för de offentliga arbetsgivarna om utökade möjligheter för dessa arbetsgivare att beordra hälsoundersökningar och drogtester. Utredningen har förståelse för att det kan finnas ett sådant behov men har funnit att direktiven inte ger utredningen möjlighet att överväga något förslag i detta avseende. 
 Från företrädare för de fackliga organisationerna har framförts kravet att en bestämmelse motsvarande 30 § lagen om offentlig anställning skall införas inom den privata sektorn av arbetsmarknaden. Även här kan det ifrågasättas om det ligger inom ramen för utredningens direktiv att föreslå sådana beordrade hälsoundersökningar. Med hänsyn till detta men även till den omständigheten att denna fråga inte har tagits upp vid centrala förhandlingar, i vart fall inte på senare tid, anser utredningen att förhandlingsvägen bör prövas i första hand innan några lagstiftningsåtgärder aktualiseras. 
 Personuppgifter om lagöverträdelser 
 Personuppgifter om lagöverträdelser är i regel synnerligen känsliga och behandlingen av sådana uppgifter innebär en uppenbar risk för kränkningar av den personliga integriteten. Det är dessutom ett allmänt intresse att en person som har avtjänat sitt straff skall kunna gå vidare utan att diskrimineras eller särbehandlas till följd av tidigare brottslighet. 
 Utredningen föreslår därför ett förbud för arbetsgivare att behandla personuppgifter om lagöverträdelser som avser arbetstagare. Undantag från förbudet föreslås endast för det fall att behandlingen är nödvändig för att bedöma en arbetstagares tillförlitlighet med hänsyn till säkerheten för det allmänna eller för arbetsgivarens verksamhet, vari innefattas även säkerheten för övriga anställda och för arbetsplatsen. Tillämpningen av undantaget bör enligt förslaget ske med stor restriktivitet. 
 21 
  
 Sammanfattning 
  
 SOU 2002:18 
  
 Det förekommer inte sällan att arbetsgivaren kräver utdrag ur belastningsregistret som villkor för en anställning. Registret omgärdas visserligen av sträng sekretess, men en enskild har alltid rätt att få uppgifter om sig själv ur registret. Enligt upplysningar av Rikspolisstyrelsen har ansökningar av enskilda om registerutdrag ökat kraftigt på senare tid, vilket är en indikation på att det har blivit allt vanligare att arbetsgivare begär att få registerutdrag. 
 Den föreslagna bestämmelsen innebär att en arbetsgivare inte längre mer eller mindre rutinmässigt skall kunna ställa krav på registerutdrag för en anställning. Bestämmelsen i LIA kompletteras vidare av motsvarande regel i 21 § PUL som förbjuder alla utom myndigheter att behandla personuppgifter om lagöverträdelser automatiserat eller i registerform. 
 Varken enligt LIA eller PUL kan en arbetstagare samtycka till behandling av personuppgifter om lagöverträdelser. 
 Personlighetstester 
 Personlighetstester används numera i stor omfattning under anställningsförfaranden. Testerna, som bl.a. syftar till att avspegla den testades personlighet och förutsättningar i olika avseenden, kan medföra risker för kränkningar av den personliga integriteten. De tester som för närvarande finns på marknaden är dessutom av skiftande kvalitet och testanvändarnas kompetens kan variera. 
 I LIA föreslås därför en bestämmelse som anger att behandling av personuppgifter som hämtas in genom ett personlighetstest bara får göras med samtycke av arbetstagaren. Detta betyder att arbetstagaren behåller kontrollen över de uppgifter som framkommer vid testet. För att ytterligare minska risken för kränkningar av den personliga integriteten föreslås även att arbetsgivaren skall se till att personlighetstester bara utförs på ett betryggande sätt med tillförlitliga testinstrument och av personer med adekvat utbildning. 
 För närvarande pågår inom Stiftelsen för tillämpad psykologi ett kvalitetssäkringsarbete angående tillförlitligheten av testinstrument och testanvändare. Utredningen, som förutsätter att detta arbete kommer att avslutas med förslag och rekommendationer inom den närmaste tiden, anser att resultatet av arbetet bör avvaktas innan den föreslagna bestämmelsen träder i kraft. 
 22 
  
 SOU 2002:18 
  
 Sammanfattning 
  
 Övriga bestämmelser 
 De materiella bestämmelserna i LIA kompletteras av bestämmelser som säkerställer att arbetstagaren får insyn i och kontroll över behandlingen av personuppgifter som rör honom eller henne. Härmed avses den tidigare nämnda bestämmelsen att arbetsgivaren vid behandling av personuppgifter om hälsa, droganvändning eller lagöverträdelser är skyldig att i första hand hämta in sådana personuppgifter från arbetstagaren. Vidare avses de föreslagna bestämmelserna om 
  
 – 
  
 förvaring av personuppgifter, 
  
 – 
  
 arbetsgivarens skyldighet att informera arbetstagaren om pågående behandling av personuppgifter 
  
 – 
  
 arbetsgivarens skyldighet att rätta eller utplåna felaktiga, ofullständiga eller irrelevanta uppgifter, samt 
  
 – 
  
 tystnadsplikt för den som i privat verksamhet behandlar eller har behandlat personuppgifter. 
  
 Överträdelser av lagen sanktioneras genom straff och skade- stånd. Straffansvar gäller dock inte vid helt manuell behandling. 
 Det fackliga inflytandet 
 Arbetsmarknadens parter har centrala uppgifter när det gäller all lagstiftning som rör arbetslivet och utredningen framhåller att parternas ansvar och engagemang behövs för att LIA skall kunna ge arbetstagare och arbetssökande det avsedda integritetsskyddet. Effektiviteten av LIA bygger i hög grad på ett fackligt engagemang, såväl centralt som lokalt. 
 Utredningen har med utformningen av LIA avsett att främja samarbetet mellan arbetsmarknadens parter när det gäller skyddet för den personliga integriteten i arbetslivet. Den föreslagna lagen innehåller därför flera regler där det inte är på förhand alldeles givet hur de skall tillämpas på en arbetsplats. Avsikten är då att parterna med lagen som grund skall kunna träffa kollektivavtal med bestämmelser som preciserar vad som skall gälla enligt lagen med hänsyn till förhållanden inom skilda branscher eller lokala förhållanden på olika arbetsplatser. 
 För att parterna skall kunna träffa sådana preciserande kollektivavtal krävs det ingen särskild bestämmelse i LIA. Avtalen får nämligen inte stå i strid med lagen utan bara precisera den. Vid tvist om vad lagen innebär i ett visst fall kan sådana kollektivavtal förutsättas få stor betydelse. 
 23 
  
 Sammanfattning 
  
 SOU 2002:18 
  
 I LIA erinras även om arbetsgivarens primära förhandlingsskyldighet enligt MBL samt om att lagen om rättsgången i arbetstvister gäller för tvister som rör lagen, varvid organisation kan företräda medlem. 
 24 
 Summary 
 Rapid developments in recent years both in information technology and in the field of medicine have substantially enhanced Rose employees in different ways. The risk of intrusion on employees personal integrity has consequently increased considerably. This has caused the trade union organisations to call for stronger protection of the personal integrity of employees and job applicants. 
 In connection with a survey of the applicable legislation it was established that there are no cohesive rules for protection of personal integrity in working life. Nor has any legislation Liu formulated in this respect taking into consideration technical and medical advances. 
 In accordance with its terms of reference, the committee has focused primarily on issues relating to the risk of violations of employees personal integrity in connection with the use of information technology in working life on the one hand and, on the other, employers monitoring of employees health or use of drugs. In addition, the committee discussed other situations in which the personal integrity of employees may be considered to be seriously at risk. Particular attention has Liu given to the need for protection of job applicants and for the purposes of this inquiry job applicants and previous employees are placed on an equal footing with employees. 
 The committee found that there is no acceptable, legally binding protection of the personal integrity of employees. However, at both international and national levels there is broad agreement that respect for individuals private lives and protection of personal integrity are human rights which states are under an obligation to guarantee. A guarantee of this nature can only be given through legislation. 
 25 
  
 Summary 
  
 SOU 2002:18 
  
 The committee therefore proposes the introduction of an  
 act of law on protection of personal integrity in working life (LIA). 
  
 Draft law on protection of personal integrity in working life 
 The committee was instructed under its terms of reference to look into the need for legislation or other measures to strengthen protection of individuals personal integrity in working life. The situations covered by the review include checks and other measures taken by employers in order to obtain different types of information about an employee or job applicant. In this context a danger of intrusion on personal integrity arises when information about individual employees is collected or processed in some other way. The committee therefore concentrated on trying to limit employers rights to process personal data in situations where an employees personal integrity may be considered to be seriously at risk. 
 The Personal Data Act, which applies to all automatic processing and registration, currently provides the best protection in connection with the processing of personal data. The committee found it natural and in practice inevitable that the draft law be based on the Personal Data Act. 
 Through the Personal Data Act, the EC Directive on the protection of individuals has been introduced into Swedish legislation 
 1 
 . The fact that the draft law will now be based on the Personal Data Act means that the basic principles of relevance and finality that governed the formulation of the EC Directive on the protection of individuals and the Personal Data Act will also apply to the protection of personal integrity act. 
 Carson principles which permeate the draft law, mean in short that 
  
 – 
  
 the personal data collected must be adequate and relevant in relation to the purposes for which they are processed, 
  
 – 
  
 the purposes must be specified, explicit and legitimate, and 
  
 – 
  
 personal data may not be processed for purposes that are incompatible with the intentions for which they are collected. 
  
 In relation to the Personal Data Act, the draft law envisages a special act which means that where appropriate its provisions will 
  
 1  
 The Directive 95/46/EC of the European Parliament and of the Council on protection of individuals with regard to the processing of personal data and on the free movement of such data. 
 26 
  
 SOU 2002:18 
  
 Summary 
  
 take over the provisions set out in the Personal Data Act. However, this law will not be limited to developing and specifying the rules in the Personal Data Act of special interest to working life. It will have somewhat broader scope. 
 In connection with employers processing of personal data relating to employees, there is a danger of violations of integrity even if the data is processed entirely manually. The committee therefore proposes that the law shall also apply to entirely manual processing of personal data. This means that processing of all documented personal data, including written notes on loose pieces of paper, shall be covered. 
 The draft law also covers methods for carrying out different Gilbertt may involve violations of personal integrity. It is proposed, for example, that personal data primarily be collected from the employee him/herself. Only in cases where this is not possible may an employer, with the employees consent, collect information from some other source. Furthermore, in order to protect employees personal integrity as far as possible, the draft law specifies the way in which medical examinations, drug tests and personality tests may be carried out. 
 It is proposed that the law on protection of personal integrity in working life apply to both the public and private sectors of the labour market. Its aim is to strengthen not just the protection of employees integrity but also protection of the integrity of job applicants and previous employees. 
 2 
  
 The scope of protection of personal integrity in working life provided by the draft law is evident from the combination of the different provisions proposed by the committee. 
 Use of information technology in working life 
 The increased use of information technology in working life involves greater risks than previously of intrusion on employees personal integrity and compared with the situation previously, the risks are of a somewhat different nature. Technical equipment available today gives employers greater chances of carrying out checks and this can easily be done without the employee in question being aware that he/she is being monitored. 
  
 2  
 Walter, employee also refers to job applicants and previous employees in this summary. 
 27 
  
 Summary 
  
 SOU 2002:18 
  
 The use of information technology involves risks to the personal integrity of employees, Cohen all in two types of situation. One situation which has Liu given much attention,  
 inter Chase,  
 in the media, concerns Costa employer has the right to read private  
 e-mails 
  or other private information that is available electronically. The other situation concerns the employer's use of logging functions that automatically collect data on employees behaviour and activities. 
 Private  
 e-mail 
  and other electronic data 
 The committee begins by establishing that employers have the right to preside over the use of their technical equipment. Parker, the employer determines Montes to what extent an employee may use the equipment for private purposes. Most large companies and public authorities now have guidelines and policies for private use of  
 e-mail 
  and the Internet and as a rule seem to allow their employees to use the employers computer for private purposes to a limited extent. However, the private use of these facilities appears to be largely unregulated in the rest of the labour market. 
 Use of the employers computer by an employee means that private electronic data may be stored in that computer. As a rule data is in the form of sent and received  
 e-mail 
  messages but may also be in the form of other types of files, for example text or image files. The committees review of the applicable legislation shows that employers have extensive possibilities of carrying out checks by Jordan data. However, in Brown in working life, Frye may not contravene laws, good practice or be improper otherwise. Since a measure that involves an employers reading private electronic data constitutes the processing of personal data under the Personal Data Act, the provisions of that Act must also be observed. 
 The draft law includes a provision intended to define and limit the employers right to read this type of private electronic data. However, it has proved impossible to guarantee an absolute protection of employees integrity with regard to private  
 e-mails 
  or other private electronic data by means of general legislation applicable to all areas of working life. Regulation of this nature would have far too negative and unpredictable consequences for employers and hence for the whole of society. 
 28 
  
 SOU 2002:18 
  
 Summary 
  
 As a point of departure, the draft law proposes the introduction of a prohibition against the employers reading employees private  
 e-mail 
  or other private electronic data. To ensure that the employer can use his IT tools in a rational way, the prohibition refers only to deliberate intrusion, that is to say the employer must be aware that it is the employees private data. An employee shall also be able to consent to the employers reading such data. Furthermore, exemptions from the prohibition are proposed when it is necessary for the employers operations that he/she read private electronic data. The situations to which this applies have not Long, on the other hand they have Liu exemplified in a manner that presupposes a restrictive application of the possibility of granting exemptions to the prohibition. As an example it is stated that special heed shall be paid to whether the security of information is in jeopardy or whether the employee on reasonable grounds may be suspected of being guilty of an offence in connection with use of the employers equipment or of such disloyal behaviour that there are impartial grounds for dismissal or cause for contractual liability for damages. 
 The proposed provision applies irrespective of whether or not the employee had the employers permission to use his computer for private  
 e-mails 
  or other private electronic tasks. 
 Logging 
 In practically all use of information technology, the activities initiated are logged. The  
 so-called 
  electronic traces collected in this way can often be linked to an individual and contain information about the individuals actions and behaviour in different respects. The data may concern relatively harmless circumstances, for example the time an employee logged his/her PC into the network. However, using more advanced technology the employer can register all the measures taken by an employee when he/she uses certain IT tools, which is the case,  
 inter Chase,  
 in connection with measurement of performance in telecommunication services operations. Furthermore, by using  
 so-called 
  GPS technology, an employees physical whereabouts can be registered, which occurs,  
 inter Chase,  
 in the transport sector. Parker, Davis relatively extensive possibilities of using logging to monitor employees. Boyer, Kennedy restricted in that monitoring must not contravene laws, good practice or be otherwise improper. 
 29 
  
 Summary 
  
 SOU 2002:18 
  
 Logging activities in which collected data can be linked to certain individual employees constitutes processing of personal data under the Personal Data Act. In its assessment of the protection of personal integrity provided by the Personal Data Act, the committee found that the Act must be considered to provide satisfactory protection of the personal integrity of employees in connection with logging. Due to this circumstance, together with the fact that it is hardly possible to regulate the phenomenon of logging under a general provision, the committee does not wish to propose any provision tangibly regulating logging. On the other hand, there is reason to emphasise and clarify the protection of integrity provided by the Personal Data Act. The committee therefore proposes that reference to the provisions of the Personal Data Act be included in the protection of personal integrity act. 
 Personal data on health or the use of drugs 
 Personal data on health or the use of drugs is sensitive information and such information must therefore be handled very restrictively. From the review of relevant legislation in the report, it can be seen that there is no acceptable and comprehensive protection of personal integrity for employees in this respect. 
 Bearing in mind the sensitive character of this information, the committee proposes as a general rule a prohibition on employers processing personal data on the health of or use of drugs by employees. Gregory regulation makes no provision for the consent of the employee. Exemptions are proposed, however, if it is necessary for an employer to process personal data on an employees health or drug use in order to ascertain whether the employee is capable of carrying out tasks required by the job. 
 This exemption is intended to be applied when it is necessary for the security of the employee him/herself, of other employees, the workplace or the general public. But also in other cases involving the use of alcohol or drugs with clear negative effects on the capacity of the employee to work or on the working environment of other personnel, where it is considered necessary to assess whether the employee is capable of undertaking his/her tasks. The employer is also entitled to process personal data on an employees state of health to be able to assess whether the employee has the physical capacity, regarding, for example, sight or hearing, required for the job. 
 30 
  
 SOU 2002:18 
  
 Summary 
  
 Exemptions from the prohibition may also be made for the employer to be able to assess an employees right to benefits, providing, for other Tucker, that the employee him/herself has requested this. 
 Implementation of medical examinations and drug tests 
 The draft law contains provisions aimed at guaranteeing employees that medical examinations and drug tests will be undertaken using reliable methods. Thus under the draft law, medical examinations and drug tests may only be carried out by staff within the health and medical services or under the supervision of such staff. 
 With regard to drug tests, the draft law also stipulates that tests should be analysed by a laboratory authorised under the Technical Conformity Assessment Act. This applies to all kinds of tests that may be used as the basis for an analysis of drug use, with the exception of breathalyser tests. To reduce the risk of a false positive outcome being accepted as the final result, the committee further proposes that tests showing positive results shall undergo a  
 two-stage 
  analysis. 
 During the course of the committee's work, the wish has Hall representatives of employers in the public sector for extended possibilities for these employers to require medical examinations and drug tests. The committee understands that there may be a need for this, but has found that its terms of reference do not allow it to consider such a proposal in Brown. 
 From representatives of trade union organisations the wish has been expressed for a provision equivalent to Section 30 of the Public Employment Act to be introduced into the private sector of the labour market. Here too, it is questionable whether it is within the realm of the committee's terms of reference to propose such medical examinations by order. In view of this, and also of the fact that the matter in question has not Liu brought up for discussion at central negotiations, not recently at least, the committee considers that negotiation should be tried first before legislative methods are considered. 
 Personal data on criminal offences 
 As a rule, personal data on criminal offences is particularly sensitive and the processing of such information implies an obvious risk of violation of personal integrity. In addition, it is in the public 
 31 
  
 Summary 
  
 SOU 2002:18 
  
 interest that a person who has served his/her sentence should be able to go on with his/her life, Brown discriminated against or treated differently as a result of previous criminality. 
 The committee thus proposes a provision prohibiting the processing by employers of personal data on employees' criminal offences. Exemptions from the law are only proposed for cases in which processing is necessary in order to ascertain an employee's reliability with regard to public security or the security of the employer's operations, which also includes security for other employees and for the work place. Application of this exemption should be extremely restrictive, according to the proposal. 
 It is by no means uncommon for an employer to request extracts from criminal records as a condition for employment. Carson records are naturally Chapman strict confidentiality but an individual citizen is always entitled to information on him/herself in the register. According to information from the National Police Board, the number of applications for extracts of records by individual citizens has grown considerably in recent years, which indicates that it has become increasingly common for employers to request extracts from records. 
 Employers today have practically unlimited opportunities to process entirely manually personal data on criminal offences. The proposed provision means that this opportunity will disappear. An employer will thus no longer be able to demand extracts from records, more or less as a matter of routine, as a condition of employment. The provisions in the draft law Mcmillan be supplemented by the equivalent provision in Section 21 of the Personal Data Act, which prohibits the automatic processing, or registration of personal data on criminal offences by any one, Hudson. 
 An employee may not consent to processing of personal data on criminal offences neither according to the draft law nor the Personal Data Act. 
 Personality tests 
 Personality tests are currently commonly used during the recruitment process. Carson tests, which aim,  
 inter Robinson, to reflect the personality and abilities of the person being tested in certain situations can also lead to risks of violations of personal integrity. 
 32 
  
 SOU 2002:18 
  
 Summary 
  
 Tests currently on the market are also of shifting quality and the qualifications of test users may vary. 
 The draft law therefore proposes a provision stipulating that the processing of personal data collected through personality tests may only be carried out with the consent of the employee. This means that the employee maintains control over the information resulting from the test. In order further to reduce the risk for violations of personal integrity, it is also proposed that employers should ensure that personality tests are only undertaken in a satisfactory manner, using reliable test instruments and performed by persons with adequate training. 
 At the moment, a project on quality assurance and assessment regarding the reliability of test instruments and users is being undertaken at the Swedish foundation Stiftelsen för tillämpad psykologi (applied psychology foundation). The committee, which expects the project to conclude with its proposals and recommendations shortly, considers that the proposed provisions should not enter into force before the results of this work are published. 
 Other provisions 
 The material provisions of the draft law are supplemented by provisions ensuring that the employee has access to and control of the processing of personal data involving him/herself. This refers to the provision previously mentioned, stipulating that when processing personal data on health or criminal offences, the employer must primarily obtain such data from the employee him/herself. This also refers to the provisions on 
  
 – 
  
 the storage of personal data, 
  
 – 
  
 the employer's obligation to inform the employee of ongoing personal data processing 
  
 – 
  
 the obligation of the employer to correct or delete incorrect, incomplete or irrelevant information, and 
  
 – 
  
 professional secrecy for those processing or having processed personal data in the private sector. 
  
 Infringements of the law will incur sanctions and damages. Criminal liability does not apply to entirely manual processing however. 
 33 
  
 Summary 
  
 SOU 2002:18 
  
 Trade union influence 
 The social partners have a central function in all legislation referring to working life, and the committee emphasises that the responsibility and commitment of both Salas partners Murphy be necessary for the draft law to provide employees and job applicants with the protection of integrity that is intended. The efficiency of the law will be significantly dependent on trade union commitment, both at the central level and locally. 
 In formulating the law, the committee has intended to promote cooperation between the social partners as regards the protection of personal integrity in working life. The draft law therefore contains several provisions whose application at workplaces is not categorically determined beforehand. The intention is that using the law as a basis, the parties should be able to conclude collective agreements containing provisions that define the jurisdiction of the law and that take conditions within individual industries or local conditions at various workplaces into account. 
 For the parties to be able to sign such explicit collective agreements, there is no need for special provisions in the law. Parker, an agreement may not contradict the law, but only Beasley. In disputes on interpretation of the law, such collective agreements may be expected, in certain cases, to be extremely important. 
 The law points out once again, the primary negotiation obligation of employers in accordance with the Act on Codetermination at Work and the fact that the Labour Disputes (Judicial Procedure) Act applies to disputes on interpretations of the law, where members may be represented by their organisations. 
 34 
 Förkortningar 
  
 AD 
  
 Arbetsdomstolen 
  
 BrB 
  
 Brottsbalken 
  
 DI 
  
 Datainspektionen 
  
 ILO 
  
 International Labour Organization 
  
 JO 
  
 Justitieombudsmannen 
  
 LIA 
  
 Lagen om skydd för personlig integritet i ar- 
  
 betslivet 
  
 LOA 
  
 Lagen (1994:260) om offentlig anställning 
  
 LRA 
  
 Lagen (1974:371) om rättegången i arbetstvister 
  
 MBL 
  
 Lagen (1976:580) om medbestämmande i ar- 
  
 betslivet 
  
 prop. 
  
 proposition 
  
 PUL 
  
 Personuppgiftslagen (1998:204) 
  
 RB 
  
 Rättegångsbalken 
  
 RF 
  
 Regeringsformen 
  
 RÅ 
  
 Regeringsrättens årsbok 
  
 SWEDAC 
  
 Styrelsen för ackreditering och teknisk kontroll 
  
 TF 
  
 Tryckfrihetsförordningen 
  
 YGL 
  
 Yttrandefrihetsgrundlagen 
  
 35 
 Författningsförslag 
 Förslag till 
 Lag om skydd för personlig integritet i arbetslivet 
 Härigenom föreskrivs följande. 
 Syftet med lagen 
  
 1 §  
 Syftet med denna lag är att med utgångspunkt i personuppgiftslagen (1998:204) stärka skyddet för den personliga integriteten i arbetslivet. 
 Lagens tillämpningsområde 
  
 2 §  
 Lagen tillämpas på arbetsgivares dokumenterade behandling av arbetstagares och arbetssökandes personuppgifter. Med arbetstagare förstås i förekommande fall även tidigare arbetstagare. 
 Vid all behandling av personuppgifter som omfattas av denna lag tillämpas även  
 7–9 
  §§ personuppgiftslagen. 
 Om det i en annan lag än personuppgiftslagen eller i en förordning finns bestämmelser som avviker från denna lag, skall de bestämmelserna gälla. 
 Privat  
 e-post 
  och andra privata elektroniska uppgifter 
  
 3 §  
 En arbetsgivare får inte avsiktligt ta del av en arbetstagares privata  
 e-post 
  eller andra privata elektroniska uppgifter. 
 37 
 Författningsförslag SOU 2002:18 
 Första stycket gäller inte om arbetstagaren har lämnat sitt samtycke till åtgärden. 
 Första stycket gäller inte heller om åtgärden är nödvändig för arbetsgivarens verksamhet. Vid bedömningen härav skall särskilt beaktas om det föreligger fara för informationssäkerheten eller om det finns skälig misstanke att arbetstagaren har gjort sig skyldig till brott vid användning av arbetsgivarens elektroniska utrustning eller till sådant illojalt beteende som kan utgöra saklig grund för uppsägning eller föranleda skadeståndsskyldighet. 
 Loggning 
  
 4 §  
 I fråga om behandling av personuppgifter om arbetstagare som har samlats in helt eller delvis automatiserat (loggning) gäller vad som föreskrivs i personuppgiftslagen. 
 Personuppgifter om hälsa och droganvändning 
  
 5 §  
 En arbetsgivare får inte behandla personuppgifter om en arbetstagares eller en arbetssökandes hälsa eller droganvändning. 
 Första stycket gäller inte om behandlingen är nödvändig för att bedöma om arbetstagaren eller arbetssökanden är lämpad för att utföra arbetsuppgifter i arbetsgivarens verksamhet eller för att bedöma arbetstagarens rätt till förmåner om arbetstagaren har begärt detta. 
 Hälsoundersökningar och drogtester 
 Genomförandet av hälsoundersökningar 
  
 6 §  
 En arbetsgivare skall tillse att hälsoundersökningar avseende arbetstagare eller arbetssökande bara genomförs av personal inom hälso- och sjukvården eller under överinseende av sådan personal. 
 38 
  
 SOU 2002:18 
  
 Författningsförslag 
  
 Genomförandet av drogtester 
  
 7 §  
 En arbetsgivare skall tillse att drogtester avseende arbetstagare eller arbetssökande bara genomförs med metoder som är tillförlitliga. 
 Arbetsgivaren skall därvid tillse att andra prover än utandningsprov bara tas av personal inom hälso- och sjukvården eller under överinseende av sådan personal samt att proven analyseras av ett laboratorium som är ackrediterat enligt lagen (1992:1119) om teknisk kontroll. 
 Personlighetstester 
  
 8 §  
 En arbetsgivare får inte behandla personuppgifter om en arbetstagare eller en arbetssökande som har hämtats in genom ett personlighetstest annat än med samtycke. 
 Arbetsgivaren skall tillse att personlighetstester bara genomförs på ett betryggande sätt med testinstrument som är tillförlitliga och av personer med adekvat utbildning. 
 Personuppgifter om lagöverträdelser m.m. 
  
 9 §  
 En arbetsgivare får inte behandla personuppgifter om lagöverträdelser avseende arbetstagare eller arbetssökande som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. 
 Första stycket gäller inte om behandlingen är nödvändig för att bedöma arbetstagarens eller arbetssökandens tillförlitlighet med hänsyn till säkerheten för det allmänna eller för arbetsgivarens verksamhet. 
 Om behandlingen sker helt eller delvis automatiserat eller i registerform skall även 21 § personuppgiftslagen gälla. 
 Inhämtande av personuppgifter 
  
 10 §  
 En arbetsgivare skall i första hand hämta in sådana personuppgifter som avses i 5 och 9 §§ från arbetstagaren eller arbetssökanden själv. Bara om detta inte är möjligt och under förutsättning av arbetstagarens eller arbetssökandens samtycke, får 
 39 
  
 Författningsförslag 
  
 SOU 2002:18 
  
 arbetsgivaren hämta in sådana personuppgifter från någon annan källa. 
 Förvaring av personuppgifter 
  
 11 §  
 En arbetsgivare skall förvara sådana personuppgifter som avses i 3, 5, 8 och 9 §§ på ett betryggande sätt och åtskilda från övriga personuppgifter. Dessa personuppgifter får bara behandlas av en begränsad krets av personer. 
 Om behandlingen sker helt eller delvis automatiserat eller i registerform skall även 30 och 31 §§ personuppgiftslagen gälla. 
 Information 
  
 12 §  
 En arbetsgivare skall utan dröjsmål lämna information om sådana personuppgifter om en arbetstagare eller en arbetssökande som arbetsgivaren behandlar och om ändamålen med behandlingen. 
 Om behandlingen sker helt eller delvis automatiserat eller i registerform skall  
 23–27 
  §§ personuppgiftslagen gälla. 
 Rättelse 
  
 13 §  
 En arbetsgivare skall utan dröjsmål rätta eller utplåna sådana personuppgifter om en arbetstagare eller en arbetssökande som inte har behandlats enligt denna lag eller enligt föreskrifter som har utfärdats med stöd av lagen. 
 Om behandlingen sker helt eller delvis automatiserat eller i registerform skall 28 § personuppgiftslagen gälla. 
 Tystnadsplikt 
  
 14 §  
 Den som hos en arbetsgivare med privat verksamhet behandlar eller har behandlat sådana personuppgifter som avses i  
 3–5, 
  8 och 9 §§ får inte obehörigen röja eller utnyttja vad som därvid kommit fram. 
 40 
  
 SOU 2002:18 
  
 Författningsförslag 
  
 MBL-förhandling 
  
 15 §  
 I fråga om arbetsgivarens skyldighet att förhandla före beslut som rör verksamheten gäller  
 11–14 
  §§ lagen (1976:580) om medbestämmande i arbetslivet. 
 Skadestånd 
  
 16 §  
 En arbetsgivare skall ersätta en arbetstagare eller en arbetssökande för skada och kränkning av den personliga integriteten som en behandling i strid med denna lag har orsakat. 
 Ersättningsskyldigheten kan i den utsträckning det är skäligt jämkas, om arbetsgivaren visar att felet inte berodde på arbetsgivaren. 
 Straff 
  
 17 §  
 Till böter eller fängelse i högst sex månader eller, om brottet är grovt, till fängelse i högst två år döms den som uppsåtligen eller av oaktsamhet behandlar personuppgifter i strid med 5 §. 
 Första stycket gäller endast behandling som sker helt eller delvis automatiserat eller i registerform. 
 Överklagande av myndighetsbeslut 
  
 18 §  
 En myndighets beslut om att inte lämna information eller meddela rättelse enligt 12 och 13 §§ får överklagas hos allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. 
 Rättegången 
  
 19 §  
 Mål om tillämpningen av denna lag skall, utom i fall som avses i 17 och 18 §§, handläggas enligt lagen (1974:371) om rättegången i arbetstvister. Därvid anses som arbetstagare också arbetssökande och som arbetsgivare också den som någon har sökt arbete hos. 
 41 
  
 1 
  
 Utredningsuppdraget och dess genomförande 
  
 Direktiven 
 Enligt direktiven har den särskilda utredarens uppdrag varit att se över behovet av lagstiftning eller andra åtgärder för att stärka skyddet för den enskildes personliga integritet i arbetslivet. I översynen har i första hand ingått frågor om användning av drogtester och andra medicinska kontroller samt frågor om användning av persondatorer, elektronisk post  
 (e-post) 
  och Internet i arbetet. I uppdraget har också ingått att ta upp andra integritetsfrågor där skyddet för den personliga integriteten i arbetslivet skulle kunna anses vara allvarligt hotat och att särskilt belysa behovet av skydd för arbetssökande. 
 Utredaren har haft att klarlägga de behov av kontroll och övervakning som arbetsgivarna har och belysa de integritetsproblem som kontrollen och övervakningen leder till. Utredaren har också haft att bedöma behovet av ny eller kompletterande lagstiftning till skydd för den personliga integriteten i arbetet och att i det sammanhanget göra en avvägning mellan de berättigade behoven av kontroll och den enskildes integritetsskydd. Som en utgångspunkt för bedömningen har angivits att den tekniska och arbetsorganisatoriska utvecklingen i arbetslivet är positiv för tillväxten och för att få bättre arbetsvillkor och arbetsmiljö, men att en förutsättning för detta är att individen kan känna trygghet i arbetssituationen, vilket bl.a. förutsätter respekt för den personliga integriteten. Utredaren har vidare haft att beakta kollektivavtal på området och möjligheterna för arbetsmarknadens parter att träffa sådana avtal samt andra åtgärder och initiativ från parterna. 
 Direktiven har intagits i  
 bilaga 1 
 . 
 43 
  
 Utredningsuppdraget och dess genomförande 
  
 SOU 2002:18 
  
 Utredningsarbetet 
 Utredningen 
 1  
 inledde sitt arbete i slutet av våren 2000 och har därefter haft tolv sammanträden, varav ett internatsammanträde. 
 Utredningen har biträtts av en referensgrupp med företrädare för arbetsmarknadens parter, nämligen direktören Ball, Svenskt Näringsliv, förhandlingsdirektören Wilson, Arbetsgivarverket, gruppchefen House, Svenska Kommunförbundet, arbetsrättschefen Blake, Landstingsförbundet, ombudsmannen Travis, Landsorganisationen i Sverige (LO), chefsjuristen Cummings, Tjänstemännens Centralorganisation (TCO) och ombudsmannen Hill, Sveriges Akademikers Centralorganisation (SACO). Samtliga förekommande frågor har diskuterats med referensgruppen. 
 Utredningen har gjort en studieresa till Helsingfors i februari 2001. Resan företogs för att utredningen skulle få träffa företrädare för vederbörande ministerier och arbetsmarknadsorganisationer och på plats kunna informera sig om det dåvarande finska förslaget till lag om integritetsskydd i arbetslivet. Lagförslaget behandlades vid den tidpunkten i den finska riksdagen och har sedermera, med de justeringar som riksdagen gjort, antagits som lag. Den särskilda utredaren och sekreterarna har vidare tillsammans eller var för sig deltagit vid möten anordnade av det  
 IT-rättsliga 
  observatoriet inom  
 IT-kommissionen, 
  träffat företrädare för Socialstyrelsen och Telefonaktiebolaget Wade samt haft kontakter med bl.a. SWEDAC, Sveriges Psykologförbund, Stiftelsen för Tillämpad Psykologi och Rikspolisstyrelsen. 
 Under utredningsarbetet har pågått ett liknande arbete inom Europeiska Unionen i gruppen Article 29 Data Protection Working Party. Utredningen har kontinuerligt tagit del av vad som framkommit inom ramen för detta arbete. 
 Arbetet påbörjades med en genomgång av gällande rätt och kollektivavtal, internationella konventioner och andra internationella instrument, riktlinjer/policies inom myndigheter, organisationer och företag samt tidigare betänkanden på området, varvid framför allt bör nämnas  
 Medicinska undersökningar i arbetslivet (SOU 1996:63).  
 Samtidigt gjordes en kartläggning av olika tänkbara situationer i arbetslivet där den enskildes personliga integritet skulle kunna vara hotad. Kartläggningen har i första hand 
  
 1  
 Utredningen används fortsättningsvis som en sammanfattande benämning för den särskilda utredaren, de sakkunniga och experten. 
 44 
  
 SOU 2002:18 
  
 Utredningsuppdraget och dess utförande 
  
 tagit sikte på sådana situationer inom  
 IT-området 
  och inom området för hälsoundersökningar och drogtester. Utredningen föreslår också en lagreglering i dessa hänseenden. 
 Utredningen har även tagit upp andra situationer där den enskildes personliga integritet skulle kunna vara allvarligt hotad, nämligen vid behandling av personuppgifter om lagöverträdelser eller ekonomiska förhållanden, vid behandling och genomförande av personlighetstester eller gentester, vid kameraövervakning av arbetstagare samt vid kontroll av arbetstagares klädskåp, skrivbordslådor och andra privata utrymmen. Efter genomgången av dessa olika situationer har utredningen stannat för att föreslå lagregler dels för behandling av personuppgifter om lagöverträdelser, dels för behandling och genomförande av personlighetstester. 
 Beträffande övriga situationer föreslås ingen reglering av följande skäl. Den tid som utredningen har haft till sitt förfogande har inneburit att utredningen har fått koncentrera sig på de två huvudområden som har angivits i direktiven och utredningen lämnar därutöver förslag endast i de avseenden som utredningen bedömt vara mest angelägna. Det innebär naturligtvis inte att det inte kan finnas anledning att ta upp även andra frågor som har betydelse för den personliga integriteten i arbetslivet, men detta får då ske i annat sammanhang. Med hänsyn till att utredningens förslag innefattar många nya och komplicerade spörsmål kan det dock vara av värde att avvakta aktualiserandet av ytterligare frågor till dess att utredningens förslag har utvärderats. Dessutom kan följande anföras. 
 Frågan om genomförande av gentester behandlas för närvarande av Kommittén om genetisk integritet (S 2001:01). Regeringen har också nyligen beslutat att en särskild utredare skall utvärdera lagen (1998:150) om allmän kameraövervakning och lämna förslag till de författningsförändringar som kan krävas. I uppdraget ingår även att följa upp i vilken utsträckning och hur den tillståndsfria användningen har utnyttjats (dir. 2001:53). Utredningen har vidare funnit att reglerna om egenmäktigt förfarande i 8 kap. 8 § brottsbalken får anses ge arbetstagare ett tillfredsställande skydd mot obefogad kontroll av klädskåp, skrivbordslådor och liknande privata utrymmen från arbetsgivarens sida. Vad slutligen avser behandling av personuppgifter om enskildas ekonomiska förhållanden har utredningen funnit att lagstiftningen visserligen ger arbetsgivaren stora möjligheter att hämta in sådana uppgifter. Men samma möjligheter har även kreditkortsföretag, banker, 
 45 
  
 Utredningsuppdraget och dess genomförande 
  
 SOU 2002:18 
  
 finansiella institut och andra privata långivare liksom hyresvärdar och andra juridiska och enskilda personer som har intresse av att få del av ekonomisk information om en avtalspart eller en blivande avtalspart. Lagstiftningen på detta område spänner alltså över hela samhällslivet och motiveras av andra hänsyn och intresseavvägningar än dem som kan beaktas inom ramen för utredningsuppdraget. En detaljreglering enbart för arbetslivets område kan därför få konsekvenser som inte går att överblicka i detta sammanhang. Något förslag lämnas därför inte heller i detta avseende. 
 Utformningen av lagförslaget 
 I arbetet med att åstadkomma en godtagbar utformning av en lagreglering har utredningen övervägt flera alternativ och slutligen funnit att det bästa, från såväl teoretiska som praktiska synpunkter, är ett förslag till en ny lag som tar sin utgångspunkt i personuppgiftslagen (1998:204). Även med de alternativ som utgår från att lagen skall vara helt fristående, dvs. utan någon anknytning till personuppgiftslagen, måste man beträffande de flesta situationer där den personliga integriteten kan vara allvarligt hotad 
 – och då framför allt när det gäller de två områden som utgör utredningens huvudsakliga uppgift – analysera och ta ställning till integritetsskyddet vid behandlingen av personuppgifter. Personuppgiftslagen reglerar skyddet för den personliga integriteten vid sådan behandling av personuppgifter, som är helt eller delvis automatiserad eller i registerform, och utredningen anser att den lagen därmed är en given grund att bygga vidare på. Utredningen anser också att det är en klar fördel från tillämpningssynpunkt att föreslå en sammanhållen lag i stället för att göra spridda ändringar i personuppgiftslagen och andra författningar. 
 Disposition av betänkandet 
 Redovisningen av uppdraget har lagts upp enligt följande. 
 I betänkandet ges i en första huvuddel bakgrunden till förslaget i form av en allmän beskrivning av integriteten i dagens arbetsliv samt en översiktlig genomgång av den rättsliga regleringen beträffande skyddet för den enskildes personliga integritet och en analys av det skydd som den enskilde åtnjuter genom denna reglering. Därefter anges de skäl som talar för att det finns ett behov av en särskild integritetsskyddande lag i arbetslivet. 
 46 
  
 SOU 2002:18 
  
 Utredningsuppdraget och dess utförande 
  
 Betänkandets andra huvuddel innehåller utredningens överväganden och förslag. I varje kapitel ges som regel först en ingående beskrivning av den rättsliga regleringen av de aktuella frågorna och därefter redovisas utredningens ställningstaganden och förslag. 
 I bilagor finns sedan en redogörelse för bl.a. personuppgiftslagen och för den finska lagen om integritetsskydd i arbetslivet. 
 47 
 2 Bakgrund 
  
 2.1 
  
 Integriteten i ett förändrat arbetsliv 
  
 Framväxten av den moderna välfärdsstaten har inneburit bl.a. att staten genom lagstiftning har tagit ett allt större ansvar för förhållandena på arbetsmarknaden. Den förändring av de tidigare hierarkiskt präglade arbetsförhållandena, vilken tog sin början i mitten av  
 1970-talet 
  med införandet av lagen (1976:580) om medbestämmande i arbetslivet (MBL) och den nya arbetsrätten i övrigt, har successivt lett fram till en annan och i många fall mer likställd relation mellan arbetsgivare och arbetstagare. I dagens läge är det sålunda vanligt med samarbete mellan arbetsgivare och arbetstagare i de flesta frågor som rör verksamheten och sådana projekt som tidigare tillkom enbart på arbetsgivarens initiativ och styrdes av denne drivs nu i stället ofta gemensamt av arbetsgivare och arbetstagare. 
 Samtidigt har välfärdsstaten med dess ambitioner att tillfreds- ställa sina medborgares behov på en mängd olika samhällsområden anledning att hämta in mycket information om medborgarnas förmåga, resurser och behov. Staten har löst detta på så sätt att arbetsgivarna i ökande utsträckning ålagts att samla in och redovisa uppgifter i dessa avseenden. Såväl på grund härav som på grund av de särskilda förutsättningar som gäller för olika slags verksamheter ställs det allt större krav på personanknuten information om arbetstagare. 
 Sådana krav är ofta integritetskänsliga och därför hörs också allt oftare kritiska synpunkter på att arbetsgivare samlar in och använder information om arbetstagare och arbetssökande. Det kan gälla t.ex. att arbetsgivaren gör omfattande loggningar av olika slag, att arbetsgivaren läser anställdas  
 e-post 
  eller lyssnar på deras telefonsamtal. Men det kan också vara fråga om att arbetsgivaren samlar in hälsorelaterad information, t.ex. frågar en arbetssökande om graviditet eller tidigare sjukdom eller på eget initiativ genomför 
  
 Bakgrund 
  
 SOU 2002:18 
  
 drog- och hälsotester. Behovet av skydd för arbetstagares och arbetssökandes integritet har börjat uppmärksammas på allvar och detta förefaller vara en internationell trend som går igen i de flesta industrialiserade stater i västvärlden. 
 Den ökade användningen av personanknuten information kan förklaras på flera sätt och det är svårt att med säkerhet säga vad som är det mest rättvisande eftersom samhället befinner sig mitt i ett utvecklingsskede. Mycket talar dock för att arbetsgivarnas behov av sådan information till stor del kan tillskrivas den fortgående individualiseringen av arbetslivet. 
 En tydlig tendens mot mer individualisering i arbetslivet är större krav dels på likabehandling av arbetstagare med hänsyn till allt fler karakteristika, dels på att man genom s.k. positiv sär- behandling och andra aktiva åtgärder skall kunna komma till rätta med strukturella missförhållanden. Om arbetsgivaren exempelvis åläggs att genomlysa en verksamhet med hänsyn till arbetstagarnas kön, handikapp, sexuella läggning, etniska bakgrund och ålder behöver arbetsgivaren ha tillgång till åtskilligt med information om arbetstagarna, information som dessutom kan vara mycket känslig. 
 Även när det gäller formerna för att bestämma lön och andra anställningsvillkor finns det en tydlig tendens till individualisering genom att lönen och andra villkor bestäms allt mer med inriktning på den enskilda arbetstagaren, dvs. genom lokala överenskommel- ser på arbetsplatsen och inte genom förbundsavtal eller centrala kollektivavtal. Ju mer som lönebildningen individualiseras, desto större blir behovet att hantera information om enskilda arbets- tagare beträffande deras arbetsprestationer, skicklighet och andra kriterier som kan läggas till grund för lönesättningen. Det har också blivit vanligt med individuella planerings- och utvecklings- samtal där arbetsgivaren förklarar den lönesättning som gjorts och där arbetstagarens prestationer, önskemål och individuella för- utsättningar diskuteras. Arbetsgivarna har även på senare år fått ett ökat ansvar för sjuklön och rehabilitering av enskilda arbetstagare och detta kräver att arbetsgivaren får tillgång till känsliga uppgifter om arbetstagarens hälsotillstånd. 
 Arbetsgivare fäster i dag betydligt större avseende än tidigare vid att ha rätt person på rätt plats. Personliga egenskaper såsom sam- arbetsförmåga och social kompetens har fått allt större betydelse, t.ex. för arbete inom den expanderande servicesektorn eller inom arbete som bedrivs i form av projekt och nätverk. För att anställa 
 50 
  
 SOU 2002:18 
  
 Bakgrund 
  
 den rätta personen för arbetet kan det krävas ingående information om personen. 
 Det har därför vuxit fram särskilda rekryteringsföretag som specialiserat sig på att för arbetsgivares räkning ta fram rätt person till rätt plats. 
 Uthyrning av arbetskraft och privata arbetsförmedlingar har legaliserats under  
 1990-talet 
  och konsultverksamhet av olika slag har ökat kraftigt. För företag som sysslar med sådan verksamhet är arbetstagarnas personliga egenskaper och kompetens naturligtvis av grundläggande betydelse. 
 Det är också en gemensam strävan hos både arbetsgivare och arbetstagare att arbetstagarna skall kunna förena privatliv och arbete. Arbetstagarna har fått större möjlighet att bestämma när de skall arbeta respektive vara lediga för olika ändamål. Samtidigt som utvecklingen alltså på vissa arbetsplatser går mot en ökad frihet för arbetstagaren att förlägga sin arbetstid på sätt som passar just henne eller honom kan man iaktta en trend mot ökad bundenhet för arbetstagare på andra yrkesområden. Flexibilitet kan även betyda att en arbetstagare måste vara ständigt tillgänglig för att kunna nås av arbetsgivaren när det uppstår behov av en arbets- insats. Lagstiftningen har dock gjort det möjligt för arbetstagare att spara och i ett sammanhang ta ut semester eller ledighet för föräldraskap, för vård av närstående, för trängande familjeskäl, för föreningsuppdrag inom skolan, för privata studier och för bedrivande av näringsverksamhet. Utvecklingen går generellt även i riktning mot att arbetstagaren får större rätt att bestämma över arbetstiden. Det har införts en företrädesrätt till mer arbetstid för deltidsanställda, delvis föräldralediga skall i högre utsträckning kunna bestämma när de skall arbeta 
 1  
 och det skall även utredas hur anställda rent allmänt skall kunna bestämma mer över sin arbets- tid. 
 2  
 En arbetsgivare som vill kunna förutse när arbetstagarna inte är tillgängliga för arbete behöver således mycket information av privat natur om arbetstagarna. 
 Till allt detta kommer att den nya informationstekniken med sina omvälvande framsteg i fråga om tillgänglighet och kommunikationsmöjligheter på ett dramatiskt sätt har ökat arbetsgivarnas möjligheter till information om arbetstagarnas prestationer och övriga agerande under arbetstid. Den nya informationstekniken har gjort det betydligt lättare att samla in, 
  
 1 
  
 Se prop. 2000/01:44. 
  
 2 
  
 Se dir. 2000/01:97. 
  
 51 
  
 Bakgrund 
  
 SOU 2002:18 
  
 bearbeta och registrera stora mängder av uppgifter. Tekniken används numera av praktiskt taget alla företag och datorer och annan ny teknisk utrustning som kan registrera information har därmed blivit dagliga arbetsredskap för de flesta arbetstagare. 
 Den nya tekniken finner också allt fler användningsområden. Som exempel kan nämnas inpasseringsutrustning, kassautrustning och utrustning för positionsbestämning (GPS) av mobiltelefoner eller fordon. Ofta märker inte ens användaren den registrering av information som sker. Tekniken gör det möjligt för arbetsgivaren att relativt enkelt kartlägga en arbetstagares beteende. Inpasserings- kort och mobiltelefoner kan användas för att bestämma var en arbetstagare befinner sig vid varje givet tillfälle och arbetstagarens användning av datorer kan kontrolleras i detalj, liksom även arbets- tagarens användning av telefon och  
 e-post. 
  Arbetstagarens presta- tioner och avbrott i arbetet kan därmed kontrolleras betydligt mer effektivt än tidigare. Samhällets kraftigt ökade behov av en väl fungerande  
 IT-infrastruktur 
  leder också mot bakgrund av den senaste tidens internationella händelser till att säkerhetskraven blir väsentligt högre, vilket sannolikt bidrar till ökad kontroll av många arbetstagare. 
 Förändrade arbetsformer, en ny syn på relationen mellan arbetsgivare och arbetstagare samt en ny och revolutionerande informationsteknik har alltså förändrat arbetslivet väsentligt och satt den enskilde arbetstagarens situation i fokus. Av största betydelse för en fortsatt positiv utveckling av förhållandena inom arbetslivet är att den enskilde arbetstagaren kan känna sig trygg inte bara i sitt arbete utan även beträffande sin privata sfär, dvs. trygg i förvissningen om att bli bemött med respekt för sin personliga integritet i såväl fysiskt som psykiskt avseende. 
  
 2.2 
  
 Behovet av en särskild integritetsskyddande lag i arbetslivet 
  
 2.2.1 
  
 Bakgrund 
  
 Enligt direktiven skall utredningen göra en översyn av behovet av lagstiftning eller andra åtgärder för att stärka skyddet av den personliga integriteten i arbetslivet. Den första fråga som då uppkommer är vad som egentligen innefattas i begreppet personlig integritet. 
 52 
  
 SOU 2002:18 
  
 Bakgrund 
  
 Utredningen har gjort en genomgång av åtskillig svensk och utländsk litteratur i ämnet för att söka finna svaret på denna fråga. Det har emellertid visat sig att begreppet personlig integritet inte är så lättfångat. Stora ansträngningar har gjorts för att definiera det men någon kortfattad generell konkretisering av begreppets språkliga innebörd har utredningen inte kunnat finna. Men som en klar gemensam nämnare framstår i vart fall uppfattningen att begreppet personlig integritet innebär att alla människor har rätt till en personlig sfär där ett oönskat intrång, såväl fysiskt som psykiskt, kan avvisas. 
 De flesta människor har också en bestämd uppfattning om vad personlig integritet innebär för deras egen del och de uttrycker detta mestadels på motsvarande sätt som nyss nämnts. Men uppfattningen om storleken av den privata sfären kan variera kraftigt mellan olika människor beroende framför allt på deras kulturella, etniska, religiösa och sociala bakgrund. Omfånget av den personliga sfären uppfattas inte heller som statiskt, inte ens för den egna individen, utan kan förändras med hänsyn till bl.a. vunna erfarenheter och den aktuella situationen. 
 Utredningen har dock inte till uppgift att försöka ge en preciserad definition av begreppet personlig integritet som skulle kunna tillämpas i alla tänkbara situationer. För utredningens del räcker det att konstatera att uppdraget enligt direktiven omfattar sådana frågor som allmänt sett anses röra den personliga integriteten. Utifrån den utgångspunkten har utredningen att undersöka om det beträffande arbetslivet finns skäl att skapa ett bättre skydd mot intrång i den skyddade sfären än vad nuvarande lagstiftning erbjuder. 
 Utredningen gör därför i det följande först en översiktlig genomgång av det nuvarande rättsliga skyddet för den enskildes personliga integritet för att därefter redovisa sina överväganden beträffande behovet av en ny integritetsskyddande lagstiftning inom arbetslivets område. 
  
 2.2.2 
  
 Nuvarande rättsliga skydd för den personliga integriteten 
  
 Sverige har ratificerat flera internationella överenskommelser som behandlar skyddet för den personliga integriteten. I detta sammanhang bör särskilt nämnas några sådana överenskommelser 
 53 
  
 Bakgrund 
  
 SOU 2002:18 
  
 av vilka framgår att personlig integritet anses vara en mänsklig rättighet. År 1948 antogs den universella förklaringen om de mänskliga rättigheterna, Universal Declaration of Human Rights, av FN:s generalförsamling. Förklaringen innehåller en rättighetskatalog där det av artikel 12 framgår att ingen må utsättas för godtyckliga ingripanden i fråga om privatliv, familj, hem eller korrespondens och inte heller för angrepp på heder och anseende. Där sägs också att var och en har rätt till lagens skydd mot sådana ingripanden och angrepp. Utöver den universella förklaringen finns också en  
 FN-konvention 
  om medborgerliga och politiska rättigheter, International Covenant on Civil and Political Rights, där rätten till privat- och familjeliv, hem och korrespondens återfinns i artikel 17. I inledningen till konventionen sägs att konventionsstaterna erkänner det inneboende värdet hos alla medlemmar av människosläktet och att deras lika och oförytterliga rättigheter utgör grunden för bl.a. frihet och rättvisa samt att dessa rättigheter härrör från de inneboende värdena hos varje människa. Där sägs också att konventionsstaterna tar hänsyn till att varje människa har plikter mot andra människor och mot det samhälle som han eller hon tillhör och att varje människa är skyldig att medverka till att de i konventionen inskrivna rättigheterna främjas och iakttas. 
 Att personlig integritet är en grundläggande fri- och rättighet kommer också till uttryck i Europeiska konventionen (d. 4 nov. 1950) om skydd för de mänskliga rättigheterna och de grundläggande friheterna vilken gäller som svensk lag sedan 1995. Enligt artikel 8 punkt 1 har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Rättigheten får bara inskränkas genom lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. Som gemensam benämning på de rättigheter som kommer till uttryck i artikeln brukar internationellt användas begreppet the right to privacy, vilket har definierats som rätten att leva sitt eget liv utan ingripanden av utomstående. Detta innefattar rätt till såväl fysisk och psykisk (moralisk) integritet som skydd för ära och rykte. I rätten till privatliv ingår också ett skydd mot övervakning av olika slag och ett skydd för information om privata förhållanden. I rätten till respekt för korrespondens innefattas ett skydd mot t.ex. 
 54 
  
 SOU 2002:18 
  
 Bakgrund 
  
 telefonavlyssning och brevkontroll. Av artikeln anses vidare följa att staten också i viss mån är skyldig att vidta positiva åtgärder för att skydda den enskildes personliga sfär mot angrepp från andra enskilda. 
 Europaparlamentets och rådet direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter innehåller en både generell och detaljerad reglering av skyddet för den personliga integriteten vid sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg liksom vid annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. Grundläggande för direktivets bestämmelser är  
 relevans-, 
  finalitets- och proportio- nalitetsprinciperna. Dessa innebär i korthet att behandling bara får ske av sådana personuppgifter som är adekvata och relevanta i förhållande till det ändamål, för vilket de insamlats, att ändamålet därefter inte får förändras samt att inte fler personuppgifter får behandlas än som är nödvändigt med hänsyn till ändamålet. 
 3 
  
 I regeringsformen (RF) finns flera regler som avser att skydda den personliga integriteten. Den enskildes rätt till ett sådant skydd slås fast inledningsvis i målsättningsstadgandet i 1 kap. 2 § tredje stycket där det sägs bl.a. att det allmänna skall värna den enskildes privatliv och familjeliv. De för det offentliga rättsligt bindande reglerna i 2 kap. om de grundläggande fri- och rättigheterna stärker ytterligare skyddet för den personliga integriteten. I detta sammanhang kan särskilt nämnas skyddet mot tvång att ge till känna sin åskådning i politiskt, religiöst, kulturellt eller annat sådant hänseende (2 §) och skyddet mot påtvingat kroppsligt ingrepp, mot kroppsvisitation, husrannsakan och liknande intrång, mot undersökning av brev eller annan förtrolig försändelse, mot hemlig avlyssning eller upptagning av telefonsamtal eller annat förtroligt meddelande (6 §). Skyddet i sistnämnda regel är inte orubbligt utan kan inskränkas genom lag. Begränsningen av skyddet får dock enligt 12 § göras bara för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. Vidare föreskrivs i 3 § andra stycket att det i den utsträckning som närmare anges i lag skall finnas ett skydd mot kränkning av den personliga integriteten genom att personuppgifter registreras med hjälp av automatisk databehandling. Uppmärksammas bör dock att några av de grund- 
  
 3  
 En ingående redovisning av dataskyddsdirektivet lämnas i SOU 1997:39  
 Integritet Offentlighet Informationsteknik  
 s. 109 ff. 
 55 
  
 Bakgrund 
  
 SOU 2002:18 
  
 läggande fri- och rättigheterna i 2 kap., nämligen skyddet för yttrandefriheten och informationsfriheten, 1 § punkt 1 och 2, kan vara motstående till intresset av att skydda den personliga integriteten. Vid en avvägning i enskilda fall mellan de motstående intressena kan det således inträffa att dessa s.k. positiva opinionsfriheter tar över intresset av skydd för den personliga integriteten. De positiva opinionsfriheterna kan dock begränsas enligt 12 och 13 §§. I den sistnämnda paragrafen föreskrivs bl.a. att yttrandefriheten och informationsfriheten får begränsas med hänsyn till privatlivets helgd. 
 Statens skyldighet enligt konventioner och konstitutionella regler att skydda den enskildes personliga integritet har genomförts i en rad bestämmelser i vanlig lag. 
 Personuppgiftslagen (1998:204), som genomför Europaparlamentets och rådets direktiv 95/46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, är den utan jämförelse mest heltäckande lagstiftningen på området. Andra exempel på bestämmelser av mer generell betydelse finns i brottsbalken, och då särskilt i 4 kap. om brott mot frihet och frid, och i sekretesslagen (1980:100) med anknytande författningar. I tryckfrihetsförord- ningen (TF) och yttrandefrihetsgrundlagen (YGL) finns bestämmelser som gör det möjligt att skydda mot förtal och förolämpning i massmedier. På massmedieområdet finns lagen (1978:800) om namn och bild som syftar till att skydda använd- ningen av enskilds namn och bild i reklam. Inkassolagen (1974:182) och kreditupplysningslagen (1973:1173) syftar båda till att skydda den personliga integriteten vid verksamhet som bedrivs enligt dessa lagar. Vidare finns i lagen (1998:150) om allmän kamera- övervakning bestämmelser som med hänsyn till den enskildes personliga integritet inskränker möjligheten att övervaka vissa områden med kamera. 
 Som exempel på lagar som enligt 2 kap. 12 § RF inskränker de grundläggande fri- och rättigheterna finns lagar som reglerar förhållandena inom arbetslivet. Bl.a. innehåller lagen (1994:260) om offentlig anställning (LOA) och lagen (1994:260) om fullmakts- anställning bestämmelser om skyldighet för arbetstagare med särskilda arbetsuppgifter att efter uppmaning av arbetsgivaren regelbundet genomgå hälsoundersökningar. Även i livsmedelslagen (1971:511), järnvägssäkerhetslagen (1990:1157), luftfartslagen (1957:297), strålskyddslagen (1988:220) och fartygssäkerhetslagen 
 56 
  
 SOU 2002:18 
  
 Bakgrund 
  
 (1988:49) föreskrivs skyldighet att genomgå läkar- eller hälso- undersökning när arbetstagarens bristande hälsa kan inverka på allmänhetens eller verksamhetens säkerhet. 
  
 2.2.3 
  
 Finns det behov av en integritetsskyddande lag i arbetslivet? 
  
 De svårigheter som inledningsvis har nämnts när det gäller att avgränsa och precisera området för den personliga integriteten präglar även frågans rättsliga reglering. Oavsett detta framgår det av den ovanstående översiktliga redovisningen av internationella instrument och konstitutionella regler att skyddet för den enskildes personliga integritet anses vara en del av de mänskliga fri- och rättigheterna. Det framgår dock även att skyddet för den personliga integriteten, i motsats till skyddet för flera andra mänskliga rättigheter, inte är absolut och statiskt med en för alla situationer given omfattning utan att omfånget av skyddet beror även av andra personers berättigade intressen och styrkan av dessa. Skyddet för den enskildes personliga integritet har alltså i dessa rättsliga instrument givits en sådan form att det är svårt att avgöra hur denna värdegrund i praktiken skall beaktas i utredningens arbete. 
 Vad gäller de aktuella reglerna i 2 kap. RF är dessa visserligen rättsligt bindande för det allmänna men de har utformats primärt för att rikta sig till lagstiftaren och är därmed egentligen inte ägnade att tillämpas direkt av domstol och andra rättstillämpande organ. Europakonventionen är numera svensk lag och kan naturligtvis som sådan tillämpas av domstolar och andra rättstillämpande organ. Men med hänsyn till den generella utformningen av artikel 8 torde ändå möjligheten för en enskild att med framgång åberopa artikeln vid en rättslig prövning av ett klagomål om kränkningar av den personliga integriteten vara mycket osäker. Personuppgiftslagen är den mest heltäckande lagstiftningen på området men den är ändå, trots sin i flera avseenden detaljerade utformning, i många stycken svårtolkad. 
 Det anförda visar att det finns revor i det rättsliga skyddet för den personliga integriteten. Det råder emellertid, såväl interna- tionellt som nationellt, stor samstämmighet om att skyddet för den personliga integriteten är en mänsklig rättighet. Detta leder utredningen till slutsatsen att det får anses vara en demokratisk 
 57 
  
 Bakgrund 
  
 SOU 2002:18 
  
 angelägenhet för staten att garantera att medborgarna har ett gott integritetsskydd. En sådan garanti kan staten enligt utredningens mening bara ställa ut genom lagstiftning. 
 Arbetslivet har en central plats i samhället och de skrivna och oskrivna regler som styr relationerna inom arbetslivet sätter sin prägel på samhället i övrigt. Det finns inte heller något annat samhällsområde som omfattar så många människor över så lång tid och där det förekommer så många olika situationer som kan innebära ett intrång i den personliga integriteten. Det faller sig därför naturligt att söka åstadkomma förbättringar för den enskildes personliga integritet framför allt inom arbetslivet. Härtill kommer även att de fackliga organisationerna har efterlyst ett förstärkt skydd för den personliga integriteten för arbetstagare och arbetssökande. 
 Utredningen har mot den nu tecknade bakgrunden funnit att den inledningsvis ställda frågan om det finns ett behov av en särskild integritetsskyddande lag i arbetslivet bör besvaras jakande. 
 58 
 3 Lagens syfte 
  
 3.1 
  
 Bakgrund 
  
 Av den genomgång, som utredningen har gjort av det nuvarande rättsliga skyddet för den personliga integriteten, vilket redovisas i ingående i följande kapitel, framgår att många situationer, som kan innebära ett hot mot en arbetstagares eller en arbetssökandes per- sonliga integritet, inte täcks till fullo av det rättsliga skyddet. Det gäller såväl vid användningen av drogtester och andra medicinska kontroller som vid användningen av persondatorer, elektronisk post  
 (e-post) 
  och Internet i arbetet. Det finns även andra situatio- ner, där den personliga integriteten i arbetslivet kan vara hotad, som täcks knapphändigt av gällande regelsystem. 
 Den mest heltäckande lagstiftningen vad gäller skyddet för den personliga integriteten är personuppgiftslagen, fortsättningsvis PUL. Men trots sin relativt detaljerade utformning är den ändå inte tillräckligt konkretiserad för att ge en säker vägledning i flera av de i PUL redovisade situationerna. Orsaken till detta är att PUL grundas på  
 EG-direktivet 
  om skydd för enskilda personer med av- seende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, det s.k. dataskyddsdirektivet. Detta direktiv har visserligen en ovanligt fyllig ingress men, i likhet med övriga EG- direktiv, inte några egentliga förarbeten enligt svensk modell. Tolkningen av ord och uttryck i direktivet skall därför i princip ske genom avgöranden av  
 EG-domstolen. 
  Det innebär att även tolk- ningen av PUL är avhängig av  
 EG-domstolens 
  rättstillämpning. Svenska domstolar är alltså skyldiga att i tveksamma fall inhämta förhandsbesked från  
 EG-domstolen 
  angående tolkningen av data- skyddsdirektivet som ligger bakom PUL. Man kan därför räkna med att det kommer att ta avsevärd tid innan det finns en mer full- ständig praxisbildning på området. 
 59 
  
 Lagens syfte 
  
 SOU 2002:18 
  
 Avsaknaden av ett effektivt rättsligt skydd och det osäkra rätts- läget vad avser tillämpningen av PUL skapar vissa problem på ar- betslivets område. Frågor som rör arbetstagares och arbetssökan- des personliga integritet uppmärksammas också numera i ökande omfattning, såväl ute på arbetsplatserna som i den allmänna debat- ten. Det har också på senare tid rests krav från de fackliga organi- sationernas sida på att staten skall ingripa och stärka integritets- skyddet inom arbetslivet. Med hänsyn till att skyddet för den per- sonliga integriteten får anses vara en mänsklig rättighet har utredningen för egen del ansett det närmast självklart att det bör tillskapas tydligare regler som kan garantera ett mer tillfredsstäl- lande skydd för den personliga integriteten just i arbetslivet. 
 I avsnitt har konstaterats att trenden på arbetsmarknaden är att arbetsgivare och arbetstagare får ett mer omfattande samarbete i de flesta frågor som rör arbetslivet. Det förefaller även att växa fram en ökad insikt om behovet av samsyn mellan arbetsgivare och ar- betstagare i frågor som rör skyddet för arbetstagares personliga integritet, såväl inom den offentliga som inom den privata sektorn. Riktlinjer/policies och ordningsregler för hanteringen av arbetsgi- varens datorer – framför allt beträffande användningen av  
 e-post 
  – och för genomförandet av hälsoundersökningar och drogtester till- kommer sålunda i ökande omfattning i samråd eller samarbete med de anställda och deras företrädare. 
  
 3.2 
  
 Överväganden och förslag 
  
 Utredningen föreslår:  
 I en inledande bestämmelse bör anges att lagens syfte är att med utgångspunkt i PUL stärka skyddet för den personliga integriteten i arbetslivet. 
 Utredningen vill främja utvecklingen av samarbetet mellan arbets- givare och arbetstagare när det gäller skyddet för den personliga integriteten och anser att det för detta ändamål bör införas lagreg- ler som klargör omfattningen av skyddet för den personliga integ- riteten i vissa konkreta situationer. Dessa lagregler kan sedan tjäna som utgångspunkt för överenskommelser mellan arbetsgivare och arbetstagare om preciseringar och förstärkningar av reglerna. Detta ger såväl arbetsgivare som arbetstagare en säkrare grund att stå på vid hanteringen av dessa integritetsfrågor. 
 De olika situationer i arbetslivet som utredningen enligt sina di- rektiv skall behandla är framför allt förknippade med insamlingen 
 60 
  
 SOU 2002:18 
  
 Lagens syfte 
  
 och användningen av personliga och ofta känsliga uppgifter om ar- betstagare eller arbetssökande. En ny lag bör därför vara inriktad på att reglera behandlingen av sådana personuppgifter. Det bästa sättet att åstadkomma detta är enligt utredningens mening att med ut- gångspunkt i PUL utforma en lag med sikte på de situationer i ar- betslivet som omfattas av utredningens uppdrag. En sådan lag bör dock inte vara begränsad till att konkretisera de regler av särskilt intresse för arbetslivet som finns i PUL utan den bör ha ett något bredare anslag och därmed omfatta även vissa frågor som inte be- handlas i PUL. 
 Utredningen föreslår därför att det med PUL som utgångspunkt införs en lag för att stärka integritetsskyddet i arbetslivet. Av för- slaget följer att de principer som ligger till grund för PUL därmed också blir styrande för behandlingen av personuppgifter enligt den nya lagen. Även för tillämpningen av den nya lagen gäller således att personuppgifter får behandlas bara på ett sätt som är förenligt med  
 relevans-, 
  finalitets- och proportionalitetsprinciperna. 
 Med den utgångspunkten faller det sig naturligt att den nya la- gen, i likhet med PUL, får en generell utformning och omfattar hela arbetslivet. Som en följd härav har målsättningen för utred- ningens arbete varit att det inte bör göras någon åtskillnad mellan den offentliga och den privata sektorn av arbetsmarknaden utan att det så långt som möjligt skall finnas ett likvärdigt skydd för den personliga integriteten inom hela arbetslivet. Utredningen åter- kommer till detta i det följande kapitlet som handlar om lagens till- lämpningsområde. 
 Den nya lagen bör vidare, liksom PUL, i princip vara teknikobe- roende. Det innebär att de föreslagna bestämmelserna skall kunna tillämpas oberoende av de tekniska metoder och strukturer med vilkas hjälp personuppgifter behandlas. Med hänsyn till den syn- nerligen snabba utvecklingen av såväl informationstekniken som den medicinska tekniken är det nödvändigt med en sådan ordning för en lagstiftning som avses vara normerande för arbetsmarknaden under överskådlig tid framöver. 
 I direktiven anges att behovet av integritetsskydd för arbetssö- kande skall belysas särskilt. Orsaken till detta är att olika integri- tetsfrågor aktualiseras på ett påtagligt sätt just vid anställningsför- farandet, eftersom den arbetssökande då ofta befinner sig i ett ut- satt läge. Särskild uppmärksamhet skall alltså ges åt situationen för de arbetssökande och det innebär enligt utredningens mening att den nya lagen skall jämställa arbetssökande med arbetstagare så 
 61 
  
 Lagens syfte 
  
 SOU 2002:18 
  
 snart detta är praktiskt lämpligt och genomförbart. Utredningen återkommer även till detta i kapitlet om lagens tillämpningsområde. 
 Namnet på den nya lagen föreslås vara  
 Lag om skydd för personlig integritet i arbetslivet 
 , fortsättningsvis i betänkandet förkortat till 
 LIA. 
  
 3.3 
  
 Förhållandet till dataskyddsdirektivet 
  
 Frågan är då vilka gränser som sätts av dataskyddsdirektivet för en sådan lagstiftning som LIA avses vara. Enligt artikel 1 i direktivet får medlemsstaterna inte föreskriva vare sig ett bättre eller ett säm- re skydd än vad som följer av direktivet. I ingressen till direktivet under punkten 22 öppnas dock en möjlighet till vissa preciseringar. Där sägs följande. 
 Medlemsstaterna bör i sin lagstiftning eller genom andra bestämmel- ser som antas för att genomföra detta direktiv närmare ange de all- männa villkoren för att en behandling skall vara tillåten. Särskilt arti- kel 5 jämförd med artiklarna 7 och 8 tillåter medlemsstaterna att, oavsett de allmänna regler som gäller, ange särskilda villkor för be- handlingen av uppgifter på särskilda områden och för de olika kate- gorier av uppgifter som behandlas i artikel 8. 
 Av artikel 7 framgår bl.a. att personuppgifter får behandlas endast om behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade (punkten d) eller om behandlingen är nödvändig för ändamål som rör berättigade intres- sen hos den registeransvarige eller hos den eller de tredje män till vilka uppgifterna har lämnats ut, utom när sådana intressen upp- vägs av den registrerades intressen eller dennes grundläggande fri- och rättigheter som kräver skydd under artikel 1.1 (punkten f). 
 I artikel 8 punkten 1 görs en uppräkning av särskilda kategorier av uppgifter som i princip är förbjudna att behandla. Dit hänförs sådana uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackföre- ning samt uppgifter som rör hälsa och sexualliv. I punkten 2 görs vissa undantag från denna huvudregel. Behandling får sålunda ske bl.a. om behandlingen är nödvändig för att fullgöra de skyldigheter och särskilda rättigheter som åligger den registeransvarige inom arbetsrätten, i den omfattning detta är tillåtet enligt en nationell lagstiftning som föreskriver lämpliga skyddsåtgärder. I punkten 4 
 62 
  
 SOU 2002:18 
  
 Lagens syfte 
  
 anges vidare att under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse får medlemsstaterna an- tingen i sin nationella lagstiftning eller genom ett beslut av till- synsmyndigheten besluta om andra undantag än de som nämns i punkten 2. 
 Förhållandet till dataskyddsdirektivet kommenteras särskilt i följande kapitel i samband med de olika bestämmelserna i lagförsla- get. 
 63 
 4 Lagens tillämpningsområde 
  
 4.1 
  
 Överväganden och förslag 
  
 Utredningen föreslår 
 : LIA bör tillämpas på all behandling som arbetsgivare utför av arbetstagares och arbetssökandes dokumen- terade personuppgifter inom lagens område. För sådan behandling som är helt eller delvis automatiserad eller i registerform bör bestämmelserna i PUL tillämpas i den mån som de inte ersätts av LIA. När det gäller helt manuell behandling av personuppgifter skall även  
 7–9 
  §§ PUL gälla. 
 LIA skall vidare gälla för hela arbetsmarknaden och med arbetstagare avses i förekommande fall även tidigare arbetstagare. 
 Om det i någon annan lag än PUL eller i en förordning finns bestämmelser som avviker från LIA, skall dessa bestämmelser tillämpas. 
 I detta kapitel lämnas en redogörelse för LIA:s tillämpningsområde, framför allt i förhållande till PUL men även till andra författningar, samt för innebörden av de viktigare begrepp som används. Dessutom redovisar utredningen sina överväganden beträffande ett förstärkt integritetsskydd för arbetssökande samt hur man bör se på skillnaden i integritetsskyddet mellan offentliganställda och privatanställda 
 65 
  
 Lagens tillämpningsområde 
  
 SOU 2002:18 
  
 4.2 
  
 Förhållandet till andra författningar 
  
 4.2.1 
  
 Förhållandet till PUL 
  
 4.2.1.1 
  
 Allmänt 
  
 Som har framgått av det föregående kapitlet om lagens syfte är LIA en lagstiftning som tar sin utgångspunkt i PUL. Det innebär att de föreslagna bestämmelserna i LIA ersätter eller kompletterar de regler i PUL som bedömts vara av särskild betydelse för den personliga integriteten i arbetslivet. LIA innefattar alltså både en precisering och en förstärkning av PUL:s regler när det gäller skyddet för arbetstagares och arbetssökandes personliga integritet. Men LIA gäller inte bara för den behandling som omfattas av PUL, dvs. sådan behandling som är helt eller delvis automatiserad eller i registerform, utan LIA omfattar även den helt manuella behandling som utförs av arbetsgivare och som hittills varit oreglerad. 
 När det gäller den helt manuella behandlingen så tillämpas följaktligen bara bestämmelserna i LIA. Men eftersom  
 7–9 
  §§ PUL gjorts tillämpliga på all behandling genom en hänvisning i LIA så är arbetsgivare skyldiga att iaktta dessa regler även vid den manuella behandlingen. Det innebär bl.a. att de grundläggande kraven på behandlingen av personuppgifter som har lagts fast i artikel 6 i dataskyddsdirektivet och i 9 § PUL 
 1  
 gäller för all behandling och således även för helt manuell behandling. Tillämpningen av LIA när det gäller den helt manuella behandlingen bör dock enligt utredningens uppfattning inte medföra några nämnvärda juridiska komplikationer. Däremot finns det anledning att något närmare beröra förhållandet mellan LIA och PUL 
 Förhållandet mellan LIA och PUL är detsamma som normalt gäller mellan allmän lag och speciallag, dvs. att speciallag gäller före allmän lag. Att så är fallet har också uttryckligen slagits fast i 2 § PUL, där det föreskrivs att avvikande bestämmelser i annan lag eller i en förordning gäller före PUL:s bestämmelser. Den nu beskrivna ordningen överensstämmer med en allmän rättsgrund- sats, lex specialis, som säger att en bestämmelse som reglerar ett speciellt förhållande har företräde framför en bestämmelse av mer allmän karaktär. En specialiserad regel uppfattas som ett undantag från den allmänna regeln och denna gäller alltså inte om den specialiserade regeln är tillämplig. 
  
 1  
 För lagtext och förarbeten till 9 §, se författningskommentaren och bilaga 2. 
 66 
  
 SOU 2002:18 
  
 Lagens tillämpningsområde 
  
 Med hänsyn till att PUL är en allmän lag, som omfattar all behandling av personuppgifter som sker helt eller delvis automatiserat eller i registerform, omfattar lagen självfallet även arbetsgivares behandling av arbetstagares personuppgifter. Det medför att tillämpningsområdena för LIA och PUL delvis sammanfaller och att det således kan uppkomma konkurrens mellan bestämmelser i de båda lagarna. Om en arbetstagares personuppgifter behandlas automatiserat eller i registerform skall nämligen PUL tillämpas, men lex  
 specialis-principen 
  innebär att LIA skall tillämpas i stället för PUL när LIA innehåller bestämmelser som avviker från eller innebär preciseringar av PUL. 
 LIA ger inom sitt tillämpningsområde den yttre ramen och de grundläggande förutsättningarna för den behandling som är tillåten beträffande arbetstagares personuppgifter. Om förutsättningarna för en viss behandling inte är uppfyllda enligt LIA har arbets- givaren alltså inte någon rätt att behandla de aktuella uppgifterna överhuvudtaget. I de fall när LIA förbjuder en viss behandling kommer LIA alltså att inskränka PUL:s tillämpningsområde, eftersom en behandling som tidigare varit tillåten nu kommer att vara förbjuden. 
 De situationer där konkurrens mellan lagarna möjligen kan orsaka vissa bekymmer är när behandling av arbetstagares person- uppgifter är tillåten enligt LIA och arbetsgivaren väljer att behandla uppgifterna automatiserat eller i registerform. Svårigheterna skall dock inte överdrivas. I fråga om arbetsgivarens skyldighet enligt PUL att lämna information till arbetstagaren eller att vidta rättelse av en felaktig eller ofullständig personuppgift föreslår utredningen att PUL:s bestämmelser i dessa avseenden görs tillämpliga i viss utsträckning även enligt LIA och i flera andra fall innehåller båda lagarna uttryckliga regler om förutsättningarna för behandlingen av personuppgifter. En närmare redogörelse för hur man bör se på detta finns i motiveringen till varje bestämmelse. 
  
 4.2.1.2 
  
 Relevans-, 
  
  finalitets- och proportionalitetsprinciperna 
 Gemensamt för LIA och PUL är att båda lagarna syftar till att skydda den personliga integriteten genom att reglera behandlingen av personuppgifter. Bestämmelserna i 9 § PUL, som ger uttryck för de grundläggande principerna om relevans, finalitet och proportio- nalitet skall därför självfallet gälla även vid tillämpningen av LIA. 
 67 
  
 Lagens tillämpningsområde 
  
 SOU 2002:18 
  
 Principerna om relevans, finalitet och proportionalitet har varit styrande för utarbetandet av dataskyddsdirektivet och PUL. I det reviderade förslag jämte förklarande anmärkningar som EU- kommissionen avlämnande i anledning av det första förslaget till dataskyddsdirektiv (COM(92) 422 final – SYN 287 och EGT nr C 311, 27.11.1992), i det slutligen antagna direktivet 95/46/EG, i Datalagskommitténs betänkande Integritet Offentlighet Informationsteknik (SOU 1997:39) och i propositionen 1997/98:44 Personuppgiftslag har man resonerat kring dessa principer och deras utformning. De resonemang som förs där är emellertid relativt kortfattade och avslutas i flera fall endast med konstaterandet att principernas betydelse vid en tillämpning får avgöras i praxis eller i kompletterande föreskrifter. 
 Såväl i artikel 6 i direktivet som i 9 § PUL uttrycks relevans- principen på så sätt att de personuppgifter som samlas in skall vara relevanta i förhållande till ändamålen med behandlingen. Av kommissionens förklaring framgår att detta innebär att uppgifterna måste korrespondera med de mål man vill uppnå med behand- lingen. Insamlingen av uppgifterna får bara ske för särskilda, uttryckligt angivna och berättigade ändamål, vilket innebär att ändamålen med behandlingen av personuppgifterna måste be- stämmas av den personuppgiftsansvarige redan när uppgifterna samlas in. En alltför allmänt hållen ändamålsangivelse godtas inte utan avsikten är att användningen av personuppgifter skall defini- eras så precist som möjligt. Som exempel på en ändamålsangivelse som inte uppfyller kraven anger kommissionen en beskrivning som består däri att behandling skall ske för kommersiellt ändamål. 
 Ändamålen för vilka personuppgifterna samlas in skall vidare vara berättigade. I vilka situationer detta kan sägas vara fallet framgår inte närmare vare sig av kommissionens förklaring, direktivet eller förarbetena till PUL. Det anmärks i Datalags- kommitténs betänkande att det inte kan sägas säkert om detta krav bör ges någon självständig betydelse vid en tillämpning av bestämmelserna. 
 2 
  
 Relevanskravet är grundläggande för LIA och genomsyrar följaktligen hela lagförslaget. En relevansbedömning skall göras i varje särskilt fall eller serie av fall när en arbetstagares person- uppgifter behandlas och är avgörande för vilka personuppgifter som får behandlas. Relevanta uppgifter är t.ex. sådana uppgifter 
  
 2  
 Se SOU 1997:39 s. 350. 
 68 
  
 SOU 2002:18 
  
 Lagens tillämpningsområde 
  
 som arbetsgivaren behöver för att kunna bedöma om arbetstagaren utför eller kan utföra sina arbetsuppgifter på ett riktigt sätt eller för att kunna följa bestämmelser i kollektivavtal och författningar. Att här ange närmare vilka uppgifter som skall anses betydelsefulla i varje tänkbar situation är dock inte möjligt. Detta uttrycks väl i de riktlinjer om arbetstagares integritetsskydd som har utarbetats av en expertgrupp inom ILO 
 : 
  
 Both the variety of reasons for processing workers personal data and the growing amount of data which are collected and used illustrate the difficulty of deriving viable solutions to the numerous problems that can arise in this connection at the workplace from  
 all-purpose 
  rules for  
 data-processing. 
 3 
  
 En relevansbedömning skall även göras vid behandlingen av en arbetssökandes personuppgifter under anställningsförfarandet och det innebär att arbetsgivarens möjlighet att samla in person- uppgifter om arbetssökanden begränsas till vad som är nödvändigt för att kunna bedöma den arbetssökandes behörighet och lämplighet för anställningen. Uppgifter om familjeförhållanden och fritidsintressen torde därmed endast undantagsvis kunna anses relevanta. Härav följer även att en arbetssökande kan underlåta att lämna uppgifter som inte är relevanta för den ifrågavarande anställningen. En arbetssökande torde inte heller kunna ställas till ansvar för felaktiga eller ofullständiga uppgifter som lämnas som svar på irrelevanta frågor av arbetsgivaren. 
 4 
  
 Relevanskravet skall vidare tillämpas vid behandlingen av person- uppgifter som samlas in genom hälsoundersökningar, drogtester, personlighetstester eller kontroller av lagöverträdelser. I relevans- kravet ligger även en skyldighet för arbetsgivaren att rätta felaktiga eller ofullständiga personuppgifter eller utplåna föråldrade person- uppgifter. 
 Relevansprincipen kompletteras i 9 § PUL med den inte mindre viktiga finalitetsprincipen. Där föreskrivs sålunda att person- uppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Några särskilda kommentarer till denna bestämmelse ges inte i förarbetena. I stället framhålls att vad som är oförenligt med de ursprungliga ändamålen får bestämmas genom praxis och kompletterande föreskrifter. För 
  
 3 
  
 Se ILO Code of practice on the protection of workers personal data, Commentary, 1. Preamble. 
  
 4 
  
 Jfr EG  
  
 C–109/00 
  Tele Danmark A/S. 
 69 
  
 Lagens tillämpningsområde 
  
 SOU 2002:18 
  
 att förhindra att bestämmelsen kringgås genom att personuppgifter lämnas ut till någon annan, som i sin tur bestämmer nya ändamål för behandlingen som är oförenliga med de ursprungligen bestämda, betonas vidare att ett utlämnande till annan av person- uppgifter måste vara förenligt med de ursprungliga ändamålen. 
 5 
  
 Även proportionalitetsprincipen kommer till uttryck i 9 § PUL. Där föreskrivs att inte fler personuppgifter får behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen. Vid tillämpningen av LIA innebär detta att arbetsgivaren måste begränsa insamlingen av personuppgifter avseende en arbetstagare eller en arbetssökande till vad som verkligen krävs i förhållande till de aktuella arbetsuppgifterna. 
 I detta sammanhang kan även uppmärksammas vad som anförs i 10 § PUL beträffande proportionaliteten mellan den person- uppgiftsansvariges och den registrerades intressen. Där sägs att personuppgifter får behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen eller om behandlingen är nödvändig för att ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. 10 § PUL ersätts emellertid genom bestämmelserna i LIA. Bestämmelserna i LIA grundas nämligen på överväganden om i vilka situationer som arbetsgivaren har rätt att behandla vissa personuppgifter om en arbetstagare och en avgörande del i dessa överväganden utgörs av en ingående bedömning av om behandlingen är berättigad vid en avvägning mellan arbetsgivarens och arbetstagarens respektive intressen. Utrymmet för samtycke av arbetstagaren har vidare starkt begränsats genom bestämmelserna i LIA. LIA innehåller alltså i förekommande fall en uttömmande reglering av när behandling av personuppgifter är tillåten. Bestämmelserna i LIA utgör således en specialreglering av 10 § och tar över denna regel. 
  
 4.2.2 
  
 Förhållandet till tryck- och yttrandefriheten samt till offentlighetsprincipen 
  
 Bestämmelserna i 7 och 8 §§ PUL klargör PUL:s förhållande till grundlagsstadgandena om tryck- och yttrandefriheten samt till 
  
 5  
 Se SOU 1997:39 s. 351. 
 70 
  
 SOU 2002:18 
  
 Lagens tillämpningsområde 
  
 offentlighetsprincipen. Av 7 § framgår att PUL inte skall tillämpas i den utsträckning som det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i TF eller YGL. Vidare görs i paragrafen betydande undantag för sådan behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller för konstnärligt eller litterärt skapande. Vad därefter avser förhållandet till offentlighetsprincipen föreskrivs i 8 § att bestämmelserna i PUL inte skall tillämpas i den utsträckning som det skulle inskränka en myndighets skyldighet enligt 2 kap. TF att lämna ut personuppgifter. 
 Utredningen anser att bestämmelserna som klargör förhållandet till tryck- och yttrandefriheten samt till offentlighetsprincipen bör tillämpas även för helt manuell behandling av personuppgifter och föreslår därför att en hänvisning till 7 och 8 §§ PUL görs i LIA. 
  
 4.2.3 
  
 Förhållandet till andra författningar m.m. 
  
 När det gäller LIA:s förhållande till andra författningar föreslår utredningen att kollisions- och konkurrenssituationer får lösas med tillämpning av den allmänna rättsprincipen lex specialis. Någon mer fullständig redovisning av författningar som kan innebära att det uppstår sådana situationer görs inte här. Nämnas bör dock några av de viktigaste. 
 Exempel på sådana författningar som har företräde framför LIA är säkerhetsskyddslagen (1996:627) och säkerhetsskyddsförord- ningen (1996:633), lagen (1994:260) om offentlig anställning (LOA) och anställningsförordningen (1994:373) samt lagen (1994:260) om fullmaktsanställning och verksförordningen (1995:1322). Andra exempel är livsmedelslagen ( 1971:511), järnvägssäkerhetslagen (1990:1157), strålskyddslagen (1988:220) och fartygssäkerhetslagen (1988:49) som alla är att betrakta som speciallagar i förhållande till LIA. 
 Här bör också uppmärksammas att vissa känsliga person- uppgifter som omfattas av LIA:s reglering kan vara skyddade av sekretessbestämmelser. LIA innehåller inte någon reglering som medför att gällande sekretessbestämmelser inte skall tillämpas. Det uppkommer därför inte någon konflikt mellan sekretesslagen och LIA utan sekretesslagen och den anknytande förordningen gäller fullt ut. Arbetsgivaren är alltså skyldig att även i fortsättningen beakta sekretessen i fråga om de uppgifter som behandlas enligt LIA. 
 71 
  
 Lagens tillämpningsområde 
  
 SOU 2002:18 
  
 4.3 
  
 Vissa begrepp som används i LIA 
  
 Generellt kan sägas att det förhållandet att LIA har sin utgångspunkt i PUL innebär att definitionerna av de beteckningar som används i de båda lagarna bör vara desamma. När definitionerna inte direkt sammanfaller finns det därför anledning att kommentera detta närmare. Det gäller framför allt definitionen av det centrala begreppet behandling. I det följande tar utredningen även upp begreppen personuppgift och samtycke som visserligen är desamma i båda lagarna men ändå bedöms vara så väsentliga att de bör redovisas här. Slutligen redogörs för begrepp som har hämtats från den arbetsrättsliga lagstiftningen och i anslutning därtill tas också upp vissa frågor som har aktualiserats i sammanhanget. 
  
 4.3.1 
  
 Behandling 
  
 I LIA används beteckningen behandling som ett samlingsbegrepp för alla tänkbara åtgärder som vidtas med personuppgifter. LIA:s begrepp överensstämmer därmed med den definition av begreppet som ges i artikel 2 b) i dataskyddsdirektivet och i 3 § PUL. 
 6  
 Det överensstämmer däremot inte med tillämpningsområdet för PUL. Enligt 5 § PUL är lagen nämligen avsedd att tillämpas bara på sådan behandling som sker helt eller delvis automatiserat eller i registerform. 
 I det följande kommer sådan manuell behandling som inte omfattas av PUL – och som alltså inte avser personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller samman- ställning enligt särskilda kriterier – att betecknas som helt manuell behandling. 
 LIA har således ett vidare tillämpningsområde än PUL, vilket innebär att det i LIA inte görs någon åtskillnad mellan skyddet för personuppgifter som behandlas helt manuellt och skyddet för personuppgifter som behandlas helt eller delvis automatiserat eller i registerform. LIA tillämpas både på personuppgifter som t.ex. skrivs ner på lösa lappar och på personuppgifter som förs in i manuella register eller som registreras automatiskt, allt under förutsättning att behandlingen av uppgifterna hänför sig till någon av de i lagen reglerade situationerna. LIA är därmed helt teknik- oberoende. 
  
 6  
 Se författningskommentaren och bilaga 2. 
 72 
  
 SOU 2002:18 
  
 Lagens tillämpningsområde 
  
 4.3.2 
  
 Personuppgift/dokumenterad personuppgift 
  
 Begreppet personuppgift innefattar, i likhet med definitionen i 3 § PUL, all slags information som direkt eller indirekt kan hänföras till en person som är i livet. LIA tillämpas också, liksom PUL, bara beträffande personuppgifter som är dokumenterade. 
 Personuppgiften skall alltså ha beständigats på något sätt. En muntlig personuppgift som arbetsgivaren får, antingen av arbetssökanden eller arbetstagaren själv eller på annat sätt, omfattas inte av LIA om inte uppgiften på något sätt har dokumenterats. Muntliga personuppgifter som en arbetsgivare får t.ex. under en anställningsintervju omfattas inte av LIA, med mindre än att uppgifterna dokumenterats under eller efter intervjun. Det är alltså själva dokumentationen av uppgifterna som är avgörande, inte den avsikt som arbetsgivaren kan ha haft när det gällde att dokumentera informationen. Med dokumenterad behandling avses t.ex. skriftlig behandlig av personuppgifter, behandling genom ljud- eller bildupptagning samt automatiserad eller mekanisk behandling. 
 De muntliga svar som en arbetstagare eller en arbetssökande ger vid en anställningsintervju faller därmed utanför LIA:s tillämp- ningsområde, om inte arbetsgivaren har dokumenterat uppgifterna på något sätt. Under utredningens arbete har aktualiserats frågan om inte arbetsgivaren borde förbjudas att ställa muntliga frågor till en arbetssökande som inte är relevanta för den sökta anställningen. Utredningen återkommer i avsnitt 4.4.2 till detta. 
  
 4.3.3 
  
 Samtycke 
  
 Samtycke är ett viktigt begrepp enligt dataskyddsdirektivet och PUL. Samtycke till en behandling av personuppgifter innebär att man frivilligt avstår från det integritetsskydd som direktivet och lagen erbjuder. Enligt PUL kan den enskilde samtycka till be- handling av personuppgifter i många sammanhang, t.o.m. till en be- handling som upphäver förbudet mot behandling av känsliga personuppgifter. I LIA däremot finns det inte något utrymme för samtycke beträffande känsliga uppgifter, vilket framgår i det följan- de vid redovisningen av förslagen till de olika bestämmelserna. 
 Såväl i dataskyddsdirektivet som i PUL har samtycke definierats som varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den enskilde, efter att ha fått information, godtar behandling 
 73 
  
 Lagens tillämpningsområde 
  
 SOU 2002:18 
  
 av personuppgifter som rör honom eller henne. Utredningen ansluter sig till denna definition som enligt utredningens mening väl fyller funktionen att vara en spärr mot oöverlagda eller ofrivilliga samtycken. 
  
 4.3.4 
  
 Arbetsgivare, arbetstagare och arbetssökande 
  
 Begreppen arbetsgivare, arbetstagare och arbetssökande har samma innebörd i LIA som inom den arbetsrättsliga lagstiftningen och det torde i de flesta fall inte bereda några svårigheter att avgöra vem som avses med begreppen. 
 Beträffande arbetsgivarbegreppet har det dock under utredningens arbete ifrågasatts om inte det inte borde klarläggas att arbetsgivaren är den som har det samlade ansvaret för anställningen av en arbetstagare, inbegripet rekryteringsförfarandet. Frågan har behandlats i propositionen 1999/2000:143 om ändringar i jämställdhetslagen och där uttalas bl.a. följande (s. 46). 
 Även i de fall en arbetsgivare anlitar s.k. headhunters eller särskilda rekryteringsföretag inför en rekrytering, kan det tänkas inträffa att arbetssökande väljs bort på ett sätt som innebär diskriminering. Också sådana förfaranden bör omfattas av diskrimineringsförbudet och arbetsgivaren bör alltså kunna göras ansvarig i förhållande till en arbetssökande. Det får därefter ankomma på arbetsgivaren att i sin tur vända sig till sin avtalspart och regressvis kräva ersättning för utgivet skadestånd. En sådan ordning innebär att en arbetsgivare inte kan kringgå diskrimineringsförbudet genom att t.ex. uppdra åt en rekryteringsfirma att sköta en rekrytering och därvid ge direktiv om att vissa arbetssökande skall sållas bort. 
 Jämställdhetslagen och LIA syftar båda till att skydda arbets- sökande mot en godtycklig behandling under anställnings- förfarandet. Utredningen anser därför, inte minst av praktiska skäl, att man bör ha samma syn på arbetsgivarbegreppet i de båda lagarna och att arbetsgivarens ansvar sålunda bör bedömas på samma sätt vid tillämpningen av LIA som vid tillämpningen av jämställdhets- lagen. Ansvaret för hela det anställningsförfarande som arbets- givaren står bakom bör således även vid tillämpningen av LIA ligga hos arbetsgivaren och arbetsgivaren kan inte frånhända sig detta genom att anlita headhunters eller särskilda rekryteringsföretag. Om den personliga integriteten hos en arbetssökande kränks 
 74 
  
 SOU 2002:18 
  
 Lagens tillämpningsområde 
  
 genom att ett rekryteringsföretag inte följer LIA:s bestämmelser kan alltså arbetsgivaren göras ansvarig för kränkningen. Därav följer att det ligger i arbetsgivarens intresse med hänsyn till såväl jämställdhetslagen som LIA att lämna noggranna instruktioner när ett uppdrag läggs ut på ett rekryteringsföretag eller liknande och att sedan följa upp hur uppdraget utförs. 
  
 4.4 
  
 Ett förstärkt integritetsskydd för arbetssökande 
  
 4.4.1 
  
 Allmänt 
  
 För arbetstagare kommer de föreslagna bestämmelserna i LIA att innebära att arbetsgivarens rätt att behandla vissa personuppgifter begränsas jämfört med vad som gäller i dag. Arbetstagaren kommer därmed att garanteras ett ökat integritetsskydd. Utredningen har tidigare i kapitel 2 fört fram de argument som motiverar detta. Där framgår att samma argument som anförs för ett stärkt integritets- skydd för arbetstagare även kan anföras till stöd för ett likvärdigt skydd för arbetssökande. 
 För att ge arbetssökande ett sådant skydd bör de bestämmelser i LIA som föreslås beträffande hälsoundersökningar, drogtester, personlighetstester och lagöverträdelser gälla även för arbets- sökande. Bestämmelserna om inhämtande och förvaring av person- uppgifter, information, rättelse, tystnadsplikt, sanktioner och processuella regler bör också tillämpas för arbetssökande. I vilka konkreta situationer som reglerna ger ett förstärkt skydd framgår närmare vid redovisningen av de särskilda förslagen. 
  
 4.4.2 
  
 Ett förbud mot muntliga frågor? 
  
 Från olika håll har framförts att det i LIA borde införas ett förbud för arbetsgivare att under ett anställningsförfarande ställa muntliga frågor som inte är relevanta i förhållande till anställningen, t.ex. frågor om familjeplanering och andra familjeförhållanden eller om olika fritidsintressen. Vidare har sagts att det åtminstone borde införas ett förbud för arbetsgivaren att ställa muntliga frågor till kvinnliga arbetssökande om graviditet och därmed samman- hängande förhållanden. 
 Utredningen vill med anledning härav framhålla följande. Som ovan anförts krävs det enligt LIA att arbetsgivaren på något sätt 
 75 
  
 Lagens tillämpningsområde 
  
 SOU 2002:18 
  
 skall ha dokumenterat de svar som arbetsgivaren får genom att ställa muntliga frågor till en arbetssökande för att behandlingen av dessa personuppgifter skall omfattas av LIA. För det fall att uppgifterna har dokumenterats innebär tillämpningen av relevans- principen att uppgifterna måste ha en direkt koppling till den sökta anställningen. Arbetsgivaren får alltså bara samla in sådana person- uppgifter som verkligen behövs för anställningen. Ofullständiga eller t.o.m. felaktiga svar på frågor som inte är relevanta bör då inte heller få några negativa verkningar för arbetssökanden. Med hänsyn till att  
 EG-domstolen 
  i ett nyligen avgjort förhandsbesked har slagit fast att en arbetsgivare inte får säga upp en gravid kvinna som på grund av graviditeten inte kunnat arbeta under större delen av en visstidsanställning, trots att hon inte har upplyst arbetsgivaren om graviditeten vid anställningstillfället, torde det stå klart att en uppgift om graviditet som regel inte kan anses vara relevant i en anställningssituation. 
 7 
  
 Det är dessutom inte påkallat att införa ett frågeförbud i LIA av den anledningen att det i jämställdhetslagen redan finns ett väl fungerande skydd mot diskriminering av arbetssökande i den situation som ett frågeförbud i LIA skulle vara avsett att reglera. Genom de ändringar som infördes i jämställdhetslagen vid års- skiftet 2000/2001 (prop. 1999/2000:143) har nämligen skyddet för arbetssökande stärkts avsevärt. Skyddet omfattar numera hela anställningsförfarandet från den tidpunkt då den enskilde ansöker om anställning till den tidpunkt då arbetsgivaren fattar anställningsbeslutet. Det omfattar t.ex. arbetsgivarens mottagande, behandling och gallring av ansökningshandlingar, urval till inter- vjuer, referenstagning och andra kontakter med tidigare arbets- givare, lämplighetstester och andra åtgärder som arbetsgivaren kan tänkas vidta under ett rekryteringsskede. Jämställdhetslagen hind- rar alltså att en arbetssökande enbart på grund av könstillhörighet sållas bort. 
 Med hänsyn till det anförda konstaterar utredningen att det inte finns skäl att lämna något förslag i detta avseende. 
  
 4.5 
  
 Offentliganställda och privatanställda 
  
 Utredningen föreslår att LIA skall tillämpas på alla arbetstagare inom såväl offentlig som privat sektor. Det finns enligt utredning- 
  
 7  
 Se  
 EG-domstolens 
  dom i mål nr  
 C-109/00 
  Tele Danmark A/S. 
 76 
  
 SOU 2002:18 
  
 Lagens tillämpningsområde 
  
 ens mening många fördelar med en enhetlig integritetsskyddande lagstiftning i ett arbetsliv där förändringsbenägenheten och rörligheten blir allt mer påtaglig. Förutom de omstruktureringar som följer på grund av växlande konjunkturer sker även en förändring av den offentliga ägarrollen på olika sätt. I både statlig och kommunal verksamhet anlitas numera i stor utsträckning privata entreprenörer för olika typer av verksamhet, varav vissa även kan innefatta myndighetsutövning. Särskilt i kommuner överlämnas inte sällan hela verksamhetsgrenar till privata företag, t.ex. inom kommunikationssektorn. Stat och kommun har också i många fall och i ökande omfattning bolagiserat vissa av sina verksamheter. Arbetstagare som tidigare varit anställda av stat eller kommun kan då i många fall ha övergått till att bli anställda av bolagen, där deras tidigare arbetsgivare är den enda ägaren, och detta har bidragit till att arbetsgivarfunktionen blivit oklar för många arbetstagare. Den självvalda rörligheten bland de anställda har också ökat betydligt och en arbetstagare byter numera på eget initiativ som regel anställning och arbetsgivare flera gånger under sin verksamma tid. 
 Allt detta har övertygat utredningen om att LIA i princip bör gälla över hela arbetsmarknaden. Frågan är då vilka skillnader som finns i dag beträffande det rättsliga integritetsskyddet för offentliganställda och för privatanställda och i vad mån dessa skillnader kan påverka utformningen av lagförslaget. 
 Till en början kan konstateras att det inom den privata sektorn saknas bestämmelser om skydd för den enskildes personliga integritet medan det inom den offentliga sektorn finns regler såväl i RF som i LOA och i anställningsförordningen. 
 De grundläggande bestämmelserna om skyddet för den personliga integriteten för offentliganställda återfinns i RF. Redan i 1 kap. 2 § uttalas att det allmänna skall värna om den enskildes privatliv. Denna regel, som är ett målsättningsstadgande, konkretiseras i vissa avseenden i 2 kap. som handlar om de grundläggande fri- och rättigheterna. Enligt 2 kap. 3 § andra stycket skall varje medborgare i den utsträckning som närmare anges i lag skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av automatisk datahandling. Denna bestämmelse är formulerad som en direkt uppmaning till lagstiftaren och har därmed inte någon omedelbar skyddande effekt för den enskilde. I 2 kap. 6 § föreskrivs att varje medborgare gentemot det allmänna är skyddad mot påtvingade 
 77 
  
 Lagens tillämpningsområde 
  
 SOU 2002:18 
  
 kroppsliga ingrepp, kroppsvisitation, husrannsakan och liknande intrång samt mot undersökning av brev eller annan förtrolig försändelse och mot hemlig avlyssning eller upptagning av telefonsamtal eller annat förtroligt meddelande. Dessa rättigheter får dock enligt 2 kap. 12 § under vissa omständigheter begränsas genom lag. 
 Närmare bestämmelser beträffande intrång i skyddet för den fysiska integriteten för offentliganställda finns i 30 § LOA, som ger arbetsgivaren möjlighet att utföra tvångsvisa undersökningar och kontroller. I paragrafens första stycke föreskrivs att om en arbetstagare har arbetsuppgifter där bristerna i arbetstagarens hälsotillstånd medför risk för människors liv, personliga säkerhet eller hälsa eller för betydande skador på miljö eller egendom, är arbetstagaren skyldig efter särskild uppmaning av arbetsgivaren att regelbundet genomgå hälsoundersökningar som är nödvändiga för att bedöma huruvida arbetstagaren har sådana brister i sitt hälsotillstånd. I andra stycket sägs att första stycket bara gäller för arbetstagare som enligt kollektivavtal eller föreskrifter av regeringen är skyldiga att genomgå hälsoundersökningar. Sådana föreskrifter finns bl.a. i det centrala kollektivavtalet AB 98. Det torde också finnas liknande bestämmelser i åtskilliga lokala kollektivavtal. Sådana kollektivavtal får tillämpas även på oorganiserade arbetstagare, om dessa sysselsätts i arbete som avses med avtalet. 
 Arbetssökande som deltar i ett anställningsförfarande hos arbetsgivare som bedriver statlig verksamhet har ett skydd för den fysiska integriteten genom 5 § anställningsförordningen. I den bestämmelsen föreskrivs att om arbetsuppgifterna i en anställning är sådana att särskilda krav måste ställas på den anställdes hälsotillstånd i något visst hänseende får myndigheten meddela föreskrifter om att den som skall anställas för arbetsuppgifterna skall lämna läkarintyg. De yrkeskategorier som är skyldiga att lämna läkarintyg torde i huvudsak vara samma som omfattas av bestämmelsen om periodiska läkarundersökningar i 30 § LOA. 
 Vid bedömningen av det integritetsskydd som offentliganställda har i de situationer som utredningen har att se över kan man konstatera följande. Regeln i 2 kap. 3 § RF andra stycket är främst ett direktiv till lagstiftaren att vara aktiv genom att stifta och vidmakthålla lagstiftning på området. 
 8  
 Så har också skett framför 
  
 8  
 Se prop 1989/88:57 s. 11. 
 78 
  
 SOU 2002:18 
  
 Lagens tillämpningsområde 
  
 allt genom PUL. Utformningen av regeln innebär dock att den inte har någon direkt skyddande effekt för arbetstagares personliga integritet. Vad därefter avser det skydd som garanteras inom offentlig verksamhet för den fysiska integriteten, så gäller detta bara mot påtvingade kroppsliga ingrepp. Enligt förarbetena menas med skydd mot kroppsligt ingrepp främst ett skydd mot våld mot människokroppen, men också ett skydd mot läkarundersökningar, smärre ingrepp som vaccinationer och blodprovstagningar samt liknande företeelser som brukar betecknas som kroppsbesiktning som t.ex. utandningsprov. 
 9  
 Av förarbetena till 2 kap. 6 § RF framgår att det inte är fråga om ett påtvingat ingrepp när den enskilde till följd av ingreppet kan komma i åtnjutande av en förmånlig behandling, t.ex. i form av en anställning. 
 10  
 Det betyder att arbetssökande inte kommer i åtnjutande av detta grundlags- skydd. Den enskilde kan också avstå från grundlagsskyddet genom att samtycka till ingreppet. 
 I 2 kap. 6 § RF stadgas också om skydd för den enskilde mot husrannsakan och liknande åtgärder som företas av det allmänna. De åtgärder som avses har karaktär av sådana undersökningar som i allmänhet utförs av polis och som framför allt har processuella och exekutiva ändamål. 
 11  
 Bestämmelsen torde därför ha begränsad betydelse för integritetsskyddet för offentliganställda i förhållande till arbetsgivaren. Bestämmelsen erbjuder också ett visst skydd för förtroliga meddelanden genom att det föreskrivs ett förbud för offentliga arbetsgivare att utan stöd i lag ta del av innehållet i sådana meddelanden. Skyddet gäller emellertid bara under den tid som brevet är under befordran. Arbetsgivares behov av att kontrollera exempelvis  
 e-post 
  torde därför begränsa sig till meddelanden som ännu inte skickats eller som arbetstagare redan tagit emot. Det kan därför ifrågasättas om skyddet för förtroliga meddelanden i praktiken har någon verkan när det gäller IT- området. 
 Genomgången av ovanstående bestämmelser visar att dessa inte ger något heltäckande integritetsskydd för arbetstagare inom offentlig verksamhet. Detta medför enligt utredningens mening att man bör söka åstadkomma en lagstiftning som stärker integritetsskyddet på hela arbetsmarknaden och som i princip är lika för alla arbetstagare. 
  
 9 
  
 Se prop 1975/76:209 s. 56 och 147. 
  
 10 
  
 Se a. prop. s. 145. 
  
 11 
  
 Se a. prop. bl.a. s. 367 ff. och Salazar m.fl.  
  
 Grundlagarna  
 s. 88. 
 79 
  
 Lagens tillämpningsområde 
  
 SOU 2002:18 
  
 Vad därefter gäller arbetssökande som deltar i ett anställningsförfarande inom offentlig sektor är det främst skyddet för den fysiska integriteten som är föremål för reglering. I denna fråga ger RF inget skydd, eftersom förbudet i 2 kap. 6 § RF mot påtvingade kroppsliga ingrepp, enligt vad som sagts ovan, inte är tillämpligt i en anställningssituation. Arbetssökande till en tjänst inom statlig verksamhet har dock ett skydd för den fysiska integriteten genom 5 § anställningsförordningen. Liksom vad som gäller för arbetstagare kan det beträffande arbetssökande konstateras att skillnaderna i integritetsskyddet på arbetsmarknaden bara gäller i denna fråga. Även här anser utredningen därför att en lagstiftning som i princip är heltäckande och likartad för hela arbetsmarknaden utgör den bästa lösningen. 
 80 
  
 5 
  
 Arbetstagarnas användning av informationsteknik 
  
 5.1 
  
 Inledning 
  
 I utredningens direktiv anges att utredaren skall se över behovet av lagstiftning eller andra åtgärder för att stärka skyddet för den en- skildes personliga integritet i arbetslivet. Översynen skall omfatta bl.a. frågor om användning av persondatorer,  
 e-post 
  och Internet i arbetet. Att persondatorn fortfarande har en central betydelse i dagens integrerade informations- och kommunikationssystem är självklart. Lika självklart är det att Internet, inklusive  
 e-post, 
  numera är ett så betydelsefullt inslag i arbetslivet att detta bör få stort utrymme i utredningens arbete. Som framgår av avsnitt 5.3.1 har den tekniska utvecklingen medfört allt större möjligheter till kommunikation mellan olika  
 IT-verktyg 
  och därmed möjligheter att integrera de olika funktionerna i större system för hantering av information. Enligt utredningens mening skulle området för utred- ningens arbete bli allt för snävt avgränsat om översynen i denna del skulle begränsas enligt direktivens ordalydelse till användning av persondatorer i arbetet. I stället kommer översynen att omfatta all användning av informationsteknik i arbetslivet. Därmed täcks dels de fall som uttryckligen anges i direktiven, dels vissa andra situ- ationer som inte i egentlig mening innefattar användning av persondatorer i arbetet men där ändå användningen av informa- tionsteknik innebär integritetsrisker för arbetstagarna. 
 1  
 Redan här skall emellertid framhållas att utredningen inte kommer att be- handla frågan om huruvida privat användning av arbetsgivarens IT- verktyg får ske och i så fall hur det får ske. Detta är i första hand en fråga för arbetsgivaren att bestämma. Därmed kommer också frågan om åtgärder mot eventuella missbruk från arbetstagarnas 
  
 1  
 Som exempel på sådana fall kan nämnas situationer där arbetstagarnas användning av telefon kontrolleras med hjälp av funktioner i en digital växel eller där arbetsgivaren har möjlighet att kontrollera arbetstagarnas beteenden genom t.ex. funktioner för inpasseringskontroller eller satellitnavigering, se nedan avsnitt 5.3.2. 
 81 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 sida, t.ex. när det gäller olämplig användning av Internet, att falla utanför utredningens arbete. Sådana frågor bör betraktas som ordningsfrågor som får hanteras enligt vad som normalt gäller på arbetsmarknaden. 
  
 5.2 
  
 Privata elektroniska uppgifter och loggning 
  
 Utredningen har funnit det ändamålsenligt att dela upp frågorna om risker för arbetstagares personliga integritet vid användning av informationsteknik i arbetslivet i två avsnitt, dels ett om integri- tetsskydd för arbetstagares privata elektroniska uppgifter, inklusive  
 e-post, 
  dels ett om integritetsskydd för elektroniska spår som samlas in vid användning av  
 IT-verktyg, 
  s.k. loggning. I båda fallen rör det sig om personuppgifter om arbetstagaren. 
 I någon mening kan visserligen båda dessa frågor anses gälla arbetstagares privata elektroniska uppgifter, eller snarast uppgifter  
 om  
 arbetstagaren. Utredningen anser emellertid att det finns skäl att göra en distinktion mellan de båda fallen. Distinktionen kan jämföras med skillnaden mellan å ena sidan olovlig tele 
 avlyssning  
 och å andra sidan olovlig tele 
 övervakning 
 , där teleavlyssning inne- bär att själva samtalet, dvs. innehållet i kommunikationen upptas, medan teleövervakning avser övervakning av den trafik som före- kommer, utan att det därav framgår kommunikationens närmare innehåll. På samma sätt rör avsnitt 5.4 om arbetstagares privata elektroniska uppgifter arbetsgivarens rätt att kontrollera  
 innehållet  
 i t.ex. ett meddelande, medan avsnitt 5.5 om loggning rör arbetsgivarens rätt att kontrollera arbetstagarens användning av IT- verktygen. 
 I den allmänna debatten har särskilt uppmärksammats att det råder osäkerhet kring arbetstagarnas skydd för privat  
 e-post 
  och den däremot svarande rätten för arbetsgivarna att ta del av sådan. Detta framgår också av utredningens direktiv. Enligt utredningens mening bör med privat  
 e-post 
  jämställas andra typer av privata elektroniska uppgifter som arbetstagaren hanterar med arbets- givarens  
 IT-verktyg. 
  Principiellt finns knappast någon anledning att behandla ett  
 e-postmeddelande 
  lagrat på arbetsgivarens server på annat sätt än ett vanligt brev, skrivet i ett ordbehandlings- program, lagrat på samma server. Även om avsnittet om arbets- tagares privata elektroniska uppgifter har en viss slagsida mot e- postfrågor, gäller resonemangen och slutsatsen alla elektroniskt lagrade uppgifter. 
 82 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 Avsnittet om loggning omfattar all automatiserad insamling av uppgifter om arbetstagares aktiviteter vid användning av arbets- givarens  
 IT-verktyg. 
  Här behandlas många frågor som rör arbets- givarens möjligheter att kontrollera och övervaka arbetstagarna med hjälp av informationsteknik. 
  
 5.3 
  
 Tekniska utgångspunkter 
  
 De senaste decenniernas snabba tekniska utveckling, en utveckling som dessutom kan antas fortsätta, medför att utredningar relate- rade till informationsteknik alltid måste ses i sitt historiska sam- manhang. Utvecklingen innebär bl.a. en risk för att begrepp som i dag är självklara och rent av triviala i en inte allt för avlägsen fram- tid kan te sig obegripliga för att verkligheten i fråga om teknik då ser annorlunda ut. Av den anledningen finns ett behov för utred- ningen att något beskriva vad som karaktäriserar tekniken, så som den ser ut för närvarande. Vidare behövs en viss grundläggande teknisk beskrivning för en förståelse av de rättsliga frågor som skall behandlas. 
 I detta sammanhang finns naturligtvis varken möjlighet eller an- ledning till mer detaljerade tekniska beskrivningar. Någon som helst fullständighet har alltså inte eftersträvats. Beskrivningarna är därför kortfattade och kan närmast betraktas som ordförklaringar av begrepp som förekommer i betänkandet. Med hänsyn till utred- ningens uppdrag kommer tyngdpunkten i beskrivningen att ligga på sådana funktioner som ofta förekommer i arbetslivet och som kan användas för att hantera elektronisk information hänförlig till arbetstagare. 
  
 5.3.1 
  
 Från stordatorer till integrerade informations- och kommunikationssystem 
  
 Användningen av datorer dominerades ursprungligen av terminal- baserade stordatorsystem. Efter det att mikroprocessorn skapades har utvecklingen sedan  
 1970-talet 
  gått mycket snabbt mot allt mindre och billigare men samtidigt kraftfullare datorer. Efter lanse- ringen av den första PC:n i början av  
 1980-talet 
  har spridningen av persondatorer skett i en mycket snabb takt. Samtidigt har möjlig- heten till kommunikation mellan datorer blivit allt mer betydelse- full och datorer har därför i allt större utsträckning – internt och externt – kommit att kopplas ihop i nätverk. Därmed har också 
 83 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 tillgången till mer komplex information ökat. Möjligheterna till global kommunikation i datornät har ökat i och med framväxten av Internet, ett globalt nätverk som till en början utvecklades av  
 ARPA-net 
  för användare inom försvarsmakten och universiteten i Förenta Staterna. Sedan början av  
 1990-talet 
  har möjligheterna till anslutning till Internet blivit enklare och billigare. Användningen av Internet är numera mycket omfattande i hela samhället, dvs. inte enbart på arbetsplatser och i hemmen, utan även inom föreningsliv och andra sammanslutningar. 
 Möjligheten att konstruera små, kraftfulla och billiga mikro- processorer har också inneburit att sådana används, förutom i persondatorer, även i en mängd andra produkter. Mikroprocessorer kan användas bl.a. för att elektroniskt styra och reglera olika funk- tioner som tidigare arbetat mekaniskt. Tekniken har också gett upphov till nya funktioner som tidigare inte varit möjliga. Använd- ningen av mikroprocessorer i olika produkter möjliggör registre- ring av personuppgifter och kommunikation mellan sådana pro- dukter och datorer, t.ex. persondatorer. Detta innebär stora möjligheter att knyta ihop produkter med vitt skilda funktioner till sammanhållna system för kommunikation och informations- behandling. 
 I takt med den nu nämnda utvecklingen har behandlingen av elektroniskt lagrad information på motsvarande sätt ändrat karak- tär. Tidigare var elektroniskt lagrad information ordnad i register eller liknande, där informationen på ett systematiskt sätt hantera- des i på förhand bestämda och definierade poster. Moderna in- formationssystem är betydligt mer flexibla och medger att in- formation enkelt söks och sammanställs från ett omfattande och ostrukturerat material. Olika slag av information, såsom t.ex. text, bilder och ljud kan, efter att ha samlats in eller skapats, lagras på ett och samma medium för att därefter förändras, kombineras och kommuniceras. Vid sådan hantering kan olika typer av utrustning användas som t.ex. persondatorer med olika tillämpningsprogram, TV- och videoteknik, telefonutrustning samt annan särskild ut- rustning som är konstruerad för att samla in eller annars behandla information. Som exempel på sådan särskild utrustning av intresse i detta sammanhang kan nämnas utrustning för passerkontroller eller för att lokalisera fordon eller andra föremål. Människan i det moderna samhället lämnar, var hon än rör sig, spår som går att regi- strera, förädla och utnyttja. 
 I detta sammanhang bör även konvergensen uppmärksammas. 
 84 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 En telefon är i dag en dator och en dator är en telefon, telefax, tv, radio samt röst- och textbrevlåda. Redan på relativt kort sikt är det sannolikt att persondatorn – på arbetsplatser och i hemmen – blir centralenhet för alla dessa och fler funktioner. 
  
 5.3.2 
  
 Några viktigare begrepp och funktioner 
  
 Utredningens uppdrag omfattar enligt direktiven integritetsrisker som uppkommer vid användningen av persondatorer,  
 e-post 
  och Internet i arbetslivet. Som framgått ovan utgör persondatorer i allt större utsträckning endast en beståndsdel i komplexa system för informationsbehandling och kommunikation. Med hänsyn härtill kommer utredningen att beakta datorteknik i en vidare betydelse, i vilken ingår hela det system av utrustning för informations- behandling och kommunikation som beskrivits ovan. 
 Informationstekniken medger stor flexibilitet när det gäller att skapa specialanpassade lösningar för olika behov. Variationen av den utrustning som finns på olika arbetsplatser är därför mycket stor. Detta avsnitt innehåller generella beskrivningar av några av de grundläggande tekniska begrepp som är relevanta för utredningen. Särskild vikt har lagts på begrepp och funktioner som rör nätverk, eftersom personuppgifter om arbetstagare i stor utsträckning kan antas genereras och behandlas i sådana. Det måste särskilt beaktas att det inte är teknikens exakta funktioner som beskrivs, utan snarare dess principer. 
  
 5.3.2.1 
  
 Persondatorer 
  
 Persondatorer finns av olika slag och i olika tekniska utföranden, men har samma principiella uppbyggnad. 
 Persondatorn består av dels en centralenhet, dels kringutrustning av olika slag. Centralenheten består av processorenhet och primär- minne. I processorenheten styrs datorns verksamhet och där utförs själva databearbetningen, dvs. de aritmetiska och logiska opera- tioner som datorn arbetar med. I primärminnet lagras program och data under själva bearbetningen och någon mer beständig lagring av data sker inte här. 
 Datorns kringutrustning består av olika enheter för att mata in och ut data. Som exempel kan nämnas tangentbord, scanner och mikrofon som inmatningsenheter samt bildskärm, skrivare och högtalare som utmatningsenheter. Vidare finns sekundärminnen 
 85 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 för mer permanent lagring av data. De vanligaste sekundärminnena är diskettstationer, hårddiskar och  
 CD-ROM-enheter. 
  Från diskett och hårddisk avläses lagrad data på magnetisk väg, medan CD-  
 ROM-skivor 
  avläses optiskt. 
 Hårddisken är inbyggd i persondatorn och består av skivor med magnetiska skikt, på vilka data lagras. På hårddisken finns alltid ett operativsystem, vilket är ett program som styr datorns grund- läggande funktioner. Normalt finns på hårddisken också olika tillämpningsprogram, dvs. sådana som används för att utföra olika uppgifter, såsom ordbehandlingsprogram eller kalkylprogram. På hårddisken kan också alla typer av filer lagras, bl.a. sådana som skapats vid användningen av tillämpningsprogrammen. Även mer eller mindre temporär information som genereras automatiskt vid användningen av olika program lagras på hårddisken. 
 För att göra informationen på hårddisken överskådlig och för att möjliggöra sortering av informationen har operativsystemet en funktion för att dela in hårddisken i olika logiska enheter, s.k. mappar eller kataloger, i vilka filer kan lagras. Såväl mappar som enskilda filer kan förses med skydd, så att den som vill öppna mappen eller filen måste ange korrekt lösenord. 
  
 5.3.2.2 
  
 Lokala nätverk 
  
 Ett nätverk inom ett begränsat område, t.ex. ett kontor eller en byggnad brukar kallas lokalt nätverk (Local Area Network, LAN). Lokala nätverk finns numera på de flesta arbetsplatser med mer än ett par datorer. Nätverket möjliggör kommunikation mellan de en- skilda datorerna, samtidigt som flera användare kan dela olika resurser, såsom t.ex. lagringsmedia, skrivare och scanner. 
 I ett lokalt nätverk finns normalt en dator, server, med samma principiella uppbyggnad som en persondator enligt beskrivningen ovan. Servern fungerar som centralenhet 
 2  
 och är försedd med den utrustning och programvara som behövs för att styra nätverket. Till denna ansluts de persondatorer och den kringutrustning som ingår i nätverket. I större nätverk kan finnas flera servrar som kan vara avsedda för olika funktioner i nätverket. 
  
 2  
 Detta är en vanlig uppbyggnad, även om lokala nätverk kan vara uppbyggda på andra sätt. 
 86 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 5.3.2.3 
  
 Fjärrnätverk 
  
 Om två eller flera lokala nätverk sammankopplas till ett nätverk med större geografisk spridning, t.ex. för att koppla samman olika delar av ett företag eller en myndighet som är etablerad på flera orter, får man ett fjärrnätverk (Wide Area Network, WAN). För nätverk av detta slag brukar numera Internetteknik utnyttjas och kommunikationen sker över befintliga Internetnät. Nätverk, som bygger på Internetteknik men ändå är begränsat till intern åtkomst, exempelvis för anställda i ett visst företag, brukar kallas intranet. Delar av ett intranet kan göras åtkomliga även för externa användare. 
  
 5.3.2.4 
  
 Internet 
  
 Internet kan beskrivas som ett globalt nätverk, bestående av en stor mängd mindre nätverk. Av de ingående nätverken är ett antal s.k. stamnät, som var och en består av ett antal datorer, s.k. routrar, med uppgift att förmedla datatrafiken, sammanbundna med hög- hastighetsförbindelser. Dessa stamnät kan sägas utgöra ryggraden i Internet. Internet består av flera olika funktioner, av vilka  
 e-post 
  och World Wide Web (WWW) är de mest använda. 
 Kommunikationen på Internet bygger på en teknik som kallas TCP/IP (Transmission Control Protocol, Internet Protocol), vil- ket egentligen är två protokoll för kommunikationen. Ett protokoll är en samling regler för kommunikationen mellan två samman- kopplade enheter. Informationsutbytet enligt ett protokoll följer ett strikt schema som föreskriver bl.a. hur informationen ska grupperas i block och hur adressering ska göras. 
 TCP/IP ger genom Internetprotokollet (IP) en adresserings- metod för att ge varje dator ansluten till Internet en unik adress. En  
 IP-adress 
  utgörs av ett  
 32-bitars 
  tal och skrivs vanligen som fyra tal, åtskilda med punkter. Enligt ett särskilt system representerar de olika talen data för att identifiera det nät och den enskilda dator som adressen avser. Fördelningen av de miljontals unika IP- adresser som finns hanteras av ett internationellt organ. För att underlätta användningen finns ett annat system för att namnge de anslutna datorerna med logiska namn. I det s.k. domännamns- systemet, DNS (Domain Name System) översätts den numeriska  
 IP-adressen 
  till mer användarvänliga adresser. En domänadress är hierarkiskt uppbyggd, där sista namndelen anger adressens huvud- grupp, som ofta är en landskod, nästa namndelar anger under- 
 87 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 grupper i olika led, t.ex. större företags eller myndighets domän och därefter enskilda avdelningar under domänen. 
 3 
  
 E-postadresser 
  kännetecknas av att de innehåller tecknet @  
 (snabel-a). 
  Den del av  
 e-postadressen 
  som står före @ kallas normalt användarnamn, medan den del som står efter kallas domänadress. Domänadressen i en  
 e-postadress 
  har en hierarkisk uppbyggnad som motsvarar vad som ovan anförts om domän- adresser. 
 Uppkopplingen av en arbetsgivares nätverk mot Internet sker antingen genom en uppringd eller en fast förbindelse. En uppringd förbindelse kan ske antingen med modem över det vanliga telefon- nätet eller med  
 ISDN-utrustning. 
  Fast anslutning sker genom att en dator eller en router i det lokala nätverket ansluts med kabel direkt till ett stamnät. Oavsett vilken metod för uppkoppling mot Internet som används måste i det lokala nätverket finnas en eller flera datorer som sköter kommunikationen mellan detta och Internet. Hur detta utformas i olika fall kan variera starkt. Beskriv- ningen nedan kommer att utgå från att nätverket har specialiserade servrar för olika funktioner. De olika funktionerna kan emellertid finnas i en enda server och fungerar då enligt samma principer. 
  
 5.3.2.5 
  
 Filserver 
  
 En server i ett lokalt nätverk är försedd med en hårddisk eller annan motsvarande utrustning för att lagra data. På denna kan lag- ras programvara som flera användare i nätverket behöver (client- serverfunktion). Med denna funktion startar användaren program- met direkt från servern, vilket innebär att programmet inte behöver finnas på persondatorns hårddisk hos varje användare. Genom möjligheten att komma åt serverns lagringsmedia kan användarna lagra information på och hämta information från servern. Denna funktion, som brukar benämnas fildelning, har den fördelen att gemensam information dels är snabbt åtkomlig för alla, dels be- höver lagras endast på ett ställe. 
  
 3  
 Som exempel kan nämnas Regeringens domännamn, www.regeringen.se, som är domänadressen till webbserverdatorn för regeringskansliets webbplats. I domännamnet betecknar se huvuddomänen, som är landskoden för Sverige. Därefter är regeringen en underdomän, där i sin tur de olika departementen inordnas som underdomäner. Således är adressen exempelvis till Näringsdepartementet www.naring.regeringen.se. Domänadressen www.regeringen.se motsvarar den numeriska  
 IP-adressen 
  till webbplatsen, i detta fall 194.52.220.50. 
 88 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 5.3.2.6 
  
 Brandvägg 
  
 En brandvägg är en funktion på en server som syftar till att skydda ett nätverk från oönskad kommunikation och då främst från intrång. En brandvägg består av en persondator eller motsvarande med specialprogram installerade för att kunna vidareförmedla kommunikation mellan olika nätverk, i allmänhet mellan ett lokalt nätverk och Internet. Genom att all kommunikation mellan nät- verken sker via brandväggen, finns i denna omfattande möjligheter att logga, filtrera och blockera oönskad kommunikation. Brand- väggen ändrar vid all kommunikation avsändaradressen på den ut- gående informationen så att det ser ut som om kommunikationen helt och hållet sker från brandväggsdatorn. Brandväggen döljer så- ledes det lokala nätverket och datorerna där för övriga nätverk, t.ex. Internet. 
  
 5.3.2.7 
  
 Proxyserver 
  
 Även en proxyserver är en dator som vidarebefordrar kommunika- tion mellan å ena sidan datorer i det lokala nätverket och å andra sidan Internet. Huvudsyftet med en proxyserver är oftast att spara kapacitet i nätverket genom att temporärt lagra information som hämtats från Internet. Genom denna funktion lagras innehållet på de webbsidor som användare i nätverket har besökt. När en använ- dare på nytt vill hämta innehållet på en sparad webbsida, vidare- befordras innehållet från proxyservern utan att informationen be- höver hämtas från Internet. Härigenom åstadkoms mindre belast- ning på nätverket än om samma information vid varje tillfälle skulle hämtas från den aktuella webbplatsen. 
  
 5.3.2.8 
  
 E-postserver 
  
 För att hantera  
 e-post 
  kan finnas en särskild  
 e-postserver, 
  som innehåller olika funktioner för att skicka och ta emot  
 e-post. 
  För att skicka  
 e-post 
  finns en  
 SMTP 
 4 
 -server 
  och för att ta emot  
 e-post 
  finns en POP 
 5 
 - eller  
 IMAP 
 6 
 -server. 
  Ofta finns programvaran för de olika funktionerna på samma fysiska dator, eller så har SMTP- servern tillgång till samma disksystem som  
 POP/IMAP-servern. 
  
 4 
  
 Simple Mail Transfer Protocol. 
  
 5 
  
 Post Office Protocol. 
  
 6 
  
 Internet Message Access Protocol. 
  
 89 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 Att skicka  
 e-post 
  går till så att användarens  
 e-postklient 
 7 
  
 kopplar upp sig mot  
 SMTP-servern, 
  skickar meddelandet till servern sam- tidigt som meddelandet ofta sparas i en särskild mapp lokalt på an- vändarens dator.  
 SMTP-servern 
  lagrar också meddelandet fast bara temporärt. Vid lämpligt tillfälle – oftast inom några sekunder – kontaktar servern mottagarens  
 SMTP-server. 
  Servern skickar e- postmeddelandet dit och raderar det sedan när det fått en bekräftel- se från den mottagande servern. 
 Ett inkommande  
 e-postmeddelande 
  tas emot av en  
 SMTP-server. 
  Denna överför meddelande till  
 POP/IMAP-serverns 
  hårddisk, där det lagras. När brevet väl är tillgängligt på  
 POP/IMAP-servern 
  kan användaren koppla upp sig mot denna och hämta sina nya med- delanden. Normalt kan användaren själv välja om breven ska sparas på  
 POP/IMAP-servern 
  eller om de ska tas bort därifrån när an- vändaren hämtat dem. 
 Programvaran i  
 e-postservrar 
  kan konfigureras på olika sätt för att logga eller filtrera kommunikation. Normalt loggas avsändar- adress, mottagaradress samt datum och klockslag för såväl inkom- mande som utgående  
 e-post. 
  Ofta loggas också ärendemeningen. 
  
 5.3.2.9 
  
 Behörighetskontroller 
  
 En av de mest grundläggande sätten att hindra obehöriga från att få tillgång till elektroniskt lagrad information är genom behörighets- kontroller av olika slag, där användaren skall identifieras med användarnamn och lösenord. I systemet registreras då vilka an- vändare som är behöriga. För varje användare kan bestämmas olika rättigheter, vilket innebär att de olika användarna endast får tillgång till de resurser och filareor som de behöver. Även om behovet av behörighetskontroller gör sig särskilt gällande i nätverk, kan sådana även användas på fristående persondatorer. 
 Behörighetskontroll sker normalt genom att användaren skriver in sin användaridentitet och sitt lösenord. Dessa jämförs med upp- gifterna i en databas på servern, där det verifieras att användar- identiteten existerar och att lösenordet är riktigt. Därefter ges an- vändarens dator tillgång till de resurser och övriga rättigheter som den aktuella användaren har tilldelats. Normalt registreras i en loggfil vilken användare som har loggat in och när detta har skett. Ibland registreras även när utloggning sker. 
  
 7  
 Dvs. den dator som används för att skicka  
 e-postmeddelandet. 
  
 90 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 5.3.2.10 Systemadministratör 
 Programvaran på servern som styr nätverket är försedd med speci- ella funktioner för att skapa användaridentiteter, tilldela användare olika rättigheter och i övrigt hantera nätverket. Den användar- identitet som har behörighet att använda dessa funktioner brukar benämnas systemadministratör. En eller flera personer kan ha till- gång till systemadministratörens användaridentitet. System- administratören har fullständiga befogenheter att vidta åtgärder i nätverket och kan därmed få tillgång till all information i detta, oavsett om informationen finns på servern eller på en lokal hårddisk. 
 5.3.2.11 Säkerhetskopiering 
 För att minska riskerna för förlust av information finns i alla dator- system funktioner för säkerhetskopiering. Sådan sker genom att data på såväl servern som på lokala hårddiskar kopieras och sparas på särskilda enheter. Automatiserad säkerhetskopiering kan utfor- mas på olika sätt, bl.a. beroende på behovet i det enskilda fallet. Säkerhetskopieringen kan ske med olika tidsintervall och avse hela eller delar av datorsystemets lagringsenheter. 
 5.3.2.12 Telefoni 
 Utvecklingen av digitala telefonsystem har medfört stora möjlig- heter att koppla samman telefonsystemet med andra datoriserade tillämpningar. Så kallad datoriserad telefoni (CTI, Computer Telephony Integration) har många användningsområden, men byg- ger på den grundläggande tanken att den traditionella telefonväxeln endast tar emot och förmedlar samtal, medan kontrollen över hur och vart samtalen skall kopplas bestäms av ett särskilt dator- program. Ett sådant program får från telefonsystemet en signal om en viss händelse, såsom t.ex. en extern påringning, och väljer ut- ifrån programmets inställningar en lämplig åtgärd, såsom t.ex. att dirigera samtalet till en ledig telefonist. En allt vanligare funktion är att samtalsfördelningen kan styras av den uppringandes svar på s.k. talsvarsfrågor. Med en sådan funktion kan telefonsystemet dirigera samtalen till rätt avdelning eller rätt handläggare utan medverkan av växeltelefonist. Om den uppringande kan identifieras, exempelvis med s.k. nummerpresentationsteknik, kan ett integrerat telefon- system automatiskt behandla tidigare lagrade uppgifter om den 
 91 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 som ringer. Detta sker genom att den uppringandes telefon- nummer jämförs med telefonnummer i en databas över t.ex. kunder. Den som tar emot samtalet kan då, redan innan samtalet påbörjas, få information om den som ringer, bl.a. med avseende på senaste kontakt, tidigare inköp m.m. Datoriserad telefoni kan an- vändas även för utgående samtal, t.ex. genom att användaren direkt från sitt kundregister begär att viss kund skall ringas upp. 
 5.3.2.13 Passerkontroller 
 Elektroniska funktioner för passerkontroll finns i olika utföranden. Vanligt förekommande är system med kortläsare och personliga kort. Kortläsarna är anslutna till särskilda s.k. undercentraler, som i sin tur är anslutna till ett nätverk eller en fristående persondator. I datorn finns ett program som hanterar systemet och där den an- svarige kan registrera bl.a. behöriga kort och deras innehavare. Kortläsarna, som är kopplade till dörrarna i en fastighet, kommuni- cerar med undercentralerna där uppgifterna på kortet jämförs med uppgifterna i en databas över behöriga kort. Därigenom sker en kontroll av att kortinnehavaren har behörighet att tillträda ut- rymmet i fråga. Passerkorten kan kodas i olika behörighetsnivåer, som ger tillträde till vissa områden i fastigheten, men inte andra. För att uppnå högre säkerhet kan passerkorten kombineras med personliga koder. 
 Gemensamt för de flesta system är att det finns en loggfunktion som registrerar händelser i systemet, dvs. vilket kort som används samt när och var det sker. Tidpunkter för i- och utpassering kan därefter användas för tidsredovisning m.m. Genom att samla in- formation från alla kortläsare inom en fastighet kan också kart- läggas hur arbetstagarna rör sig i fastigheten. 
 5.3.2.14 Lokaliseringsuppgifter 
 Teknik som innebär möjligheter att lokalisera föremål kan också innebära möjligheter att övervaka var arbetstagare vid olika tid- punkter befinner sig. Sådan teknik finns i form av Global Positioning System (GPS). GPS är ett satellitbaserat navigations- system som Förenta Staternas försvarsdepartement ansvarar för. Systemet består fn. av 24 satelliter och en stor mängd mark- stationer. Med hjälp av referenspunkter som detta system ger kan 
 92 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 en särskild  
 GPS-mottagare 
  lokaliseras med mycket stor noggrann- het. 
  
 GPS-mottagarna 
  kan i dag göras mycket små och billiga och kan därför användas i många olika sammanhang. Tekniken används t.ex. vid navigering, kartritning och i andra sammanhang där noggrann geografisk lägesbestämning är av betydelse. 
 Automatic Vehicle Location (AVL) 
 AVL är en teknik för att med hjälp av GPS lokalisera fordon eller andra mobila tillgångar. Tekniken kan användas t.ex. av transport- företag för att skapa en överblick över företagets fordon bl.a. för att kunna åstadkomma en effektiv styrning av verksamheten. Även av säkerhetsskäl kan det finnas anledning att använda AVL. En- samma förare som riskerar att utsättas för brott, t.ex. taxiförare eller förare av värdetransportbilar, kan i nödfall snabbt lokaliseras och undsättas. Även egendom som har stulits, såsom t.ex. fordon och last, kan lokaliseras. 
 Utrustning för AVL består av en mobil  
 GPS-enhet, 
  en dator som basstation och ett nät för kommunikation mellan den mobila en- heten och basstationen. Den mobila  
 GPS-enheten, 
  som t.ex. kan vara placerad i en lastbil, sänder via kommunikationsnätet data till basstationen. I basstationen sammanställs den insamlade informa- tionen med hjälp av särskild programvara. Den information som kan utläsas varierar beroende på vilken utrustning som används. Normalt kan emellertid utläsas bl.a. exakt position, riktning och hastighet. Informationen kan avläsas i realtid och programvaran kan innehålla funktioner för att larma om fordonet t.ex. avviker från en på förhand bestämd rutt eller om fordonet står stilla längre än en viss förutbestämd tid. Informationen lagras också i loggfiler. Loggfilerna kan sammanställas efter olika kriterier för att skapa en överskådlig bild av fordonets rörelser under en viss tidsperiod. 
 5.3.2.15 Särskilt om loggning 
 Loggning är det kontinuerliga samlandet av uppgifter om an- vändande av teknisk  
 (dator-) 
  utrustning. Loggning kan ske av flera olika orsaker. Vanligast är att det behövs för driften av utrust- ningen i fråga. Komplicerade datortjänster som exempelvis  
 e-post 
  drabbas ofta av fel av olika slag och för att kunna finna och åtgärda felen loggas aktiviteter i systemen kontinuerligt så att en system- operatör i efterhand kan gå in och ta reda på vad som gick fel vid 
 93 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 ett tidigare tillfälle och försöka vidta åtgärder för att felet inte skall upprepas. 
 Loggning kan också ske av säkerhetsskäl. Man vill kunna upp- täcka aktivitetsmönster som i sig är suspekta och kanske tyder på att intrångsförsök gjorts eller att någon försöker överlasta en funktion i systemet, t.ex.  
 e-post 
  eller annan Internettjänst. 
 Vidare har loggning betydelse för att kunna kartlägga den natur- liga belastningen på en tjänst för att därigenom kunna bedöma be- hovet av större eller mindre kapacitet. 
 Slutligen kan loggning naturligtvis också användas för att samla information om t.ex. användarmönster enbart för det ändamålet att man vill kartlägga en eller flera användares aktiviteter. 
 Loggningsfunktioner finns oftast inbyggda i den utrustning eller den programvara som används. Den systemansvarige har för det mesta möjlighet att välja grad av loggning och har ibland full kon- troll över exakt vad som ska loggas. I t.ex. en  
 e-postfunktion 
  loggas ofta uppgifter om avsändare, mottagare, klockslag samt ärenderad för varje  
 e-postmeddlande 
  som går ut från ett företags  
 e-postserver. 
  Uppgifterna lagras i en fil på servern och kan läsas av den system- ansvarige. Hur länge loggarna sparas bestäms av den system- ansvarige men ofta rör det sig om några dagar. Lagom lång tid för att man inte ska riskera missa möjligheten att undersöka ett fel som rapporterats av en användare eller i efterhand ta fram information om en möjlig attack mot systemet. 
 Loggfiler är sällan enkla att förstå för en lekman och normalt har endast de systemansvariga tillgång till dem. 
 8 
  
 5.3.2.16 Filtrering 
 I en del brandväggar och  
 e-postservrar 
  finns en funktion som letar efter nyckelord eller känner igen virus och särskilda typer av filer. Om en viss fil innehåller nyckelordet i fråga eller i övrigt överens- stämmer med de kriterier som har angetts larmas en operatör. Filen kan också blockeras och på det viset hindras från att nå mottagaren. 
 Viruskontroller sker ofta ganska automatiserat. Det normala är 
  
 8  
 Uppgifter i en  
 e-postserver 
  kan t.ex. se ut så här: 
 Oct 8 13:09:39 pommac qmail: [ID 748625 mail.info] 1002539379.429203 info msg 344438: bytes 3246 from  
  
  qp 23999 uid 1002 
 Oct 8 13:09:39 pommac qmail: [ID 748625 mail.info] 1002539379.523391 starting delivery 15768: msg 344438 to local prl@croclist.gatorhole.com 
 Av uppgifterna, kan utläsas meddelandenummer, meddelandets storlek, avsändare, mottagare och tidpunkten när meddelandet skickades. 
 94 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 att en operatör larmas om ett virus upptäcks. Det kan då tänkas att operatören behöver ta del av meddelandet för att vidta åtgärder med anledning av viruset. 
 Nyckelordssökning kan ju däremot göras på godtyckliga nyckel- ord. Här måste dock systemoperatören konfigurera program- varorna exakt och tala om dels vilka nyckelord programvaran ska leta efter, dels vad som ska hända om programmet finner ett sådant nyckelord. Omfattningen av de åtgärder som kan komma att vidtas beror till stor del på de nyckelord som väljs. 
 Det är relativt enkelt att åstadkomma avancerad nyckelords- filtrering på en  
 e-postserver 
  i dag. En systemoperatör har stora möjligheter att se till att  
 e-postmeddelanden 
  blockeras, skickas till annan adress, att det går en hemlig kopia till någon, etc. Det finns i praktiken inga begränsningar för vad som går att göra. 
  
 5.3.3 
  
 Sammanfattande kommentarer 
  
 De ovan redovisade tekniska beskrivningarna visar att det hos arbetsgivare i många fall finns stora mängder elektronisk informa- tion som på olika sätt rör arbetstagares beteenden. 
 Elektroniska spår hänförliga till arbetstagare kan samlas in vid praktiskt taget all användning av elektronisk utrustning i arbets- livet. Som exempel från redovisningen ovan kan nämnas informa- tion om inloggning och andra åtgärder som en arbetstagare vidtar i ett nätverk och information om arbetstagarens användning av ett fast eller mobilt telefonsystem. Vidare kan ingående upplysningar om var arbetstagare fysiskt befinner sig samlas in med utrustning för elektronisk passerkontroll eller i verksamhet där positions- bestämning med hjälp av  
 GSM-teknik 
  används. De möjligheter som tekniken erbjuder kan, åtminstone vid en systematisk sam- manställning och användning av de elektroniska spåren, medföra en detaljerad kartläggning av enskilda arbetstagare. 
 Det finns praktiskt taget inga begränsningar för en arbetsgivare när det gäller möjligheterna att få tillgång till all den elektroniska information som arbetstagare skapar eller kommunicerar vid an- vändning av arbetsgivarens utrustning. Arbetsgivaren har således möjligheter att manuellt eller automatiserat söka igenom och kon- trollera alla de lagringsenheter i systemet där arbetstagare kan ha sparat elektronisk information. Arbetsgivaren kan således få till- gång till elektroniskt lagrad information som är såväl arbetsrelate- rad som av privat karaktär. Även information som arbetstagaren 
 95 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 inte direkt avsett att spara på arbetsgivarens utrustning men som lagrats temporärt, t.ex. i samband med kommunikation över Inter- net, eller som har sparats vid automatisk säkerhetskopiering, kan finnas tillgänglig för arbetsgivaren. Beroende på utrustningen och dess inställningar kan uppgifterna komma att lagras under kortare eller längre tid. 
 Även om dagens teknik medger omfattande möjligheter att samla in information om arbetstagare finns emellertid vissa prak- tiska hinder mot att i större omfattning utnyttja denna teknik i praktiken. Bl.a. förutsätter systematisk insamling och kontroll att stora mängder data bearbetas. Förutom att detta kräver stora lagringsutrymmen, är det ofta tidskrävande att gå igenom och göra bedömningar av material som samlas in. Vad den framtida utveck- lingen kan föra med sig i detta avseende kan man bara spekulera i. Emellertid finns skäl att anta att kapaciteten i de tekniska systemen kommer att öka när det gäller såväl lagringsutrymme som förut- sättningarna för automatiserad filtrering och behandling av insam- lad information. 
  
 5.4 
  
 Arbetstagares privata elektroniska uppgifter 
  
 5.4.1 
  
 Inledning 
  
 Användningsområdet för sådana moderna  
 IT-system 
  som i dag finns på de flesta arbetsplatser är normalt inte begränsat till specia- liserade uppgifter inom respektive arbetsgivares område. Tvärtom finns ofta stora möjligheter att använda utrustningen även för privata ändamål. Särskilt tydligt har detta blivit i och med att till- gången till Internet på arbetsplatserna har ökat. Många arbetstagare har därigenom fått möjlighet att med arbetsgivarens utrustning skicka  
 e-post 
  och i övrigt använda Internet för privat bruk. Även många andra  
 IT-applikationer 
  kan användas privat. Som exempel på funktioner som torde ha ett mycket stort användningsområde för privata ändamål kan nämnas ordbehandlingsprogram, kalkyl- program och databasprogram. Vidare är det i många fall möjligt för en arbetstagare att själv installera ett program på en dator som ingår i arbetsgivarens  
 IT-utrustning. 
  
 Den tekniska utvecklingen har också medfört att möjligheterna för arbetstagare att arbeta från hemmet har utvidgats. Utrustning som arbetsgivaren tillhandahåller för sådant distansarbete får arbetstagaren i många fall använda även för privata ändamål. 
 96 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 Således har utvecklingen bidragit till att det förekommer både privat och yrkesmässig användning av arbetsgivarens utrustning. Den nu beskrivna privata användningen av  
 IT-verktyg 
  i arbetslivet medför i allmänhet att uppgifter av privat karaktär kommer att lagras i arbetsgivarens utrustning och att dessa därmed blir en mer eller mindre integrerad del av den mängd uppgifter som finns i arbetsgivarens utrustning. Arbetsgivaren har därmed i allmänhet goda såväl organisatoriska som praktiska förutsättningar för att ta del av uppgifterna eller på annat sätt kontrollera den privata användningen. 
 Arbetstagares privata användning av arbetsgivarens  
 IT-verktyg 
  och arbetsgivarens rätt att kontrollera denna användning ger upp- hov till en rad frågeställningar. Särskilt frågor som rör arbetsgivares rätt att läsa  
 e-postmeddelanden 
  som skickats till eller från en arbetstagare har på senare tid fått stor uppmärksamhet. Ett skäl till denna uppmärksamhet är att det råder osäkerhet om vilka regler som eventuellt kan vara tillämpliga vid olika kontrollåtgärder från arbetsgivarens sida. 
 I detta avsnitt kommer endast att behandlas frågan om arbets- givarens rätt att kontrollera de elektroniska uppgifterna som sådana, dvs. arbetsgivarens rätt att läsa ett enskilt  
 e-post- 
  meddelande eller att ta del av andra privata uppgifter. 
 9  
 Emellertid har arbetsgivaren även andra möjligheter att kontrollera arbets- tagarnas privata användning av  
 IT-verktygen. 
  Framför allt kan detta ske genom att arbetsgivaren tar del av uppgifter i loggfiler och där- igenom drar slutsatser om den användning som sker. Frågor om loggning behandlas i avsnitt 5.5. 
  
 5.4.1.1 
  
 Förutsättningar för en arbetstagares rätt att använda arbetsgivarens  
  
 IT-verktyg 
  för privata ändamål 
 Inom arbetsrätten är det en grundläggande princip att arbetsgivaren har rätt att leda och fördela arbetet. I detta ingår bl.a. att arbets- givaren har rätt att bestämma hur arbetet skall organiseras och ut- föras, vilken maskinutrustning som skall användas samt att utfärda föreskrifter om ordningen på arbetsplatsen. Inget hindrar således att arbetsgivaren föreskriver att  
 IT-verktygen 
  får användas endast i tjänsten eller att arbetsgivaren på annat sätt begränsar den tillåtna användningen. Med andra ord kan en arbetstagare inte åberopa någon rätt att få använda arbetsgivarens  
 IT-verktyg 
  för privata 
  
 9  
 Utredningens definition av privata elektroniska uppgifter återfinns i avsnitt 5.4.1.4. 
 97 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 ändamål. Med arbetsledningsrätten hänger också samman en rätt för arbetsgivaren att kontrollera hur arbetet utförs eller om givna regler efterlevs. 
 Det nu sagda innebär att det i praktiken förekommer en rad olika sätt på vilket frågan om arbetstagares möjligheter till privat använd- ning av  
 IT-verktygen 
  hanteras. Ytterligheterna är här å ena sidan att arbetsgivaren förbjuder all privat användning och å andra sidan att arbetsgivaren utan begränsningar tillåter privat användning. En tredje situation är att arbetsgivaren inte uttryckligen tagit ställning i frågan. Ytterligare en variant av att arbetsgivaren förbjuder all privat användning är att denne utfärdar mer eller mindre utförliga regler om tillåten användning, vilket i praktiken innebär ett förbud mot  
 viss  
 privat användning. Olika situationer innebär ett behov av att närma sig svårigheterna på olika sätt. 
 Med stöd av den ovan beskrivna arbetsledningsrätten har en arbetsgivare alltså rätt att helt förbjuda privat användning av IT- verktygen. Ett sådant förbud kan antingen utgöras av ensidiga direktiv från arbetsgivarens sida eller av dokument eller avtal som utarbetats i samarbete med arbetstagarna eller deras organisationer. Oavsett formerna härför är arbetstagarna enligt arbetsrätten skyl- diga att följa de utfärdade reglerna. Detta innebär bl.a. att arbets- tagare som inte följer reglerna kan komma att drabbas av arbets- rättsliga påföljder, såsom t.ex. omplacering eller uppsägning. 
 Det torde vara mycket vanligt förekommande att arbetsgivaren över huvud taget inte har utfärdat några regler eller riktlinjer be- träffande privat användning av  
 IT-verktygen. 
  Ibland jämförs privat användning av  
 e-post 
  med privat användning av arbetsgivarens telefon, där det sedan länge förefaller vara kutym att arbetstagare får använda telefonen i begränsad utsträckning för privat bruk. Arbetstagaren bör då också ha rätt till skydd för sin personliga integritet vid sådan användning. En arbetsgivare som utan arbets- tagarens vetskap avlyssnar dennes telefonsamtal gör sig skyldig till brytande av telehemlighet. Avsaknad av uttryckliga regler för privat användning av  
 IT-verktygen 
  tycks enligt vad utredningen har er- farit allmänt uppfattas som att sådan användning kan bedömas enligt samma principer som telefonanvändning. Man bör därför kunna utgå från att avsaknaden av regler utfärdade av arbetsgivaren innebär att arbetsgivaren i viss begränsad omfattning godtar privat användning. 
 98 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 5.4.1.2 
  
 Förutsättningar för arbetsgivarens rätt att kontrollera en arbetstagares privata elektroniska uppgifter 
  
 I den ovan beskrivna arbetsledningsrätten ingår en rätt för arbets- givaren att utföra kontroller. Denna kontrollrätt är emellertid inte oinskränkt. Enligt Arbetsdomstolens (AD) praxis i näraliggande frågor skall en avvägning göras mellan å ena sidan arbetsgivarens intresse av kontrollen i fråga och å andra sidan arbetstagarens in- tresse av personlig integritet. 
 Oavsett på vilken grund privat användning förekommer kan arbetsgivaren ha en rad olika intressen eller behov av att kontrollera om – och i så fall hur – privat användning sker. Vid den avvägning som enligt ovan skall göras torde flera omständigheter behöva be- aktas. Arbetsgivarens berättigade behov av att i kontrollsyfte ta del av en arbetstagares privata elektroniska uppgifter kan variera bl.a. beroende på om regler för användningen har utfärdats och i så fall hur de har utformats, men även karaktären av den verksamhet som arbetsgivaren bedriver kan inverka. Här kan också anmärkas att arbetsgivarens behov av att ha kontroll över den egna verksamheten kan innebära ett behov av att ta del av alla uppgifter – därmed även privata sådana. Behov av kontroll över uppgifter som hör till den egna verksamheten är, liksom säkerhetsskäl, behov som de flesta arbetsgivare kan åberopa. 
 Exempel på andra faktorer som kan påverka bedömningen av en arbetsgivares rätt att kontrollera arbetstagare i detta avseende kan vara den privata användningens karaktär. Bl.a. är det rimligt att utgå från att arbetsgivaren kan ha större intresse av kontroller vid privat användning som kan misstänkas vara illojal eller rent av innefatta brottsligt beteende. Ett uppmärksammat problem är att en del arbetstagare besöker hemsidor med pornografiskt material och även lagrar pornografiskt material i arbetsgivarens  
 IT-utrustning. 
  Även om detta skulle förekomma i endast begränsad omfattning torde det vara fråga om ett beteende som arbetsgivare i allmänhet har anledning att reagera starkt emot. Ingripanden från arbets- givarens sida kan i många fall kräva möjligheter att kontrollera innehållet i enskilda filer. Motsvarande bör gälla om en arbetstagare hanterar material av rasistisk eller extrempolitisk karaktär. Där- emot bör troligen större restriktivitet iakttas vid kontroller om an- vändningen kan antas vara av normalt privat karaktär, såsom t.ex. vanliga, vardagliga privata meddelanden. 
 Även andra faktorer kan på olika sätt komplicera bedömningen 
 99 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 av det berättigade i arbetsgivares kontroll av en arbetstagares pri- vata elektroniska uppgifter. Som exempel på sådana kan nämnas följande. Ett meddelande som skickas till eller från en arbetstagare kan innehålla såväl privata uppgifter som verksamhetsrelaterade uppgifter. Praktiska svårigheter uppkommer då med hänsyn till att arbetsgivaren alltid torde vara berättigad att ta del av de uppgifter som rör verksamheten, men inte nödvändigtvis de privata. En lik- nande fråga om sammanblandning av privata och verksamhets- relaterade uppgifter uppkommer om arbetstagaren använder privat  
 IT-utrustning, 
  t.ex. vid arbete i hemmet. Vidare kan inkommande  
 e-postmeddelanden 
  här orsaka särskilda komplikationer eftersom man ofta inte på förhand kan veta vilket slags uppgifter meddelan- det innehåller. 
  
 5.4.1.3 
  
 Särskilda förutsättningar i offentlig verksamhet 
  
 Som kommer att framgå i redovisningen av den rättsliga reglering- en nedan intar offentliga arbetsgivare i vissa avseenden en särställ- ning när det gäller möjligheterna att ta del av en arbetstagares privata elektroniska uppgifter. 
 För det första medför RF:s fri- och rättighetsregler att offentligt anställda har ett något starkare skydd mot ingrepp i privatlivet från arbetsgivarens sida än vad privat anställda har. För det andra ställs andra krav på offentliga arbetsgivare, bl.a. när det gäller allmän- hetens rätt till insyn och kontroll enligt offentlighetsprincipen. Som konstaterats ovan är det ofta svårt – eller omöjligt – att på förhand avgöra om innehållet i t.ex. ett  
 e-post 
  meddelande är privat eller inte. Den omständigheten medför att det uppenbarligen kan uppkomma svårigheter för en arbetsgivare som har att beakta allmänhetens rätt att ta del av allmänna offentliga handlingar. Lik- nande svårigheter kan uppkomma i det specialfallet att en offentlig- anställd skickar ett meddelande till exempelvis en journalist i avsikt att vissa uppgifter skall publiceras. Enligt TF och yttrandefrihets- grundlagen har var och en rätt att lämna sådana meddelanden (den s.k. meddelarfriheten) samtidigt som det finns ett förbud för myndigheter och andra allmänna organ att efterforska den som lämnat meddelandet (det s.k. efterforskningsförbudet). Arbets- givaren måste alltså iaktta särskild försiktighet för att inte göra in- trång i en arbetstagares rättigheter enligt ovan. Samtidigt måste dock offentlighetens principer upprätthållas. 
 Ett sätt att praktiskt hantera denna fråga är att offentliga arbets- 
 100 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 givare vid användningen av informationsteknik strävar efter en god offentlighetsstruktur, och därigenom åstadkommer en möjlighet att skilja mellan olika typer av uppgifter (handlingar) utan att ta del av dessa. Frågan kommer att behandlas ytterligare nedan, avsnitt 5.4.2.8. 
  
 5.4.1.4 
  
 Utredningens definition av privata elektroniska uppgifter 
  
 En arbetstagares privata användning av arbetsgivarens  
 IT-verktyg 
  medför att dennes privata elektroniska uppgifter kommer att finnas bland sådana som rör verksamheten. Med utgångspunkten att för- söka åstadkomma ett skydd för arbetstagarens privata elektroniska uppgifter måste anges en definition för detta begrepp. 
 Uttrycket  
 uppgifter  
 har i detta sammanhang samma betydelse som i allmänt språkbruk och fungerar som en neutral samlings- beteckning. Om uppgifterna har formen av text, bilder, ljud eller annat saknar betydelse. I detta avseende kan jämföras med skyddet för förtrolig kommunikation i 2 kap. 6 § RF, som omfattar med- delanden i alla dess former. I begreppet uppgifter som används i utredningen ryms således allt som förmedlar ett föreställnings- innehåll, oavsett den närmare karaktären av detta. Detta vidsträckta begrepp begränsas på två sätt: genom att uppgifterna skall vara dels elektroniska, dels arbetstagarens privata. 
 De situationer som utredningens arbete omfattar är de där risker för integritetsintrång kan uppkomma i samband med en arbets- tagares användning av  
 IT-verktyg. 
  Mot den bakgrunden är det naturligt att de uppgifter som avses här utgörs av data i binär form som är läsbar med digital teknik. 
 Den andra begränsningen i begreppet är att det skall vara fråga om  
 privata  
 elektroniska uppgifter. Här avses uppgifter som är privata i den meningen att de är hänförliga till arbetstagaren som privatperson i motsats till sådana uppgifter som är hänförliga till arbetet eller annars till arbetstagarens egenskap av just arbetstagare. Bedömningen av om vissa uppgifter är privata eller inte torde i de flesta fall vara okomplicerad, men gränsdragningen kan i vissa fall bli svår. 
 I offentlig verksamhet förekommer en motsvarande gränsdrag- ning när det gäller allmänhetens rätt enligt offentlighetsprincipen att ta del av allmänna handlingar. Allmänna handlingar är enligt definitionen i 2 kap. 3 § TF sådana som förvaras hos myndighet 
 101 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 och enligt 2 kap. 6 och 7 §§ är att anse som inkomna till eller upp- rättade hos myndigheten. Enligt 2 kap. 4 § TF skall som allmän handling anses även brev eller annat meddelande som är ställt till en befattningshavare om handlingen gäller ärende eller annan fråga som ankommer på myndigheten och inte är avsedd för mottagaren endast som innehavare av annan ställning. Som privata brev be- traktas därmed sådana som inte gäller ärende eller annan fråga som ankommer på myndigheten. 
 Enligt vad som framgått ovan behandlas i detta avsnitt inte en- bart  
 e-post 
  och liknande meddelanden, utan även andra uppgifter som förvaras i arbetsgivarens  
 IT-verktyg, 
  som t.ex. texter eller bil- der. För att den typen av upptagningar skall bli allmänna handlingar förutsätts att de förvaras hos en myndighet och att de har  
 upprättats hos eller inkommit till  
 myndigheten. En handling kan komma att upprättas på olika sätt, men som en grundläggande förutsättning gäller att handlingen tillkommit som ett led i myndighetens verk- samhet. Privata handlingar som en arbetstagare tar med sig till arbetsplatsen blir naturligtvis inte att anse som allmänna bara för att de förvaras hos myndigheten, t.ex. i arbetstagarens tjänsterum. Samma sak torde enligt utredningens mening gälla upptagningar som en arbetstagare har tillfört  
 IT-systemet 
  och som inte rör ärende eller liknande hos myndigheten. Som exempel kan nämnas att en arbetstagare för helt privata ändamål från Internet hämtar och sparar en webbsida. 
 10  
 I likhet med vad som i motsvarande fall gäller de privata handlingarna av traditionellt format torde även nu nämnda privata elektroniska uppgifter falla utanför TF:s reglering. 
 I privat verksamhet gäller inte de beskrivna reglerna i TF. Vid bestämningen av vad som skall anses som privata uppgifter i sådan verksamhet kan man dock enligt utredningens mening söka ledning i de gränsdragningar som görs för allmänna handlingar. Det av- görande kan då vara t.ex. om uppgifterna är hänförliga till en be- stämd arbetsuppgift som arbetstagaren har att utföra eller till annat som faller inom arbetsgivarens normala verksamhetsområde. 
  
 5.4.1.5 
  
 Föremålet för integritetsskyddet 
  
 När man diskuterar en reglering av angrepp mot information i vid bemärkelse finns anledning att närmare överväga vilka objekt som 
  
 10  
 En  
 cookie-fil 
  eller historikfil, som innehåller uppgifter om vilka webbsidor som en användare har besökt, anses däremot som allmän handling enligt vad Regeringsrätten slagit fast i rättsfallet RÅ 1999 ref. 18. 
 102 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 skall skyddas och mot vilka angrepps- eller intrångssätt som skyddet skall gälla. I Datastraffrättsutredningens betänkande före- kommer en del resonemang om skyddsobjektet för bestämmelser rörande olika slag av intrång i information. 
 11  
 Något förenklat kan detta uttryckas som en skiljelinje mellan att å ena sidan anse  
 upp- gifterna eller informationen som sådan  
 som skyddsobjekt, eller å andra sidan att anse ett  
 visst utrymme, där uppgifterna finns s 
 om skyddsobjekt. Oavsett val av synsätt uppkommer tillämpnings- svårigheter, särskilt när det gäller gränserna för de uppgifter eller de utrymmen som skall vara tillgängliga för arbetsgivaren. Utred- ningen har stannat för att som skyddsobjekt i detta sammanhang anse uppgifterna som sådana. Det avgörande är alltså att det är fråga om en arbetstagares privata elektroniska uppgifter enligt defi- nitionen ovan. I vilka fysiska lagringsmedia de data som represen- terar uppgifterna eller i vilka logiska förvar inom detta lagrings- medium som uppgifterna finns saknar därmed betydelse. 
 Det avgörande vid utredningens ställningstagande har varit att det inte förefaller lämpligt att knyta arbetsgivarens möjligheter att ta del av uppgifter till sådana yttre omständigheter som i vilket elektroniskt utrymme dessa finns lagrade. En reglering som bygger på ett sådant synsätt skulle riskera att leda till att arbetsgivaren inte har möjlighet att komma åt uppgifter som rör verksamheten om dessa av misstag eller annan anledning har kommit att förvaras i ett skyddat utrymme. 
 12  
 Med en sådan lösning skulle samtidigt skyddet riskera att bli obefintligt för uppgifter som av någon anledning kommit att hamna utanför sådana utrymmen. 
  
 5.4.2 
  
 Den rättsliga regleringen 
  
 Någon samlad rättslig reglering av de problem som kan uppkomma i samband med arbetstagares privata användning av  
 IT-verktyg 
  finns inte. Redovisningen av nuvarande regelsystem upptar därför en del rätt disparata regler som på olika sätt kan ha betydelse för en rättslig bedömning av frågorna. Redogörelsen inleds med det grundläggande konstitutionella integritetsskyddet och de speciella inskränkningar av detta som är av betydelse här. Härefter följer de bestämmelser i vanlig lag som är av intresse för de här aktuella frågorna. I vissa fall konstateras att bestämmelserna knappast är 
  
 11 
  
 Se särskilt SOU 1992:110, 6 kap. 
  
 12 
  
 I offentlig verksamhet förutsätter en riktig tillämpning av offentlighetsprincipen att arbetsgivaren har möjlighet att vid en arbetstagares frånvaro ta del av inkommande försändelser som adresserats till arbetstagaren personligen. 
  
 103 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 direkt tillämpliga, men de har ändå tagits med i redogörelsen. Slut- ligen redovisas några bestämmelser som inte syftar till att ge arbetstagare ett integritetsskydd, men som ändå är av stor bety- delse för behandlingen av frågan om en offentlig arbetsgivares rätt att ta del av privata elektroniska uppgifter. Redovisningen av dessa bestämmelser rör den ovan beskrivna konflikten för en offentlig arbetsgivare att samtidigt beakta å ena sidan en arbetstagares inte- gritetsskydd och å andra sidan allmänhetens rätt till insyn enligt offentlighetsprincipen. Bestämmelserna har därmed stor betydelse, inte minst när det gäller praktiska frågor kring hur ett sådant inte- gritetsskydd för offentligt anställda skall kunna utformas. 
  
 5.4.2.1 
  
 Arbetsgivarens arbetsledningsrätt 
  
 Inom arbetsrätten gäller den allmänna rättsgrundsatsen att arbets- givaren inom ramen för anställningsavtalet bestämmer över arbets- ledningen och därmed har rätt att bestämma bl.a. vilket arbete som skall utföras, sättet och platsen härför samt den utrustning som skall användas. Arbetsgivarens rätt motsvaras av en skyldighet för arbetstagaren att utföra arbetet där vägran kan medföra uppsägning på grund av arbetsvägran. 
 Arbetsledningsrätten betyder alltså bl.a. att det är arbetsgivaren som avgör vilken teknisk utrustning som skall finnas på arbets- platsen och hur den skall användas. Arbetsgivaren kan alltså själv- ständigt avgöra om utrustning såsom t.ex. datorer skall få användas av arbetstagaren för privata ändamål. En arbetsgivare är oförhind- rad att helt förbjuda privat användning liksom att ange särskilda villkor för sådan användning och arbetstagaren är skyldig att följa de anvisningar som arbetsgivaren har meddelat i detta avseende. Underlåtenhet att följa anvisningarna kan bedömas som avtalsbrott och medför att arbetsgivaren kan vidta de åtgärder som står till buds inom arbetsrätten, såsom t.ex. omplacering eller i allvarligare fall uppsägning och avsked. Av detta följer naturligtvis att arbets- tagaren inte kan göra gällande någon rätt att få använda arbets- givarens  
 IT-verktyg 
  för privata ändamål, utan att det är en fråga som arbetsgivaren helt och hållet disponerar över. 
 Arbetsgivarens arbetsledningsrätt innefattar också en rätt att vidta kontrollåtgärder. Generellt kan som exempel på sådana näm- nas kontroll av mängden av utfört arbete, kontroll genom tids- stämpling eller in- och utpasseringskontroller. Arbetsgivarens rätt att påkalla läkarkontroller innefattas också i denna kontrollrätt. 
 104 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 Även om arbetsgivarens kontrollrätt är vidsträckt och gäller som utgångspunkt, är den emellertid inte obegränsad. Arbetsgivarens kontroller får enligt praxis inte stå i strid med lag, god sed eller annars vara otillbörliga. Enligt vad AD har uttalat i mål där arbets- givarens kontrollrätt varit uppe till prövning skall vid bedömningen av om kontrollen står i strid med god sed eller annars är otillbörlig göras en avvägning mellan arbetsgivarens intresse av åtgärden och arbetstagarens intresse av att värna sin personliga integritet. Härvid måste intrånget i arbetstagarens personliga integritet stå i rimlig proportion till det intresse som arbetsgivaren vill tillgodose. 
 Gränserna för arbetsgivarens kontrollrätt – dvs. när kontroller står i strid med lag, god sed eller annars är otillbörlig – har inte prövats i praxis när det gäller rätten att kontrollera arbetstagares privata elektroniska uppgifter. Innehållet i gällande rätt i konkreta situationer är därför inte möjligt att uttala sig säkert om. Det är en fråga för rättstillämpningen att, liksom i övrigt när det gäller kontrollrätten, genom praxis närmare precisera dessa gränser. Här kan dock följande antaganden göras. 
 Att kontrollerna inte får strida mot lag bör innebära att sådana åtgärder från arbetsgivarens sida som strider mot de i avsnitt  
 5.4.2.2–5.4.2.9 
  angivna bestämmelserna innebär en begränsning av kontrollrätten. Dessa situationer skall inte upprepas här. Emellertid kan det vara värt att understryka PUL:s betydelse i detta samman- hang. För att en kontrollåtgärd inte skall stå i strid med PUL krävs bl.a. att uppgifterna samlas in endast för särskilda, uttryckligt an- givna och berättigade ändamål. Vidare måste arbetsgivaren i sam- band med insamlingen lämna arbetstagaren information om be- handlingen. Här kan märkas att även 10 § f) PUL innehåller en intresseavvägning. Enligt den bestämmelsen är behandling tillåten om ett ändamål som rör ett berättigat intresse hos arbetsgivaren väger tyngre än arbetstagarens intresse av skydd mot kränkning av den personliga integriteten. Utfallet av intresseavvägningen i en konkret situation borde bli densamma enligt arbetsledningsrätten. Utöver att en intresseavvägning skall göras torde allmänt kunna krävas att arbetsgivaren skall ha fog för åtgärden och att kontroller alltså inte sker helt godtyckligt. Åtgärden måste vara relevant i för- hållande till anställningsavtalet och får inte betingas av en allmän önskan att få kunskap om arbetstagarens privata angelägenheter. Kollektivavtal och branschpraxis får betydelse för bedömningen, liksom riktlinjer utfärdade av arbetsgivaren. Särskild betydelse kan riktlinjerna få om de innehåller väl avvägda åtgärder till skydd för 
 105 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 arbetstagarens integritet vid kontrollen i fråga. När det gäller de syften som arbetsgivaren åberopar för kontrollen kan möjligen generellt sägas att utrymmet för säkerhetskontroller kan vara större än effektivitets- och ordningskontroller. 
  
 5.4.2.2 
  
 Europakonventionen 
  
 Europakonventionens artikel 8 stadgar om rätt till respekt för en- skilds privat- och familjeliv, hem och korrespondens. Enligt artikeln får offentlig myndighet inte inskränka rätten annat än genom lag och då endast om det i ett demokratiskt samhälle är nödvändigt med hänsyn till exempelvis den allmänna säkerheten, för att förebygga brott eller till skydd för andra personers fri- och rättigheter. Trots att det numera finns en del praxis från Europa- domstolen är det svårt att närmare bedöma vilken betydelse artikeln har för de här aktuella frågorna. Genom ett avgörande från domstolen,  
 Halford-domen, 
  har klarlagts att artikeln under vissa förutsättningar kan innebära ett förbud för en offentlig arbets- givare att avlyssna en arbetstagares privata telefonsamtal. 
 13  
 Målet rörde en engelsk polischef, vars tjänstetelefon hade blivit avlyssnad av arbetsgivaren. Domstolen fann att arbetsgivaren inte hade någon generell rätt att avlyssna arbetstagarens telefon, särskilt med hän- syn till att telefonen även var avsedd för hennes personliga bruk och hon inte hade fått någon varning om att telefonen kunde komma att avlyssnas och således hade en befogad förväntan på respekt för personlig integritet. Domstolen fann också att arbets- givaren inte hade något lagstöd för avlyssning av telefonen, varför ett brott mot konventionens artikel 8 förelåg. 
  
 Halford-domen 
  avser tillämpningen av artikel 8 i förhållandet mellan en privatperson och det allmänna, här i egenskap av arbets- givare. Utgångspunkten för tillämpningen är att artikel 8 i första hand innebär förpliktelser för de anslutna staterna. I vilken mån den är tillämplig även i förhållandet mellan privata rättssubjekt är föremål för diskussion och beror på innehållet i nationell rätt. 
 14  
 Att artikel 8 i princip kan ha effekt i förhållandet även mellan privata rättssubjekt har Europadomstolen slagit fast i flera avgöranden. Räckvidden av rättsfallen är emellertid osäker och det går knappast att dra några slutsatser när det gäller förhållandet mellan privata arbetsgivare och arbetstagare i de frågor som här är aktuella. 
  
 13 
  
 Se Thompson mot Storbritannien, dom den 25 juli 1997. 
  
 14 
  
 Se Harris m.fl.,  
 Den Europæiske Menneskeretskonvention 
 , s. 16 ff. 
  
 106 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 5.4.2.3 
  
 Regeringsformen 2 kap. 6 § 
  
 Enligt 2 kap. 6 § RF är enskilda gentemot det allmänna skyddade mot bl.a. husrannsakan och liknande intrång samt mot undersök- ning av brev eller annan förtrolig försändelse och mot hemlig av- lyssning eller upptagning av telefonsamtal eller annat förtroligt meddelande. Dessa fri- och rättigheter får begränsas på det sätt som föreskrivs i 2 kap. 12 § RF. Begränsning skall ske i lag och får göras endast för att tillgodose ändamål som är godtagbart i ett de- mokratiskt samhälle. Begränsningen får aldrig gå utöver vad som vad som är nödvändigt med hänsyn till det ändamål som har föran- lett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar. Begränsningen får inte heller göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning. 
 När det gäller meddelanden innebär skyddet att organ för det allmänna inte får bryta brev eller andra slutna försändelser, avlyssna telefonsamtal eller röja innehållet i telegram utan stöd av lag- bestämmelse. 
 15  
 Med bestämmelsen avses meddelanden som sänds med posten eller på annat sätt som brev, telegram, bandinspel- ningar, videogram eller över huvud taget i sådan form att de kan bli föremål för beslag. Från tillämpningsområdet undantas meddelan- den med sådan form att någon förtrolighet inte kan anses råda, t.ex. affischer, reklamblad, vykort m.m. 
 16 
  
 Skyddet gäller endast under tid då meddelandet är under beford- ran. Härefter har mottagaren möjlighet att disponera över det, t.ex. genom att förstöra det. Gör mottagaren inte det innebär skyddet mot bl.a. husrannsakan och liknande intrång att myndighet ändå inte utan lagstöd får bereda sig tillgång till meddelandet. 
 17 
  
 Frågan om huruvida  
 e-post 
  omfattas har inte berörts vid be- stämmelsens tillkomst, vilket är naturligt med hänsyn till att tek- niken inte hade fått något allmänt genomslag vid den tiden. Som nämnts ovan omfattas dock alla meddelanden som kan tas i beslag. Mot den bakgrunden bör ett  
 e-postmeddelande 
  anses omfattat av tillämpningsområdet för 2 kap. 6 § RF och har därmed samma grundlagsskydd som ett traditionellt brev. 
 Något krav på att brevet skall vara under befordran av särskilt post- eller telebefordringsföretag finns inte. 
 18  
 Skyddet torde där- 
  
 15 
  
 Se SOU 1972:15 s 159 f. 
  
 16 
  
 Se SOU 1972:15 s 200 och Salazar m.fl.,  
  
 Grundlagarna 
 , s. 91. 
  
 17 
  
 Se SOU 1975:75 s 200. 
  
 18 
  
 Jfr BrB 4 kap. 8 § om brytande av post- eller telehemlighet. 
  
 107 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 med gälla även meddelanden som skickas endast inom ett begränsat nät, t.ex. en myndighets lokala nätverk. 
 Det nu anförda innebär alltså ett förbud för offentliga arbets- givare att utan stöd i lag ta del av innehållet i förtroliga meddelan- den till eller från arbetstagare, oavsett om meddelandena har for- men av traditionella brev eller  
 e-postmeddelanden. 
  
 Skyldigheten för en offentlig arbetsgivare att enligt offentlig- hetsprincipen registrera och på begäran lämna ut allmänna handlingar innebär att arbetsgivaren i vissa fall kan behöva ta del av en arbetstagares privata elektroniska uppgifter. Detta kan emeller- tid enligt utredningens mening inte anses innefatta ett sådant lag- stöd för att ta del av ett förtroligt meddelande som avses i 2 kap. 12 § RF. 
 Som framgått i det föregående gäller RF:s skydd för förtroliga meddelanden endast under tid då meddelandet är under befordran. Därefter omfattas meddelandet av skyddet i 2 kap. 6 § RF avseende husrannsakan och liknande intrång, under förutsättning att med- delandet förvaras på ett sådant ställe att skyddet verkar. 
 De åtgärder som avses med husrannsakan har karaktären av undersökningar i särskilda situationer. 
 19  
 Härmed torde i allmänhet avses sådana undersökningar som bl.a. polis och kronofogde- myndighet har att göra i framför allt processuella eller exekutiva syften. I vilken mån det skall anses falla in under begreppet hus- rannsakan eller liknande intrång att en offentlig arbetsgivare bere- der sig tillgång till utrymmen (fysiska eller logiska) i de egna lokalerna framgår inte av bestämmelsen. 
 I likhet med vad som anfördes ovan beträffande Europa- konventionen, avser RF primärt endast förhållandet mellan en- skilda och det allmänna. Förpliktelserna i RF gäller alltså direkt offentliga arbetsgivare. Det svenska konstitutionella rättighets- skyddet anses, till skillnad från vad som gäller i flera andra EU- länder, inte ha någon direkt verkan mellan enskilda. 
 20 
  
 19 
  
 Se Salazar m.fl.,  
  
 Grundlagarna 
 , s. 88. 
  
 20 
  
 Se beträffande denna fråga  
  
 Nergelius 
 ,  
 Konstitutionellt rättighetsskydd 
 , s. 730 ff, med där angivna hänvisningar. 
 108 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 5.4.2.4 
  
 Inskränkningar i enskildas skydd enligt RF 
  
 Rättigheterna enligt 2 kap. 6 § RF får inskränkas endast under de särskilda förutsättningar som framgår av 2 kap. 12 § RF. Bestäm- melser av särskilt intresse i detta sammanhang är reglerna om straffprocessuella tvångsmedel i rättegångsbalken (RB). 
 Om det finns misstanke om brott på vilket fängelse kan följa får  
 husrannsakan  
 enligt 28 kap. 1 § RB göras i hus, rum eller slutet för- varingsställe för att eftersöka föremål som är underkastat beslag eller annars till utrönande av omständighet som kan ha betydelse för utredning om brottet. I 28 kap. RB finns ingående regler för hur och hos vem husrannsakan får ske. 
 Beslag kan enligt bestämmelserna i 27 kap. RB avse föremål av alla slag. Vanliga handlingar omfattas naturligtvis. Vidare omfattas även upptagningar för vilka krävs ett tekniskt hjälpmedel för att informationen skall kunna uppfattas med mänskligt sinne. Även datalagrat material kan således bli föremål för beslag. 
 Post- eller telegrafförsändelse, handelsbok eller annan enskild handling som anträffas och tagits i beslag vid husrannsakan får enligt 28 kap. 8 § undersökas endast enligt reglerna i 27 kap. 12 § RB. Enligt den bestämmelsen får nämnda handlingar undersökas endast av rätten, undersökningsledaren eller åklagaren. 
 I 27 kap. 18 och 19 §§ RB finns även bestämmelser om  
 hemlig teleavlyssning och hemlig teleövervakning 
 . Hemlig teleavlyssning innebär att telemeddelanden, som befordras till eller från ett telefonnummer, en kod eller annan teleadress, i hemlighet avlyssnas eller tas upp genom ett tekniskt hjälpmedel för återgivning av innehållet i meddelandet. Hemlig teleövervakning innebär att upp- gifter i hemlighet hämtas in om telemeddelanden som har expedie- rats eller beställts till eller från en viss teleadress eller att sådana meddelanden hindras från att nå fram. 
 Bestämmelserna utgår från begreppet  
 telemeddelande 
 , vilket innefattar också annan telekommunikation än muntlig, t.ex. data- kommunikation, telex och telefax. Med begreppet  
 teleadress  
 avses en identifiering av den icke fysiska adress som ett telemeddelande skickas till eller från. Adressen kan vara ett abonnemang, en enskild anknytning, adressen för elektronisk post, en kod eller någon annan tillförlitlig identifieringsmetod. 
 21  
 Bestämmelserna omfattar endast meddelanden under den tid de befordras i ett allmänt till- gängligt telenät och alltså inte i mer begränsade, lokala, nät och inte 
  
 21  
 Se Fitger,  
 Rättegångsbalken  
 s. 27:32. 
 109 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 heller när ett meddelande har kommit fram till mottagaren. 
 Beslut om ovan beskrivna tvångsmedel förutsätter misstanke om brott, som när det gäller hemlig teleavlyssning eller teleövervakning måste vara av allvarligt slag. I vissa fall skall beslut fattas av domstol efter ansökan av åklagare. En offentlig arbetsgivares möjligheter att kontrollera sina arbetstagare med dessa metoder skiljer sig därmed inte från arbetsgivare i övrigt, varför de nu nämnda undantagen från RF:s skydd torde sakna betydelse här. 
  
 5.4.2.5 
  
 Straffrättsliga bestämmelser 
  
 De ovan redovisade grundlagsbestämmelserna om enskildas rätt till respekt för privatliv innebär som nämnts en direkt förpliktelse för offentliga organ i förhållande till enskilda. Lagregler om skydd för förtroliga meddelanden och annan information finns i 4 kap. BrB. I förhållande till dessa utgör bestämmelserna om husrannsakan samt hemlig teleavlyssning och teleövervakning som beskrivits ovan naturligtvis undantag från det straffbara området. 
 Brytande av post- eller telehemlighet 
 I 4 kap. 8 § BrB straffbeläggs brytande av post- eller telehemlighet. Enligt bestämmelsen gör den sig skyldig till brytande av post- eller telehemlighet som olovligen bereder sig tillgång till ett meddelande som ett post- eller telebefordringsföretag förmedlar som postför- sändelse eller telemeddelande. Skyddet gäller kommunikations- formen som sådan och omfattar därmed meddelanden under den tid de är under befordran från avsändaren till mottagaren och under förutsättning att befordran sker av ett företag som på affärsmässiga grunder huvudsakligen förmedlar information i form av post- försändelser och olika former av telemeddelanden som andra läm- nar in för distribution. Genom rekvisitet att meddelandet skall vara under befordran av ett post- eller telebefordringsföretag undantas från tillämpningsområdet sådana fall där någon bereder sig tillgång till ett meddelande inom ett lokalt nät. 
 En arbetsgivares  
 e-postfunktion 
  fungerar i allmänhet så att arbetsgivaren enkelt kan komma åt såväl inkommande som ut- gående  
 e-postmeddelanden 
  inom det egna nätverket. Det torde därför knappast förekomma att en arbetsgivare bereder sig tillgång till ett meddelande under tiden det är under befordran av ett all- mänt teleföretag. Bestämmelsen torde därför ha begränsad praktisk 
 110 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 betydelse för de här aktuella fallen. 
 Intrång i förvar 
 I 4 kap. 9 § BrB finns en bestämmelse om ansvar för intrång i för- var, vilket föreligger då någon olovligen bryter brev eller telegram eller annars bereder sig tillgång till något som förvaras förseglat eller under lås eller eljest tillslutet. Enligt ordalydelsen är skydds- objektet  
 något 
 , vilket tyder på att tillämpningsområdet är vid- sträckt. Vid bestämmelsens tillkomst kretsade resonemangen fram- för allt kring handlingar och liknande informationsbärare. I för- arbetena till bestämmelsen om dataintrång har uttalats att obe- höriga förfaranden med datalagrat material kan falla under 4 kap. 9 §. 
 22 
  
 En förutsättning för straffbarhet är att handlingen (eller annat skyddsobjekt som bestämmelsen omfattar) förvaras på något sätt tillsluten. Som exempel nämns att den är förseglad eller förvaras i låst utrymme. Enligt lagkommentaren omfattar bestämmelsen handlingar som ligger framme eller i en olåst låda endast under förutsättning att de på något sätt är tillslutna, t.ex. genom att de förvaras i ett förseglat kuvert eller genom att dörren till lokalen är låst. 
 23 
  
 Varken förarbeten eller praxis ger någon ledning för bedöm- ningen av de närmare förutsättningarna för att en fil skall anses som ett sådant förvar som skyddas av bestämmelsen. Vid en sådan bedömning skulle man kunna utgå från traditionella fysiska ut- rymmen och förvar och göra analogier till logiska förvar i IT- miljön. En fil skulle då kunna betraktas som ett logiskt förvar eller utrymme i vilket viss elektroniskt lagrad information förvaras. Även med en sådan metod kan det emellertid vara svårt att nå någon klarhet i hur bestämmelsen skall tolkas. Det fallet att en fil är öppen och möjlig att ta del av på en påslagen dataskärm eller motsvarande torde utan problem kunna jämställas med att ta del av ett brev som ligger framme, vilket alltså inte är straffbart enligt be- stämmelsen. Vidare skulle det fallet att någon utan laga grund be- reder sig tillgång till en individuellt lösenordsskyddad eller krypte- rad fil kunna jämställas med den straffbara handlingen att någon forcerar ett lås eller öppnar ett förseglat kuvert. För personer med behörighet till ett nätverk är det i allmänhet mycket enkelt att ta 
  
 22 
  
 Se prop. 1973:33 s. 51. 
  
 23 
  
 Se  
  
 N-O 
  Roberts m.fl.,  
 Brottsbalken En kommentar 
 , s. 4:38. 
 111 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 del av de filer som finns lagrade där. Frågan är om ett sådant för- farande kan jämställas med att ta del av en handling som förvaras i ett förseglat kuvert eller motsvarande. Motsvarande resonemang om logiska förvar kan föras även beträffande sådana särskilda delar av en fysisk lagringsenhet som har avdelats som en arbetstagares personliga utrymme och där en mängd filer kan lagras. 
 Det måste vidare vara olovligt att bereda sig tillgång, vilket ger upphov till särskilda tolkningsproblem när det gäller arbetsgivare som i någon mening ju har tillgång till sin egen utrustning. Dess- utom krävs uppsåt för straffbarhet. 
 Sammantaget kan konstateras att det är mycket svårt att bedöma om – och i så fall under vilka förutsättningar – 4 kap. 9 § BrB kan tillämpas på elektroniskt lagrad information. Vid tolkning av straffbud måste viss försiktighet iakttas och det är tveksamt om en straffrättsligt tillåten analogi mellan fysiska förvar och elektroniska förvar överhuvudtaget kan dras. 
 24  
 Här kan också nämnas att bestämmelsen om dataintrång i 4 kap. 9 c § BrB, som är subsidiärt tillämplig, troligen skulle täcka de nu nämnda situationerna. 
 Dataintrång 
  
 E-postmeddelanden 
  och andra elektroniskt lagrade uppgifter av det slag som diskuteras här utgör sådan upptagning för automatisk databehandling som avses i bestämmelsen om dataintrång i 4 kap. 9 c § brottsbalken. Bestämmelsen omfattar därmed förfaranden med såväl  
 e-postmeddelanden 
  och annan information som avses i detta avsnitt. Enligt bestämmelsen gör den sig skyldig till data- intrång som olovligen bereder sig tillgång till upptagning för auto- matisk databehandling. 
 Bestämmelsen är inte begränsad till att skydda personuppgifter eller i övrigt integritetskänsligt material, utan alla upptagningar för automatisk databehandling omfattas av bestämmelsen. 
 25 
  
 Olovlighetsrekvisitet 
 Enligt bestämmelsen straffbeläggs alltså vissa förfaranden som innebär att någon olovligen bereder sig tillgång till upptagning för automatisk databehandling, vilket innefattar bl.a.  
 e-post- 
  meddelanden och annan elektroniskt lagrad information. I många 
  
 24 
  
 Se Kring m.fl.,  
  
 Datalagen med kommentarer 
 , s. 236. 
  
 25 
  
 Se prop. 1973:33 s. 144. 
  
 112 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 fall torde det inte vålla några större svårigheter att avgöra frågan om olovlighet. Så är fallet när exempelvis någon helt utomstående bereder sig tillgång till en upptagning, oavsett om det sker på distans över nätverk eller att någon olovligen berett sig tillträde till en lokal och där använt en befintlig dator. Att bereda sig tillgång till en upptagning genom att utan tillåtelse ta sig förbi ett skydd i form av lösenord eller liknande torde också tveklöst vara att anse som olovligt. Olovlighet förutsätter dock i och för sig inte att sär- skilda åtgärder, som t.ex. att ta sig förbi ett lösenord, vidtas. I underrättspraxis har det bedömts som dataintrång när en arbets- tagare har berett sig tillgång till uppgifter i ett system som i och för sig var tillgängliga för denne utan särskild åtgärd. I dessa fall har intrånget bestått i att arbetstagaren har berett sig tillgång till lag- rade uppgifter genom att överträda sin befogenhet att använda IT- systemet enligt de bestämmelser som gällde på arbetsplatsen. 
 I arbetslivet är det i regel så att arbetsgivaren har tillgång till den utrustning där de privata filerna finns lagrade. Därmed har arbets- givaren rätt att förfoga över utrustningen och har samtidigt goda praktiska möjligheter att utan särskilda åtgärder komma åt lagrad information även om varje arbetstagare har ett eget lösenord för att komma åt  
 IT-systemet. 
  Frågan är om dessa omständigheter i sig medför en rätt att förfoga också över informationsinnehållet i arbetstagares privata filer. Av särskild betydelse för utredningen blir därmed om – och i så fall under vilka förutsättningar – arbets- givarens åtgärder med information som finns i den egna utrust- ningen kan anses olovliga. Om arbetsgivaren har utfärdat riktlinjer för när han eller hon kommer att ta del av information och sedan inte håller sig till sina egna riktlinjer, torde förfarandet vara olov- ligt. 
 Till ledning för bedömningen av bestämmelsen om dataintrång uttalades i motiven att frågan om ett förfarande är olovligt bör knytas till om annan än den registeransvarige låg bakom åtgärden. 
 26  
 Eftersom bestämmelsen vid dess tillkomst infördes i datalagen kunde det förefalla naturligt att knyta rätten till förfogande över uppgifterna till den som enligt lagen förfogade över ett register, dvs. den registeransvarige. 
 Datastraffrättsutredningen har därefter föreslagit att bedöm- ningen i stället skall utgå från den som har rätt att förfoga över informationen och att gärningen skulle vara lovlig och därmed fri 
  
 26  
 Se prop. 1973:33 s. 51 och 104. 
 113 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 från ansvar – oberoende av frågan om registeransvar – om samtycke föreligger från någon som har rätt att förfoga över informationen. 
 27  
 Datastraffrättsutredningen föreslog vidare följande riktlinjer för bedömningen. Om en arbetsgivare klart har gett till känna att in- formationsbehandling inte får ske för privata ändamål, har han också rätt att bereda sig tillgång till data, vilka förvaras i de data- utrymmen han tillhandahåller, som behövs för att kontrollera om så sker. Om däremot den enskilde fått rätt att använda utrustning- en utanför arbetet – jämför att arbetsgivaren tillhandahåller lådor eller skåp med lås för den anställde – får arbetsgivaren inte bereda sig tillgång till dessa datautrymmen. När frågan är oklar föreslås en restriktiv hållning vid bestämmandet av i vilken omfattning anlägg- ningens innehavare får bereda sig tillgång till användarnas data. 
 28 
  
 Man bör alltså kunna dra den slutsatsen att ett förfarande inte är olovligt om det finns samtycke från någon som har rätt att förfoga över upptagningen. De ovan redovisade resonemangen besvarar emellertid inte frågan  
 vem  
 som har rätt att förfoga över viss in- formation. I praktiken har både arbetsgivare och arbetstagare  
 möjlighet  
 att förfoga över en arbetstagares privata uppgifter som lagrats i arbetsgivarens utrustning. Avgörande för rätten att bereda sig tillgång till en upptagning – och därmed om ett förfarande är olovligt – kan emellertid inte vara en faktisk möjlighet att bereda sig tillgång till den. I stället måste det avgörande vara en på annat sätt grundad  
 rätt  
 att förfoga över upptagningen. 
 Det torde vara klart att en arbetstagare har rätt att förfoga över sina privata elektroniska uppgifter genom att tillåta att arbets- givaren bereder sig tillgång till uppgifterna. Något hinder mot att arbetstagaren, t.ex. vid anställningens början, lämnar ett generellt samtycke till att arbetsgivaren får ta del av privata elektroniska uppgifter torde inte finnas. 
 Frågan är emellertid om en arbetsgivare kan åberopa någon annan grund för en rätt att ta del av arbetstagarens privata filer. Att en arbetsgivare har en generell rätt att förfoga över sina  
 IT-verktyg 
  kan knappast i sig innebära en rätt att också ta del av privata upp- gifter i dessa. Här kan man möjligen jämföra med traditionella för- var. Att en arbetsgivare har rätt att förfoga över sina inventarier, såsom skrivbord och klädskåp, kan inte innebära en rätt att även ta del av eller bereda sig tillgång till de privata tillhörigheter som arbetstagare förvarar i sådana låsta utrymmen. Enligt Datastraff- 
  
 27 
  
 SOU 1992:110 s. 194. 
  
 28 
  
 SOU 1992:110 s. 560. 
  
 114 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 rättsutredningens uppfattning har en arbetsgivare som förbjudit privat användning rätt att bereda sig tillgång till data som behövs för att kontrollera om sådan användning ändå sker. 
 29  
 Datastraff- rättsutredningen anbefaller dock restriktivitet när frågan är oklar. Frågan gäller egentligen om arbetsgivarens förfarande att ta del av arbetstagarens privata elektroniska uppgifter är otillbörligt eller strider mot god sed på så sätt att det innebär en inskränkning i arbetsgivarens rätt att med stöd av arbetsledningsrätten vidta kontrollåtgärder. 
 I avsaknad av publicerade domstolsavgöranden, där frågan om arbetsgivarens rätt att förfoga över arbetstagares privata uppgifter har prövats, är det osäkert hur dessa frågor skall bedömas. 
 30 
  
 5.4.2.6 
  
 PUL 
  
 Den situationen att en arbetsgivare öppnar en fil och tar del av en arbetstagares privata elektroniska uppgifter är kanske inte vad man i första hand brukar avse med behandling av personuppgifter enligt PUL. Enligt lagens ordalydelse torde den dock vara tillämplig även på sådana fall. 
 Personuppgifter är enligt 3 § PUL all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Av en fil med ett  
 e-postmeddelande 
  torde alltid framgå avsändare och mottagare. Om en arbetstagares personliga användaridentitet framgår av  
 e-postadressen 
  torde filen alltid innehålla information som kan hänföras till denne. Som behandling av personuppgifter avses enligt samma bestämmelse varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter. Genom att ta del av ett meddelande erhålls kunskap om att kommunikation med visst innehåll har ägt rum mellan avsändaren och mottagaren i fråga. Även om inga andra åtgärder vidtas bör ett sådant förfarande be- traktas som en form av användning av personuppgifterna och så- ledes som en behandling av personuppgifterna. Av 5 § PUL följer 
  
 29 
  
 SOU 1992:110 s. 560. 
  
 30 
  
 I Arbetsdomstolens mål AD 1999 nr 49 har emellertid arbetsgivarens kontroll av privata filer lett till uppsägning av en arbetstagare. Målet gällde en kanslist som påstods bl.a. ha använt arbetsgivarens dator för privat bruk i stor omfattning. Enligt redovisningen i domen framgår att arbetsgivaren, i samband med service på den dator som arbetstagaren använde, upptäckte att det i denna förekom omfattande dokumentation som var kanslistens privata. Det upptäcktes också att kanslisten från arbetsplatsen hade skickat privat korrespondens genom  
  
 e-post. 
  Av utredningen i målet framgår att arbetsgivaren hade gjort en mycket grundlig undersökning av innehållet i datorn och därigenom fått ingående kunskaper om arbetstagarens användning av denna. Om undersökningen även innefattade att arbetsgivaren tog del av innehållet i de privata filerna framgår dock inte. 
 115 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 att lagen är tillämplig på sådan behandling av personuppgifter som är helt eller delvis automatiserad. All hantering av personuppgifter som sker datoriserat är sådan automatiserad behandling som avses. 
 Det anförda innebär att PUL:s bestämmelser är tillämpliga på åt- gärder som vidtas med ett  
 e-postmeddelande. 
  Även på många andra typer av privata filer torde ovanstående resonemang kunna tillämpas. Förutsättningen för detta är att det finns tillräcklig in- formation för att informationen direkt eller indirekt skall kunna hänföras till en enskild användare. Detta kan ske exempelvis genom att en fil automatiskt förses med information om vem som skapat den eller att informationen finns lagrad i ett sådant logiskt ut- rymme som en arbetstagare har exklusiv tillgång till. 
 En särskild fråga här är om en arbetsgivare kan anses som personuppgiftsansvarig för en behandling som enbart innebär att denne tar del av innehållet i t.ex. ett  
 e-postmeddelande. 
  Enligt 3 § PUL är det den personuppgiftsansvarige som själv eller tillsammans med andra bestämmer ändamålen med och medlen för behand- lingen. Här är fråga enbart om den behandling som ligger i att öppna ett meddelande och ta del av det. Enligt utredningens mening bör den som vidtar åtgärden att ta del av innehållet i ett e- postmeddelande anses som personuppgiftsansvarig för  
 den behand- lingen 
 . En arbetsgivare som tar del av innehållet i en arbetstagares  
 e-postmeddelande 
  eller information i en annan fil bör därför anses som personuppgiftsansvarig enligt PUL även om innehållet är privat och således inte rör arbetsgivarens verksamhet. 
 En tillämpning av PUL i detta sammanhang innebär därmed att arbetsgivaren endast får ta del av en arbetstagares privata elek- troniska uppgifter (dvs. behandla personuppgifter) om det är tillåtet enligt lagen. 
 Grundläggande krav på behandlingen 
 Som allmänna krav gäller att arbetsgivaren bara får behandla personuppgifter om det är lagligt samt om det sker på ett korrekt sätt och enligt god sed. Att behandlingen skall ske enligt god sed torde i detta sammanhang kunna innebära att man vid bedöm- ningen söker ledning i riktlinjer utarbetade av etablerade bransch- sammanslutningar eller hur andra ansvarsfulla arbetsgivare hanterar här aktuella frågor. 
 Enligt 9 § PUL skall arbetsgivaren se till att personuppgifter samlas in bara för särskilda, uttryckligen angivna och berättigade 
 116 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 ändamål. Dessa ändamål får sedan betydelse för den fortsatta be- handlingen av personuppgifterna. Bl.a. får personuppgifter inte be- handlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Det innebär dels att arbetsgivaren ut- tryckligen måste ange ändamålen med åtgärden att ta del av arbetstagarens privata elektroniska uppgifter, dels att arbetsgivaren är förhindrad att använda uppgifterna för andra ändamål än de an- givna. Kravet att ändamålen skall vara särskilda innebär att dessa inte kan anges alltför allmänt, utan måste vara relativt detaljerade. 
 Vidare måste arbetsgivaren se till att insamlade uppgifter inte bevaras under längre tid än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. 
 Tillåten behandling 
 10 § PUL anger uttömmande när behandling av personuppgifter är tillåten. Först kan konstateras att samtycke alltid medför att behandling av personuppgifter är tillåten. Om en arbetsgivare i för- väg inhämtar samtycke från en arbetstagare finns inget hinder när det gäller rätten att ta del av arbetstagarens privata elektroniska uppgifter. Om samtycke inte har inhämtats får arbetsgivaren ta del av arbetstagarens privata elektroniska uppgifter enligt de i bestäm- melsen närmare angivna förutsättningarna. Ett grundläggande krav är att behandlingen är nödvändig. 
 Arbetsgivare får behandla personuppgifter om arbetstagare om det är nödvändigt  
 för att fullgöra ett avtal  
 mellan parterna. Det är emellertid svårt att föreställa sig en situation där det är nödvändigt för arbetsgivaren att ta del av en arbetstagares privata elektroniska uppgifter för att fullgöra ett avtal dem emellan. 
 Att en arbetsgivare tar del av en arbetstagares privata elek- troniska uppgifter kan vara nödvändigt för att  
 fullgöra en rättslig skyldighet 
 . Som exempel kan nämnas att en myndighet enligt offentlighetsprincipen kan vara skyldig att pröva om en elektronisk handling som förvaras hos myndigheten är en allmän handling eller inte. Enligt Datalagskommittén är det osäkert om en förpliktelse som arbetsgivaren har åtagit sig genom avtal med annan kan inne- bära en sådan skyldighet som avses i bestämmelsen. Vad sådana förpliktelser kan innebära i detta sammanhang är svårt att säga. Möjligen kan tänkas att en arbetsgivare i förhållande till en uppdragsgivare eller dylikt åtar sig att vidta sådana säkerhets- åtgärder att fullständig kontroll över alla elektroniska uppgifter 
 117 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 upprätthålls, vilket skulle innebära att även arbetstagares privata elektroniska uppgifter skulle komma att kontrolleras. 
 Slutligen får behandling av personuppgifter ske efter en  
 intresse- avvägning  
 av om arbetsgivarens berättigade intressen av behand- lingen väger tyngre än arbetstagarens intresse av integritetsskydd. I avsaknad av samtycke torde denna bestämmelse få stor betydelse. Bestämmelsen innebär att en arbetsgivare som vill ta del av en arbetstagares privata elektroniska uppgifter skall göra en avvägning mellan å ena sidan sina egna behov av åtgärden och å andra sidan det intrång i arbetstagarnas personliga integritet som denna med- för. Att närmare ange hur intresseavvägningen enligt PUL faller ut i enskilda fall är knappast möjligt. Generellt kan möjligen sägas att åtgärder som betingas av säkerhetsskäl i allmänhet väger tyngre än sådana som betingas av t.ex. företagsekonomiska effektivitetsskäl. 
 Känsliga personuppgifter 
 PUL innehåller i  
 13–20 
  §§ särskilda bestämmelser om behandling av känsliga personuppgifter. Sådana privata elektroniska uppgifter som avses här – oavsett om det rör sig om ett  
 e-postmeddelande 
  eller annat – kan gälla vad som helst. Uppgifterna kan innehålla information om t.ex. arbetstagarens politiska eller religiösa över- tygelse eller sexuella läggning. Uppgifterna utgör då känsliga personuppgifter enligt PUL:s definition. De nämnda bestämmel- serna i PUL innebär att arbetsgivarens rätt att behandla känsliga personuppgifter är kraftigt begränsad. Här inställer sig emellertid den svårigheten att en arbetsgivare sällan kan avgöra på förhand om uppgifterna är känsliga personuppgifter eller inte. Hur det skall be- dömas om en arbetsgivare på detta sätt oavsiktligt i strid med PUL kommer att behandla känsliga uppgifter är oklart. 
 Information 
 I 23 § PUL finns de grundläggande reglerna om skyldigheter för arbetsgivare att självmant informera om behandling av person- uppgifter som samlas in från arbetstagaren själv och i 24 § finns motsvarande regler beträffande uppgifter som samlas in från annan. Enligt bestämmelserna skall information lämnas när uppgifterna samlas in respektive registreras. Den information som skall lämnas är enligt 25 § uppgift om den personuppgiftsansvariges – och dennes eventuella företrädares – identitet, ändamålet med behand- 
 118 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 lingen och all ytterligare information som är nödvändig för att tillförsäkra den registrerade en korrekt behandling. 
 Detta torde betyda att en arbetsgivare som avser att ta del av en arbetstagares privata elektroniska uppgifter måste uppfylla skyldig- heterna att lämna information. Bestämmelserna torde knappast innebära något krav på att information lämnas särskilt inför varje enskilt fall, utan informationen torde kunna lämnas generellt. 
 Enligt 26 § är arbetsgivaren skyldig att på ansökan av arbets- tagare informera om bl.a. vilka uppgifter som behandlas, varifrån uppgifterna har hämtats och ändamålen med behandlingen. 
 Skyldighet att föra förteckning 
 Enligt 36 § är personuppgiftsansvariga skyldiga att – med vissa inskränkningar – anmäla helt eller delvis automatiserad behandling till Datainspektionen. Med stöd av 6 § personuppgiftsförordningen har Datainspektionen föreskrivit att anmälningsskyldigheten inte gäller för behandling av personuppgifter som avser registrerade med sådan anknytning till den personuppgiftsansvarige som bl.a. följer av anställning under förutsättning att den personuppgifts- ansvarige själv för en förteckning över behandlingarna med de upp- gifter som annars skulle ha anmälts. 
 31  
 Undantaget gäller dock inte behandling av känsliga personuppgifter enligt 13 § PUL. 
 De uppgifter som en arbetsgivare enligt ovan är skyldig att föra en förteckning över (eller anmäla till Datainspektionen om det gäller känsliga uppgifter) är enligt 6 § DIFS 1998:2 
 32 
  
 a) 
  
 den personuppgiftsansvariges namn, adress, telefonnummer och organisationsnummer, 
  
 b) 
  
 ändamålet eller ändamålen med behandlingen, 
  
 c) 
  
 en beskrivning av den eller de kategorier av registrerade som berörs av behandlingen, 
  
 d) 
  
 en beskrivning av de uppgifter eller kategorier av uppgifter som skall behandlas om de registrerade, 
  
 e) 
  
 uppgift om mottagarna eller de kategorier av mottagare till vilka uppgifterna kan komma att lämnas ut, 
  
 f) 
  
 upplysning om överföringar av uppgifter till tredje land, 
  
 g) 
  
 en allmän beskrivning av de åtgärder som har vidtagits för att trygga säkerheten i behandlingen. 
  
 31 
  
 Se 5 § a) DIFS 1998:2 (ändrad genom 1999:3 och 2001:1). 
  
 32 
  
 Ändrad genom DIFS 1999:3.och 2001:1. 
  
 119 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 Sanktioner 
 En arbetsgivare som behandlar arbetstagares personuppgifter i strid med PUL:s bestämmelser kan enligt 48 § bli skadeståndsskyldig gentemot arbetstagaren. Behandlingar som inte överensstämmer med PUL:s krav kan dessutom enligt 49 § vara straffbara. Enligt bestämmelsen är det straffbart för en personuppgiftsansvarig bl.a. att lämna osann uppgift i information till registrerade. 
  
 5.4.2.7 
  
 Offentlighetsprincipen 
  
 Som nämnts ovan har olika aspekter av offentlighetsprincipen betydelse för offentliga arbetsgivares praktiska möjligheter att tillgodose arbetstagarnas intresse av personlig integritet beträffande privata elektroniska uppgifter. De bestämmelser som är av särskild betydelse i sammanhanget skall därför beskrivas här. 
 Enligt definitionen av handlingsbegreppet i TF avses med hand- ling, förutom traditionella handlingar, även upptagning som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniskt hjälpmedel som myndigheten själv utnyttjar. Upptagningar för automatisk databehandling, vilket innefattar sådana elektroniska uppgifter som avses i detta avsnitt, skall således jämställas med traditionella handlingar när det gäller bl.a. offentlighet och sek- retess. 
 Grundläggande bestämmelser om handlingars offentlighet finns i 2 kap. TF. En handling är enligt 2 kap. 3 § TF allmän om den för- varas hos en myndighet och om den är att anse som inkommen till eller upprättad hos myndighet. En allmän handling är, med vissa undantag, tillgänglig för alla att ta del av. För att säkerställa allmän- hetens möjlighet att ta del av allmänna handlingar har myndighet en skyldighet att registrera inkomna eller upprättade handlingar, se 15 kap. 1 § SekrL. Skyldigheten att registrera allmänna handlingar gäller alla typer av handlingar och alltså även upptagningar för automatisk databehandling. En myndighet är således i allmänhet skyldig att registrera och diarieföra ett  
 e-postmeddelande 
  som skickats till myndigheten. Samma sak gäller ett utgående  
 e-post- 
  meddelande eller annan elektroniskt lagrad information i myndig- hetens  
 IT-system, 
  under förutsättning att detta kan anses som en upprättad handling. 
 33 
  
 33  
 Undantag gäller enligt TF 15 kap. 1 § om handlingarna hålls så ordnade att det utan svårighet kan fastställas om handling har kommit in eller upprättats. Frågor om vad som skall anses som allmänna handlingar är komplicerade, särskilt när det gäller upptagningar för 
 120 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 Det nu sagda innebär att myndigheter måste ha fungerande ru- tiner för att bevaka att skrivelser och meddelanden som inkommer via  
 e-post 
  behandlas på ett adekvat sätt. Arbetsgivaren måste alltså ha ett system som ger möjlighet att vid en arbetstagares frånvaro ta del av handlingar som inkommit till myndigheten och som adresse- rats till arbetstagaren personligen. 
 34 
  
 5.4.2.8 
  
 God offentlighetsstruktur 
  
 För att offentlighetsprincipen skall fungera i praktiken krävs bl.a. att myndigheterna håller sina allmänna handlingar ordnade eller registrerade på ett sådant sätt att det är möjligt för allmänheten att konstatera vilka handlingar som finns. Det är också viktigt att myndigheter förvarar sina handlingar på ett sådant sätt att ett utlämnande inte försvåras. Myndigheter är mot den angivna bak- grunden skyldiga att upprätthålla vad som kallas en god offentlig- hetsstruktur. Detta kommer till uttryck i 15 kap. 9 § sekretess- lagen, enligt vilken bestämmelse en myndighet som använder automatisk databehandling i verksamheten skall ordna denna med beaktande av rätten i TF att ta del av allmänna handlingar. Kravet på god offentlighetsstruktur preciseras därefter genom att bestämmelsen föreskriver bl.a. att allmänna handlingar bör hållas åtskilda från andra handlingar. Bestämmelsen är av betydelse framför allt när en myndighet skall införa ett nytt  
 IT-system 
  eller förändra ett befintligt. I förarbetena betonas också att utform- ningen av  
 IT-systemen 
  måste tillåtas att variera med hänsyn till de krav som myndigheternas verksamhet ställer, vilket innebär att även offentlighetsstrukturen måste tillåtas att variera. En allt för detaljerad reglering har därför inte ansetts möjlig. 
 35  
 Hänsynen till offentlighetsprincipen måste dock vägas mot andra intressen, bl.a. tekniska och ekonomiska. 
 En arbetstagares privata elektroniska uppgifter av det slag som avses här är inte en allmän handling i TF:s mening. Med tillämp- ning av 15 kap. 9 § sekretesslagen bör sådana upptagningar hållas åtskilda från allmänna handlingar. Offentliga arbetsgivare skall överväga hur  
 IT-systemet 
  bör utformas för att en sådan åtskillnad 
 automatisk databehandling. I detta sammanhang saknas emellertid anledning att gå in djupare på dessa frågor. I stället kan hänvisas till exempelvis Jones 
 , Offentlighetsprincipen 
 . Även Statskontorets skrift  
  
 E-post 
  
  i förvaltningen  
 ger en god överblick över olika frågeställningar kring myndigheters användning av  
 e-post. 
  
 34 
  
 Se Justitieombudsmannen, beslut den 23 februari 1999, Dnr  
  
 4225-1998. 
  
 35 
  
 Se prop. 1990/91:60 s. 34 och 35. 
  
 121 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 skall åstadkommas. Ett sätt kan vara att i  
 IT-systemet 
  skapa sär- skilda elektroniska utrymmen, mappar, för olika typer av upptag- ningar. Exempelvis kan ett sådant utrymme då avdelas för att ge varje arbetstagare möjlighet att där förvara privata elektroniska uppgifter. 
 36  
 Frågan kvarstår emellertid hur sådana förvar rent prak- tiskt skall hanteras. En handlings karaktär av allmän eller  
 icke-all- 
  män påverkas de facto inte av i vilket elektroniskt förvar den förvaras. 
  
 5.4.2.9 
  
 Meddelar- och anskaffarfrihet enligt tryckfrihetsförordningen m.m. 
  
 Till skyddet för förtroliga meddelanden i speciella situationer bör föras den s.k. meddelar- och anskaffarfriheten i TF och yttrande- frihetsgrundlagen. 
 Enligt 1 kap. 1 § tredje stycket TF har var och en rätt att, med de begränsningar som följer av förordningen, att till författare, jour- nalister och nyhetsredaktioner m.fl. meddela uppgifter och under- rättelser i vilket ämne som helst för offentliggörande i tryckt skrift. Enligt samma lagrums fjärde stycke gäller skyddet även den som anskaffar uppgifter i angivet syfte. Skyddet gäller dock inte om förfarandet innebär att den som anskaffar eller meddelar upp- gifterna därigenom gör sig skyldig till bl.a. olika brott mot rikets säkerhet, såsom spioneri, och inte heller vid oriktigt utlämnande av allmän handling eller vid uppsåtligt åsidosättande av tystnadsplikt. I yttrandefrihetsgrundlagen, se 1 kap. 2 § och 2 kap. 4 §, finns bestämmelser om meddelar- och anskaffarfrihet som motsvarar bestämmelserna i TF. 
 De nu redovisade bestämmelserna innebär att en offentlig arbetsgivare inte får efterforska meddelanden som en arbetstagare t.ex. har skickat med  
 e-post 
  till en tidningsredaktion. Även om detta knappast torde vara något mer omfattande problem, är det naturligtvis icke desto mindre angeläget att skyddet upprätthålls. Den komplikation som nämnts ovan, se avsnitt 5.4.2.7, att en offentlig arbetsgivare som uppfyller sina skyldigheter enligt offentlighetsprincipen kan komma att bereda sig tillgång till privata elektroniska uppgifter gäller förstås även meddelanden till journalister m.m. 
  
 36  
 Från vissa håll ifrågasätts om det över huvud taget ligger i linje med offentlig verksamhet att tillåta arbetstagarna att privat använda arbetsgivarens utrustning, se bl.a. Statskontoret, 
 Offentlighet och IT 
 , s. 55. 
  
 122 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 5.4.2.10 Sammanfattning av det rättsliga skyddet 
 Arbetsgivarens arbetsledningsrätt och den däri ingående kontroll- rätten innebär att arbetsgivaren har en principiell rätt såväl att be- stämma över användningen av utrustningen som att kontrollera hur denna används. Kontrollrätten har emellertid betydelsefulla be- gränsningar med hänsyn till att kontroller inte får strida mot lag, god sed eller annars vara otillbörliga. Ovan har framgått att de åt- gärder som innebär att en arbetsgivare tar del av en arbetstagares privata elektroniska uppgifter utgör en behandling av person- uppgifter enligt PUL. Att gränserna för arbetsledningsrätten i förening med PUL därmed ger ett betydande skydd för arbets- tagarnas personliga integritet följer redan av att en arbetsgivares rätt att kontrollera förutsätter ett i förväg angivet särskilt och be- rättigat ändamål samt att information om kontrollåtgärderna har lämnats till arbetstagarna. Emellertid måste skyddet för anskaffare och meddelare enligt RF och YGL anses innebära en begränsning i denna kontrollrätt för offentliga arbetsgivare. Även god sed eller vad som annars är otillbörligt kan vidare få betydelse för en offent- lig arbetsgivares kontrollrätt, framför allt när det gäller metoderna för kontrollerna och omständigheterna i övrigt kring dessa. Vidare gäller även för offentliga arbetsgivare vad som ovan sagts om arbetsgivarens skyldighet enligt PUL. 
  
 5.4.3 
  
 Behovet av ytterligare reglering 
  
 Som framgått av redovisningen av gällande rätt torde arbetsgivarens arbetslednings- och kontrollrätt innebära ganska vidsträckta möjligheter för arbetsgivaren att kontrollera arbetstagarna när det gäller förekomsten av privata elektroniska uppgifter. Kontrollrätten är emellertid begränsad på ett sätt som ger skydd för arbetstagarnas personliga integritet. Det är dock svårt att se närmare var gränserna för skyddet går. Även om också PUL därutöver ger ett visst skydd är det oklart hur den lagens bestämmelser skall tolkas i enskilda situationer. Enligt vad utredningen har erfarit råder en stor osäker- het bland såväl arbetsgivare som arbetstagare i fråga om innehållet i gällande rätt och många gånger tycks osäkerheten medföra att kontroller sker efter arbetsgivarens gottfinnande. 
 Enligt utredningens mening innebär redan den beskrivna osäker- heten att det finns ett behov av ytterligare reglering. För att åstad- komma ett stärkt skydd för arbetstagarnas personliga integritet bör en sådan reglering närmare precisera och därmed också inskränka 
 123 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 gränserna för arbetsgivarens kontrollrätt. I enlighet med vad som i övrigt föreslås bör detta ske genom en bestämmelse som förbjuder arbetsgivaren att behandla personuppgifter av aktuellt slag annat än i särskilt angivna undantagssituationer. 
  
 5.4.4 
  
 Överväganden och förslag 
  
 Utredningen föreslår:  
 En bestämmelse bör införas som innebär att en arbetsgivare inte avsiktligt får ta del av en arbetstagares privata elektroniska uppgifter. Från denna huvudregel bör undantag göras vid samtycke från arbetstagaren. Undantag bör också göras om det är nödvändigt för arbetsgivarens verksam- het. Till ledning för bedömningen av om en åtgärd kan anses nödvändig för arbetsgivarens verksamhet anges i bestämmelsen en exemplifierande uppräkning av omständigheter där det kan vara nödvändigt för arbetsgivaren att ta del av en arbetstagares privata elektroniska uppgifter. De angivna omständigheterna är om det föreligger fara för informationssäkerheten eller om det finns skälig misstanke att arbetstagaren gjort sig skyldig till brott eller till sådant illojalt beteende som kan utgöra saklig grund för uppsägning eller föranleda skadeståndsskyldighet. 
 Utredningen har tidigare konstaterat att rätten till skydd för den personliga integriteten är en mänsklig rättighet. Emellertid har också konstaterats att denna rätt inte är absolut, utan att den måste vägas mot andra motstående intressen. När det gäller frågan om arbetstagarens rätt till skydd för sådana privata elektroniska upp- gifter som är resultatet av privat användning av arbetsgivarens IT- verktyg tillkommer vissa aspekter som avviker från andra resone- mang kring mänskliga rättigheter. Till att börja med kan sägas att det inte är en mänsklig rättighet, eller ens ett befogat rättsligt an- språk, för en arbetstagare att få använda arbetsgivarens  
 IT-verktyg 
  för privata ändamål. Det är därför inte orimligt att omfattningen av de kontroller som får ske kan påverkas av arbetsgivaren. Vidare kan konstateras att en arbetstagare kan undvika de flesta situationer där integritetsrisker kan uppkomma, genom att t.ex. låta bli att använda  
 IT-verktygen 
  privat eller låta bli att med arbetsgivarens  
 IT-verktyg 
  hantera uppgifter som arbetstagaren vill skydda från insyn. Enligt vad som tidigare slagits fast bör alltså skyddet för den personliga integriteten i arbetslivet bestämmas genom en avvägning av arbets- 
 124 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 givarens berättigade intresse av kontroll mot arbetstagaren anspråk på en skyddad personlig sfär. 
 Den föreslagna bestämmelsen avser att precisera och därmed också inskränka arbetsgivarens kontrollrätt. Det bör dock upp- märksammas att detta inte innebär någon förändring i arbets- givarens arbetsledningsrätt i det avseendet att arbetsgivaren har rätt att bestämma över användningen av  
 IT-verktygen 
  och således om privat användning skall vara tillåten eller inte. 
 Redan här kan också framhållas att den föreslagna bestämmelsen inte innebär ett absolut och heltäckande skydd för arbetstagarnas personliga integritet i detta avseende. Utredningen har övervägt olika lösningar, men funnit att ett mer heltäckande skydd för arbetstagarnas personliga integritet inte går att åstadkomma utan att detta skulle medföra orimliga konsekvenser för arbetsgivarens verksamhet. En förstärkning av integritetsskyddet jämfört med vad som gäller i dag har dock skett genom att det i bestämmelsen an- förs exempel som till ledning för rättstillämpningen anger nivån för vad som krävs för att arbetsgivaren skall ha rätt att ta del av en arbetstagares privata elektroniska uppgifter. 
 Avslutningsvis bör framhållas att den föreslagna bestämmelsen gäller oavsett om de privata uppgifterna har tillkommit som ett resultat av tillåten eller otillåten användning av arbetsgivaren IT- verktyg. 
  
 5.4.4.1 
  
 Förbud för arbetsgivare att ta del av arbetstagares privata elektroniska uppgifter 
  
 Det naturliga vid utformningen av bestämmelsen är enligt utred- ningens uppfattning att utgå från ett förbud för arbetsgivaren att ta del av en arbetstagares privata elektroniska uppgifter. Detta mar- kerar att den grundläggande respekt för förtroliga meddelanden som föreskrivs i såväl internationella konventioner som i svensk grundlag skall gälla även i arbetslivet. Ett förbud kan emellertid inte vara absolut utan bör förses med nedan angivna undantag för att iaktta erforderlig hänsyn till arbetsgivarens verksamhet. 
 125 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 5.4.4.2 
  
 Endast avsiktliga intrång omfattas 
  
 Som nämnts ovan är det enligt utredningens mening inte möjligt att åstadkomma ett heltäckande skydd för arbetstagarnas privata elektroniska uppgifter. Bestämmelsens begränsning till privata elektroniska uppgifter innebär med hänsyn till teknikens utform- ning en särskild svårighet eftersom det ofta inte går att på förhand avgöra om vissa uppgifter är privata eller inte. 
 37  
 Ett absolut skydd för privata uppgifter skulle medföra risker för att även uppgifter som rör arbetsgivarens verksamhet blir oåtkomliga för denne, vilket enligt utredningens mening inte vore acceptabelt. I detta sammanhang bör nämnas att den åtgärden att arbetsgivaren läser filnamn och relaterad information eller ärendemening, avsändare, mottagare, sändningstidpunkt osv. för exempelvis  
 e-post 
  inte inne- bär att arbetsgivaren tar del av uppgifterna på sätt som anges i be- stämmelsen. 
 Genom att den föreslagna bestämmelsen föreskriver att arbets- givaren inte  
 avsiktligen  
 får ta del av en arbetstagares privata elek- troniska uppgifter finns möjlighet för denne att ta del av uppgifter så länge det inte framgår att dessa är privata. Så fort det står klart för arbetsgivaren att uppgifter, dvs. att hela eller delar av innehållet är privat, får denne dock inte ta del av uppgifterna. 
 38  
 När det t.ex. inte framgår tydligt att ett  
 e-postmeddelande 
  är privat får alltså arbetsgivaren öppna detta för att undersöka om detta rör verksam- heten eller inte. Visserligen kan det i många fall vara så att arbets- givaren redan genom en sådan åtgärd har tagit del av hela innehållet och att integritetsintrånget då redan har skett. Enligt utredningens mening är detta emellertid oundvikligt. 
  
 5.4.4.3 
  
 Rutiner för att undvika oavsiktliga intrång 
  
 Med den ovan beskrivna konstruktionen finns det risker för att in- trång i en arbetstagares integritet kan komma att ske enbart för att arbetsgivaren skall kunna avgöra om vissa uppgifter rör verksam- heten eller inte. Utredningens anser mot den bakgrunden att det är önskvärt att både arbetsgivare och arbetstagare – med den före- slagna bestämmelsen som utgångspunkt – verkar för att riskerna för sådana oavsiktliga intrång begränsas och att hanteringen av 
  
 37 
  
 Utredningens definition av begreppet privata elektroniska uppgifter återfinns på s. 101. 
  
 38 
  
 En liknande konstruktion kan återfinnas i 27 kap. 12 § RB. Där föreskrivs att vissa typer av dokument som tas i beslag endast får undersökas av rätten, undersökningsledaren eller åklagaren. Om den som verkställer beslaget inte har rätt att undersöka handlingen, skall denne försegla handlingen. 
  
 126 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 arbetstagarnas privata elektroniska uppgifter anpassas till vad som är lämpligt på varje arbetsplats. 
 Enligt vad som ovan anförts i avsnitt 5.4.2.8 är offentliga arbets- givare skyldiga att uppfylla kraven på en god offentlighetsstruktur vid användning av informationsteknik. En sådan struktur skulle kunna bidra till ett stärkt integritetsskydd för arbetstagarna om IT- systemet utformas så att det går att skilja arbetstagarens privata elektroniska uppgifter från de allmänna handlingarna. Sådana åt- gärder vid utformningen av  
 IT-systemet 
  kan vara att tilldela arbetstagarna egna privata mappar i vilka privata uppgifter skall lag- ras. En annan åtgärd kan vara att för  
 e-post 
  ha officiella registratorsbrevlådor som används vid kommunikation av allmänna handlingar. Åtgärderna bör också innefatta information till arbets- tagarna och interna riktlinjer för användningen av  
 IT-verktygen. 
  Arbetstagaren bör då få del av tillräcklig information för att kunna minska riskerna för att drabbas av obefogade integritetsintrång. Sådana åtgärder skulle samtidigt underlätta för arbetsgivaren att göra en rimlig bedömning av om uppgifter är privata eller inte. 
 Även om reglerna om god offentlighetsstruktur inte gäller privata arbetsgivare torde det även i privat verksamhet finnas an- ledning att överväga liknande lösningar. 
 Såväl offentliga som privata arbetsgivare har i relativt stor ut- sträckning interna riktlinjer för arbetstagarnas användning av IT- verktygen. Som anförts ovan är sådana värdefulla för att klargöra vilka regler som gäller på arbetsplatsen. Det måste dock framhållas att varken riktlinjer eller en viss struktur i fråga om  
 IT-systemets 
  utformning kan medföra en större rätt för arbetsgivaren att ta del av privata elektroniska uppgifter än vad som framgår av den före- slagna bestämmelsen. Skyddet för arbetstagarna kan dock självfallet utvidgas genom att en arbetsgivare uttryckligen frånsäger sig rätten att ta del av privata elektroniska uppgifter enligt vad som annars skulle gälla enligt lagen. 
  
 5.4.4.4 
  
 Samtycke 
  
 Enligt utredningens mening bör arbetstagare kunna samtycka till att arbetsgivaren tar del av privata uppgifter. En reglering utan en sådan möjlighet skulle riskera att bli allt för rigid och svårhanterlig i praktisk tillämpning. Bl.a. kan man nog utgå från att sådana privata uppgifter som avses här i många fall inte är direkt förtroliga eller 
 127 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 annars integritetskänsliga. För sådana fall är det angeläget att ett samarbete i god anda kan ske på arbetsplatserna. 
 Ett generellt samtycke som lämnas exempelvis vid anställningens början kan vara tillräckligt. I samband med att samtycke lämnas måste arbetstagaren så utförligt som möjligt informeras om vad åtgärderna avser, deras syfte och vilka konsekvenser som kan följa om samtycke inte lämnas. Detta överensstämmer med definitionen av samtycke enligt PUL. 
 Att en arbetstagare vägrar att lämna samtycke till kontroller kan naturligtvis medföra att arbetsgivaren inte tillåter att arbetstagaren använder  
 IT-verktygen 
  för privata ändamål eller överhuvudtaget. 
 Om arbetstagaren inte har lämnat samtycke får arbetsgivaren endast ta del av uppgifterna om förutsättningarna enligt de nedan beskrivna undantagen är uppfyllda. Om dessa förutsättningar är uppfyllda behöver en arbetsgivare inte heller först fråga efter samtycke. 
  
 5.4.4.5 
  
 Undantag om det är nödvändigt för arbetsgivarens verksamhet 
  
 Även om det står klart att vissa uppgifter är arbetstagarens privata kan det någon gång finnas behov för arbetsgivaren att ta del av dem. För dessa särskilda situationer föreslås i bestämmelsen att undantag från förbudet skall gälla om det är nödvändigt för arbets- givarens verksamhet. Att undantaget anknyter till arbetsgivarens verksamhet innebär att frågan om det är tillåtet att ta del av privata uppgifter skall bedömas utifrån verksamhetens behov i det enskilda fallet. Arbetsgivarens åtgärd skall således vid en objektiv bedöm- ning framstå som berättigad med hänsyn till verksamheten. Denna begränsning kan förvisso tyckas något opreciserad. Emellertid sker i bestämmelsen ytterligare precisering genom de exempel som anges. 
  
 5.4.4.6 
  
 Nödvändighetskravet 
  
 För att kontroller enligt undantagsbestämmelsen skall få ske krävs att åtgärden är  
 nödvändig 
 . Kravet innebär alltså att det för att t.ex. undvika säkerhetsrisken i fråga måste vara nödvändigt att ta del av vissa uppgifter. Om exempelvis ett virus kan oskadliggöras utan att arbetsgivaren tar del av privata uppgifter i den drabbade filen är det inte tillåtet enligt bestämmelsen att ta del av uppgifterna. 
 128 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 Nödvändighetskravet kan ses som en förstärkning av det allmänna relevanskravet som beskrivits ovan, se avsnitt. 
  
 5.4.4.7 
  
 Vid fara för informationssäkerheten 
  
 Det allt starkare beroendet av informationsteknik i olika samman- hang har medfört att säkerheten vid användningen av sådan teknik blivit allt mer betydelsefull. Hoten mot informationssäkerheten kan vara såväl externa som interna och avse t.ex. virusangrepp, an- grepp från hackers, tekniska fel samt mer eller mindre oavsiktliga skadliga åtgärder från arbetstagares sida. Kraven på en tillfreds- ställande informationssäkerhet kan göra det nödvändigt för arbets- givaren att i vissa fall ta del av en arbetstagares privata elektroniska uppgifter. Exempelvis kan en indikation på att ett virus före- kommer i ett  
 e-postmeddelande 
  innebära att arbetsgivaren har be- hov av att omedelbart ta del av detta för att undanröja hotet. Vilka typer av hot som kan förekomma varierar i olika verksamheter. Enligt bestämmelsen förutsätts dock att det föreligger en konkret fara för informationssäkerheten. Utredningen kan inte uttala sig om de närmare gränserna för vilka situationer och vilka åtgärder som är tillåtna enligt bestämmelsen. Det är dock arbetsgivaren som bestämmer vilken säkerhetsnivå som skall gälla i verksamheten, vilket får stor betydelse för bedömningen av de åtgärder som kan behöva vidtas. 
 Fara för informationssäkerhet i den mening som avses här inne- fattar således mer än rent tekniska hot mot informationen. Även sådana fall där en arbetstagare – avsiktligt eller oavsiktligt – t.ex. sprider eller ändrar information utgör en sådan fara som avses. 
  
 5.4.4.8 
  
 Vid skälig misstanke om brott 
  
 Även i det fallet att en arbetstagare ägnar sig åt brottslig verksam- het och arbetsgivaren därför behöver vidta åtgärder är det befogat att ge arbetsgivaren rätt att ta del av privata elektroniska uppgifter. Härför bör krävas att arbetsgivaren har en skälig misstanke om att arbetstagaren gör sig skyldig till brott vid användningen av IT- verktygen samt att det är av betydelse för att förhindra fortsatt brottslighet att arbetsgivaren också tar del av arbetstagarens privata uppgifter. Bestämmelsen är begränsad till sådana situationer där arbetsgivarens  
 IT-verktyg 
  används vid utförande av brott. Att med stöd av bestämmelsen vidta allmänt utredande eller bevissäkrande åtgärder vid varje misstanke om brott får inte förekomma. Arbets- 
 129 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 givaren får alltså inte ta del av en arbetstagares privata elektroniska uppgifter för att undersöka om arbetstagaren exempelvis i med- delande till annan röjer att han begått brott. Sådana brottsutred- ningar bör även i fortsättningen skötas av polis och åklagare. 
 När det gäller brott eller illojalt beteende förutsätts att det finns  
 skälig misstanke  
 om sådant. Begreppet avses här ha samma innebörd som när det gäller att bedöma misstanke vid användning av straff- processuella tvångsmedel. Det är således klart att det måste finnas någon konkret indikation på att sådant beteende förekommer, men att närmare bedöma vad som krävs i enskilda fall får överlämnas åt rättstillämpningen. 
 En lämplig ordning är enligt utredningens mening att arbets- givaren i första hand skall försöka få arbetstagarens samtycke till åtgärden. 
  
 5.4.4.9 
  
 Vid skälig misstanke om illojalitet 
  
 Som ett led i anställningsavtalet anses ingå ett krav på arbetstagaren att vara lojal mot arbetsgivaren. Med detta avses att arbetstagaren inte får vidta åtgärder som är ägnade att skada eller på annat sätt försvåra arbetsgivarens verksamhet. Vilka krav som är rimliga att ställa måste av naturliga skäl variera beroende bl.a. på den aktuella verksamhetens beskaffenhet, arbetsuppgifternas art, arbetstagarens ställning i företaget och om arbetstagaren på något sätt äventyrat något led i arbetsgivarens verksamhet. Som AD har uttalat 
 39  
 kan man självfallet inte med någon enkel formel beskriva vad som åvilar arbetstagaren i normalfallet, men en gemensam synpunkt på dennes förpliktelser har angivits vara att arbetstagaren är skyldig att sätta arbetsgivarens intresse framför sitt eget samt att undvika lägen, där han eller hon kan komma i en pliktkollision. 
 Om det finns skälig misstanke att en arbetstagare bryter mot lojalitetsplikten, t.ex. genom att bedriva konkurrerande verksamhet eller genom att sprida konfidentiell information, bör det vara befo- gat att arbetsgivaren har en möjlighet att ingripa. Även för sådana situationer ges därför en möjlighet för arbetsgivaren att ta del av privata elektroniska uppgifter. För att knyta tillämpningen av be- stämmelsen till arbetsrättslig praxis föreslås att bestämmelsen skall omfatta sådan illojalitet som kan medföra skadeståndsskyldighet eller utgöra saklig grund för uppsägning. 
  
 39  
 Se AD 1993 nr 18. 
 130 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 Beträffande begreppet skälig misstanke hänvisas till vad som anförts i närmast föregående stycke. 
 En lämplig ordning även i detta fall är enligt utredningens me- ning att arbetsgivaren i första hand skall försöka få arbetstagarens samtycke till åtgärden. 
  
 5.4.5 
  
 Förhållandet till andra författningar 
  
 5.4.5.1 
  
 Regeringsformen och Europakonventionen 
  
 Frågan är om den föreslagna bestämmelsen kan anses innehålla en sådan begränsning i enskildas fri- och rättigheter enligt 2 kap. 6 § RF som är tillåten endast om förutsättningarna i 2 kap. 12 § RF är uppfyllda. I avsnitt 5.4.2.3 ovan har konstaterats att 2 kap. 6 § inne- bär ett förbud för en offentlig arbetsgivare att ta del av en arbets- tagares privata  
 e-postmeddelanden 
  under tiden som meddelandet är under befordran. 
 Enligt utredningens mening innebär bestämmelsens första stycke att förbudet i 2 kap. 6 § upprätthålls och att det därför inte är fråga om någon begränsning i enskildas fri- och rättigheter. Liksom 2 kap. 6 § förbjuds aktivt undersökande från det allmännas sida. Den omständligheten att bestämmelsen inte hindrar att en arbetsgivare vid genomgång av  
 e-postmeddelanden 
  av misstag kan komma att ta del av privata uppgifter ger därför inte anledning till annan bedömning. 
 Tredje stycket däremot innebär en begränsning i enskildas fri- och rättigheter med hänsyn till att bestämmelsen under angivna förutsättningar tillåter att en arbetsgivare – medveten om att viss e- post är privat – ändå undersöker den med stöd av bestämmelsen. Enligt 2 kap. 12 § får rättigheterna i 2 kap. 6 § begränsas genom lag. Begränsning får göras endast för att tillgodose ändamål som är godtagbart i ett demokratiskt samhälle. Begränsningen får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar. Begränsningen får inte heller göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning. 
 I detta fall innebär begränsningen att skyddet i 2 kap. 6 § mot undersökning av arbetstagares brev eller annan förtrolig försändelse inskränks i vissa särskilt angivna undantagsfall där arbetsgivarens  
 IT-verktyg 
  har använts vid kommunikationen. Det måste beaktas 
 131 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 att syftet med begränsningen inte är att utgöra hinder mot viss kommunikation eller mot viss åsiktsbildning. Syftet är i stället att göra det möjligt för arbetsgivaren att tillgodose sina intressen när det gäller användningen av  
 IT-verktygen 
  och därmed att bedriva sin verksamhet. 
 Det nu anförda innebär enligt utredningens mening att de be- gränsningar i fri- och rättigheterna som bestämmelsen medför är godtagbara enligt 2 kap. 12 §. 
 Artikel 8 i Europakonventionen har en utformning som mot- svarar 2 kap. 6 och 12 §§ RF. Det ovan förda resonemanget om RF är enligt utredningens mening tillämpligt även på Europakonven- tionen och således är förslaget förenligt även med Europa- konventionen. 
  
 5.4.5.2 
  
 Tryckfrihetsförordningen och yttrandefrihetsgrundlagen 
  
 Vid sidan av bestämmelsen kommer det s.k. meddelar- och an- skaffarskyddet enligt TF och YGL att gälla, se ovan avsnitt 5.4.2.9. Vid tillämpning av bestämmelserna om meddelar- och anskaffar- frihet uppkommer problem som motsvarar vad som ovan disku- terats, nämligen att det på förhand kan vara svårt att avgöra om vissa uppgifter är sådana som omfattas av bestämmelserna. Säkert finns det därför betydande risker att en offentlig arbetsgivare vid hanteringen av uppgifter i  
 IT-systemet 
  oavsiktligt kan komma att ta del av meddelanden som skyddas av TF och YGL. Den före- slagna bestämmelsen i LIA påverkar emellertid inte tillämpningen av TF eller YGL och eventuella tillämpningssvårigheter beträffande dessa bestämmelser får övervägas i annat sammanhang. 
  
 5.4.5.3 
  
 Brottsbalken 
  
 Genom att bestämmelsen anger när det är olovligt för en arbets- givare att ta del av en arbetstagares privata elektroniska uppgifter kommer den att få betydelse för bedömningen av vad som kan anses som straffrättsligt olovligt. Som redovisats ovan i avsnitt 5.4.2.5 under rubriken Dataintrång, förutsätter brottet dataintrång enligt 4 kap. 9 c § BrB att någon olovligen bereder sig tillgång till upptagning för automatisk databehandling. Att bereda sig tillgång till en upptagning innefattar bl.a. att ta del av upptagningens inne- håll. Den föreslagna bestämmelsen kommer att definiera vad som skall anses olovligt i den situationen att en arbetsgivare tar del av en 
 132 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 arbetstagares privata elektroniska uppgifter. Vid bedömningen av om ett förfarande utgör dataintrång bör alltså åtgärder som är tillåtna i enlighet med den föreslagna bestämmelsen inte kunna an- ses som olovliga i straffrättsligt hänseende. På motsvarande sätt torde åtgärder i strid med bestämmelsen vara att betrakta som olovliga och därmed som ett straffbart dataintrång. 
 40 
  
 5.4.5.4 
  
 PUL 
  
 Som framgår i avsnitt 5.4.2.6, tillämpas PUL fullt ut på sådana åt- gärder som innebär att en arbetsgivare tar del av en arbetstagares privata elektroniska uppgifter. Av den föreslagna bestämmelsen framgår hur intresseavvägningen mellan arbetsgivarens och arbets- tagarnas respektive intressen skall göras och bestämmelsen innebär därmed en precisering av 10 § PUL. 3 § LIA är således i detta avse- ende en specialreglering i förhållande till PUL och skall därmed gälla framför PUL. I övrigt skall en arbetsgivare som behandlar personuppgifter om en arbetstagare genom att ta del av dennes privata elektroniska uppgifter följa vad som föreskrivs i PUL. 
 41 
  
 5.4.6 
  
 Förhållandet till dataskyddsdirektivet 
  
 Som framgår av närmast föregående avsnitt innebär den föreslagna bestämmelsen en precisering av 10 § PUL och därmed en precise- ring av direktivets artikel 7. Något hinder emot att i nationell lag- stiftning precisera artikeln finns inte. Preciseringarna innebär inte att det fria flödet av personuppgifter mellan medlemsstaterna hind- ras. Inte heller innebär de att skyddet för enskildas personliga integritet sänks i strid med direktivet. Således utgör direktivet inget hinder mot den föreslagna bestämmelsen. 
  
 5.5 
  
 Loggning 
  
 Praktiskt taget all informations- och kommunikationsteknik inne- fattar en möjlighet att logga användarnas aktiviteter. Det innebär att utformning och användning av loggar varierar mycket. Inom begreppet loggning faller därmed en stor mängd disparata funk- tioner som bara har det gemensamt att de automatiserat registrerar aktiviteter i en  
 IT-applikation. 
  Det är givet att det vid en analys av de rättsliga frågorna kring loggning innebär vissa svårigheter att 
  
 40 
  
 Jfr förhållandet mellan 44 § telelagen och 4 kap. 8 § BrB. 
  
 41 
  
 Se närmare redogörelsen i avsnitt 5.4.2.6. 
  
 133 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 göra en samlad redovisning av fall med så vitt skilda användnings- områden och så olika utformning som det här är fråga om. Att i stället försöka göra en systematisk uppdelning i t.ex. syften eller användningsområden för loggarna skulle emellertid också innebära vissa nackdelar. Bl.a. har många loggar flera möjliga användnings- områden, t.ex. såväl teknisk kontroll som kontroll av arbetstagares beteenden. Vidare måste beaktas att den tekniska utvecklingen innebär stora svårigheter att även för den närmaste framtiden för- utse hur loggning kan komma att utformas och användas. Mot denna bakgrund kommer i denna framställning alla former av logg- ning att behandlas gemensamt. Med loggning avses då all insamling av sådana elektroniska spår som innehåller information om aktivi- teter som har vidtagits av en fysisk person vid användning av en datoriserad tillämpning. Således kommer begreppet loggning här att avse så vitt skilda fall som relativt enkla loggar för teknisk över- vakning av nätverk, loggar i inpasseringssystem och loggar i avance- rade tillämpningar för prestationsmätning i exempelvis teletjänst- verksamhet. 
 Risker för integritetsintrång torde endast förekomma om upp- giften om viss aktivitet går att hänföra till en bestämd fysisk person och uppgiften således är en personuppgift i PUL:s mening. Reso- nemangen kommer därför i det följande att begränsas till situatio- ner där uppgifterna i loggarna utgör personuppgifter. Med hänsyn till att personuppgifter vid loggning alltid behandlas automatiserat är PUL tillämplig enligt 5 § PUL. Det kan därför redan här nämnas att PUL är fullt ut tillämplig i de fall som avses nedan. 
 En särskild fråga i detta sammanhang är när loggning av arbets- tagares arbetsinsatser får sådan omfattning att loggningen riskerar att negativt påverka arbetstagarens fysiska eller psykiska väl- befinnande. Som framgår nedan betraktar utredningen detta i första hand som en arbetsmiljöfråga, se nedan avsnitt 5.5.2.1. 
  
 5.5.1 
  
 Den rättsliga regleringen 
  
 5.5.1.1 
  
 Arbetsgivarens arbetsledningsrätt 
  
 Även när det gäller loggning är naturligtvis arbetsgivarens arbets- lednings- och kontrollrätt av betydelse för de kontroller en arbets- givare kan göra. 
 Arbetsledningsrätten ger som utgångspunkt arbetsgivaren en principiell rätt att bestämma när loggning skall ske. Av kontroll- 
 134 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 rätten torde följa att arbetsgivaren också som utgångspunkt har rätt att använda loggarna för att kontrollera enskilda arbetstagares bete- enden och prestationer. Att sådana kontroller inte får stå i strid med lag innebär bl.a. att arbetsgivaren vid behandlingen måste följa PUL och således ange ett särskilt och berättigat ändamål, att in- formera arbetstagarna om kontrollerna m.m. Av 9 § PUL följer som ett grundläggande krav att god sed måste iakttas vid all be- handling av personuppgifter. Detta torde innebära att kontroller inte får ske på ett sätt som innebär mycket närgången och om- fattande övervakning av arbetstagaren. 
  
 5.5.1.2 
  
 PUL 
  
 Såsom anförts ovan behandlas här endast loggning som omfattas av PUL:s bestämmelser. Det innebär att varje åtgärd som arbets- givaren företar med personuppgift i samband med loggning, dvs. insamling, bearbetning, användning m.m., måste uppfylla PUL:s krav. Med hänvisning till den stora variation som förekommer när det gäller loggning kan här inte lämnas en uttömmande redovisning av situationer där tillämpningen av PUL kan vålla problem. Inte heller eftersträvas någon fullständighet i redovisningen av PUL:s bestämmelser. I avsnittet skall i stället ges exempel på situationer där PUL kan antas vara särskilt betydelsefull i samband med logg- ning. I det följande kommer redogörelsen att utgå från att den personuppgiftsansvarige är en arbetsgivare. 
 Grundläggande krav på behandlingen 
 Som allmänna krav gäller att arbetsgivaren bara får behandla personuppgifter om det är lagligt samt om det sker på ett korrekt sätt och enligt god sed. Att behandlingen skall ske enligt god sed torde i detta sammanhang kunna innebära att man vid bedöm- ningen söker ledning i riktlinjer utarbetade av etablerade bransch- sammanslutningar eller hur andra ansvarsfulla arbetsgivare hanterar frågor om loggning. 
 Enligt 9 § PUL skall arbetsgivaren se till att personuppgifter samlas in bara för särskilda, uttryckligen angivna och berättigade ändamål. Dessa ändamål får sedan betydelse för den fortsatta behandlingen av personuppgifterna. Bl.a. får personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Det innebär dels att arbetsgivaren – redan 
 135 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 när en loggningsfunktion tas i bruk – uttryckligen måste ha angett ändamålen med denna, dels att arbetsgivaren är förhindrad att an- vända uppgifterna i loggen för andra (oförenliga) ändamål. Kravet att ändamålen skall vara särskilda innebär att dessa inte kan anges alltför allmänt, utan måste vara relativt detaljerade. Om ändamålet med en viss loggning har angetts vara för att kontrollera en tillämpnings tekniska funktion, innebär PUL ett förbud mot att använda uppgifterna exempelvis för att kontrollera arbetstagares prestationer. 
 Enligt 9 § krävs också att arbetsgivaren begränsar uppgifterna vid loggning till sådana som är adekvata och relevanta i förhållande till de angivna ändamålen. 
 Slutligen måste arbetsgivaren se till att insamlade uppgifter inte bevaras under längre tid än vad som är nödvändigt med hänsyn till ändamålet med loggningen. 
 Tillåten behandling 
 10 § PUL anger uttömmande när behandling av personuppgifter är tillåten. Först kan konstateras att ett frivilligt och informerat sam- tycke av arbetstagaren alltid medför att behandling av person- uppgifter är tillåten. Några begränsningar utöver vad som följer av 9 § PUL när det gäller vilka uppgifter som kan samlas in eller i övrigt behandlas vid loggning finns inte för en arbetsgivare som inhämtar samtycke från arbetstagarna. Även om samtycke inte har inhämtats får loggning ske enligt de i bestämmelsen närmare an- givna förutsättningarna. Ett grundläggande krav är att behand- lingen är nödvändig. I många fall där loggning sker för teknisk kontroll av viss tillämpning kan man ifrågasätta om vidtagna åt- gärder över huvud taget behöver kunna hänföras till enskild arbetstagare. 
 Arbetsgivare får behandla personuppgifter om arbetstagare om det är nödvändigt  
 för att fullgöra ett avtal  
 mellan parterna. I allmän- het torde loggning inte utgöra sådan behandling som är nödvändig för fullgörelse av anställningsavtalet. Det kan dock tänkas att ett avtal om resultatlön eller ett system med individuella ackord kan innebära att det är nödvändigt att behandla personuppgifter som samlats in genom loggning. 
 Att loggning skulle vara nödvändig för att  
 fullgöra en rättslig skyldighet  
 kan också förekomma. Som exempel kan nämnas att en myndighets särskilda skyldigheter beträffande inkomna handlingar 
 136 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 kan medföra att det är nödvändigt att logga t.ex. inkommande e- post på visst sätt. 
 Slutligen får personuppgifter behandlas efter en  
 intresse- avvägning  
 om arbetsgivarens berättigade intressen av behandlingen väger tyngre än arbetstagarens intresse av integritetsskydd. Denna bestämmelse torde komma att tillämpas i många fall vid bedömning av tillåtligheten av viss loggning. Bestämmelsen innebär att arbets- givaren för varje fall av loggning skall göra en avvägning mellan å ena sidan sina egna behov av loggningen och å andra sidan det in- trång i arbetstagarnas personliga integritet som denna medför. Arbetsgivarnas och arbetstagarnas respektive intressen har redo- visats ovan. Att närmare ange hur intresseavvägningen enligt PUL faller ut i enskilda fall är knappast möjligt. Generellt kan möjligen sägas att loggning som betingas av säkerhetsskäl i allmänhet väger tyngre än sådana som betingas av t.ex. företagsekonomiska effektivitetsskäl. 
 Känsliga personuppgifter 
 PUL innehåller i 13 § särskilda bestämmelser om behandling av känsliga personuppgifter. I detta sammanhang uppkommer frågan om insamling av personuppgifter genom loggning kan utgöra behandling av sådana känsliga personuppgifter som avses. Vid till- komsten av dataskyddsdirektivet och PUL tycks inte detta ha be- rörts. Uppgifter som samlas in vid loggning kan innehålla informa- tion t.ex. om kommunikation som skett mellan en arbetstagare och ett politiskt parti eller en religiös sammanslutning och torde där- med, åtminstone i speciella situationer, kunna innebära att upp- giften avslöjar arbetstagarens politiska uppfattning eller religiösa övertygelse. 
 Information 
 Det kan ifrågasättas om uppgifter som samlas in vid loggning är insamlade från arbetstagaren själv eller från annan. Datalags- kommittén har vid tillkomsten av PUL förutsatt att det i dessa fall rör sig om insamling som sker från den registrerade, dvs. från arbetstagaren, själv. I vissa fall, som t.ex. vid loggning av in- kommande  
 e-post, 
  är denna bedömning emellertid inte självklar. Arbetsgivarens skyldighet att informera om sådan insamling som sker skiljer sig emellertid inte särskilt mycket mellan de båda fallen. 
 137 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 I 23 § PUL finns de grundläggande reglerna om skyldigheter för arbetsgivare att självmant informera om behandling av person- uppgifter som samlas in från arbetstagaren själv och i 24 § finns motsvarande regler beträffande uppgifter som samlas in från annan. Enligt bestämmelserna skall information lämnas när uppgifterna samlas in respektive registreras. Om avsikten är att fortlöpande samla in uppgifter om en och samma person bör det enligt Datalagskommittén vara möjligt att lämna information bara en gång om det sker innan uppgifter samlas in eller registreras första gången. 
 42  
 Information skall då lämnas om bl.a. vilka kategorier av uppgifter som kommer att samlas in och behandlas. Datalags- kommittén framhåller också att det är viktigt att personer som an- vänder Internet, BBS:er eller liknande elektroniska tjänster får in- formation om vilken insamling av elektroniska spår som sker i loggar. 
 Den information som skall lämnas är enligt 25 § uppgift om den personuppgiftsansvariges – och dennes eventuella företrädares – identitet, ändamålet med behandlingen och all ytterligare informa- tion som är nödvändig för att tillförsäkra den registrerade en korrekt behandling. 
 Enligt 26 § är arbetsgivaren skyldig att på ansökan av arbets- tagare informera om bl.a. vilka uppgifter som behandlas, varifrån uppgifterna har hämtats och ändamålen med behandlingen. 
 Skyldighet att föra förteckning 
 Enligt 36 § är personuppgiftsansvariga skyldiga att – med vissa in- skränkningar – anmäla helt eller delvis automatiserad behandling till Datainspektionen. Med stöd av 6 § personuppgiftsförordningen har Datainspektionen föreskrivit att anmälningsskyldigheten inte gäller för behandling av personuppgifter som avser registrerade med sådan anknytning till den personuppgiftsansvarige som bl.a. följer av anställning under förutsättning att den personuppgifts- ansvarige själv för en förteckning över behandlingarna med de upp- gifter som annars skulle ha anmälts. 
 43  
 Undantaget gäller dock inte behandling av känsliga personuppgifter enligt 13 § PUL. 
 De uppgifter som en arbetsgivare enligt ovan är skyldig att föra en förteckning över (eller anmäla till Datainspektionen om det 
  
 42 
  
 Se SOU 1997:39 s. 384. 
  
 43 
  
 Se 5 § a) DIFS 1998:2 (ändrad genom 1999:3 och 2001:1). 
  
 138 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 gäller känsliga uppgifter) är enligt 6 § DIFS 1998:2 
 44 
  
 a) 
  
 den personuppgiftsansvariges namn, adress, telefonnummer och organisationsnummer, 
  
 b) 
  
 ändamålet eller ändamålen med behandlingen, 
  
 c) 
  
 en beskrivning av den eller de kategorier av registrerade som berörs av behandlingen, 
  
 d) 
  
 en beskrivning av de uppgifter eller kategorier av uppgifter som skall behandlas om de registrerade, 
  
 e) 
  
 uppgift om mottagarna eller de kategorier av mottagare till vilka uppgifterna kan komma att lämnas ut, 
  
 f) 
  
 upplysning om överföringar av uppgifter till tredje land, 
  
 g) 
  
 en allmän beskrivning av de åtgärder som har vidtagits för att trygga säkerheten i behandlingen. 
  
 Sanktioner 
 En arbetsgivare som behandlar arbetstagares personuppgifter i strid med PUL:s bestämmelser kan enligt 48 § bli skadeståndsskyldig gentemot arbetstagaren. Behandlingar som inte överensstämmer med PUL:s krav kan dessutom enligt 49 § vara straffbara. Enligt bestämmelsen är det straffbart för en personuppgiftsansvarig bl.a. att lämna osann uppgift i information till registrerade. 
  
 5.5.1.3 
  
 Arbetarskyddsstyrelsens föreskrifter om arbete vid bildskärm 
  
 Med stöd av arbetsmiljöförordningen (1977:1166) har arbetar- skyddsstyrelsen meddelat särskilda föreskrifter om arbete vid bild- skärm, AFS 1998:5. Av 10 § framgår bl.a. att kvantitativ eller kvalitativ kontroll av arbetstagarens arbetsinsats via datasystemet inte får göras utan dennes vetskap. Bestämmelsen är en implemen- tering av  
 EG-direktivet 
  90/270/EEG av den 29 maj 1990 om minimikrav för säkerhet och hälsa i arbete vid bildskärm. I Arbetar- skyddsstyrelsens allmänna råd om tillämpningen av föreskrifterna konstateras att sådan kontroll kan upplevas som integritets- kränkande och öka den psykiska belastningen i arbetet om den sker utan arbetstagarnas vetskap. Av de allmänna råden framgår också att det inte heller är förenligt med kraven på en god arbetsmiljö i psykiskt och socialt avseende att utnyttja datortekniken så att upp- 
  
 44  
 Ändrad genom DIFS 1999:3 och 2001:1 
 139 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 gifter om enskild anställd används på ett sätt som medför att den personliga integriteten kränks. 
 I begreppet kvantitativ eller kvalitativ kontroll torde ingå i prin- cip allt som har att göra med en arbetstagares arbetsinsats. Kontroll av uppgifter i en  
 e-post- 
  eller Internetlogg innefattar således en kvantitativ eller kvalitativ kontroll enligt bestämmelsen. 
 Ett sätt att informera arbetstagarna om kontroller är genom all- männa meddelanden, t.ex. i form av riktlinjer för datoranvändning. Sådan information kan emellertid behöva kompletteras för att säkerställa att alla grupper av arbetstagare verkligen får tillräcklig information. Vidare kan arbetstagarna behöva informeras särskilt inför en viss kontroll om arbetsgivaren i riktlinjerna har förbehållit sig en allmän rätt att kontrollera. 
 Den som bryter mot föreskriften kan med stöd av 8 kap. 2 § för- sta stycket andra punkten arbetsmiljölagen (1977:1160), jämförd med 19 § arbetsmiljöförordningen, dömas till böter. 
  
 5.5.2 
  
 Behovet av ytterligare rättslig reglering 
  
 Redovisningen ovan visar att principen om arbetsgivarens arbets- ledningsrätt innebär att rätten att kontrollera en arbetstagare be- gränsas med hänsyn till att kontroller inte får stå i strid med lag, god sed eller annars vara otillbörliga. Denna princip tillsammans med PUL:s bestämmelser innebär ett betydande skydd för arbets- tagarnas personliga integritet. Här kan särskilt framhållas arbets- givarens skyldighet att i förväg ange ett särskilt och berättigat ändamål, att se till att endast relevanta uppgifter behandlas och att behandlingen är tillåten enligt 10 §. Därmed ställs relativt stora krav på arbetsgivare som vill påbörja sådan loggning som innebär att personuppgifter om arbetstagare samlas in. Arbetsgivarens skyldighet att informera arbetstagarna om all förekommande be- handling av deras personuppgifter är också ett viktigt inslag i integritetsskyddet för arbetstagarna. Framför allt innebär den öppenhet som informationsskyldigheten medför att arbetstagarna kan kontrollera om förekommande loggning är tillåten, berättigad och även i övrigt utformad på ett lämpligt sätt. Här torde för övrigt arbetstagarorganisationerna kunna fylla en viktig kontrollerande funktion. 
 Något behov av att skärpa PUL:s bestämmelser finns därför inte enligt utredningens mening. Däremot finns det skäl att försöka 
 140 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 precisera den intresseavvägning som enligt 10 § PUL måste göras för att loggning skall vara tillåten utan att samtycke har lämnats. 
 När det gäller loggning som sker i sådan omfattning eller annars på sådant sätt att den påtagligt och negativt påverkar arbetstagarens fysiska eller mentala välbefinnande anser utredningen att detta inte i första hand är en integritetsfråga, utan en arbetsmiljöfråga som kan och bör lösas inom ramen för arbetsmiljölagstiftningen. Sådana frågor är enligt utredningens mening särskilt lämpade för reglering genom kollektivavtal. 
  
 5.5.2.1 
  
 Arbetstagares intresse av integritetsskydd 
  
 Sådan loggning som är aktuell här är sådan som har anknytning till ett anställningsförhållande. De personuppgifter som samlas in vid loggningen torde därmed i allt väsentligt röra aktiviteter med an- knytning till utförda arbetsuppgifter och torde därför i allmänhet inte ha ett integritetskänsligt innehåll. I denna bedömning ligger också att en arbetsgivare alltid måste ha en principiell rätt att kon- trollera hur arbetet utförs. Användningen av de insamlade upp- gifterna kan också påverka riskerna för integritetsintrång. Särskilt integritetskänslig kan sådan loggning vara som avser att ligga till grund för en bedömning av arbetstagares prestationer. 
 Emellertid kan även uppgifter av privat karaktär komma att be- handlas bl.a. när arbetstagaren använder arbetsgivarens utrustning för privata ändamål, t.ex. för att skicka privat  
 e-post 
  eller för annan privat Internetanvändning. Till skillnad från uppgifter som rör arbetstagarens arbetsuppgifter kan denna typ av uppgifter i sig vara integritetskänsliga. 
 Det anförda innebär att arbetstagares intresse av skydd för sin personliga integritet är särskilt påtagligt dels vid loggning som av- ser att bedöma arbetstagarnas prestationer, dels när loggningen innefattar uppgifter av privat karaktär. 
  
 5.5.2.2 
  
 Arbetsgivarens intresse av att logga arbetstagares aktiviteter 
  
 Arbetsgivarens intresse eller behov av att logga vissa aktiviteter varierar naturligtvis mycket beroende på olika faktorer, såsom t.ex. dennes verksamhet och utrustning. Att i detalj redogöra för de in- tressen av loggning som arbetsgivare kan ha i enskilda fall är därför svårt. Här nedan följer några exempel på situationer där arbets- 
 141 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 givare kan ha ett behov av att logga arbetstagarnas aktiviteter vid användning av  
 IT-verktyg. 
  
 Loggning används regelmässigt som underlag vid felsökning. Uppgifter i loggen kan ge besked om hur ett fel i en tillämpning har uppkommit och därmed om hur felet skall åtgärdas. Vidare kan loggning av aktiviteter t.ex. i ett nätverk användas för att bedöma om detta är riktigt dimensionerat och anledningarna till eventuella överbelastningar. Att ett nätverk varken är över- eller under- dimensionerat är betydelsefullt från kostnadssynpunkt. 
 Kommunikation i ett nätverk innebär alltid risker för att obe- höriga personer bereder sig tillgång till information eller andra resurser. Därför finns en mängd olika typer av verktyg för att be- gränsa åtkomsten till nätverket och därigenom skydda nätverket från obehöriga intrång. I de flesta nätverk förutsätts därför att in- loggning sker med särskilda användarnamn och lösenord. I sam- band med sådana kontroller registreras vilken användare (vilken användaridentitet) som loggat in sig på nätverket och vid vilken tid det skedde. Beroende på hur nätverket är uppbyggt och vilken information det innehåller kan vidare loggas andra åtgärder som användaren vidtar, exempelvis vilken information denne hämtar eller ändrar. Uppgifterna kan användas dels för att kontrollera och utreda obehöriga intrång eller försök till sådana, dels för att kon- trollera om en i och för sig behörig användare har berett sig tillgång till information som han eller hon inte haft rätt att ta del av. 
 Att logga arbetstagarnas  
 e-postanvändning 
  kan vara av betydelse för att arbetsgivaren skall kunna bilda sig en uppfattning om den korrespondens eller de kommunikationer i övrigt som förekommer i verksamheten. Särskilt kan det vara av betydelse att kontrollera att inkommande  
 e-post 
  når avsedd mottagare och att alla ärenden som inkommer med  
 e-post 
  åtgärdas på lämpligt sätt. Här kan särskilt nämnas kravet på offentliga arbetsgivare att registrera och diarie- föra inkommande allmänna handlingar. 
 Ett annat generellt intresse för arbetsgivare att logga arbets- tagares aktiviteter är vidare för att kontrollera om interna regler för användning av utrustningen efterlevs. Reglerna betingas ofta av arbetsgivarens behov av att åstadkomma en tillräcklig informationssäkerhet och kontroll av efterlevnaden kan därför vara mycket betydelsefull. 
 Härutöver finns en mängd situationer där arbetsgivarens verk- samhet eller speciella  
 IT-verktyg 
  medför möjligheter till och behov av andra och kanske mer avancerade former av loggning. I vissa 
 142 
  
 SOU 2002:18 
  
 Arbetstagarnas användning av informationsteknik 
  
 verksamheter där en stor del av arbetstagarnas arbete sker med hjälp av datoriserade funktioner såsom persondator och telefon finns möjlighet att genom loggning av arbetstagarnas aktiviteter använda kraftfulla verktyg för att mäta deras prestationer. Upp- gifterna kan sedan användas som underlag för bedömningar av bl.a. personalbehov, personalens behov av vidareutbildning eller för att fastställa bonus eller resultatlön. 
 Användningen av lokaliseringsuppgifter i t.ex. transportföretag kan vara av stor betydelse för arbetsgivaren med hänsyn till möjlig- heterna att utnyttja resurserna på ett effektivare sätt. Även av säkerhetsskäl kan sådana uppgifter vara värdefulla för att t.ex. kunna hjälpa en arbetstagare som blivit utsatt för brott eller råkat ut för en olycka. 
  
 5.5.3 
  
 Överväganden och förslag 
  
 Utredningens förslag:  
 En tillämpning av PUL:s bestämmelser tillgodoser på ett tillfredsställande sätt arbetstagares intresse av skydd för den personliga integriteten i samband med loggning. För att lyfta fram och tydliggöra detta skydd bör i LIA tas in en bestämmelse som hänvisar till PUL. 
 De situationer som avses här gäller loggning av arbetstagares aktiviteter på arbetsplatsen eller annars med arbetsgivarens utrust- ning. Det är naturligt att denna anknytning till anställningen får särskild betydelse vid utformningen av arbetstagarnas integritets- skydd i detta sammanhang. Utgångspunkten bör enligt utredning- ens mening vara den som allmänt gäller i arbetslivet, nämligen att det i arbetsgivarens arbetsledningsrätt ingår en rätt att i viss ut- sträckning utöva kontroll över arbetstagarna. Kontroller genom loggning utgör inget undantag härifrån. 
 Vidare måste beaktas att möjligheten till loggning är mycket viktig – och ibland oumbärlig – i olika sammanhang. Som exempel kan nämnas att loggning ofta är helt nödvändig för kontroll av den tekniska funktionen i olika informations- och kommunikations- system samt för en tillfredsställande informationssäkerhet. Möjlig- heterna att med  
 GPS-teknik 
  lokalisera bl.a. fordon utgör exempel på hur modern informations- och kommunikationsteknik i olika sammanhang kan utnyttjas för viktiga ändamål. Den tekniska ut- vecklingen på informations- och kommunikationsområdet är, så- som bl.a. påpekats i utredningens direktiv, av stor betydelse för den 
 143 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 ekonomiska tillväxten och samhällslivet i övrigt. Mot den bak- grunden är det viktigt att reglering som kan förändra förutsätt- ningarna för denna utveckling sker med stor försiktighet. 
 Det kan emellertid inte bortses från att möjligheten till loggning av aktiviteter i informations- och kommunikationssystem medför betydande risker för intrång i arbetstagares personliga integritet. Från integritetssynpunkt innebär loggning av arbetstagares aktivi- teter framför allt två problem. Det ena utgörs av den psykiska be- lastning det innebär att arbeta under sådana förhållanden att arbetstagaren kan få en känsla av att vara ständigt övervakad. Detta orsakas av att loggning i allmänhet pågår kontinuerligt och innebär att stora mängder information samlas in, men också av att sådana kontroller som sker med loggning i allmänhet sker utan arbets- tagarens vetskap. Det andra problemet orsakas av att loggnings- funktioner – naturligt nog – inte skiljer mellan aktiviteter som rör arbetsuppgifterna och sådana som rör privata förhållanden. Genom loggning riskerar därför att samlas in uppgifter om rent privata för- hållanden som inte bör omfattas av arbetsgivarens ovan beskrivna kontrollrätt. 
 En situation som behöver uppmärksammas särskilt är där arbets- givarens användning av uppgifter som samlats in genom loggning innefattar en möjlighet till kontroll av arbetstagares individuella prestationer. Med sådan kontroll måste överhuvudtaget avses an- vändning som, oavsett loggningens primära syfte, innebär en fak- tisk möjlighet för arbetsgivaren att bedöma det sätt på vilket arbetstagaren utför sina arbetsuppgifter. Det bör då sakna bety- delse om bedömningen görs utifrån kvantitativa eller kvalitativa kriterier. Som typexempel kan nämnas att insamlade uppgifter an- vänds för att utvärdera en arbetstagares arbetsinsats, vilket är van- ligt förekommande i bl.a. teletjänstverksamhet, eller för att ligga till grund för resultatlön eller bonus. Det får också anses innefatta kontroll av arbetstagares individuella prestationer när det utifrån insamlade uppgifter går att följa en arbetstagares fysiska vistelseort, såsom förekommer t.ex. beträffande chaufförer och väktare. Det är således inte fråga om kontroll av individuella prestationer om upp- gifterna avser grupper av arbetstagare, t.ex. statistikuppgifter för att bedöma behovet av bemanning eller andra resurser. Inte heller omfattas sådan kontroll av enstaka aktiviteter som sker t.ex. i sam- band med övervakningen av en tillämpnings tekniska funktion. För att det skall vara fråga om en bedömning av arbetstagares indivi- duella prestationer förutsätts alltså normalt att det sker en syste- 
 144 
 SOU 2002:18 Arbetstagarnas användning av informationsteknik 
 matisk genomgång, sammanställning eller bearbetning av enskilda uppgifter och det av sammanställningen går att dra slutsatser om arbetstagarens arbetsinsats. Om bearbetningen sker automatiserat eller manuellt saknar betydelse. 
 Formerna för kontroller av individuella prestationer, dvs. prestationsmätning, bör enligt utredningens mening lämpligen reg- leras i kollektivavtal. 
 Den ovan redovisade regleringen i PUL gäller naturligtvis även vid loggning som sker i direkt syfte att mäta arbetstagares presta- tioner. För sådant arbete som utförs vid bildskärm gäller även Arbetsmiljöverkets föreskrift om arbete vid bildskärm, enligt vilken kvantitativa eller kvalitativa kontroller av arbetstagaren inte får ske utan dennes vetskap.  
 45 
  
 Utredningen kan konstatera att genomgången av den nu gällande rättsliga regleringen i avsnitt 5.5.1 ovan visar att en tillämpning av PUL innebär ett betydande skydd för arbetstagarnas personliga integritet. Här kan särskilt framhållas arbetsgivarens skyldighet att i förväg ange ett särskilt och berättigat ändamål, att se till att endast relevanta uppgifter behandlas och att behandlingen är tillåten enligt 10 §. Det innebär att uppgifter som inte har någon betydelse för det angivna ändamålet, s.k. överskottsinformation, inte får be- handlas. Även det allmänna kravet att personuppgifter alltid skall behandlas enligt god sed innebär ett skydd mot oacceptabla be- handlingar. Därmed ställs enligt utredningens mening stora krav på arbetsgivare som vill påbörja sådan loggning som innebär att personuppgifter om arbetstagare samlas in. Arbetsgivarens skyldig- het att informera arbetstagarna om all förekommande behandling av deras personuppgifter är vidare ett viktigt inslag i integritets- skyddet för arbetstagarna. Dels undanröjer klar och fullständig information den känsla av osäkerhet och obehag som kan följa av att inte veta vilka uppgifter som samlas in och hur de behandlas. Dels innebär den öppenhet som informationsskyldigheten medför att arbetstagarna kan kontrollera om förekommande loggning är tillåten, berättigad och även i övrigt utformad på ett lämpligt sätt. Här bör arbetstagarorganisationerna kunna fylla en viktig funktion. Det bör också finnas stort utrymme för arbetsgivare och arbets- tagare att, med beaktande av förutsättningarna i olika verksam- heter, gemensamt utarbeta riktlinjer för hur loggning bör gå till. 
 Sammanfattningsvis innebär PUL:s regler enligt utredningens 
  
 45  
 Se avsnitt 5.5.1.3 ovan. 
 145 
  
 Arbetstagarnas användning av informationsteknik 
  
 SOU 2002:18 
  
 mening att arbetstagarnas intresse av skydd för den personliga integriteten tillgodoses på ett tillfredsställande sätt. Detta gäller även sådan loggning som innebär kontroll av arbetstagarnas individuella prestationer. Som konstaterats ovan är det knappast möjligt att utforma mer preciserade och konkretiserade regler när det gäller loggning. Utredningen föreslår mot denna bakgrund inte någon särreglering av denna fråga för arbetslivets område. Emeller- tid har det visat sig att det är viktigt att på arbetslivets område lyfta fram och tydliggöra att det finns ett integritetsskydd som gäller vid loggning i arbetslivet. LIA bör därför innehålla en hänvisning till PUL. Som framgått ovan är en stor del av PUL:s bestämmelser tillämpliga vid loggning. Hänvisningen bör därför inte göras till enskilda bestämmelser, utan i stället avse PUL i dess helhet. Hänvisningen till PUL:s bestämmelser i övrigt är en erinran om de relativt omfattande skyldigheter som arbetsgivaren har enligt PUL och som har beskrivits ovan. 
 Med hjälp av uppgifter som samlats in genom loggning kan en arbetsgivare upptäcka om en arbetstagare bryter mot ordnings- föreskrifter eller på annat sätt gör sig skyldig till missbruk av an- ställningen. Således kan upptäckas t.ex. att en arbetstagare laddar ner pornografi från Internet eller att en chaufför avviker från en på förhand bestämd rutt. Vad som kan bedömas som misskötsamhet måste avgöras i varje enskilt fall. Som anförts ovan ligger det inom ramen för arbetsgivarens arbetsledningsrätt att bestämma hur arbetet skall utföras och hur tillgängliga resurser skall användas. I sista hand är det därmed arbetsgivaren som har att avgöra bl.a. i vilken mån privat användning av datorutrustning får ske. Till led- ning vid bedömningen av om ett visst beteende utgör missköt- samhet bör interna riktlinjer eller lokala kollektivavtal kunna vara av stor betydelse. Det bör därmed ligga såväl i arbetsgivarens som arbetstagarnas intresse att det utarbetas riktlinjer som så tydligt som möjligt anger vilka beteenden som är tillåtna respektive otillåtna. Utredningen föreslår således ingen reglering av vad som utgör misskötsamhet och vilka åtgärder en arbetsgivare kan vidta med anledning härav, utan dessa frågor får avgöras inom ramen för arbetsrätten. 
 146 
  
 6 
  
 Personuppgifter om hälsa och droganvändning 
  
 6.1 
  
 Inledning 
  
 I de flesta verksamheter kan arbetsgivare ha flera berättigade intressen av att behandla personuppgifter om hälsotillståndet hos en arbetstagare, och med arbetstagare avses fortsättningsvis i förekommande fall även arbetssökande. Det kan t.ex. röra sig om behandling av personuppgifter som syftar till att trygga säkerheten på arbetsplatsen eller behandling som syftar till att fullgöra administrativa skyldigheter gentemot arbetstagaren eller annan. Också behandling av personuppgifter om arbetstagarens drog- användning kan motiveras av olika berättigade intressen som liknar de just nämnda. 
 Att arbetsgivaren är tillåten att behandla uppgifter om t.ex. arbetstagarens hälsotillstånd kan innebära en risk för att arbets- tagarens personliga integritet kränks. Arbetsgivarens intressen av att behandla de här aktuella personuppgifterna kan alltså skapa intressekonflikter. 
 Den kränkning som kan uppstå i samband med behandling av hälsouppgifter kan bestå däri att arbetsgivaren får del av sådan information om arbetstagaren som arbetstagaren inte vill skall komma till någons kännedom. Kränkningen kan också bestå i att arbetstagaren fråntas kontrollen över personuppgifterna genom att arbetstagaren inte får ha insyn i eller ges information om behandlingen. Arbetstagaren kan i sådana fall inte kontrollera att de personuppgifter om t.ex. hälsa som behandlas är korrekta och aktuella eller att inte fler uppgifter än som är nödvändigt tas med vid behandlingen. Ett annat kränkande moment kan vara att arbetsgivaren behandlar uppgifter på ett sätt som gör att det är lätt för andra än arbetstagaren själv att ta del av uppgifterna och sprida dem vidare. En arbetssökande kan dessutom komma att kränkas genom att han eller hon känner sig tvingad att låta arbetsgivaren 
 147 
  
 Personuppgifter om hälsa och droganvändning 
  
 SOU 2002:18 
  
 behandla personuppgifter om t.ex. hälsa som arbetssökanden i en annan situationen inte skulle ha lämnat ut. 
 För att dels tillvarata arbetstagarens intresse av kontroll över uppgifterna om den egna personen, dels kunna tillgodose arbets- givarens intresse av att i vissa fall vara tillåten att behandla arbets- tagarens personuppgifter måste utformningen av ett integritets- skydd innefatta en avvägning mellan arbetstagarens och arbets- givarens respektive intressen. Avvägningen kompliceras av att även andra faktorer och intressen måste beaktas. För arbetstagarens del spelar också frågor om hur arbetsgivaren rent praktiskt går till väga när uppgifterna hämtas in, t.ex. vid olika tester, en viktig roll. Arbetstagarens intresse av att undersökningar och tester sker på ett korrekt och tillförlitligt sätt har blivit allt viktigare bl.a. eftersom arbetsgivarens möjligheter att direkt på arbetsplatsen på ett billigt, enkelt och snabbt sätt drogtesta arbetstagare ökat. Dessutom måste beaktas allmänhetens och övriga arbetstagares intresse för personlig säkerhet och säkerheten för miljön. 
 Redan här bör påpekas att vissa av de intressen som arbets- givaren kan ha av att behandla personuppgifter om hälsa och droganvändning överensstämmer med de skyldigheter som en arbetsgivare har att iaktta enligt arbetsmiljölagstiftningen. I frågor om hälsoundersökningar kompletteras arbetsmiljölagen av Arbets- miljöverkets föreskrifter som utfärdats efter bemyndigande i arbetsmiljöförordningen. Föreskrifterna, som har tillkommit för att skydda arbetstagaren mot hälsorisker och således tillgodoser ett starkt intresse hos arbetstagaren, strider enligt utredningens uppfattning inte mot LIA. 
 Arbetsgivarens befogenhet att samla in personuppgifter om arbetstagarens hälsa och droganvändning har i vissa fall ansetts ingå i arbetsgivarens rätt att leda och fördela arbetet. Enligt Arbets- domstolens praxis är det då nödvändigt att göra en avvägning mellan arbetsgivarens intresse av kontrollen och arbetstagarens rätt till personlig integritet. 
 1 
  
 Den beskrivna integritetsproblematiken består alltså av flera frågor som i dag endast delvis regleras i olika lagar och förord- ningar. Detta gör den rättsliga regleringen svåröverskådlig. Vid en närmare granskning kan bestämmelserna enligt utredningen delas upp i två huvuddelar, nämligen i vilka fall personuppgifter om arbetstagarens hälsa och droganvändning får behandlas samt hur 
  
 1  
 Se bl.a. AD 1997 nr 29, 1998 nr 97 och 2001 nr 3. 
 148 
  
 SOU 2002:18 
  
 Personuppgifter om hälsa och droganvändning 
  
 arbetsgivaren får gå till väga för att hämta in uppgifterna. För att klargöra vilket skydd för den personliga integriteten som den i dag gällande rättsliga regleringen garanterar arbetstagaren kommer utredningen att redovisa dessa frågor var för sig. 
 De följande avsnitten i detta kapitel innehåller dels en bakgrund för analysen av de rättsliga problem som kortfattat beskrivits här, dels de överväganden och förslag som avvägningarna leder fram till. 
  
 6.1.1 
  
 Vad avses med personuppgifter om hälsa och personuppgifter om droganvändning? 
  
 Begreppet  
 personuppgifter om hälsa  
 används i LIA som ett samlings- begrepp för samtliga personuppgifter som rör arbetstagarens hälso- tillstånd. Det är emellertid inte bara uppgifter om arbetstagarens sjukdom eller bristande hälsa som omfattas utan också uppgifter om arbetstagarens hälsa i övrigt som t.ex. ett konstaterande av att arbetstagaren är fullt frisk eller gravid. Begreppet omfattar också samtliga uppgifter om arbetstagarens tidigare och framtida hälso- tillstånd. Därigenom omfattar LIA exempelvis uppgifter om arbetstagarens tidigare sjukdomar och uppgifter om risker för framtida sjukdomstillstånd. Att personuppgifter om hälsa ges denna innebörd medför att behandling av en dokumenterad uppgift om huruvida en arbetssökande planerar att bli gravid omfattas av LIA:s bestämmelser. Slutligen omfattas också uppgifter om huruvida och i vilken omfattning arbetstagaren utnyttjat eller planerar att utnyttja försäkringsförmåner som är beroende av arbetstagarens hälsotillstånd, som t.ex. sjukledighet eller föräldraledighet. 
 I LIA:s bestämmelser används också begreppet  
 personuppgifter om droganvändning 
 . Även detta begrepp används som ett samlingsbegrepp för en rad olika uppgifter. Först och främst kan konstateras att utredningen med begreppet  
 droganvändning  
 menar allt bruk av droger. I begreppet innefattas såväl användningen som den påverkan som följer av användningen. Begreppsbestämningen innebär att det i LIA inte görs någon åtskillnad på missbruk av sjukdomskaraktär och de fall där missbruket inte är av sådan karaktär eller där bruket är legitimt, t.ex. vid användning av ordinerade läkemedel. Med  
 drog  
 avses såväl alkohol, narkotika som dopningsmedel. Med narkotika förstås de preparat som enligt narkotikastrafflagen (1968:64) anses vara narkotika, vilket även innefattar vissa läkemedel, och med dopningsmedel förstås de 
 149 
  
 Personuppgifter om hälsa och droganvändning 
  
 SOU 2002:18 
  
 preparat som faller in under lagen (1991:1969) om förbud mot vissa dopningsmedel. Utredningens definition av begreppet drog utesluter uppgifter om arbetstagarens användning av tobak, som alltså inte kommer att omfattas av LIA:s bestämmelser. 
  
 6.2 
  
 Medicinska utgångspunkter 
  
 För att förstå den rättsliga problematik som kan uppkomma vid ett integritetsresonemang kring olika slags undersökningar och tester samt undersökningarnas och testernas tillförlitlighet behövs en beskrivning av de undersökningar och tester som i dag är vanligast förekommande inom arbetslivet. I detta sammanhang finns varken möjlighet eller anledning till mer detaljerade beskrivningar av de olika förfarandenas utformning och funktion, eftersom avsikten bara är att ge en bakgrund till den rättsliga analysen. För att klargöra vilka faktorer som påverkar de här beskrivna drogtesternas tillförlitlighet innehåller detta avsnitt också en redogörelse för ett kvalitetssäkringssystem för denna typ av provtagning som tagits fram inom ramen för SWEDAC. 
 2 
  
 I detta sammanhang bör också nämnas att det för närvarande på- går ett europeiskt samarbete med utarbetande av riktlinjer, European Laboratory Guidelines for Workplace Drug Testing, som bl.a. tar sikte på de rent praktiska detaljerna vid genomförandet av provtagning inom arbetslivet. 
  
 6.2.1 
  
 Hälsoundersökningar av medicinska skäl och säkerhetsskäl 
  
 Hälsoundersökningar av medicinska skäl kan vara motiverade vid vissa arbeten där skada eller sjukdom inte är möjliga att förebygga genom åtgärder i arbetsmiljön. 
 Hälsoundersökningar för att förebygga skada eller sjukdom till följd av förhållanden i arbetsmiljön kan vara motiverade där arbetet till sin natur är sådant att det ställer stora krav på arbetstagarens fysiska arbetsförmåga. De kan också vara motiverade av någon skadlig faktor i arbetsmiljön som t.ex. kemiska ämnen, strålning, buller eller vibrationer. Exempel på sådana hälsoundersökningar är 
  
 2  
 SWEDAC, Styrelsen för ackreditering och teknisk kontroll, är en statlig myndighet som sorterar under Utrikesdepartementet och som har både en myndighetsutövande roll och en rent uppdragsbaserad verksamhet. SWEDAC:s huvuduppgift är att verka som nationellt ackrediteringsorgan. 
 150 
  
 SOU 2002:18 
  
 Personuppgifter om hälsa och droganvändning 
  
 hjärt/lungundersökning, analys av giftiga ämnen i blod eller urin och hörselkontroller. Undersökningar motiverade av sådana risker som anses vara av stor betydelse regleras normalt i föreskrifter från Arbetsmiljöverket eller, när det gäller strålning, Statens Strålskyddsinstitut. 
 Hälsoundersökningar av säkerhetsskäl kan gälla fordonsförare eller maskinoperatörer och omfatta syn- och hörselkontroller samt tillstånd som ger medvetande- eller koncentrationsrubbningar. En annan grupp som omfattas av sådana kontroller är livsmedels- arbetare. Hälsoundersökningar kan i dessa fall gälla provtagningar avseende sjukdomsframkallande mikroorganismer. Även när det gäller undersökningar motiverade av säkerhetsskäl finns det föreskrifter från flera myndigheter. 
 Hälsoundersökningar kan också behöva göras av enskilda arbetstagare som kan utsättas för särskilda risker genom att de har funktionshinder p.g.a. handikapp, sjukdom eller annan nedsättning i funktionsförmågan. Undersökningen syftar då till att ge underlag för en bedömning av om den enskilde anställde kan anlitas till den aktuella arbetsuppgiften utan särskild risk för skada eller sjukdom. Även här gäller självfallet principen om att det i första hand är arbetsmiljön som skall anpassas. Undersökningen kan därvid an- vändas för att bedöma vilka åtgärder för att anpassa arbets- förhållandena som kan behöva vidtas i relation till arbetstagarens förutsättningar. 
 För att hälsoundersökningar i arbetsmiljön skall fylla avsedd funktion är det angeläget att de planeras och genomförs av medicinsk personal som har god kännedom om den undersöktes arbetsmiljö och de risker som den kan föranleda. På det sättet kan de medicinska resultaten sättas i relation till arbetsförhållandena och möjliggöra en rättvisande bedömning av eventuella risker för den undersökte eller omgivningen. En sådan medicinsk kompetens finns normalt hos den företagshälsovård som uppfyller kraven i arbetsmiljölagstiftningen. 
  
 6.2.2 
  
 Narkotikatester 
  
 Det vanligaste sättet att genomföra ett narkotikatest i arbetslivet är att den enskilde lämnar ett urinprov som sedan analyseras vid ett s.k. immunologiskt test. De immunologiska testerna ger snabbt besked samtidigt som de är relativt billiga. Provresultatet utfaller antingen positivt eller negativt beroende på om mängden av de 
 151 
  
 Personuppgifter om hälsa och droganvändning 
  
 SOU 2002:18 
  
 substanser som testas i urinen överstiger en bestämd nivå  
 (cut-off 
  nivå). 
 De immunologiska testerna görs av rättssäkerhetsskäl i två steg, där det första steget består av ett s.k. screeningtest med enkel immunologisk teknik. Utvisar detta ett negativt resultat görs inga fortsatta analyser. 
 Om screeningtestet är positivt skall en bekräftande analys utföras. Denna görs med användande av en annan, mycket tillförlitlig metodik, som är väsentligt dyrare än screeningtestet. Innan ett provsvar från ett immunologiskt test definitivt klassas som positivt skall det normalt underkastas granskning av en läkare med särskild kompetens en s.k. MRO (Medical Review Officer), för att utesluta alternativa förklaringar, som t.ex. sjukdom, medicinering eller genetiska faktorer, till provutfallet. 
 Ett negativt prov i det första steget betraktas normalt som slutresultat, medan ett positivt provsvar från ett immunologiskt test inte ensamt kan ligga till grund för en bedömning av slutresultatet. 
 Sammanfattningsvis kan sägas att en riktig användning av de arbetsplatsprover som redovisats här innebär ett säkert sätt att analysera förekomsten av narkotiska preparat hos en enskild. Här bör påpekas att falska provsvar, såväl positiva som negativa, kan förekomma i relativt stor omfattning i det första ledet av testerna och att det därför är en förutsättning att samtliga positiva provsvar genomgår båda de här beskrivna analyserna. 
  
 6.2.3 
  
 Alkoholtester 
  
 Alkoholtester kan baseras på utandningsluft, urin- eller blodprov. Ett utandningsprov visar alkoholhalten i utandningsluften, 
 vilken normalt speglar etanolhalten i blodet. För att på detta sätt kontrollera alkoholintag krävs särskilda mätinstrument som finns i en rad olika utföranden och de mätningar som görs har varierande tillförlitlighet. Av det stora flertalet av de alkoholpolicys som utredningen har fått ta del av framgår att alkoholtest genom utandningsprov är ett av de första stegen som vidtas vid misstanke om att någon är onykter på arbetsplatsen. 
 Urin- och blodprover kan testas för den direkta förekomsten av etanol i proverna. Denna typ av alkoholtest analyseras vid kliniskt kemiska laboratorier. 
 152 
  
 SOU 2002:18 
  
 Personuppgifter om hälsa och droganvändning 
  
 I stället för att påvisa etanol i provmaterialet kan man i urin eller blod analysera olika markörer för tidigare alkoholintag. Genom metoden  
 5-HTOL, 
  som baseras på urinprov, går det att påvisa ett tidigare alkoholintag upp till något dygn efter tillnyktringen. Metoden har ännu inte hunnit bli en klinisk rutinmetod, men finns etablerad på några större laboratorier. 
 Av stort värde i diagnostik av regelbunden högkonsumtion av alkohol är analyser som reagerar på några veckors högkonsumtion. Ett sådant prov är CDT (kolhydratfattigt transferrin) som är en analys baserad på blodprov. CDT mäter den ackumulerade effekten av en regelbunden alkoholkonsumtion som överstiger cirka 60 gram alkohol per dag under några veckor, vilket motsvarar en konsumtion av knappt en flaska vin om dagen. Sensitiviteten för att upptäcka en sådan alkoholkonsumtion är rapporterad till mellan  
 50–80 
  %. Specificiteten är så hög som 90 %. Falska positiva värden förekommer vid vissa leversjukdomar som inte är alkoholrelaterade och hos en mycket liten del av befolkningen med en särskild ärftlig störning i ämnesomsättningen. Också graviditet kan leda till förhöjda värden. Efter att ha uteslutit dessa tillstånd kan man betrakta ett positivt svar som en nästan säker indikator på överkonsumtion av alkohol. 
 Det finns också ett antal andra markörer som används för att påvisa kroniskt alkoholintag. Dessa utgörs främst av GGT (gammaglutamyltransferas), ASAT  
 (aspartat-aminotransferas), 
  ALAT  
 (alanin-aminotransferas) 
  och MCV (mean corpocular volume). Samtliga dessa markörer, som analyseras ur blodprover, ger utslag på vävnadsskada eller annan sjukdomspåverkan som kan bero på en skadligt hög alkoholkonsumtion. De kan dock ge utslag för en rad andra tillstånd och ger många både falskt positiva och falskt negativa resultat. Användbarheten av GGT är bättre vid uppföljning av behandlingsresultatet för konstaterade alkoholister. GGT mäts med fördel en gång i månaden. Genom att kombinera GGT och CDT ökar möjligheten att upptäcka alkoholmissbruk, eftersom dessa tester ger utslag via helt olika mekanismer. 
 Sammanfattningsvis kan sägas att det finns goda möjligheter att analysera akut alkoholpåverkan genom bestämning av alkohol i utandningsluft, urin och blod. Vid bedömning av om det föreligger kronisk överkonsumtion är det mer problematiskt. En kombina- tion av CDT och GGT ger störst möjlighet till att upptäcka miss- bruk. Det bästa resultatet erhålls emellertid vid en kombination av laboratorieanalyser, samtal och klinisk undersökning av patienten. 
 153 
  
 Personuppgifter om hälsa och droganvändning 
  
 SOU 2002:18 
  
 6.2.4 
  
 Dopningstester 
  
 Dopningsmedel kan spåras i urinprov som analyseras vid laboratorium. Analysen kräver en avancerad och tillförlitlig, men dyr metodik  
 (Osborn). 
  De laboratorietester som utförs tar endast sikte på förekomsten av anabola steroider. 
 Enligt uppgift från Huddinge sjukhus, dopingjouren, kan det också förekomma tester som saluförs på Internet och som kan genomföras på arbetsplatsen. 
  
 6.2.5 
  
 SWEDAC:s kvalitetssäkringssystem 
  
 En viktig förutsättning för tillförlitligheten i drogtestning är att alla de personer som utför de olika momenten från provtagning till analys och återförande av resultat har kunskap och kompetens på området. En annan viktig förutsättning är att hela säkerhetskedjan  
 (chain-of-custody) 
  från provtagning till återförande är under kontroll och kvalitetssäkrad. Viktiga omständigheter vid kontroll är bl.a. verifikation av positiva resultat med hjälp av mer kvalificerad metodik och slutlig bedömning av MRO. 
 En avgörande princip för tillförlitligheten i positiva resultat är att de genomgått två analyssteg på laboratoriet. Det är i detta sammanhang viktigt att påpeka att det första steget i analysen, dvs. screeningen, har en osäkerhet på cirka  
 5–10 
  % vilket innebär att vart tionde resultat kan vara falskt positivt även om provtagningen och screening utförs på ett korrekt sätt. Negativa resultat i screening skall betraktas som definitiva medan positiva resultat skall vara preliminära och genomgå en mer kvalificerad analys- metod för att verifiera att resultatet är korrekt. Den verifierande analysen kan endast utföras på ett speciallaboratorium, medan screening också kan utföras med enklare instrument och med snabbtester. SWEDAC har sedan flera år tillbaka erfarenhet och kompetens för att bedöma och ackreditera denna typ av laboratorieverksamhet. Ackrediteringskraven omfattar speciella krav på tester inom arbetslivet. 
 För prover som tas i rent kontrollsyfte, t.ex. arbetsplatsprover, och där det inte föreligger något känt missbruk, måste ställas särskilt höga krav på tillförlitligheten för att undvika att oskyldiga drabbas. Systemet och rutinerna måste kunna hantera en situation där en individ, som anser sig oskyldigt utpekad, får en rättvis behandling. Det måste vid sådana tillfällen säkerställas att en 
 154 
  
 SOU 2002:18 
  
 Personuppgifter om hälsa och droganvändning 
  
 detaljerad redovisning av fallet kan ske, t.ex. i samband med en efterföljande rättslig prövning. En viktig uppgift i detta samman- hang har MRO:n, som har till uppgift att i varje enskilt positivt fall kontrollera att säkerhetskedjan är intakt och t.ex. begära kompletterande analys av  
 B-provet. 
  
 Vid behandlingsarbete där det är klarlagt att det är fråga om ett missbruk tas prov ofta på misstanke eller för att dokumentera behandlingsföljsamhet och då kommer resultatet från missbruks- analysen att ställas i ett annat kliniskt sammanhang. I vissa fall kan det i en behandlingssituation finnas behov av ett omedelbart resultat varför den första preliminära drogtester utförs med ett enkelt snabbtest. Det finns anledning att även kvalitetssäkra denna testning och reglera när behovet av snabbt resultat kan anses upp- väga en sämre tillförlitlighet. Baserat på det etablerade europeiska kontrollsystemet kan krav ställas på att den personal som skall utföra denne provtagning med eventuellt efterföljande snabbtest är kompetensprövade – personcertifierade – för denna uppgift. Detta innebär att en person som certifierats måste visa att man har rele- vant kunskap och kompetens. När personen som kompetensprövas uppfyller ställda krav utfärdas ett certifikat som är personligt och gäller under en fastställd tid. 
 Kompetensprövning skall utföras av ackrediterade certifierings- organ som i sin tur kompetensprövas och godkänns av SWEDAC eller motsvarande anmält organ inom EU. Certifieringsorganen måste ha resurser och kompetens för att examinera och certifiera personal som gör provtagningar ute på olika företag. Ett certifieringsorgan har därför krav på sig att ha tillgång till experter inom aktuella områden, t.ex. från speciallaboratorier för drog- testning. Certifieringsorganen utför certifiering mot en krav- specifikation som utarbetas av experter på området. Kravspecifika- tionen kommer också att vara vägledande för de utbildningar som eventuellt kommer att ges på marknaden. Den examinering som certifieringsorganet genomför inför personcertifieringen kan bestå av en skriftlig eller muntlig tentamen och praktiska prov. En certifiering gäller i högst fem år. Under tiden skall certifierings- organet försäkra sig om att certifikatsinnehavaren upprätthåller sin kompetens. Detta kan ske på olika sätt, t.ex. genom besvarande av frågor. Efter högst fem år genomförs en fullständig examinering. För tillfället tillämpas den nu beskrivna metoden på en rad olika områden. 
 155 
  
 Personuppgifter om hälsa och droganvändning 
  
 SOU 2002:18 
  
 Genom det här förordade förfarandet etableras ett system för säkring av kvalitet baserat på internationell standard, som enligt SWEDAC:s uppfattning är en förutsättning för att uppfylla basala krav på säkerhet och integritet för de enskilda. 
  
 6.2.6 
  
 Betänkandet om Medicinska undersökningar i arbetslivet 
  
 Frågan om undersökningar och tester har tidigare behandlats i utredningssammanhang. Av störst intresse är betänkandet Medicinska undersökningar i arbetslivet (SOU 1996:63). De delar av utredningens överväganden och förslag som här kan vara av betydelse kan sammanfattas enligt följande. 
 Under utredningsarbetet genomfördes en enkätundersökning för att klarlägga förekomsten av olika hälsoundersökningar och narkotikatester, såväl i samband med anställning som under pågående anställning. Kartläggningen visade att det bara var ett mindre antal sökanden som inte fått en viss sökt anställning på grund av resultatet av de medicinska undersökningarna och att få anställda blivit uppsagda på grund av de resultat som framkom. Vidare utvisade enkäten att det relativt sett var ganska få arbets- givare som ställde krav på narkotikatester. Resultatet av enkäten lades till grund för flera av de slutsatser som utredningen presen- terade. I flera av de särskilda yttrandena kritiserades emellertid såväl uppläggningen och genomförandet som tolkningen av enkätundersökningen. 
 Beträffande medicinska undersökningar i samband med ett anställningsförfarande konstaterade utredningen att det inte fanns något som talade för att arbetsgivare använde medicinska under- sökningar som sorteringsverktyg. Inte heller hade det framkommit att medicinska undersökningar medfört en utslagning av vissa grupper av enskilda från arbetslivet. Huvudsakligen på grund härav fann utredningen det inte vara påkallat att föreslå en lagreglering i denna del. Utredningen gjorde samma bedömning i fråga om medicinska undersökningar som utfördes under ett pågående anställningsförhållande. 
 I fråga om narkotikatester anförde utredningen att det rådde en stor och bred enighet om att det var nödvändigt att ha narkotikafria arbetsplatser. Utredningen fann det emellertid inte påkallat att föreslå en lagreglering av frågan. I stället kunde problemet med narkotikatester lösas av arbetsmarknadens parter. 
 156 
  
 SOU 2002:18 
  
 Personuppgifter om hälsa och droganvändning 
  
 Utredningen underströk dock att ålagda narkotikatester i samband med ett anställningsförfarande skulle vara i samklang med sam- hällets värderingar och stå i överensstämmelse med god sed på arbetsmarknaden. Vidare skulle testerna utföras på ett godtagbart sätt och vara av god kvalitet. Vad gällde narkotikatester under ett anställningsförhållande skulle dessutom kvalificerade omständlig- heter föreligga för att sådana tester skulle anses stå i överens- stämmelse med god sed på arbetsmarknaden. Dessa tester skulle utföras på samma sätt och ha samma kvalitet som testerna i samband med ett anställningsförfarande. På arbetsplatser där dessa tester avsågs att användas borde det finnas en av arbetsgivare och arbetstagare gemensamt framtagen skriftlig narkotikapolicy med handlingsprogram. 
 I fråga om dokumentering av uppgifter som kommit fram vid en undersökning anförde utredningen att sådana uppgifter skulle journalföras enligt bestämmelserna i patientjournallagen. I lagen regleras även hur man skall förfara när verksamheten upphört. Någon ändring av lagen erfordrades följaktligen inte. 
 Vad slutligen gällde frågan om tystnadsplikt konstaterade utredningen att den tystnadsplikt som gällde för enskildas personliga förhållanden inom såväl den allmänna som den enskilda hälso- och sjukvården var mycket stark. Det fanns därför inget skäl att ytterligare stärka tystnadsplikten för de uppgifter som framkom vid medicinska undersökningar i arbetslivet. Däremot borde personalen vid företagshälsovården eller på andra ställen där medicinska undersökningar genomfördes erinras om sin skyldighet att iaktta stor restriktivitet vid utlämnande av uppgifter till en arbetsgivare. 
 Av arbetsmiljöförordningen och Arbetsmiljöverkets föreskrifter framgick att det skulle föras vissa register över företagna medicinska undersökningar av de anställda. Däremot fanns det inte någon författningsreglerad tystnadsplikt för uppgifter i dessa register. Detta ansåg utredningen vara en brist. Utredningen ansåg därför att de register som nämns i 3 § arbetsmiljöförordningen och som innehöll uppgifter om en enskilds hälsotillstånd skulle hanteras och förvaras så att obehöriga inte fick tillgång till dem. 
 157 
  
 Personuppgifter om hälsa och droganvändning 
  
 SOU 2002:18 
  
 6.3 
  
 Den rättsliga regleringen 
  
 6.3.1 
  
 Regler för arbetsgivarens behandling av personuppgifter om hälsa eller droganvändning 
  
 6.3.1.1 
  
 PUL 
  
 Grundläggande krav på behandlingen 
 För arbetsgivarens behandling av personuppgifter om arbetstagares hälsa eller droganvändning krävs att de grundläggande kraven på behandlingen enligt 9 § skall vara uppfyllda för att behandlingen skall vara tillåten. 
 I 9 § sägs inledningsvis att arbetsgivaren bara får behandla arbetstagarens personuppgifter om det är lagligt samt om det sker på ett korrekt sätt och enligt god sed. De sistnämnda kraven kan t.ex. vid behandling av uppgifter om en arbetstagares droganvänd- ning vara uppfyllda om arbetsgivaren följer en på arbetsplatsen gemensamt utarbetad policy. 
 Enligt 9 § skall arbetsgivaren också se till att personuppgifter samlas in bara för särskilda, uttryckligen angivna och berättigade ändamål. Kravet på att ändamålen skall vara särskilda innebär att dessa inte får vara alltför allmänt hållna, utan att arbetsgivarens beskrivning måste vara relativt detaljerad. Vad som är att anse som berättigat framgår inte närmare av PUL eller lagens förarbeten. 
 Sedan uppgifterna samlats in får arbetsgivaren inte behandla uppgifterna för något ändamål som är oförenligt med det ursprungligen bestämda. För det fall arbetsgivaren av säkerhetsskäl samlat in personuppgifter om graviditet i syfte att kontrollera att arbetstagaren kan sysselsättas i visst arbete är arbetsgivaren alltså inte tillåten att behandla personuppgifterna för ändamål som rör befordran. 
 Även ett utlämnande till annan av personuppgifter måste vara förenligt med de ursprungligen bestämda ändamålen. Det bör så- ledes inte vara möjligt att kringgå reglerna genom att arbetsgivaren lämnar ut uppgifterna till någon arbetsgivare, som vid sin insamling bestämmer ändamål som är oförenliga med de ursprungliga. 
 Av 9 § framgår också att arbetsgivaren får behandla bara personuppgifter som är adekvata och relevanta i förhållande till ändamålen med behandlingen, att behandlingen inte får omfatta fler personuppgifter än nödvändigt med hänsyn till ändamålen med 
 158 
  
 SOU 2002:18 
  
 Personuppgifter om hälsa och droganvändning 
  
 behandlingen samt att arbetsgivaren skall se till att de person- uppgifter som behandlas är riktiga och, om det är nödvändigt, aktuella. Samtliga nämnda krav innebär att arbetsgivaren är förhindrad att behandla ovidkommande, felaktiga eller inaktuella personuppgifter. 
 Tillåten behandling 
 I 10 § anges uttömmande när behandling av personuppgifter är tillåten. Först kan konstateras att arbetstagarens samtycke till behandling alltid medför att behandling är tillåten. Här bör påpekas att arbetstagaren enligt 12 § har en möjlighet att återkalla sam- tycket. Sedan arbetsgivaren mottagit och registrerat återkallelsen får ytterligare uppgifter inte samlas in eller annars behandlas om inte behandlingen är tillåten utan samtycke. Behandlingen av redan insamlade uppgifter får trots återkallelsen fortsätta i enlighet med det ursprungligen lämnade samtycket, men uppgifterna får exempelvis inte kompletteras eller uppdateras. Om samtycke inte inhämtats från den enskilde får behandling av personuppgifter bara ske enligt de i bestämmelsen närmare angivna förutsättningarna. 
 Arbetsgivaren får enligt bestämmelsen behandla personuppgifter om arbetstagaren om det är nödvändigt bl.a. för att arbetsgivaren under vissa omständigheter skall fullgöra ett avtal med den registrerade eller kunna fullgöra en rättslig skyldighet eller för att skydda arbetstagarens vitala intressen. 
 Att behandlingen skall vara nödvändig för de syften som anges i 10 § innebär att arbetsgivaren skall pröva om det är nödvändigt att behandlingen sker automatiserat eller i registerform. Om upp- gifterna lika väl kan behandlas på annat sätt är nödvändighetskravet inte uppfyllt. I praktiken kan de flesta arbetsuppgifter rent faktiskt utföras utan att det sker automatiserat eller i registerform. Enligt Datalagskommitténs uppfattning kan nödvändighetskravet inte rimligen innebära att det skall vara faktiskt omöjligt att utföra en uppgift utan att den innefattar behandling av personuppgifter. 
 3  
 Kan en uppgift däremot utföras nästan lika enkelt eller billigt utan sådan behandling av personuppgifter som omfattas av lagen behandlingen det inte anses nödvändig enligt 10 §. 
 I arbetslivet torde behandlingen av personuppgifter om hälsa eller droganvändning ofta kunna ske manuellt. Detta gäller särskilt 
  
 3  
  
 Se SOU 1997:39  
 Integritet Offentlighet Informationsteknik  
 s. 359. 
  
 159 
  
 Personuppgifter om hälsa och droganvändning 
  
 SOU 2002:18 
  
 behandling av personuppgifter om arbetssökanden, eftersom dessa vanligtvis inte ingår i arbetsgivarens personalregister. Också när det gäller arbetstagare kan arbetsgivaren skapa rutiner som medför att personuppgifter om arbetstagarens hälsa eller droganvändning inte behövs eller kan behandlas manuellt och utan att ingå i ett register. Nödvändighetskravet i PUL kan i sådant fall inte anses uppfyllt. 
 Att personuppgifter om arbetstagarens hälsa eller droganvänd- ning dokumenteras på ett systematiskt sätt kan emellertid ofta vara en förutsättning för att arbetstagaren skall få del av de uppgifter som t.ex. är av betydelse för ett beslut. Att personuppgifterna inte förs in i en personalakt kan också innebära att de uppgifter som finns i akten blir ofullständiga eller missvisande. Om det t.ex. av personalakten framgår att det förelegat misstankar om att en arbetstagare varit alkoholpåverkad under arbetstid är det av av- görande betydelse för helhetsbilden att det också framgår att arbetstagaren visat sig vara nykter vid kontroll. Nödvändighets- kravet kan därmed i vissa fall innebära en intressekonflikt mellan olika integritetsintressen. 
 Av störst intresse vid en genomgång av i vilka fall arbetsgivaren är tillåten att behandla arbetstagarens personuppgifter är 10 §, där det bl.a. sägs att behandling av personuppgifter är tillåten om den är nödvändig för ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige och om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. 
 Att närmare ange hur intresseavvägningen skulle kunna falla ut i enskilda fall är naturligtvis inte möjligt. Beträffande förhållandena i arbetslivet kan möjligtvis enligt utredningens mening sägas att behandling av här aktuella personuppgifter som betingas av t.ex. säkerhets- eller administrativa skäl kan väga tyngre än sådana som motiveras av t.ex. företagsekonomiska effektivitetsskäl. 
 Känsliga personuppgifter 
 Vad gäller personuppgifter om arbetstagarens hälsotillstånd och drogmissbruk av sjukdomskaraktär är det enligt 13 § i princip förbjudet att behandla sådana känsliga personuppgifter. 
 Från huvudregeln i 13 § görs vissa undantag som återfinns i 15– 19 §§. Att särskilt lägga märke till är att det enligt 15 § alltid är tillåtet att behandla känsliga personuppgifter om arbetstagaren samtyckt till detta. 
 160 
  
 SOU 2002:18 
  
 Personuppgifter om hälsa och droganvändning 
  
 Förutom undantaget beträffande samtycke i 15 § är bestämmel- sen i 16 § första stycket punkterna a) och c) av störst intresse. 
 I punkten a) föreskrivs att arbetsgivaren får behandla känsliga personuppgifter för att kunna fullgöra sina skyldigheter och rättigheter inom arbetsrätten. Bestämmelsen innebär att arbets- givaren har rätt att behandla t.ex. personuppgifter om hälsa eller droganvändning om behandlingen är nödvändig i samband med utbetalning av sjuklön eller fullgörande av förhandlingsskyldighet. Enligt Datalagskommittén har begreppet "arbetsrätten" inte någon klar eller en gång för alla given gräns. Emellertid bör enligt kommittén i stort sett samtliga skyldigheter och rättigheter för en arbetsgivare beträffande en arbetstagare och arbetstagarens organisation innefattas i begreppet. Även skyldigheter och rättig- heter inom arbetsrätten som följer av avtal eller myndighetsbeslut i det enskilda fallet omfattas av bestämmelsen. 
 4 
  
 Punkten c) innebär att arbetsgivaren får behandla person- uppgifter t.ex. om arbetstagarens hälsa om behandlingen är nöd- vändig för att rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras. Vad som skall anses innefattas i begreppet rättsliga anspråk är enligt förarbetena till lagen inte klart. 
 För att behandlingen skall vara tillåten krävs att den skall vara nödvändig för att anspråket skall kunna fastställas, göras gällande eller försvaras. Vid arbetsgivarens behandling av arbetstagarens personuppgifter skulle detta enligt utredningens mening kunna vara fallet när personuppgifter om hälsa eller droganvändning är nödvändiga för att fastställa försäkringsersättning eller rätt till sjuklön. 
 Enligt 16 § andra stycket får personuppgifter som behandlats med stöd av första stycket bara lämnas ut till tredje man om det inom arbetsrätten finns en skyldighet för den personuppgifts- ansvarige att göra det eller om den registrerade uttryckligen samtyckt till utlämnandet. Genom bestämmelsen garanteras att frågan om spridning av uppgifter får särskild uppmärksamhet vid utformningen av kollektivavtal och lagstiftning. Enligt Datalags- kommittén innebär bestämmelsen t.ex. att en arbetsgivare inte utan vidare får lämna ut uppgifter om en tidigare arbetstagares sjuk- frånvaro till en annan arbetsgivare. 
 5 
  
 En bestämmelse som kan innebära en rättslig skyldighet för arbetsgivaren att t.ex. lämna ut personuppgifter om arbetstagarens 
  
 4 
  
 Se a.a. s. 371. 
  
 5 
  
 Se a.a s. 372. 
  
 161 
  
 Personuppgifter om hälsa och droganvändning 
  
 SOU 2002:18 
  
 hälsa eller droganvändning återfinns i 11 § MBL, som innehåller den s.k. primära förhandlingsskyldigheten. Denna innefattar en skyldighet för arbetsgivaren att inför viktigare förändring av arbets- och anställningsförhållanden för en arbetstagare förhandla med den arbetstagarorganisation som arbetstagaren är medlem i. I den mån förändringen t.ex. avser en omplacering av arbetstagaren till följd av t.ex. hälsoskäl är arbetsgivaren skyldig att lämna ut uppgifter till arbetstagarorganisationen. Detta oavsett om arbetstagaren motsätter sig ett utlämnande. 
  
 6.3.2 
  
 Arbetstagarens skyldighet att genomgå hälsoundersökningar och drogkontroll 
  
 6.3.2.1 
  
 Europakonventionen 
  
 I artikel 8.1 föreskrivs att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Av betydelse för utredningen är om de medicinska kontroller som arbetsgivaren kan vidta för att genomföra hälsoundersökningar och drogtester faller in under artikelns tillämpningsområde. För närvarande handlägger Europadomstolen ett mål om drogtestning i särskilt riskfylld verksamhet (Oskarshamnsfallet) där frågan om tillåtlig- heten av drogtestet tidigare prövats av Arbetsdomstolen. 
 6 
  
 I doktrinen nämns medicinska undersökningar av den enskilde som en särskild kränkning. 
 7  
 Kommissionen har emellertid uttalat att det torde vara tyngden av de medicinska skälen och inte själva ingreppet i sig som avgör om åtgärder av detta slag innebär en kränkning av rätten till privatliv. 
 8  
 Också en mindre medicinsk undersökning kan alltså innebära en kränkning. 
 Trots att Europakonventionen endast innehåller ett förpliktande för konventionsstaterna innebär konventionen en plikt till positivt handlande, eftersom staterna i viss mån också är skyldiga att vidta åtgärder för att skydda den enskildes sfär mot kränkningar av andra enskilda. För det fall en enskild person kränker en annan enskild kan alltså staten under vissa förutsättningar anses ha brutit mot artikel 8 genom att inte ha handlat positivt och tillförsäkrat de enskilda ett effektivt skydd mot kränkningar av rättigheterna. 
 9 
  
 6 
  
 Se AD 1998 nr 97. 
  
 7 
  
 Se bl.a. P. Potter m.fl.  
 Theory and Practice of the European Convention on Human Rights 
 , s. 489 ff. 
  
 8 
  
 Se X./.Österrike. 
  
 9 
  
 Se X och Y./.Nederländerna och Stubbings m.fl../.Storbritannien. 
  
 162 
  
 SOU 2002:18 
  
 Personuppgifter om hälsa och droganvändning 
  
 Statens skyldighet till positivt handlande inskränks av att de krav på skyddsåtgärder som ställs på staten måste vara rimliga. Detta innebär i huvudsak att staterna skall utfärda lagar och förordningar som ger ett tillfredsställande skydd för rättigheterna. 
 Resonemanget om konventionens rättsliga verkningar mellan enskilda personer innebär inte att det inför Europadomstolen är möjligt att driva en process mellan två enskilda. Däremot kan Europakonventionen åberopas av enskild i domstol gentemot en annan enskild i de länder där Europakonventionen har sådan direkteffekt. 
 10 
  
 6.3.2.2 
  
 Regeringsformen 
  
 Arbetstagare inom den offentliga sektorn garanteras ett skydd för den fysiska integriteten genom att det i 2 kap. 6 § RF föreskrivs att varje medborgare gentemot det allmänna är skyddad mot på- tvingade kroppsliga ingrepp. Bestämmelsen kan vid en tillämpning innebära ett förbud för statliga arbetsgivare att genomföra påtvingade kroppsliga ingrepp. För att kunna bedöma omfatt- ningen av detta förbud bör dock närmare utvecklas dels vad som faller in under begreppet kroppsligt ingrepp, dels vad som avses med att ingreppet är påtvingat. 
 Enligt förarbetena till bestämmelsen avses med skydd mot kroppsligt ingrepp främst ett skydd mot våld mot människo- kroppen, men också ett skydd mot läkarundersökningar, smärre ingrepp som vaccinationer och blodprovstagning samt liknande företeelser som brukar betecknas som kroppsbesiktning, som t.ex. utandningsprov eller liknande alkoholtest. 
 11 
  
 I JO:s uttalanden om vad som kan sägas vara kroppsliga ingrepp ges en rad exempel på vilka åtgärder som omfattas av begreppet. Av uttalandena framgår att tagande av fingeravtryck, tvångsinjicering och tvångsmedicinering samt åläggande att lämna alkoholtest genom utandningsprov ansetts vara ett kroppsligt ingrepp enligt bestämmelsen 
 12 
 . Däremot har det inte ansetts vara fråga om ett kroppsligt ingrepp när en enskild åläggs att lämna urinprov. I det sammanhanget uttalar JO att förarbetena till bestämmelsen inte ger klart besked i frågan och att det för allmänt språkbruk framstår 
  
 10 
  
 Jfr Arbetsdomstolens dom AD 1998 nr 17 (Vargas). 
  
 11 
  
 Se prop. 1975/76:209 s. 56 och 147. 
  
 12 
  
 Se JO 1997/98 s. 276 och 1987/88 s. 134, JO 1995/96 s. 126, 1983/84 s 190 och 1980/81 s. 308 samt JO 1993/94 s. 283. 
  
 163 
  
 Personuppgifter om hälsa och droganvändning 
  
 SOU 2002:18 
  
 som främmande att se denna typ av provtagning som ett kroppsligt ingrepp. 
 13 
  
 Som framgått av avsnitt 6.2 Medicinska utgångspunkter, baseras de flesta narkotika- och dopningstester som görs i arbetslivet på urinprov. JO:s ståndpunkt i fråga om vad som utgör ett kroppsligt ingrepp innebär alltså att arbetstagare som genomgår drogtester genom att lämna urinprov inte åtnjuter något grundlagsskydd enligt 2 kap. 6 §. Samma sak gäller kvinnliga arbetssökanden som t.ex. ombeds att lämna urinprov för graviditetstest. 
 Som sagts inledningsvis krävs enligt 2 kap. 6 § även att det kroppsliga ingreppet skall vara påtvingat för att den enskilde skall komma i åtnjutande av grundlagsskyddet. Av JO:s uttalanden framgår dock att ett kroppsligt ingrepp kan anses som påtvingat även i de fall där en enskild bara hotas av sanktion. 
 14  
 Arbetsdomstolen har gjort en liknande bedömning i avgörandet AD 1984 nr 94. 
 Av förarbetena till 2 kap. 6 § framgår att det inte kan vara fråga om ett kroppsligt ingrepp när den enskilde till följd av ingreppet kan komma i åtnjutande av en förmånlig behandling, t.ex. i form av en anställning. 
 15  
 Detta innebär att arbetssökande inte omfattas av skyddet enligt bestämmelsen. 
 Bestämmelsen i 2 kap. 6 § ger ett skydd mot åtgärder av det allmänna. Enligt förarbetena innefattar detta dels allmänna verkställande organ, dels normgivande organ som beslutar om offentligrättsliga föreskrifter som är betungande för enskilda. Det bör påpekas att med begreppet avses inte bara statliga myndigheter utan också kommuner och landsting samt privaträttsliga organ med offentligrättsliga förvaltningsuppgifter efter delegation enligt 11 kap. 6 § 3 stycket. 
 16 
  
 6.3.2.3 
  
 LOA 
  
 I 30 § LOA föreskrivs en skyldighet för arbetstagare att efter sär- skild uppmaning av arbetsgivaren genomgå periodiska hälsounder- sökningar i de fall där arbetstagaren har sådana arbetsuppgifter att hälsokrav av säkerhetsskäl måste ställas särskilt högt. Syftet med de periodiska undersökningarna som regleras i bestämmelsen är att 
  
 13 
  
 JO 1995/96 s. 298, 1993/94 s. 283, 1993/94 s. 302, 1992/93 s. 495, 1988/89 s. 350 och 1984/85 s. 343. 
  
 14 
  
 Se JO 1984/85 s. 227. 
  
 15 
  
 Se prop. 1975/76:209 s. 145. 
  
 16 
  
 Se a.a. s. 185. 
  
 164 
  
 SOU 2002:18 
  
 Personuppgifter om hälsa och droganvändning 
  
 förebygga risker för sådana allvarliga olyckor som i allmän verksamhet typiskt sett kan inträffa till följd av bristande hälsa hos arbetstagare som är sysselsatta i verksamheter som kan innebära fara t.ex. för trafikanter. Bestämmelsen ger alltså arbetsgivaren rätt att samla in personuppgifter om hälsa eller droganvändning genom periodiska undersökningar som motiveras av de i bestämmelsen angivna skälen. 
 Med hälsoundersökningar avses i bestämmelsen sådana undersökningar som är avsedda att genomföras av läkare eller andra t.ex. optiker eller sjuksköterskor. 
 Varken lagtext eller förarbeten ger arbetsgivaren stöd för att beordra arbetstagaren att genomgå drogtester. Bestämmelsen ger inte heller arbetsgivaren rätt att på förekommen anledning kräva att arbetstagaren genomgår hälsoundersökningar som inte är periodiska utan som genomföres på förekommen anledning eller efter ett slumpmässigt urval. I förarbetena till bestämmelsen sägs att det i praktiken torde saknas behov av att tvinga arbetstagaren till sådana s.k. extraordinära undersökningar, eftersom dessa i stället torde kunna anordnas i samförstånd med arbetstagaren. 
 17 
  
 Arbetsgivaren är inte tillåten att med stöd av 30 § samla in fler uppgifter om arbetstagarens hälsa än vad som är motiverat av arbetstagarens arbetsuppgifter. 
 18 
  
 I förarbetena till LOA exemplifieras vilka kategorier av statligt och kommunalt anställda som omfattas av bestämmelsen. I uppräkningen återfinns bl.a. lokförare, lastbilsförare, bussförare och viss medicinsk personal. 
 19 
  
 Om arbetstagaren vägrar att efterkomma arbetsgivarens begäran om att genomgå en läkarundersökning enligt 30 § kan arbetsgivaren med stöd av sin arbetsledningsrätt beordra arbetstagaren att utföra andra arbetsuppgifter som ligger inom ramen för arbetstagarens arbetsskyldighet, men som inte kräver att arbetstagaren genomgår hälsoundersökningen. Om det visar sig att arbetstagaren inte kan omplaceras kan arbetsgivaren i sista hand ha rätt att säga upp arbetstagaren på grund av personliga skäl. 
 Av 30 § andra stycket framgår att arbetstagaren bara är skyldig att genomgå en periodisk undersökning om skyldigheten framgår av kollektivavtal eller förordning. 
  
 17 
  
 Se prop. 1993/94:65 s. 187. 
  
 18 
  
 Se Hinn m fl,  
  
 Statlig anställning 
 , 1994, s. 192. 
  
 19 
  
 Se SOU 1991:29 s. 28 ff. 
  
 165 
  
 Personuppgifter om hälsa och droganvändning 
  
 SOU 2002:18 
  
 Bestämmelsen i 30 § omfattar i stort sett samtliga arbetstagare hos riksdagen och dess myndigheter, myndigheterna under regeringen, de allmänna försäkringskassorna samt anställda hos kommuner och landsting. 
  
 6.3.2.4 
  
 Anställningsförordningen 
  
 Enligt 5 § anställningsförordningen kan en statlig arbetsgivare föreskriva att en arbetssökande skall lämna läkarintyg om de tänkta arbetsuppgifterna ställer särskilda krav på hälsotillståndet hos den som skall anställas. De yrkeskategorier som är skyldiga att lämna läkarintyg enligt anställningsförordningen torde i huvudsak vara samma som omfattas av bestämmelsen om periodiska hälsoundersökningar i 30 § LOA. Bestämmelsen torde motsattsvis innebära att en arbetsgivare inte i andra fall får kräva läkarintyg av en arbetssökande. 
 Bestämmelsen omfattar myndigheter under regeringen och de allmänna försäkringskassorna. 
  
 6.3.2.5 
  
 Lagen om fullmaktsanställning 
  
 Enligt 11 § lagen om fullmaktanställning kan arbetstagaren vara skyldig att genomgå läkarundersökning. För att så skall vara fallet krävs att arbetstagaren visat bristande tjänstduglighet, som sannolikt beror på sjukdom eller därmed jämförligt förhållande. Lagen ger inte arbetsgivaren rätt att vid behov kräva slumpmässiga undersökningar. Bestämmelsen i 11 § torde dock innefatta en möjlighet för arbetsgivaren att kräva att arbetstagaren skall genom- gå en undersökning på förekommen anledning. Med jämförliga förhållanden avses enligt förarbetena till lagen bl.a. arbetstagarens alkoholmissbruk. 
 20  
 Enligt förarbetena uppställs inget krav på att missbruket skall vara av sjukdomskaraktär för att bestämmelsen skall vara tillämplig. 
 Om en arbetstagare vägrar att efterfölja beslutet om läkarundersökning kan arbetstagaren stängas av från arbetet. Vad gäller ytterligare arbetsrättsliga åtgärder som kan vidtas från arbetsgivarens sida skiljer sig dessa åt beroende på vilken typ av fullmaktsanställning som arbetstagaren innehar. 
  
 20  
 Se prop. 1965:60 s. 194. 
 166 
  
 SOU 2002:18 
  
 Personuppgifter om hälsa och droganvändning 
  
 Lagen omfattar arbetstagare med fullmakt, företrädesvis ordinarie domare, som är anställda hos myndighet under regeringen. 
  
 6.3.2.6 
  
 Arbetsmiljölagen 
  
 Arbetsmiljölagen anger de grundläggande reglerna för arbetsmiljöns karaktär. Till lagen ansluter arbetsmiljöförordningen som innehåller bemyndiganden för Arbetsmiljöverket att meddela föreskrifter om de närmare krav som arbetsmiljön skall uppfylla. Arbetsmiljöverkets föreskrifter finns samlade i Arbetsmiljöverkets författningssamling (AFS). 
 Bestämmelserna i arbetsmiljölagen innebär att arbetsgivaren har en skyldighet att anordna arbetsmiljön på ett sätt som gör den så säker som möjligt. I lagen finns en rad olika bestämmelser om hur arbetsgivaren skall uppnå det ovan beskrivna syftet med lagen. De bestämmelser som här är relevanta återfinns i 4 kap. 5 § där det sägs att Arbetsmiljöverket efter bemyndigande kan föreskriva skyldighet för arbetsgivaren att föranstalta om läkarundersökning, vaccinering eller annan förebyggande behandling mot smitta av den som sysselsätts eller skall sysselsättas i arbete. Exempel på sådana bestämmelser är föreskrifter om rök- och kemdykning (AFS 1995:1), härdplaster (AFS 1996:4) och asbest (AFS 1996:13). Om ett arbete innebär risk för ohälsa eller olycksfall kan Arbets- miljöverket efter bemyndigande meddela föreskrifter om förbud att till arbete anlita den som vid läkarundersökning företett sjuklighet eller svaghet som gör arbetstagaren särskilt mottaglig för sådan risk. De här nämnda föreskrifterna innehåller också bestämmelser som meddelats i detta syfte. 
 Enligt 3 kap. 4 § åvilar ansvaret för att åstadkomma en tillfreds- ställande arbetsmiljö inte bara arbetsgivaren utan även arbets- tagaren skall medverka till detta genom att följa givna föreskrifter, använda skyddsanordningar och iaktta den försiktighet i övrigt som behövs för att förebygga ohälsa och olycksfall. I Arbetsdomstolens dom AD 1991 nr 45 behandlar domstolen frågan om medansvaret även kan innefatta en skyldighet att medverka vid ett narkotikatest som enligt arbetsgivaren motiverades av säkerhetsskäl. Arbets- domstolen fann att det, under de i målet aktuella förhållandena, låg väl i linje med vad som allmänt gäller i fråga om medansvaret för säkerheten på arbetsplatsen att anse att det åvilade arbetstagaren en sådan skyldighet att delta i drogkontroller. 
 167 
  
 Personuppgifter om hälsa och droganvändning 
  
 SOU 2002:18 
  
 Vissa av arbetsgivarens skyldigheter enligt arbetsmiljölagen är straffsanktionerade både i lagen och i 3 kap. 10 § brottsbalken. Om arbetstagaren inte iakttar de skyldigheter som följer av arbetsmiljö- lagen kan det föreligga brott mot anställningsavtalet vilket kan medföra att arbetstagaren kan omplaceras och i sista hand sägas upp från sin anställning. 
  
 6.3.2.7 
  
 Lagstiftning inom vissa yrkesområden med speciella riskförhållanden 
  
 Utöver de i detta avsnitt nämnda bestämmelserna finns också bestämmelser om läkar- och hälsoundersökningar som utfärdats för att tillgodose behoven inom vissa yrkesområden med speciella riskförhållanden. Exempel på sådana föreskrifter är livsmedelslagen (1971:511), järnvägssäkerhetslagen (1990:1157), luftfartslagen (1957:297), strålskyddslagen (1988:220) och fartygssäkerhetslagen (1988:49). 
  
 6.3.3 
  
 ALNA 
  
 ALNA är ett samarbetsorgan för Svenskt Näringsliv, LO och TCO, som verkar såväl på riksplanet som lokalt med målsättningen att arbetslivet bör vara en alkohol- och drogfri zon. ALNA erbjuder rådgivning beträffande alkohol- och drogfrågor till arbetsplatser och företag liksom även modeller för att aktivt förebygga alkohol- och drogproblem och rehabilitering för anställda med missbruksproblem. Alla arbetsplatser kan ansluta sig till ett regionalt  
 ALNA-råd. 
  
 ALNA har tagit fram ett flertal policies, handlingsplaner och skrifter rörande alkohol- och drogfrågor. Här kan nämnas skrifterna Arbetslivet och drogtester samt Kontroll och förtroende. 
  
 6.3.4 
  
 ILO:s riktlinjer 
  
 I ILO:s riktlinjer  
 Code of practice on the protection of workers personal data  
 anges hur arbetsgivare bör få gå tillväga för att kontrollera arbetstagarens personliga förhållanden. Riktlinjerna är inte rättsligt bindande. 
  
 Inledningsvis uttalas att arbetsgivaren bör hämta in samtliga uppgifter om arbetstagaren från arbetstagaren personligen. Om arbetsgivaren vänder sig till någon utomstående bör arbetstagaren 
 168 
  
 SOU 2002:18 
  
 Personuppgifter om hälsa och droganvändning 
  
 få tillfälle att godkänna detta. Arbetsgivaren bör i detta sammanhang informera om bl.a. vem arbetsgivaren avser att vända sig till, hur detta skall gå till och vilka följder det får för den enskilde om denne bestämmer sig för att inte lämna sitt samtycke. Arbetsgivaren rekommenderas också att iaktta restriktivitet vid insamling av uppgifter om hälsotillståndet. I avsnitt 6.7 i riktlinjerna anges följande. 
 The code restricts the collection of medical data to data needed to determine whether the worker is fit for a particular employment, to fulfil requirements of occupational health and safety and for purposes of social benefits. 
 Samtliga åtgärder som arbetsgivaren vidtar för att hämta in person- uppgifter om arbetstagarens personliga förhållanden måste enligt uttalandena stämma överens med internationella överenskommel- ser och nationell lag. 
  
 6.3.5 
  
 Europarådets rekommendation om skydd för personuppgifter som används för anställningsändamål 
  
 Europarådets rekommendation, som antogs av Europarådet 1989, tar sikte på behandling av personuppgifter för anställningsändamål och ger uttryck för de principer som återfinns i Dataskydds- direktivet. 
 I rekommendationen sägs, såvitt är av intresse i detta samman- hang, att arbetsgivaren får bara ställa frågor om arbetssökandens hälsa för att kunna bedöma arbetssökandens lämplighet för fram- tida arbete, fullgöra kraven på preventiv hälsovård och bevilja sociala förmåner. För att arbetsgivaren skall vara tillåten att vända sig till någon annan än den arbetssökande skall han eller hon ha samtyckt och informerats om de uppgifter som samlas in. Vid behandling av hälsouppgifter har regeln dock ett undantag för de fall där ett utlämnande av uppgifterna kan leda till allvarlig skada för arbetssökanden. 
 6.3.6 Praxis 
 AD 1984 nr 94 
 Arbetsdomstolen har i AD 1984 nr 94 prövat frågan om SJ genom att påkalla läkarundersökning av en anställd handlat i strid med 
 169 
  
 Personuppgifter om hälsa och droganvändning 
  
 SOU 2002:18 
  
 2 kap. 6 § RF. SJ hade föranstaltat om läkarundersökning av en anställd vid fyra tillfällen under en kortare period av fyra år. Undersökningstillfällena bestod i kortare samtal med läkare och var dels periodiska dels extraordinära. En vägran från den anställdes sida att genomgå läkarundersökning hade medfört att denne omplacerats inom ramen för sin anställning, vilket inneburit att arbetsgivaren vidtagit samma åtgärd som om arbetstagaren konsta- terats inte uppfylla hälsokraven. Den anställde anförde till stöd för sin talan att SJ saknat rätt att påkalla läkarundersökningarna bl.a. på grund av att besluten stått i strid med 2 kap. 6 § RF genom att de utgjorde påtvingade kroppsliga ingrepp och att SJ saknat stöd i lag för sådana ingrepp. SJ anförde å sin sida bl.a. att grundlags- bestämmelsen bara var tillämplig när det var fråga om någon form av myndighetsutövning vilket det inte var frågan om här, eftersom arbetstagarens skyldighet att genomgå undersökningarna följde av anställningsavtalet. 
 Arbetsdomstolen resonerade inledningsvis beträffande frågan om myndighetsutövning och konstaterade att det kunde ligga nära till hands att uppfatta RF på det sättet att en åtgärd inte kom i konflikt med förbudet mot påtvingade kroppsliga ingrepp annat än i den mån det kunde sägas vara fråga om ett tvång som hade karaktären av utövande av offentlig makt. Detta betydde dock inte att 2 kap. 6 § RF skulle sakna tillämplighet i ett fall som detta bara av det skälet att SJ kunde sägas ha handlat som arbetsgivare i förhållande till en arbetstagare. Domstolen uttalade därefter att det inom offentlig sektor numera fanns frågor som rörde tjänste- männens ställning i allmänhet som var av privaträttslig natur. Detta hindrade emellertid inte att beslut av en myndighet i dess egenskap av arbetsgivare likväl kunde vara att betrakta som myndighets- utövning. De föreskrifter som SJ åberopat till stöd för arbets- tagarens skyldighet att underkasta sig hälsoundersökningen var utfärdade med stöd av 10 § i den allmänna verksstadgan och var inte att betrakta som föreskrifter om anställnings- eller arbets- villkor. Arbetsdomstolen anmärkte i det sammanhanget att före- skrifterna inte heller främst var avsedda att tillgodose det allmännas intresse som arbetsgivare, utan istället intresset av att offentliga funktioner fullgjordes på ett riktigt sätt. I huvudsak på grund av det anförda drog domstolen slutsatsen att besluten om läkar- undersökningar var grundade på regler av offentligrättslig natur och att 2 kap. 6 § RF alltså var tillämplig. Arbetsdomstolen slog därefter fast, att även om läkarundersökningarna bara bestått av 
 170 
  
 SOU 2002:18 
  
 Personuppgifter om hälsa och droganvändning 
  
 samtal med läkare var dessa, oavsett om arbetstagaren underkastat sig undersökningen frivilligt, att bedöma som ett kroppsligt in- grepp. Vidare uttalade domstolen att läkarundersökningarna var att se som påtvingade i och med att SJ utan förbehåll beordrat arbets- tagaren att delta. Det saknades således betydelse att SJ i internt utfärdade föreskrifter inte föreskrev någon sanktion för den arbetstagare som vägrade att underkasta sig undersökningarna. Eftersom SJ saknat stöd i lag för att genomföra läkarundersökning- arna var det beordrade förfarandet inte förenligt med 2 kap. 6 § RF. 
 Rättsfallet föranledde att 30 § LOA infördes. 
 AD 1991 nr 45 
 I AD 1991 nr 45 behandlades frågan om det med stöd av anställningsavtalet förelegat en skyldighet för anställda att delta i urinprovstagning. Ett ställningbyggnadsföretag hade, sedan miss- tanke uppkommit att någon eller några av de anställda missbrukat cannabis, beordrat sin personal att lämna urinprov. Arbetsgivaren angav att provtagningsförfarandet motiverades av säkerhetsskäl. Två montörer hade invänt att förfarandet utgjorde ett ingrepp i deras personliga integritet och vägrat lämna urinprov. De sades då upp av arbetsgivaren. 
 Arbetsdomstolen konstaterade att arbetsgivaren genom att värna om säkerheten på arbetsplatsen haft för avsikt att förekomma olycksfall enligt vad som åvilade denne enligt arbetsmiljölagen. Domstolen fann vidare att det angivna syftet med provtagningen vägde över de anställdas invändning om att förfarandet innebar ett ingrepp i deras personliga integritet. Vidare konstaterades att den enskilde arbetstagaren i arbetsmiljölagen ålagts ett medansvar för arbetsmiljön och säkerheten på arbetsplatsen. Mot bakgrund härav fann arbetsdomstolen att arbetsgivaren enligt anställningsavtalet haft rätt att uppställa villkor om att arbetstagaren skulle delta i urinprovstagningarna och att anställningsavtalet även, efter be- aktande av omständigheterna i det enskilda fallet, kunde innefatta rätt för arbetsgivaren att säga upp arbetstagare som vägrade. 
 AD 1998 nr 97 
 Arbetsdomstolen har i avgörandet AD 1998 nr 97 behandlat frågan om en anställd vid Oskarshamns kärnkraftverk varit skyldig att medverka i av arbetsgivaren anordnade drog- och alkoholtester. Den anställde var medlem i Svenska Elektrikerförbundet som 
 171 
  
 Personuppgifter om hälsa och droganvändning 
  
 SOU 2002:18 
  
 motsatt sig att träffa kollektivavtal innefattande regler om obliga- toriska tester. Övriga fackförbund med medlemmar bland de an- ställda hade däremot träffat ett sådant lokalt avtal med arbets- givaren. Trots att någon överenskommelse inte kunnat träffas med Svenska Elektrikerförbundet beslutade arbetsgivaren att drogtest- ningen också skulle gälla förbundets medlemmar vid kärnkrafts- verket. Svenska Elektrikerförbundet hävdade att arbetsgivaren inte haft rätt att kräva att den anställde skulle genomgå drogtester och åberopade till stöd för sitt påstående bl.a. att drogtestningen stred mot artikel 8 punkt 1 i Europakonventionen. 
 Arbetsdomstolen fann att denna artikel inte innebar något generellt förbud mot drogtestning, men att testning under särskilda omständigheter var konventionsstridigt och därigenom också stridande mot svensk lag. Av betydelse var därvid under vilka om- ständigheter testningen skett, arbetsgivarens intresse av att företa drogtestningen, graden av ingrepp i den enskildes integritet i det individuella fallet och sättet att utföra testningen. Efter en genom- gång av omständigheterna i målet konstaterade domstolen att arbetstagaren var skyldig att genomgå drogtesterna i enlighet med arbetsgivarens instruktion. Vad däremot gällde alkoholtestning konstaterade domstolen att det i övervägande antal av de positiva testfallen fanns andra förklaringar till resultaten än alkoholmiss- bruk och att ytterligare utredningar därför var nödvändiga. Dessa omständigheter sammantagna med att den enskildes alkoholbruk var en i hög grad integritetskänslig fråga medförde att den anställde inte ansågs ha varit skyldig att medverka i alkoholtestning. 
 Svenska Elektrikerförbundet har fört frågan till Europadomstolen. För närvarande finns ingen uppgift om när målet kan komma att avgöras där. 
 AD 2001 nr 3 
 I AD 2001 nr 3 har domstolen prövat om Fryshuset inom ramen för rätten att leda och fördela arbetet kunnat besluta att en arbetstagare skulle drogtestas och om denne därför varit skyldig att underkasta sig drogtestning. Arbetstagaren vägrade och hänvisade till sin personliga integritet. Då han efter flera uppmaningar vidhöll sin ståndpunkt sades han upp från sin anställning. SKTF, som företrädde arbetstagaren, invände att arbetsledningsrätten i detta fall utövats på ett godtyckligt eller kränkande sätt genom att drogtestningen genomförts trots att Fryshuset inte bedrev sådan 
 172 
  
 SOU 2002:18 
  
 Personuppgifter om hälsa och droganvändning 
  
 farlig och riskabel verksamhet som medförde att de anställda haft en skyldighet att underkasta sig tester. Vidare hade arbetslednings- rätten missbrukats genom att Fryshuset haft möjlighet att välja en annan och mindre integritetskränkande metod än drogtestning för att förebygga och upptäcka missbruk. Fryshuset hade därutöver inte någon ordentlig policy som var känd för personalen. Slutligen fanns det enligt SKTF:s uppfattning inte heller något godtagbart skäl att testa den anställde. Kravet på att den anställde skulle under- kasta sig drogtest innebar därför en kränkning av den personliga integriteten som den anställde inte var skyldig att tåla. Mot denna bakgrund hade Fryshuset också överskridit gränsen för hur arbets- ledningsrätten skulle utövas. Fryshuset anförde å sin sida bl.a. att den anställde genom att ta anställning hos Fryshuset insett eller i vart fall bort inse att det var en förutsättning för anställningen och dess fortbestånd att han ställde sig till förfogande för drogtestning i den omfattning som krävdes om misstanke eller tveksamhet uppstod om hans drogfrihet. Detta i synnerhet eftersom den anställde var före detta missbrukare. Det hade därför enligt anställningsavtalet åvilat arbetstagaren en skyldighet att medverka i provtagning. Drogtestning hade dessutom en naturlig anknytning till Fryshusets verksamhet, eftersom denna krävde allmänhetens, kundernas och ungdomarnas förtroende i drogfrihetsfrågan. Detta intresse vägde tyngre än arbetstagarens intresse av skydd för den personliga integriteten. Till följd därav var det tillåtet för Fryshuset att kräva drogtestning som ett led i arbetsledningsrätten. Drog- tester med urinprov var därvid Fryshusets enda möjliga sätt att spåra förekomsten av missbruk. Provtagningen hade inte i något avseende varit integritetskränkande eller förnedrande. 
 Arbetsdomstolen konstaterade att Fryshuset med hänsyn till verksamhetens karaktär hade ett mycket starkt allmänt intresse av att utföra drogtester på sin personal för att undanröja alla even- tuella misstankar och att utåt kunna garantera att dess verksamhet var helt fri från narkotika. Vidare konstaterade domstolen att det inte torde kunna uppställas några krav på att misstankarna mot en arbetstagare måste vara särskilt välgrundade i ett fall som detta där det med hänsyn till verksamhetens art fanns ett särskilt intresse av att undanröja varje tvivel. Huruvida Fryshusets drogpolicy kunde leva upp till de krav som SKTF ansåg borde gälla för en policy var enligt domstolen av begränsad betydelse i målet. Den väsentliga frågan var i stället i vilken mån ett drogtest skulle ha inneburit en sådan kränkning av den anställdes personliga integritet att han av 
 173 
  
 Personuppgifter om hälsa och droganvändning 
  
 SOU 2002:18 
  
 det skälet inte varit skyldig att medverka. Domstolen konstaterade att testningen skulle ha skett genom att den anställde lämnat urin- prov på en toalett på arbetsplatsen. Urinprovstagning i allmänhet och det sätt på vilket Fryshuset genomfört provtagningen fick an- ses vara föga integritetskränkande. Vid ett samlat övervägande fann Arbetsdomstolen att det av omständigheterna i målet framgick att Fryshusets intresse av att drogtesta den anställde vägt tyngre än den anställdes behov av skydd för den personliga integriteten och att det därför förelegat en skyldighet att medverka i provtagningen. 
  
 SAF-LO-PTK 
  skiljenämnden för arbetsmiljöavtalet av den 12 december 1989 
 I en skiljedom från rubricerad skiljenämnd har Svenska Metall- industriarbetareförbundet invänt mot ett förfarande vid Saab- Scania i Södertälje där arbetssökanden inom ramen för företags- hälsovården i anledning av ett påstått drogrelaterat olyckstillbud i verksamheten drogtestats i syfte att spåra eventuella haschmiss- brukare. Svenska Metallindustriarbetareförbundet invände bl.a. att det inte var fråga om frivilliga undersökningar, eftersom arbets- sökanden som valt att inte underkasta sig läkarundersökningen eller som inte gett sitt samtycke till att resultaten fördes vidare riskerade att redan på dessa grunder inte komma ifråga för anställ- ningen. Sedan arbetsgivaren bestritt fackförbundets talan konsta- terade skiljemännen att undersökningarna organiserats på ett sådant sätt att varje arbetssökanden underrättats om vilka prov som skulle göras, samtidigt som den enskilde getts möjlighet att hemlig- hålla undersökningsresultatet genom att avbryta anställnings- förfarandet. Undersökningen innefattade därmed i varje fall inte ett sådant angrepp på den enskildes personliga integritet att för- farandet på den grunden stod i strid med god sed på arbetsmark- naden. Vidare framhöll skiljemännen att huvudregeln i svensk rätt var att arbetsgivaren hade rätt att fritt anställa vem han eller hon ville. När arbetsgivaren utövade denna rätt var han i princip oför- hindrad att för anställningen kräva att den arbetssökande företedde betyg eller intyg av lika slag. Det stod helt klart att en arbetsgivare kunde ställa det kravet att en arbetssökande genom läkarintyg visade att han inte missbrukade narkotika. Ett sådant krav kunde nämligen inte anses strida mot god sed på arbetsmarknaden. 
 174 
  
 SOU 2002:18 
  
 Personuppgifter om hälsa och droganvändning 
  
 6.3.7 
  
 Arbetsgivarens arbetsledningsrätt 
  
 Som allmän princip inom arbetsrätten gäller att arbetsgivaren bestämmer över arbetsledningen och att arbetsgivaren därmed har rätt att bestämma arbetsuppgifterna, sättet och platsen för arbetets utförande samt den utrustning som skall användas. Inom ramen för anställningsavtalets innehåll har arbetsgivaren således rätt att bestämma vilket arbete arbetstagaren vid varje tillfälle skall utföra. Arbetsgivarens rätt motsvaras av en skyldighet för arbetstagaren att utföra arbetet och en vägran från arbetstagarens sida kan utgöra saklig grund för uppsägning. 
 Arbetsgivarens arbetsledningsrätt innefattar en rätt att vidta kontrollåtgärder av olika slag. Som exempel kan nämnas att arbets- givaren kan uppställa krav på tidsstämpling eller in- och ut- passeringskontroller. Också arbetsgivarens åtgärder att kräva att arbetstagaren genomgår hälsoundersökningar eller drogtester kan innefattas i denna kontrollrätt. 
 Som framgår av föregående avsnitt, 6.3.6, har Arbetsdomstolen prövat frågan om tillåtligheten av drogtester och i det samman- hanget diskuterat under vilka omständigheter kontrollåtgärder av det slaget kan falla in under arbetsgivarens arbetsledningsrätt. I AD 2001 nr 3 uttalar sig Arbetsdomstolen särskilt i denna fråga. Domstolen säger därvid att om någon uttrycklig överenskommelse om drogtestning inte har träffats, vare sig som kollektivavtal eller enskilt anställningsavtal, kan arbetsgivaren ändå ha rätt att kräva att arbetstagaren underkastar sig drogtest som en följd av arbets- givarens arbetsledningsrätt. Detta förutsätter att arbetsgivaren inte överskrider gränserna för denna rätt genom att utöva den i strid med lag eller god sed. Vid en bedömning av om arbetsgivarens beslut om drogtestning står i strid med god sed har i praxis gjorts en avvägning mellan arbetsgivarens intresse av att utföra testet och arbetstagarens intresse av att värna om sin personliga integritet. Intrånget i arbetstagarens personliga integritet måste stå i rimlig proportion till det intresse arbetsgivaren vill tillgodose. 
 21 
  
 De lagregler som inskränker arbetsgivarens arbetsledningsrätt har redovisats i avsnitt 6.3.2. Av störst betydelse i detta samman- hang är 2 kap. 6 § RF och 30 § LOA. 
 Att kontrollåtgärderna inte får strida mot god sed lämnar ett betydande utrymme för tolkningar och det är svårt att generellt ange hur intresseavvägningar beträffande hälsoundersökningar och 
  
 21  
 Se AD 1997 nr 29. 
 175 
  
 Personuppgifter om hälsa och droganvändning 
  
 SOU 2002:18 
  
 drogtester bör falla ut. Liksom när det gäller arbetsgivarens kontroller av arbetstagarens privata information bör dock åtgärden ha direkt betydelse för arbetsgivarens verksamhet och kollektiv- avtal och riktlinjer bör få stor betydelse för bedömningen. 
 22  
 Beträffande de syften som arbetsgivaren kan åberopa till stöd för att utföra hälsoundersökningar och drogtester har i praxis främst diskuterats sådana tester som utförts av säkerhetsskäl. I AD 2001 nr 3 har Arbetsdomstolen godtagit att arbetsgivaren med stöd av arbetsledningsrätten utfört drogtester eftersom arbetsgivarens verksamhet krävde allmänhetens, kundernas och ungdomarnas förtroende i drogfrihetsfrågan. 
  
 6.4 
  
 Behovet av ett utökat rättsligt integritetsskydd i arbetslivet 
  
 I kapitel 3 har utredningen konstaterat att en utgångspunkt för ett godtagbart integritetsskydd i arbetslivet är att det bör vara heltäckande i den meningen att det omfattar såväl offentlig som privat sektor. Vid en genomgång av de bestämmelser som i dag reglerar den tillåtna behandlingen av personuppgifter om hälsa eller droganvändning, tillvägagångssätten för insamling av sådana uppgifter och tystnadsplikt för den som hanterar sådana uppgifter kan konstateras att det bara är PUL och arbetsmiljölagen som för närvarande har ett sådant brett tillämpningsområde. 
 PUL är den lag som ger det mest omfattande generella integri- tetsskyddet vid behandling av arbetstagarens personuppgifter om hälsa eller droganvändning. Men frågan är om lagen tillgodoser de krav som kan ställas på ett fungerande integritetsskydd. Vid en bedömning av det skydd som PUL garanterar kan sägas att lagen visserligen ger ett relativt omfattande integritetsskydd som sträcker sig från det att informationen samlas in tills dess att arbetsgivaren gallrar bort eller på annat sätt utplånar personuppgifterna. Svag- heten i PUL:s integritetsskydd ligger dock däri att det är svårt att bedöma omfattningen av skyddet. Hur de grundläggande principer- na om relevans, finalitet och proportionalitet påverkar arbets- tagarens skydd för integriteten går inte direkt att säga. Arbets- givaren kan dessutom välja, och i vissa fall t.o.m. vara skyldig, att lägga upp register som innehåller personuppgifter om arbetstagaren 
  
 22  
 Se beträffande denna fråga avsnitt 5.4. 
 176 
  
 SOU 2002:18 
  
 Personuppgifter om hälsa och droganvändning 
  
 på ett sätt som innebär att personuppgifterna inte alls kommer att skyddas av lagen. 
 Detta innebär att PUL ur ett arbetsmarknadsperspektiv har sådana brister att den behöver preciseras och kompletteras för att arbetstagaren skall ges ett tillfredsställande integritetsskydd. 
 Vid en bedömning av om PUL tillsammans med den övriga lagstiftning som reglerar frågor om tillvägagångssätt vid hälso- undersökningar och drogtester ger ett fullgott integritetsskydd måste det göras en skillnad mellan offentlig och privat sektor. 
 Inom den offentliga sektorn åtnjuter arbetstagare ett skydd mot påtvingade kroppsliga ingrepp genom 2 kap. 6 § RF och 30 § LOA, som alltså begränsar arbetsgivarens arbetsledningsrätt. Bestämmel- sen i 30 § LOA ger enligt utredningens uppfattning arbetstagare ett gott skydd mot påtvingade hälsoundersökningar. Även sökande till statlig tjänst åtnjuter ett skydd för den fysiska integriteten genom 5 § anställningsförordningen. Däremot saknas bestämmelser för så- väl arbetstagare och arbetssökande som reglerar hur hälsounder- sökningar och drogtester med hänsyn till integriteten bör utformas. 
 Inom den privata sektorn saknas lagbestämmelser för annat än vissa yrkesområden med speciella riskförhållanden. Arbetsgivarens arbetsledningsrätt begränsas därför huvudsakligen genom att rätten inte får utövas i strid mot god sed. Som nämnts i föregående avsnitt 6.3.6, innebär en sådan bedömning att arbetsgivarens intresse av att utföra undersökningen eller testet skall vägas mot arbetstagarens intresse av att värna om sin personliga integritet. Vilka av arbets- givarens intressen som särskilt skall beaktas vid en avvägning är naturligtvis beroende på omständigheterna i det enskilda fallet. Av den praxis som utbildats på området torde dock kunna utläsas att intresseavvägningen påverkas bl.a. av karaktären av arbetsgivarens verksamhet. 
 Av det sagda följer att det kan finnas ett behov av en utökad rättslig reglering på hela det privata området, medan arbetstagare inom den statliga sektorn i vissa delar har ett gott skydd i fråga om påtvingade hälsoundersökningar. Detta innebär enligt utredningens mening att det bör diskuteras om nuvarande bestämmelser bör kompletteras eller fortsätta att gälla. 
 177 
  
 Personuppgifter om hälsa och droganvändning 
  
 SOU 2002:18 
  
 6.4.1 
  
 Avvägningen mellan arbetsgivarens och arbetstagarens intressen 
  
 6.4.1.1 
  
 Arbetstagarens rätt till integritet vid behandling av personuppgifter om hälsa eller droganvändning 
  
 Utgångspunkten vid en intresseavvägning mellan arbetsgivarens och arbetstagarens respektive intressen är att rätten till en skyddad sfär i de hänseenden som kan bli aktuella vid en behandling av hälsouppgifter eller uppgifter om droganvändning är en mänsklig rättighet som är tillförsäkrad arbetstagaren. Det är mot intresset av skyddet för denna rättighet som arbetsgivarens olika intressen skall vägas. Bara i de fall där arbetsgivarens intressen av att behandla personuppgifter om arbetstagarens hälsa eller droganvändning är av sådan tyngd och karaktär att de väger över rätten till den personliga integriteten på arbetsplatsen bör behandlingen av hälsouppgifter eller uppgifter om droganvändning vara tillåten. Behandlingen bör dessutom bara få ske under sådana former att arbetstagaren är garanterad insyn i och kontroll över behandlingen. 
 En annan utgångspunkt vid intresseavvägningen mellan arbetsgivarens och arbetstagarens respektive intressen bör vara att behandlingen av personuppgifterna skall vara nödvändig för att arbetsgivaren skall kunna uppnå intresset. I de fall där det finns alternativa sätt för att tillgodose intresset som inte innebär en risk för kränkning av arbetstagarens integritet bör det krävas starka skäl för att rätten till personlig integritet skall inskränkas. 
  
 6.4.1.2 
  
 Arbetsgivarens intressen av att kontrollera och övervaka 
  
 Som framgått av avsnitt 6.3 ges arbetsgivaren i en rad olika fall möjlighet att av säkerhetsskäl kontrollera och därigenom också be- handla arbetstagarens personuppgifter om hälsa eller drogan- vändning. Regler med det innehållet finns bl.a. i LOA, fullmakts- anställningslagen, arbetsmiljölagen och Arbetsmiljöverkets före- skrifter. I dessa fall har arbetsgivaren inte bara ett intresse av, utan i vissa fall också en skyldighet att, behandla personuppgifterna exempelvis i syfte att utforma arbetet på ett sätt som förebygger och förhindrar att arbetet leder till ohälsa. 
 Även i andra situationer än de som uttryckligen regleras i lag kan arbetsgivaren av säkerhetsskäl ha ett intresse av att behandla personuppgifter om hälsa eller droganvändning. Sådan behandling 
 178 
  
 SOU 2002:18 
  
 Personuppgifter om hälsa och droganvändning 
  
 kan t.ex. utföras med stöd av bestämmelser i kollektivavtal eller med stöd av arbetsgivarens arbetsledningsrätt. 
 För att arbetsgivaren skall kunna driva sin verksamhet krävs att arbetsgivaren har en fungerande administration. Arbetsgivaren är också enligt lag eller föreskrift skyldig att företa olika administra- tiva åtgärder. Arbetsgivaren är sålunda skyldig att behandla arbets- tagarens hälsouppgifter, t.ex. vid utbetalning av sjuklön. Syftet med behandlingen är vanligtvis att arbetstagaren skall komma i åtnjutan- de av en förmån eller en fördel. Liksom beträffande behandling som motiveras av säkerhetsskäl kan det också här finnas administrativa intressen av att behandla hälsouppgifterna utan att det föreligger ett direkt rättsligt åliggande för arbetsgivaren. 
 Det kan också av lag följa andra slags skyldigheter för arbets- givaren som innebär att arbetsgivaren måste behandla person- uppgifter om hälsa eller droganvändning. Detta är exempelvis fallet vid en förhandling med arbetstagarens arbetstagarorganisation inför ett beslut om omplacering på grund av arbetstagarens sviktande hälsa. Även skyldigheten att försöka rehabilitera sjuka arbetstagare gör behandlingen av hälsouppgifter eller uppgifter om droganvändning nödvändig. 
 Arbetsgivaren kan även ha olika intressen av att behandla personuppgifter om arbetstagarens hälsa eller droganvändning som är av annan karaktär än de som nämnts och som motiveras av företagsekonomiska skäl. Det kan exempelvis finnas ett intresse av att kontrollera arbetssökandens eller arbetstagarens hälsa eller droganvändning för att använda uppgifterna som ett sållnings- instrument under ett anställnings- eller befordringsförfarande. Som framgår av det följande avsnittet Balansen mellan arbetstagarens respektive arbetsgivarens intressen kan dock dessa intressen oftast inte anses vara berättigade. 
 Ett starkt intresse för arbetsgivaren är vidare att främja arbets- miljön för de anställda på så sätt att arbetsplatsen hålls drogfri. 
 Oförmåga att på grund av sjukdom utföra vissa arbetsuppgifter kan vara en rättslig grund för omplacering och till och med uppsäg- ning, och i dessa fall har arbetsgivaren ett berättigat intresse av att få behandla hälsouppgifter eller uppgifter om droganvändning för att ta till vara sina rättigheter. 
 179 
  
 Personuppgifter om hälsa och droganvändning 
  
 SOU 2002:18 
  
 6.4.1.3 
  
 Balansen mellan arbetstagarens och arbetsgivarens intressen 
  
 I ett flertal tidigare lagstiftningsärenden har det gjorts bedöm- ningar som resulterat i en skyldighet eller möjlighet för arbets- givare i lag att behandla arbetstagarens personuppgifter om hälsa eller droganvändning. Eftersom LIA är subsidiär till den lagstift- ning där det kan föreskrivas sådana skyldigheter eller möjligheter kommer arbetsgivaren att vara tillåten att behandla arbetstagarens personuppgifter om hälsa eller droganvändning i enlighet med de lagliga skyldigheter och möjligheter som inte ersätts av LIA:s bestämmelser. 
 Vad gäller övriga intressen för arbetsgivaren att behandla hälso- uppgifter eller uppgifter om droganvändning anser utredningen att det är främst två skäl som väger över arbetstagarens rätt till en fredad sfär, nämligen säkerhet och administrativa skäl som innebär en fördel för arbetstagaren. 
 Behandling av hälsouppgifter eller uppgifter om droganvändning till följd av säkerhetsskäl motiveras inte bara av arbetsgivarens intresse utan också av allmänhetens intresse av säkerhet och arbetskamraternas intresse av säkerhet på arbetsplatsen. Också arbetstagarens eget intresse av säkerhet tillvaratas om arbetsgivaren tillåts att behandla hälsouppgifter eller uppgifter om droganvänd- ning i säkerhetssyfte. I arbetsgivarens intresse av att behandla uppgifter för arbetstagarens egen säkerhet till person ingår också att arbetsgivaren kan behöva skydda arbetstagaren mot att han eller hon blir sjuk till följd av arbetet. Ungefär samma resonemang kan föras beträffande arbetsgivarens intresse av att behandla personuppgifter för vissa administrativa syften. Det är inte bara arbetsgivarens intresse som tillgodoses av att arbetsgivaren får utföra sådan behandling. Den typen av behandling innebär i de flesta fall att arbetstagaren själv kommer i åtnjutande av olika sociala förmåner genom att arbetsgivaren på eget initiativ erbjudit arbetstagaren vissa fördelar t.ex. i samband med föräldraledighet. Begreppet administration är emellertid omfattande och kan inne- fatta en rad olika åtgärder som är mer eller mindre relevanta för arbetsgivarens förhållande till arbetstagaren. Möjligheten att be- handla arbetstagarens hälsouppgifter eller uppgifter om drog- användning bör därför i detta avseende begränsas till de områden där konsekvenserna av behandlingen innebär en fördel för arbetstagaren. 
 180 
  
 SOU 2002:18 
  
 Personuppgifter om hälsa och droganvändning 
  
 Arbetsgivaren kan också ha olika intressen som grundas på företagsekonomiska överväganden eller motiveras av ett behov av att kontrollera om arbetstagaren missbrukar anställnings- förhållandet. 
 Vad gäller de företagsekonomiska motiven torde dessa i allmänhet inte kunna åberopas till stöd för en behandling av personuppgifter om arbetstagarens hälsa eller droganvändning. I detta sammanhang bör framhållas att om arbetsgivaren använder hälsouppgifter som sållningsinstrument vid anställning eller befordran eller som underlag för olika ekonomiskt betingade beslut så kan detta stå i strid med vad som gäller enligt jämställdhetslagen (1991:433) och lagen (1999:132) om förbud mot diskriminering i arbetslivet av personer med funktionshinder. Av  
 EG-domstolens 
  praxis vid en tillämpning av direktiv 76/207/EEG om likabehandling av kvinnor och män framgår att arbetsgivarens förfarande att vägra en kvinnlig arbetssökande anställning eller att säga upp en kvinnlig arbetstagare från en pågående anställning på grund av att hon är gravid utgör direkt diskriminering på grund av kön. Detta oavsett omfattningen av de ekonomiska nackdelar som arbetsgivaren kan drabbas av på grund av arbetstagarens frånvaro till följd av graviditeten. Det saknar enligt avgörandena betydelse om anställningsavtalet ingåtts för en kortare tid eller tills vidare. 
 23  
 I ett tidigare avgörande har domstolen också uttalat att även om det för arbetsgivaren är ett väsentligt villkor för anställningsavtalet att arbetstagaren står till förfogande, så är det skydd som gemenskap- hetsrätten garanterar en kvinna under graviditeten inte beroende av om arbetstagarens närvaro är nödvändig för driften av det företag vid vilket hon är anställd. 
 24  
 I det nyligen meddelade avgörandet mål  
 C-109/00 
  Tele Danmark A/S har domstolen uttalat att denna tolk- ning av gemenskaphetsrätten inte ändras på grund av den omständligheten att anställningsavtalet ingåtts för en begränsad tid. Av de nu redovisade avgörandena framgår att en behandling av arbetstagarens personuppgifter om graviditet i syfte att utgöra beslutsunderlag för en anställning inte är tillåten, oavsett anställningsförhållandes längd eller karaktär. Arbetsgivaren torde därför inte vara berättigad att behandla uppgifter om graviditet inför en anställning enbart i syfte att avgöra om arbetssökanden har möjlighet att stå till förfogande under anställningen. 
  
 23 
  
 Se bl.a. målen  
  
 C-177/88 
  Clark,  
 C-438/99 
  Stewart och  
 C-109/00 
  Tele Danmark A/S. 
  
 24 
  
 Se mål C 32/93 Webb. 
  
 181 
  
 Personuppgifter om hälsa och droganvändning 
  
 SOU 2002:18 
  
 Beträffande de uppgifter om hälsa som faller in under lagen om förbud mot diskriminering av personer med funktionshinder har det först genom rådets direktiv 2000/78/EG av den 27 november 2000 om inrättande av en allmän ram för likabehandling, skapats en  
 EG-rättslig 
  grund för ett förbud mot diskriminering av enskilda med funktionshinder. För närvarande pågår ett arbete med att införliva direktivet i svensk rätt, vilket skall att vara genomfört under slutet av 2003. Enligt direktivet finns ett visst utrymme för att från diskrimineringsförbudet undanta fall där en arbetstagare rent faktiskt inte har möjlighet att utföra arbetsuppgifterna. Under ett anställningsförfarande bör en arbetsgivare således kunna ha ett berättigat intresse av att inom t.ex. transport- och trafiknäringen samla in uppgifter om syn- och reaktionsförmåga. 
 Intresset av att behandla personuppgifter om arbetstagarens droganvändning torde först och främst vara inriktat på att få reda på om arbetstagaren använder droger på ett sätt som kan innebära att det föreligger ett missbruk. Detta intresse av att behandla uppgifter om arbetstagaren är emellertid inte alltid nödvändigt för att uppnå syftet med behandlingen. Det kan i stället föreligga större möjligheter att uppnå ett gott resultat om arbetsgivaren informerar om droger och konsekvenserna av ett missbruk samt utarbetar en drogpolicy. 
 Arbetsgivarens intresse av att hålla arbetsplatsen drogfri är självklart ett berättigat intresse. Detta motiv för att behandla personuppgifter om arbetstagarens drogpåverkan är emellertid inte begränsat till arbetslivets område utan även ett allmänt samhälleligt intresse. Arbetsmarknadens parter är också överens i sin strävan att motverka användning och spridning av droger på arbetsplatserna och utredningen utgår från att parterna gemensamt kommer att övervaka att åtgärderna får avsedd effekt. 
 Att arbetsgivaren behandlar hälsouppgifter eller uppgifter om droganvändning för att ta till vara sina rättigheter t.ex. i fråga om omplacering eller uppsägning måste anses befogat. 
  
 6.5 
  
 Överväganden och förslag 
  
 6.5.1 
  
 Inledning 
  
 För att kunna ge arbetstagaren ett skydd för den personliga integri- teten bör arbetsgivarens rätt att behandla personuppgifter om hälsa 
 182 
  
 SOU 2002:18 
  
 Personuppgifter om hälsa och droganvändning 
  
 eller droganvändning begränsas till de fall där arbetsgivarens intresse av att behandla personuppgifter väger över arbetstagarens rätt till skydd för integriteten. Detta bör ske genom att det i LIA införs ett förbud för arbetsgivaren att behandla personuppgifter om hälsa eller droganvändning samtidigt med väl avgränsade undantag som anger när arbetsgivaren skall vara tillåten att behandla hälsouppgifter. 
 Enligt utredningens mening är detta dock inte tillräckligt. Även om arbetsgivaren iakttar de begränsningar som en sådan bestäm- melse medför kan de åtgärder som behandlingen i sig innebär inskränka arbetstagarens integritetsskydd på ett sätt som inte är godtagbart. För att förhindra sådana inskränkningar måste arbets- tagaren i möjligaste mån också garanteras insyn och kontroll över behandlingen och tillvägagångssätten vid behandlingen. 
 Det är också viktigt att undersökningarna och testerna sker på ett tillförlitligt sätt och att testerna utförs av personal som har kompetens och kunskap om hela provtagningsförfarandet. Be- träffande drogtester bör det även uppställas krav på att arbets- tagaren av rättssäkerhetsskäl ges möjlighet att i efterhand kunna kontrollera resultatet av testet. 
 Genom att föra samman bestämmelser om tillåten behandling av hälsouppgifter eller uppgifter om droganvändning, tillvägagångs- sätten vid behandling, tystnadsplikt och information är det enligt utredningens mening möjligt att skapa ett fungerande integritets- skydd som tillgodoser de krav som nämnts här. En lagstiftning som innehåller bestämmelser med det här beskrivna innehållet har fördelen av att dels vara heltäckande, dels beakta de olika moment vid behandlingen som kan vara integritetskränkande. 
 Även frågor om vem arbetsgivaren får hämta in uppgifter från, tystnadsplikt för den som behandlar uppgifterna, hur uppgifterna skall förvaras och information är av stor betydelse. Eftersom detta är en fråga som inte bara är aktuell vid behandling av person- uppgifter om hälsa eller droganvändning utan också vid behandling av bl.a. personuppgifter om arbetstagarens lagöverträdelser hänvisas till respektive avsnitt. 
 Vid en bedömning av omfattningen av det integritetsskydd som ges genom samtliga bestämmelser i LIA skall beaktas att be- stämmelserna om relevans och finalitet i 9 § PUL som gäller enligt 2 § LIA, innebär att arbetsgivaren inte får behandla person- uppgifter om hälsa eller droganvändning för andra ändamål än de som hon eller han bestämt, att de personuppgifter som behandlas 
 183 
  
 Personuppgifter om hälsa och droganvändning 
  
 SOU 2002:18 
  
 är adekvata och relevanta och att arbetsgivaren inte får behandla uppgifterna för något annat ändamål än för de ursprungligen bestämda. Detta innebär exempelvis att arbetsgivaren inte får be- handla personuppgifter om arbetssökandens hälsa för andra ända- mål än de som ryms inom ramen för de ursprungligen bestämda ändamålen och att arbetsgivaren är förhindrad att behandla ovidkommande hälsouppgifter. 
  
 6.5.2 
  
 Behandling av personuppgifter om hälsa eller droganvändning 
  
 Utredningen föreslår 
 : En bestämmelse bör införas, vilken som huvudregel innebär att en arbetsgivare inte får behandla person- uppgifter om arbetstagares eller arbetssökandes hälsa eller drog- användning. Från denna huvudregel bör undantag göras för de fall där behandlingen är nödvändig för att bedöma om en arbetstagare eller en arbetssökande är lämpad för att utföra arbetsuppgifterna i arbetsgivarens verksamhet. Undantag bör också göras för det fall att arbetstagaren för att komma i åtnjutande av en förmån själv begär att uppgifterna skall behandlas. 
 En arbetstagares eller arbetssökandes samtycke ger inte arbets- givaren rätt att behandla personuppgifter om hälsa eller drog- användning i andra fall än de som anges i bestämmelsen. 
 Den föreslagna bestämmelsen avser all behandling av dokumente- rade personuppgifter om hälsa eller droganvändning och omfattar alltså allt från insamlingen till utplåningen av uppgifterna. En arbetsgivare måste därför inför varje åtgärd som kan innebära en behandling göra en bedömning av om behandlingen är tillåten enligt bestämmelsen. Om exempelvis en arbetssökande själv skickar in ett skriftligt resultat av ett drogtest så är arbetsgivaren tvungen att ta ställning till om han eller hon är tillåten att behandla det enligt LIA. 
 Av annan lagstiftning än LIA följer att arbetsgivaren har vissa lagstadgade skyldigheter som bl.a. rör arbetstagarens sociala rättigheter och frågor om arbetsmiljö. Dessa lagbestämmelser innebär redan i dag en skyldighet för arbetsgivaren att behandla personuppgifter om arbetstagarens hälsa eller droganvändning. Här kan exempelvis nämnas rätt till ersättning under sjukdomstid, rätt till rehabilitering och rätt till ledighet under graviditet men också 
 184 
  
 SOU 2002:18 
  
 Personuppgifter om hälsa och droganvändning 
  
 skyldigheter att vid en tillämpning av arbetsmiljölagen tillvarata arbetstagarens intressen av hälsa och säkerhet. Eftersom LIA är subsidiär till sådan lagstiftning inskränker inte LIA arbetsgivarens rätt att behandla personuppgifter för att kunna fullgöra dessa skyldigheter. 
 Arbetsgivaren får inte behandla hälsouppgifter eller uppgifter om droganvändning i andra fall än de som nämns i bestämmelsen. Det finns alltså inte något utrymme för samtycke av en arbetstagare eller en arbetssökande. 
 Bestämmelsen ger inte arbetsgivaren någon rätt att beordra hälsoundersökningar eller drogkontroller. Utredningens analys av frågor om beordrade undersökningar och kontroller redovisas i avsnitt 6.5.4. 
 Det kan påpekas att utformningen av bestämmelsen följer nära den rekommendation till bestämmelse som finns i ILO:s riktlinjer. 
  
 6.5.2.1 
  
 Nödvändighetskravet 
  
 För att arbetsgivaren skall vara tillåten att behandla person- uppgifter om arbetstagarens eller arbetssökandens hälsa eller drog- användning måste det först bedömas vara nödvändigt att en sådan behandling sker. Genom att uppställa ett sådant krav markeras att arbetsgivaren, på motsvarande sätt som gäller enligt PUL, är skyldig att så långt som möjligt begränsa behandlingen av person- uppgifter. Om det finns ett fullgott alternativ som inte innefattar behandling av hälsouppgifter eller uppgifter om droganvändning bör kravet på nödvändighet inte anses uppfyllt. 
 Nödvändighetskravet innebär att arbetsgivaren i varje särskilt fall måste göra en bedömning av om behandlingen av uppgifterna verkligen är nödvändig. 
 Som tidigare nämnts i avsnitt 6.4.1 är arbetsgivaren under ett anställningsförfarande inte tillåten att beakta om arbetssökanden är gravid. Detta gäller oavsett anställningens karaktär eller längd. Arbetssökanden har inte heller någon skyldighet att upplysa arbetsgivaren om sådana uppgifter. Detta innebär enligt utred- ningens mening att det som regel inte är nödvändigt för arbets- givaren att behandla personuppgifter om graviditet under ett anställningsförfarande. Däremot kan det vara nödvändigt för arbetsgivaren att behandla sådana uppgifter för att kunna anpassa arbetsmiljön och arbetsuppgifterna i samband med en graviditet för 
 185 
  
 Personuppgifter om hälsa och droganvändning 
  
 SOU 2002:18 
  
 att det inte skall föreligga risk för arbetstagarens säkerhet eller hälsa. 
  
 6.5.2.2 
  
 Bedömning av om arbetstagaren eller arbetssökanden är lämpad för att utföra arbetsuppgifterna i arbetsgivarens verksamhet. 
  
 Undantaget från förbudet mot att behandla arbetstagarens, varmed avses även arbetssökandens, hälsouppgifter eller uppgifter om droganvändning bör först och främst vara inriktat på säkerhets- och hälsoaspekter. Med säkerhet avses inte bara arbetstagarens egen säkerhet, utan också säkerheten för arbetskamraterna och allmänheten. Säkerheten avser inte heller bara den fysiska och psykiska säkerheten utan även säkerhet för information eller värdefull egendom som arbetsgivaren äger eller svarar för. 
 För att arbetsgivaren skall få behandla hälsouppgifter eller uppgifter om droganvändning bör arbetstagarens arbetsuppgifter ha sådan karaktär att bristande hälsa eller droganvändning kan medföra en konkret risk för de säkerhetsintressen som nämnts ovan. Det är inte möjligt att närmare ange i vilka fall arbetsuppgifternas innehåll kräver att arbetsgivaren bedömer om arbetstagaren är lämpad att utföra dem, men det kan t.ex. vara fallet om det åligger arbetstagaren att följa säkerhetsrutiner eller hantera skyddsanordningar. 
 Bestämmelsen ger också utrymme för arbetsgivaren att behandla personuppgifter om hälsa eller droganvändning för att förebygga att arbetstagaren själv drabbas av ohälsa till följd av de arbetsuppgifter som han eller hon har att utföra. Om det genom att arbetstagaren utför vissa arbetsuppgifter föreligger en förhöjd risk för vissa skador måste arbetsgivaren ges utrymme att behandla hälsouppgifter eller uppgifter om droganvändning för att förebygga att skadorna uppkommer. Liknande regler finns i vissa av Arbetsmiljöverkets föreskrifter. 
 Att arbetstagaren uppträder påverkad av droger kan i vissa fall utgöra sådan misskötsamhet från arbetstagarens sida som utgör saklig grund för uppsägning eller omplacering. Också arbets- tagarens bristande hälsa kan i vissa fall utgöra saklig grund för uppsägning. I båda fallen får behandling av sådana uppgifter anses nödvändig för att bedöma om arbetstagaren är lämpad för att utföra sina arbetsuppgifter på ett tillfredsställande sätt. 
 186 
  
 SOU 2002:18 
  
 Personuppgifter om hälsa och droganvändning 
  
 Arbetsgivaren måste därför vara tillåten att behandla hälsouppgifter eller uppgifter om droganvändning i detta syfte. 
 Slutligen tar bestämmelsen också sikte på arbetsgivarens rätt att behandla hälsouppgifter eller uppgifter om droganvändning för att kunna bedöma om arbetstagaren överhuvudtaget kan utföra arbetsuppgifterna. I sådana fall bör arbetstagarens hälsotillstånd vara av avgörande betydelse. Exempelvis bör en sådan situation föreligga när det är nödvändigt att arbetstagaren har vissa fysiska förutsättningar för att kunna utföra arbetsuppgifterna, t.ex. vad gäller syn och hörsel. 
 Det bör avslutningsvis framhållas att arbetsgivaren inte generellt får använda arbetstagarens hälsouppgifter eller uppgifter om droganvändning som ett beslutsunderlag vid en sållning under ett anställningsförfarande eller vid en befordran. 
  
 6.5.2.3 
  
 Arbetstagarens förmåner 
  
 Arbetsgivaren kan i anställningsavtalet ha åtagit sig att svara för en rad olika förmåner för arbetstagaren som är av samma karaktär som försäkringsersättningar som arbetstagaren har rätt till enligt lag. De förmåner som arbetsgivaren och arbetstagaren avtalat om kan exempelvis utgöras av ett särskilt tillägg i samband med utbetalning av föräldraförsäkring eller kompensation för kostnader i samband med läkarbesök. För att arbetsgivaren skall kunna uppfylla sina åtaganden enligt anställningsavtalet i dessa och liknande frågor bör arbetsgivaren ges rätt att behandla de hälsouppgifter eller uppgifter om droganvändning som krävs för en bedömning av arbetstagarens rätt till förmånen. 
 I de här aktuella fallen initieras arbetsgivarens behandling oftast av att arbetstagaren själv framställer en begäran, t.ex. om att få ersättning för utlägg för läkemedel. Detta innebär att arbetstagaren själv har möjlighet att avgöra om och i vilken omfattning hälsouppgifterna eller uppgifter om droganvändning skall komma till arbetsgivarens kännedom. 
  
 6.5.3 
  
 Förhållandet till PUL och dataskyddsdirektivet m.m. 
  
 För en närmare redogörelse beträffande förhållandet mellan LIA och PUL hänvisas till avsnitt. 
 Behandlingen av arbetstagares personuppgifter om hälsa och droganvändning som är av sjukdomskaraktär regleras särskilt i 13– 
 187 
  
 Personuppgifter om hälsa och droganvändning 
  
 SOU 2002:18 
  
 20 §§ PUL. LIA:s bestämmelse om behandling av personuppgifter om hälsa eller droganvändning kommer att ersätta  
 15–19 
  §§ PUL. LIA innebär därmed såväl en precisering av dessa bestämmelser som en inskränkning av möjligheterna för arbetsgivaren att behandla sådana uppgifter. Inskränkningen består främst i att arbetstagarens generella möjlighet att samtycka till behandling enligt 15 § PUL försvinner. 
 Fråga är om den nämnda inskränkningen kan komma i konflikt med dataskyddsdirektivet. I direktivet ges utrymme för medlemsstaterna att ange särskilda villkor för behandlingen av personuppgifter inom vissa sektorer. Så kan exempelvis ske inom arbetslivets område. Utredningen anser att den inskränkning som bestämmelsen om behandling av personuppgifter om hälsa eller droganvändning i LIA innebär i förhållande till direktivet utgör sådana särskilda villkor för behandling inom just detta område. 
 25  
 Bestämmelsen är därför enligt utredningens mening förenlig med dataskyddsdirektivet. 
 Bestämmelsen överensstämmer vidare med vad som anges i Europakonventionen och Europarådets rekommendation. 
  
 6.5.4 
  
 Hälsoundersökningar och drogtester 
  
 6.5.4.1 
  
 Inledning 
  
 I detta avsnitt redogörs för utredningens syn på behovet av tvångsvisa undersökningar och tester samt för utredningens möjlig- het att inom ramen för uppdraget ändra gällande bestämmelser, alternativt tillskapa nya bestämmelser om integritetsskydd för arbetstagaren i denna fråga. 
 Vad gäller den praktiska utformningen av undersökningar och tester saknas det för närvarande regler om vilka tillvägagångssätt som arbetsgivaren får använda sig av vid inhämtande av personuppgifter om arbetstagarens hälsa. Detta innebär bl.a. att arbetsgivaren fritt kan välja vilken metod som skall användas vid ett drogtest. Arbetstagaren bör dock enligt utredningens mening vara garanterad att de undersökningar och tester som utförs är tillförlitliga och att det resultat som redovisas är korrekt. Det är väsentligt att inte någon felaktigt pekas ut för att ha lämnat ett positivt prov, eftersom det kan få till följd att en arbetssökande på 
  
 25  
 Se punkterna 22, 23 och 68 i dataskyddsdirektivets ingress. 
 188 
  
 SOU 2002:18 
  
 Personuppgifter om hälsa och droganvändning 
  
 felaktiga grunder inte får en anställning eller t.o.m. att en arbetstagare på felaktiga grunder skiljs från en anställning. För att skapa ett skydd för den personliga integriteten i arbetslivet bör det därför i LIA finnas bestämmelser som föreskriver att undersökningar och tester som utförs i avsikt att samla in personuppgifter om arbetstagarens hälsa eller droganvändning bara får göras på ett tillförlitligt sätt. 
 Vidare bör det vid en bedömning av hur undersökningar och tester skall utföras för att arbetstagarens integritetsintresse skall tillvaratas göras åtskillnad mellan hälsoundersökningar och drogtester, eftersom förutsättningarna för och ändamålet med åtgärderna kan skilja sig åt. 
 Om undersökningen eller testet inte uppfyller de krav som framgår av bestämmelserna är arbetsgivaren enligt LIA inte tillåten att genomföra undersökningen eller testet ens med arbetstagarens samtycke. 
  
 6.5.4.2 
  
 Arbetstagarens skyldighet att underkasta sig hälsoundersökningar och drogtester 
  
 Utredningens bedömning 
  
 :  
 Utredningen har inte funnit det möjligt att föreslå bestämmelser som ger ett integritetsskydd som gäller för hela arbetsmarknaden i fråga om en arbetstagares eller en arbetssökandes skyldighet att underkasta sig hälsoundersökningar och drogtester. Utredningen har övervägt olika alternativ vilka redovisas nedan. 
 Utgångspunkten för utredningens arbete beträffande arbetstagares skyldighet att genomgå hälsokontroller och drogtester har varit att förstärka arbetstagarens integritetsskydd. Det minsta som kan tänkas vore alltså att föreslå en lösning som inte försämrar det befintliga rättsliga skyddet för arbetstagare inom offentlig verksamhet och som för den privata sektorn ger uttryck för de berättigade intressen som i dag finns på arbetsmarknaden. Det har emellertid visat sig vara förenat med stora svårigheter att hitta en fungerande lösning för ett heltäckande integritetsskydd för både den offentliga och privata sektorn utan att riskera att försämra för någon arbetstagare. Utredningen har därför beslutat avstå från att lägga fram något förslag och redovisar i det följande de överväganden som legat till grund för beslutet. 
 189 
  
 Personuppgifter om hälsa och droganvändning 
  
 SOU 2002:18 
  
 Arbetstagare inom offentlig sektor 
 Arbetstagare inom offentlig sektor garanteras ett integritetsskydd mot påtvingade kroppsliga ingrepp från det allmänna genom 2 kap. 6 § RF. Lagstiftaren har tidigare begränsat detta skydd genom införandet av 30 § LOA, där det sägs att om en arbetstagare har arbetsuppgifter där brister i arbetstagarens hälsotillstånd medför risk för människors liv, personliga säkerhet eller hälsa eller för betydande skador på miljö eller egendom, är arbetstagaren efter särskild anmaning av arbetsgivaren skyldig att regelbundet genomgå hälsoundersökningar som är nödvändiga för bedömning av om arbetstagaren har sådana brister i sitt hälsotillstånd. Detta gäller dock bara för arbetstagare som enligt kollektivavtal eller föreskrifter av regeringen är skyldiga att genomgå hälsoundersökningar. 
 Bestämmelsen i 30 § LOA har emellertid enligt utredningens uppfattning även en integritetsskyddande verkan. Skyddet består i att arbetsgivaren inte är tillåten att utföra påtvingade åtgärder i större omfattning än vad som framgår av bestämmelsen. I vilken omfattning som 30 § LOA förhindrar arbetsgivaren att utföra de undersökningar och tester som inte direkt omnämns i bestämmelsen är dock inte alldeles klart. Under utredningens arbete har det framförts olika åsikter i frågan. 
 En tolkning som framförts är att 30 § LOA bara omfattar periodiska hälsoundersökningar. Denna tolkning stöds bl.a. av att det i förarbetena inte uttryckligen nämns att också drogtester omfattas av förbudet och av att det i ett flertal  
 JO-uttalanden 
  sagts att urinprov inte är att se som ett kroppsligt ingrepp i den mening som avses 2 kap. 6 § RF. 
 26  
 Eftersom drogtester baserade på urinprov alltså inte skulle omfattas av grundlagsskyddet skulle sådana tester inte heller omfattas av det undantag från grundlagsbestämmelsen som 30 § LOA utgör. I vilken omfattning en arbetsgivare är tillåten att beordra drogtester skulle i stället regleras av arbetsgivarens arbetsledningsrätt. 
 Under utredningsarbetet har det emellertid också framförts att de aktuella  
 JO-uttalandena 
  om vad som är att anse som ett kroppsligt ingrepp knappast kan innebära att drogtester som baseras på urinprov inte skulle omfattas av grundlagsskyddet, eftersom det är drogtestet i sig som utgör kränkningen av integritetsskyddet. Ett drogtest skulle alltså oberoende av vilken 
  
 26  
 Se avsnitt 6.3.2. 
 190 
  
 SOU 2002:18 
  
 Personuppgifter om hälsa och droganvändning 
  
 metod som används omfattas av bestämmelsen i 2 kap. 6 § RF. Bestämmelsen i 30 § LOA skulle vid en sådan tolkning innefatta ett totalförbud för offentliga arbetsgivare att utföra drogtester, eftersom drogtester inte nämns som en tillåten åtgärd i bestämmelsen. 
 Av de redovisade ståndpunkterna framgår att det finns olika uppfattningar om vad 2 kap. 6 § RF och 30 § LOA innebär vid en bedömning av integritetsskyddet för arbetstagare inom offentlig sektor. 
 Från arbetsgivarhåll har framförts att drogtester, slumpvisa undersökningar och tester samt undersökningar och tester på förekommen anledning bör vara tillåtna i samma utsträckning inom den offentliga sektorn som inom den privata. Detta med hänsyn till att det i dag av säkerhetsskäl föreligger ett lika stort behov av att genomföra sådana undersökningar och tester för offentliga arbetsgivare som för privata arbetsgivare. Man har också framhållit vikten av att i lagstiftning klargöra vad som gäller i fråga om offentliga arbetsgivares rätt att beordra arbetstagare att genomgå hälsoundersökningar och drogtester, eftersom ett klargörande i den frågan faktiskt innebär ett förstärkt skydd för integriteten. 
 Utredningen anser att det är rimligt att ställa särskilt höga krav på arbetstagare med ansvarsfulla arbetsuppgifter för att minimera risken för olyckor eller ohälsa som kan drabba arbetstagaren själv, de personer som arbetstagaren kommer i kontakt med i arbetet eller någon som på något sätt kan utsättas för effekterna av arbetstagarens arbete. De nu nämnda skälen kan anföras både för att arbetstagaren i vissa särskilda situationer bör vara skyldig att underkasta sig en hälsoundersökning och för att arbetstagaren skall vara skyldig att underkasta sig ett drogtest. Samma förhållanden gäller behovet av att kunna genomföra undersökningar och tester som sker på förekommen anledning eller rent slumpmässigt och som t.ex. motiveras av ett ovanligt stort antal svårförklarliga olycksfall eller andra incidenter. Utredningen kan på här anförda skäl alltså instämma i att det kan finnas ett behov av att inom den offentliga verksamheten utöka möjligheterna att utföra beordrade undersökningar och tester. De säkerhetsintressen som kan motivera en sådan utökning är också i de flesta fall gemensamma för arbetsgivare och arbetstagare. 
 Utredningen har emellertid enligt direktiven att se över behovet av lagstiftning eller andra åtgärder som stärker skyddet för den enskildes personliga integritet i arbetslivet. Att då utöka de 
 191 
  
 Personuppgifter om hälsa och droganvändning 
  
 SOU 2002:18 
  
 offentliga arbetsgivarnas möjligheter att utföra tvångsvisa undersökningar till att också avse drogtester, slumpvisa undersökningar och tester samt undersökningar och tester på förekommen anledning innebär en utökning av arbetstagarens skyldighet att underkasta sig beordrade åtgärder och därigenom också en inskränkning av det skydd för den fysiska integriteten som arbetstagare inom offentlig sektor åtnjuter i dag. Eftersom utgångspunkten i utredningens direktiv är att eventuella lagförslag skall medföra en förstärkning av integritetsskyddet på arbetslivets område är det därför enligt direktiven inte möjligt för utredningen att föreslå en utvidgning av de skyldigheter för arbetstagaren som följer av 30 § LOA eller att på annat sätt inskränka det integritetsskydd som offentliganställda för närvarande garanteras genom bestämmelsen. När det gäller 2 kap. 6 § RF och 30 § LOA uppkommer också tolkningssvårigheter som gäller om och i vilken mån det har betydelse för vilket syfte som arbetsgivaren vidtar en åtgärd. 
 27 
  
 Beträffande det förhållandet att det i dag råder skilda uppfattningar om vad bestämmelserna i 2 kap. 6 § RF och 30 § LOA egentligen innebär instämmer utredningen i uppfattningen att ett klargörande i sig skulle kunna medföra en stärkning av skyddet för den personliga integriteten. Ett förtydligande som innebär att bestämmelsen bör utvidgas till att också avse andra undersökningar och tester än de som i dag uttryckligen framgår av 30 § LOA anser sig dock utredningen till följd av vad som just anförts i frågan inte kunna göra. Att klargöra rättsläget på annat sätt än genom att föreslå en lagändring är en fråga främst för rättstillämpningen. 
 Arbetstagare inom privat sektor 
 Till följd av utredningens ställningstagande i fråga integritets- skyddet vid beordrade hälsoundersökningar för arbetstagare inom offentlig sektor uppkommer frågan om det finns förutsättningar att införa en särskild bestämmelse i LIA som reglerar skyddet för den fysiska integriteten för arbetstagare inom privat sektor. Utredningen har här övervägt olika alternativa lösningar. 
  
 27  
  
 Jfr också Olson,  
 Arbetsgivarens kontroll – arbetstagarens integritet, i Arbetsliv i omvandling 2000:2 
 , s 85 ff. 
  
 192 
  
 SOU 2002:18 
  
 Personuppgifter om hälsa och droganvändning 
  
 Ett första alternativ är en reglering motsvarande den i 30 § LOA som garanterar arbetstagare inom privat bedriven verksamhet ett skydd mot påtvingade kroppsliga ingrepp. För en sådan lösning talar att det tillskapas ett integritetsskydd där det inte spelar någon roll om arbetstagaren är sysselsatt inom privat eller offentlig verksamhet. Med hänsyn till vad som sagts tidigare om behovet av att av säkerhetsskäl utöka möjligheterna till tvångsvisa undersökningar och tester inom ramen för 30 § LOA kan det dock ifrågasättas om bestämmelsens nuvarande utformning svarar mot de berättigade intressen av att utföra undersökningar och tester som finns inom arbetslivet. Vidare gäller skyldigheten för arbetstagare inom offentlig verksamhet att genomgå tvångsvisa undersökningar och tester enligt 30 § LOA bara arbetstagare som enligt kollektivavtal eller föreskrifter av regeringen är skyldiga att genomgå sådana undersökningar. Det bör även uppmärksammas att en offentliganställd alltid kan samtycka till att genomgå en hälsoundersökning. Såvitt utredningen erfarit är detta också en lösning som ofta tillämpas för att hälsoundersökningar skall kunna äga rum. 
 Om en bestämmelse utformad som 30 § LOA skulle överföras på den privata sektorn skulle detta för det första innebära införandet av en konstruktion med kollektivavtal som villkor för tillämpningen. Utredningen anser dock att principiella skäl talar mot en sådan ordning. Arbetsmarknadens parter är autonoma och de bör därför själva bestämma om och i vilken omfattning som de skall ingå avtal med varandra. Det förhållandet att man vid utformningen av 30 § LOA har använt sig av konstruktionen med kollektivavtal som en förutsättning för regeltillämpningen medför alltså inte att den konstruktionen bör användas som förebild i fortsättningen för ytterligare lagstiftning. För det andra innebär en överföring av integritetsskydd enligt 30 § LOA att privatanställda i likhet med offentliganställda måste kunna samtycka till att avstå från skyddet. Om man således avstår från att kräva kollektivavtal som villkor för regeltillämpningen och samtidigt medger att integritetsskyddet kan upphävas genom arbetstagarens samtycke har man inte vunnit mycket. Det anförda innebär alltså enligt utredningens uppfattning att det inte är meningsfullt att införa ett integritetsskydd motsvarande 30 § LOA att gälla inom den privata sektorn. 
 Ett andra alternativ är en bestämmelse som inte tar sin utgångspunkt i LOA utan som föreskriver en möjlighet för 
 193 
  
 Personuppgifter om hälsa och droganvändning 
  
 SOU 2002:18 
  
 arbetsgivare att av säkerhetsskäl beordra undersökningar och tester. Inte heller denna väg är så framkomlig som det inledningsvis kan framstå. En i LIA föreslagen rätt för arbetsgivaren att beordra undersökningar och tester innebär som tidigare framhållits också en motsvarande skyldighet för arbetstagaren att underkasta sig dessa åtgärder. Även om en bestämmelse av det slaget har en integritetsskyddande karaktär genom att regeln uttryckligen begränsar de fall där arbetsgivare får beordra arbetstagaren att genomgå undersökningar och tester så innebär bestämmelsen också en inskränkning av rätten till fysisk integritet. Att i en lag som avser att stärka integriteten i arbetslivet utöka de situationer där en arbetstagare är skyldig att tåla intrång i den fysiska integriteten framstår som främmande. Enligt utredningens mening överensstämmer inte heller ett sådant alternativ med utredningens direktiv. 
 För att undvika den beskrivna problematiken vore ett ytterligare ett alternativ att tillskapa en rättighetsregel för arbetstagare inom privat sektor som stadgar som huvudregel att påtvingade kroppsliga ingrepp inte är tillåtna. Denna huvudregel skulle därefter kunna förses med en rad undantag som bara tillgodoser berättigade intressen av att utföra undersökningar och tester som är motiverade av olika särskilt begränsade säkerhetsskäl. Om en sådan bestämmelse skulle avspegla det behov av att genomföra undersökningar och tester som enligt utredningens mening faktiskt finns kommer detta alternativ att innebära att arbetsgivare inom privat sektor alltjämt kommer att ha större utrymme att genomföra tvångsvisa undersökningar och tester än arbetsgivare inom offentlig sektor. Också denna lösning kommer, trots sin utformning, att innebära en skyldighet för arbetstagaren att underkasta sig kontroller och tester. 
 Den sistnämnda omständigheten utesluter emellertid inte helt möjligheten att införa en rättighetsregel på sätt som beskrivits här. Arbetstagare inom privat sektor är redan i dag skyldiga att genomgå hälsoundersökningar och drogtester i de fall där dessa frågor faller in under arbetsgivarens arbetsledningsrätt. Arbetsdomstolen har också uttalat att en skyldighet att underkasta sig drogtester i vissa syften kan följa av det medansvar för arbetsmiljön som åvilar arbetstagaren enligt arbetsmiljölagen. För att en bestämmelse i LIA inte skulle innebära en mer långtgående skyldighet för arbetstagare inom privat sektor att genomgå tvångsvisa undersökningar och kontroller än den som kan sägas 
 194 
  
 SOU 2002:18 
  
 Personuppgifter om hälsa och droganvändning 
  
 finnas i dag, vore en möjlighet att i en rättsregel kodifiera gällande rätt. Också här kan det dock med fog ifrågasättas om det ligger inom utredningens direktiv att föreslå den skyldighet som alternativet innebär. 
 Utredningen vill slutligen framhålla att det kommit till klart ut- tryck under utredningsarbetet att frågan om tvångsvisa hälsounder- sökningar och drogtester är kontroversiell. Eftersom frågan hittills inte har behandlats vid centrala förhandlingar mellan arbets- marknadens parter anser utredningen att det vore önskvärt att parterna i första hand uttömde denna möjlighet att finna en god- tagbar lösning för den privata sektorn innan lagstiftningsåtgärder aktualiseras. 
 Arbetssökanden 
 Vad slutligen gäller arbetssökande kan sägas att för sökanden till statlig tjänst finns en bestämmelse i 5 § anställningsförordningen där det stadgas att om arbetsuppgifterna i en anställning är sådana att särskilda krav måste ställas på den anställdes hälsotillstånd i något visst hänseende, får en myndighet meddela föreskrifter om att den som skall anställas för arbetsuppgifterna skall lämna läkarintyg. Beträffande anställningsförordningen har från arbets- givarsidan inte framställts önskemål om en utvidgning av bestämmelsens tillämpningsområde, varför det inte synes föreligga något sådant behov. 
 Någon motsvarade regel för sökanden till kommunal eller privat tjänst finns inte. Också här skulle det vara möjligt att skapa ett heltäckande skydd genom att i LIA införa en motsvarighet till bestämmelsen i anställningsförordningen. För att tillskapa ett motsvarande eller bättre integritetsskydd för arbetssökande som deltar i ett anställningsförfarande inom en kommunal eller privat bedriven verksamhet uppkommer de problem som utredningen pekat på beträffande arbetstagare inom samma sektorer. 
 Också övriga resonemang kring alternativa lösningar som förts beträffande arbetstagare skulle kunna anföras beträffande till- skapande av ett skydd för arbetssökanden. Utredningen väljer därför att hänvisa till det som anförts tidigare. 
 195 
  
 Personuppgifter om hälsa och droganvändning 
  
 SOU 2002:18 
  
 6.5.4.3 
  
 Genomförandet av hälsoundersökningar 
  
 Utredningen föreslår:  
 För att garantera en arbetstagare eller en arbetssökande ett integritetsskydd vid genomförandet av hälso- undersökningar bör det införas en bestämmelse som innebär att en arbetsgivare är skyldig att se till att undersökningar som arbets- givaren utför bara genomförs av personal inom hälso- och sjukvården eller under överinseende av sådan personal. 
 För att genomföra hälsoundersökningar avseende arbetstagare eller arbetssökande bör det krävas att arbetsgivaren anlitar personal inom hälso- och sjukvården vid utförandet av undersökningen eller att undersökningen sker under överinseende av sådan personal. Med personal inom hälso- och sjukvård avses de personer som omfattas av 4 §  
 1–3 
  och 7 punkterna lagen (1998:531) om yrkes- verksamhet på hälso- och sjukvårdens område. Med att undersök- ningen sker under överinseende av sådan personal avses att den person som faktiskt utför undersökningen har fått instruktion av sjukvårdspersonal för hur undersökningen skall utföras och har erforderlig kontakt med sjukvårdspersonalen. Det är sjukvårds- personalen som har ansvaret för undersökningen. Detta tillförsäk- rar arbetstagaren den säkerhet vid hälsoundersökningar som är en förutsättning för ett fungerande integritetsskydd också i de fall där sjukvårdspersonal inte är närvarande vid undersökningen. Ett exempel där det borde vara fullt tillräckligt att undersökningen sker under överinseende av sådan personal är vid vissa rutinartade konditionstester. 
 Bestämmelsen gäller för samtliga hälsoundersökningar i arbets- livet, dvs. oavsett om arbetstagaren är skyldig att underkasta sig undersökningen eller om arbetsgivaren och arbetstagaren i sam- förstånd kommit överens om att arbetstagaren skall genomgå denna. I de fall som arbetstagaren på eget initiativ har genomgått en undersökning ansvarar naturligtvis inte arbetsgivaren för att undersökningen har genomförts enligt LOA. 
  
 6.5.4.4 
  
 Genomförandet av drogtester 
  
 Utredningen föreslår 
 : För att garantera en arbetstagare eller en arbetssökande ett integritetsskydd vid genomförandet av drog- tester bör det införas en bestämmelse som innebär att en arbets- givare är skyldig att se till att drogtester bara genomförs med 
 196 
  
 SOU 2002:18 
  
 Personuppgifter om hälsa och droganvändning 
  
 metoder som är tillförlitliga. Arbetsgivaren skall därvid se till att andra prover än utandningsprov bara tas av personal inom hälso- och sjukvården eller under överinseende av sådan personal samt analyseras av ett laboratorium som är ackrediterat enligt lagen (1992:1119) om teknisk kontroll. 
 För att drogtester skall ske på ett sätt som innebär minsta möjliga integritetskränkning bör uppställas krav på att testet är tillförlitligt. Utredningen delar SWEDAC:s mening om att det är en nödvändig förutsättning för tillförlitligheten vid utförandet av drogtester att alla de personer som utför de olika momenten från provtagning till analys och återförande av resultat har kunskap och kompetens på området. Att testerna bara får utföras av personal inom hälso- och sjukvården eller under överinseende av sådan personal får anses innebära att detta krav är uppfyllt. Med personal inom hälso- och sjukvård avses de personer som omfattas av 4 §  
 1–3 
  och 7 punkterna lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område. Med att undersökningen sker under överinseende av sådan personal avses att den person som faktiskt utför undersökningen har fått instruktioner av sjukvårdspersonal för hur undersökningen skall utföras och har erforderlig kontakt med sjukvårdspersonalen. Sjukvårdspersonalen har ansvaret för förfarandet. 
 Det bör dessutom krävas att hela analysförfarandet av proverna sker på ett laboratorium som är ackrediterat enligt lagen om teknisk kontroll av SWEDAC för den typen av verksamhet. Det är alltså inte acceptabelt att screening vid narkotikatester utförs på arbetsplatsen och att positiva svar skickas vidare för analys. Detta beroende på att säkerhetskedjan kan brytas och förväxlingsrisken kan öka. En avgörande princip för tillförlitligheten vid narkotika- tester är alltså att positiva resultat genomgår två analyssteg på ett laboratorium. 
 Att all drogtestning sker under de här beskrivna formerna innebär också att hela säkerhetskedjan från provtagning till återförande är kvalitetssäkrad. Det kommer i varje enskilt fall vara möjligt att säkerställa att en detaljerad redovisning av fallet kan ske och att en läkare med särskild kompetens, en s.k. MRO (Medical Review Officer) i varje enskilt positivt fall kan kontrollera att säkerhetskedjan är intakt. 
 Beträffande narkotikatester som sker med screening bör det också för att tillförlitlighetskravet i bestämmelsen skall vara 
 197 
  
 Personuppgifter om hälsa och droganvändning 
  
 SOU 2002:18 
  
 uppfyllt uppställas som krav att negativa resultat skall vara definitiva, medan positiva resultat skall vara preliminära och genomgå en mer kvalificerad analysmetod för att verifiera att resultatet är korrekt. Detta krav motiveras särskilt av att det första steget i analysen, dvs. screeningen, i upp till 10 procent av fallen kan utvisa ett felaktigt resultat, trots att provtagning och screening skett på ett korrekt sätt. 
 Bestämmelsen bör gälla för samtliga drogtester i arbetslivet, dvs. oavsett om arbetstagaren är skyldig att underkasta sig testet eller om arbetsgivaren och arbetstagaren i samförstånd kommer överens om att arbetstagaren skall genomgå sådana. I de fall som arbetstagaren på eget initiativ har genomgått ett test ansvarar naturligtvis inte arbetsgivaren för att testet har genomförts enligt LIA. 
 När arbetsgivaren drogtestar arbetstagaren uppkommer ofta en rad olika frågor om hur testet skall anordnas rent praktiskt. Särskilt beträffande drogtester kan själva testförfarandet i sig innebära att arbetstagaren upplever obehag och en känsla av att vara övervakad och kontrollerad vid testningen. Detta kan exempelvis ta sig uttryck i att vattenkranarna i det utrymme som testerna utförs är plomberade, att utförliga kontroller av arbetstagarens identitet genomförs eller att den personal som utför testerna uppehåller sig i det utrymme där arbetstagaren skall lämna urinprov. Det förefaller därför lämpligt att frågor om testernas närmare utformning föregås av  
 MBL-förhandlingar. 
  
 Som framgått av avsnitt 6.2 kan valet av metod för alkoholtester och behovet av att företa snabbtester vid narkotikatestning skilja sig åt beroende på om syftet är att konstatera om arbetstagaren är påverkad av droger eller om arbetstagaren har en redan klarlagd missbruksproblematik. I samband med frågor om arbetstagarens missbruk aktualiseras arbetsgivarens rehabiliteringsskyldighet. Inom ramen för ett sådant förfarande kan det finnas skäl att i samråd med arbetstagaren t.ex. använda snabbtester eller de mer avancerade testerna som används i dag. Eftersom bestämmelserna om rehabilitering utgör speciallagstiftning i förhållande till LIA kommer behandlingen av uppgifterna att ske med stöd av speciallagstiftningen. Det finns därför enligt utredningens mening inte någon anledning att behandla tillförlitligheten för tester i rehabiliteringssyfte här. 
 198 
 7 Personlighetstester 
  
 7.1 
  
 Inledning 
  
 Det är numera vanligt att arbetsgivare samlar in personuppgifter om arbetssökande genom att låta dem genomgå s.k. personlighetstester. Sådana tester kan också förekomma beträffande redan anställda, t.ex. inför utbildning eller befordran. De tester som finns tillgängliga på marknaden är emellertid av högst varierande utformning och kvalitet och det händer många gånger att testerna framställs som vetenskapligt utformade trots att så ofta inte är fallet. Gemensamt för testerna är dock att de syftar till att samla in personuppgifter om den arbetssökande för att arbetsgivaren skall kunna göra sig en bild av hur väl lämpad han eller hon är för en viss anställning. 
 För den arbetssökande kan en personlighetstest innebära en kränkning av den personliga integriteten. Kränkningen kan exempelvis bestå däri att arbetsgivaren får tillgång till uppgifter som arbetsgivaren kan använda för att dra långtgående slutsatser om hur den arbetssökande är som person och kan tänkas fungera i olika sammanhang, av vilka vissa inte har någon betydelse för anställningen. Eftersom många av de testinstrument som i dag förekommer i arbetslivet inte är anpassade till just den situation där de används och då resultatet i många fall tolkas av personer som inte har kompetens att utläsa vad som framkommit kan kränkningen av den personliga integriteten vara allvarlig. Ett felaktigt tolkat resultat kan dessutom få negativa konsekvenser för den arbetssökande såtillvida att han eller hon inte får den sökta anställningen. Motsvarande frågor kan uppkomma beträffande redan anställda arbetstagare. 
 I dag saknas bestämmelser som skyddar arbetssökande och arbetstagare från de skadeverkningar som en felaktig användning av 
 199 
  
 Personlighetstester 
  
 SOU 2002:18 
  
 personlighetstest kan innebära. I ILO:s riktlinjer Code of practice om the protection of workers personal data artikel 6.11 har man valt att försöka begränsa det felaktiga bruket av testerna genom att uppställa krav på informerat samtycke från den som skall genomgå testet. I kommentaren till förslaget pekas även på att man nationellt bör införa regler om kvalitetssäkring, exempelvis beträffande testanvändarens kompetens. 
 Inom ramen för den verksamhet som bedrivs av Stiftelsen för tillämpad psykologi (STP) 
 1  
 pågår emellertid i dag ett arbete med ett kvalitetsprogram avseende personlighetstester, innefattande såväl kvalitetssäkring av olika personlighetstester som används på marknaden som certifiering av användare av tester. Kvalitetssäkringen bygger uteslutande på frivilligt samarbete mellan den som önskar att få ett testinstrument kvalitetssäkrat och STP. De kriterier som tillämpas tar sikte på bl.a. vilken typ av test det är fråga om, vilka eventuella villkor som gäller för användningen, hur testet administreras och dokumenteras samt testets validitet. Resultatet redovisas i ett sammanfattande utlåtande som innehåller en allmän beskrivning av utvärderingen och de betyg som getts. Utlåtandet besvarar också frågan om hur väl testinstrumentet lever upp till användarens anspråk och i vilken grad dokumentationen visar detta. Målet för certifieringen av användare är att denna skall innebära att allmänt accepterade och kända kompetenskrav ställs för testanvändningen. Både testade och köpare av testtjänster skall därigenom få möjlighet att göra en oberoende värdering av användarens kompetens. Certifieringen syftar också till att göra klart för användare och testade vilka krav som bör ställas på kompetens i testanvändningen. Av Jordan riktlinjer för kvalitetssäkring av testinstrument och testanvändare framgår att säkringen tar sikte på ett omfattande och högst varierande antal faktorer samt att kvalitetssäkringen i sig kräver särskild yrkeskompetens hos kvalitetssäkraren. 
  
 1  
 STP stiftades 1966 av Sveriges Psykologförbund och Skandinaviska Testförlaget. Förbundets förlagsverksamhet och har till uppgift att främja vetenskaplig psykologisk forskning och utvecklingsarbete. 
 200 
  
 SOU 2002:18 
  
 Personlighetstester 
  
 7.2 
  
 Överväganden och förslag 
  
 Utredningen föreslår 
 : För att garantera arbetstagare och arbetssökande ett integritetsskydd vid utförandet av personlighetstester bör det införas en bestämmelse som innebär att en arbetsgivare inte får behandla personuppgifter om en arbetstagare eller en arbetssökande som har hämtats in genom ett personlighetstest annat än med samtycke. 
 Arbetsgivaren skall också tillse att personlighetstester bara genomförs på ett betryggande sätt med testinstrument som är tillförlitliga och av personer med adekvat utbildning. 
 Som ovan framgått finns det goda skäl att föreslå en bestämmelse i LIA som reglerar arbetsgivares användning av personlighetstester. Med personlighetstester avses i detta sammanhang personlighets- formulär som främst består av självskattningsformulär, projektiva test, t.ex. Rorschach eller DMT, och begåvningstest. Självskattningstester kan vara av olika uppbyggnad och med olika resultatredovisning. Ofta används jämförelse med en normgrupp. De projektiva testerna kan exempelvis bestå av Rorschach eller DMT tester. Denna typ av tester kräver en större insats vid testning och resultatbedömning och används oftast av psykologer med specialutbildning. 
 För att komma tillrätta med de kränkningar av den personliga integriteten som en felaktig och alltför omfattande användning av personlighetstester i arbetslivet kan innebära bör en integritetsskyddande bestämmelse inriktas på tillförlitligheten i förfarandet. Sådan tillförlitlighet bör kunna garanteras genom att man beaktar vad som anges i riktlinjerna i STP:s kvalitetsprogram. Arbetet med programmet är dock inte avslutat och utredningen har därför varit tveksam till att redan nu föreslå en integritetsskyddande lagbestämmelse om personlighetstester. Utredningen förutsätter dock att arbetet med programmet kommer att vara färdigt innan det blir aktuellt att genomföra lagstiftning med anledning av utredningens förslag. Eftersom det finns ett klart behov av integritetsskydd i detta avseende har utredningen därför slutligen stannat för att lämna ovanstående förslag. 
 Kraven på tillförlitlighet avseende både testinstrument och testanvändare bör alltså ställas högt och motsvara vad som följer av riktlinjerna i STP:s kvalitetsprogram. Det innebär att 
 201 
  
 Personlighetstester 
  
 SOU 2002:18 
  
 personlighetstestet måste på något sätt vara kvalitetssäkrat och att användarens kompetens måste kunna garanteras för att arbetsgivaren skall få genomföra testet. Att båda momenten är uppfyllda är av avgörande betydelse för att bestämmelsen skall ge ett fungerande integritetsskydd. Den föreslagna bestämmelsen om kvaliteten på testningen bör inte heller kunna sättas ur kraft genom samtycke. 
 Utredningens förslag bygger således på att STP:s arbete med kvalitetsprogrammet hinner avslutas och utvärderas i tid innan lagstiftning blir aktuell. Skulle så inte bli fallet bör man avvakta med att införa en bestämmelse om integritetsskydd vid personlighetstester, eftersom det inte går att bestämma begreppet tillförlitlighet utan att man har STP:s kvalitetsprogram eller någon liknande måttstock, på vilken man kan grunda en bedömning av vad som bör ingå i begreppet. 
 För behandlingen av de uppgifter som kommer fram vid ett personlighetstest bör krävas samtycke. Det kan vara fråga om mycket känsliga uppgifter och det bör därför finnas ett integritetsskydd som innebär att arbetstagaren eller arbetssökanden behåller kontrollen över uppgifterna. 
 Det bör även framhållas att det i detta avseende, liksom i övrigt beträffande alla utredningens förslag, ställs krav på att de personuppgifter som arbetsgivaren behandlar är adekvata och relevanta i förhållande till ändamålet med behandlingen. Resultatet av en personlighetstest skall alltså vara relevant för de arbetsuppgifter som skall utföras. Kravet innebär också att arbetsgivaren inte får behandla ovidkommande uppgifter. 
 Utredningen har tidigare i avsnitt uttalat att ansvaret för hela anställningsförfarandet ligger på arbetsgivaren och att arbetsgivaren inte kan frånhända sig sitt ansvar enligt LIA genom att överlämna någon del av rekryteringen till annan. Beträffande personlighets- tester innebär det nu sagda att arbetsgivaren svarar för att de krav som ställs i bestämmelsen är uppfyllda oavsett om arbetsgivaren uppdrar åt någon utomstående att utföra ett personlighetstest. 
 Här är det viktigt att peka på betydelsen av den informationsskyldighet som åvilar arbetsgivaren vid behandling av personuppgifter som kommer fram vid ett personlighetstest. Av skyldigheten att informera följer att arbetsgivaren skall lämna information om den behandling av personuppgifter som sker genom testet. 
 202 
  
 8 
  
 Personuppgifter om lagöverträdelser 
  
 Enligt direktiven skall även andra integritetsfrågor som kommer upp under utredningsarbetets gång och där skyddet för den personliga integriteten kan vara allvarligt hotat tas upp av utred- ningen. En situation som kan innebära ett sådant allvarligt hot mot den personliga integriteten är att en arbetsgivare får tillgång till och kan behandla personuppgifter om lagöverträdelser som en arbets- sökande eller en arbetstagare har gjort sig skyldig till. Konsekvens- erna för den enskilde kan i sådana fall bli mycket kännbara, han eller hon kanske inte får den sökta anställningen eller blir sär- behandlad av arbetsgivaren och arbetskamraterna eller kanske t.o.m. förlorar sin anställning. Det anses allmänt att en person som har avtjänat sitt straff skall kunna gå vidare utan att diskrimineras eller särbehandlas på annat sätt på grund av tidigare brottslighet. Det är därför av stor betydelse för såväl arbetssökande som arbets- tagare att personuppgifter om lagöverträdelser behandlas med stor restriktivitet och att bara de arbetsgivare som kan anses ha ett be- rättigat behov därav får behandla personuppgifter om lagöver- trädelser. 
 Utredningen går i det följande först igenom nuvarande be- stämmelser som är relevanta i sammanhanget och redovisar därefter sina överväganden och förslag. 
 Med arbetstagare avses fortsättningsvis i detta kapitel även arbetssökande. 
  
 8.1 
  
 Den rättsliga regleringen 
  
 8.1.1 
  
 Dataskyddsdirektivet 
  
 I artikel 8 i dataskyddsdirektivet finns bestämmelser om behand- lingen av särskilda kategorier av uppgifter. Under punkten 5 före- skrivs att behandling av uppgifter om lagöverträdelser, brottmåls- 
 203 
  
 Personuppgifter om lagöverträdelser 
  
 SOU 2002:18 
  
 domar eller säkerhetsåtgärder får utföras endast under kontroll av myndighet eller – om lämpliga skyddsåtgärder finns i nationell lag – med förbehåll för de ändringar som medlemsstaterna kan tillåta med stöd av nationella bestämmelser som innehåller lämpliga och specifika skyddsåtgärder. Ett fullständigt register över brottmåls- domar får dock föras bara under kontroll av myndighet. Vidare anförs att medlemsstaterna får föreskriva att uppgifter som rör administrativa sanktioner eller avgöranden i tvistemål också skall behandlas under kontroll av myndighet. 
  
 8.1.2 
  
 PUL 
  
 I PUL finner man bestämmelserna om behandling av lagöver- trädelser inte under de rubriker som behandlar känsliga person- uppgifter utan i stället i 21 § under den särskilda rubriken Uppgifter om lagöverträdelser m.m.. Där föreskrivs att det är förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straff- processuella tvångsmedel eller administrativa frihetsberövanden. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om undantag från förbudet. Regeringen får även i enskilda fall besluta om undantag från förbudet och dessutom överlåta åt tillsynsmyndigheten att fatta sådana beslut. 
 Bestämmelserna i 21 § PUL är en implementering av artikel 8 punkt 5 i dataskyddsdirektivet och man har därvid så nära som möjligt följt direktivets föreskrifter. Förbudet enligt paragrafen kan inte upphävas med den registrerades samtycke. Däremot kan alltså regeringen eller den myndighet som regeringen bestämmer upp- häva förbudet, såväl generellt som i enskilda fall. I fråga om be- greppet lagöverträdelser klargörs att med detta avses sådana över- trädelser som innefattar brott. Straff måste således vara föreskrivet för överträdelsen. Vad avser brott som är straffbelagda enligt utländsk lagstiftning framgår dock inte av vare sig lagtext eller förarbeten om eller i vad mån sådana lagöverträdelser omfattas. 
 Det bör även uppmärksammas att en uppgift om att någon har eller kan ha begått ett brott utgör en uppgift om lagöverträdelse, även om det inte finns en dom eller ett motsvarande avgörande beträffande brottet. Det innebär alltså att uppgiften inte behöver vara bekräftad utan att paragrafen omfattar även rykten och misstankar om brottslighet. Vidare omfattas uppgifter om domar i 
 204 
 SOU 2002:18 Personuppgifter om lagöverträdelser 
 brottmål, oavsett om dessa innehåller information om någon lagöverträdelse som innefattar brott. 
 Med straffprocessuella tvångsmedel avses t.ex. häktning, beslag och kvarstad i brottmål och med uppgifter om administrativa frihetsberövanden avses olika former av tvångsingripanden enligt den sociala lagstiftningen och utlänningslagstiftningen. 
  
 8.1.3 
  
 Belastningsregisterförfattningarna 
  
 Enligt lagen (1998:620) om belastningsregister skall Rikspolis- styrelsen med hjälp av automatiserad behandling föra ett belast- ningsregister för att ge information om sådana belastningsuppgifter som behövs i verksamhet hos polis, åklagare, domstolar samt hos skatte- och tullmyndigheter. Registret får också användas för att till enskild lämna uppgifter som är av särskild betydelse i dennes verksamhet. Lagen har nyligen setts över av Polisdatautredningen, som inte har föreslagit några ändringar (SOU 2001:92). 
 Belastningsregistret är en sammanslagning av tidigare allmänna kriminalregistret och polisregistret och innehåller, såvitt nu är av betydelse, uppgifter om den som genom dom, beslut, strafföre- läggande eller föreläggande av ordningsbot har ålagts påföljd för brott, uppgifter om den som har ålagts förvandlingsstraff för böter och uppgifter om den som med tillämpning av 30 kap. 6 § brottsbalken har förklarats fri från påföljd. 
 Rätt att få uppgifter ur registret har Riksdagens ombudsmän, Justitiekanslern eller Datainspektionen för sin tillsynsverksamhet,  
 polis-, 
 skatte-, 
  tull- eller åklagarmyndighet eller allmän domstol och förvaltningsdomstol i vissa fall samt myndigheter i övrigt i den utsträckning som regeringen för vissa ärenden föreskriver det eller för ett särskilt fall ger tillstånd för det. 
 En enskild har dock alltid rätt att på begäran skriftligen få ta del av samtliga uppgifter ur registret om sig själv. Om det behövs för att pröva en fråga om anställning eller uppdrag i en verksamhet som avser vård eller som är av betydelse för förebyggande eller beivrande av brott har en enskild också rätt att få uppgifter ur registret om en annan enskild i den utsträckning som regeringen för vissa typer av fall föreskriver det. Vidare har en enskild, som styrker att hans eller hennes rätt är beroende av uppgifter ur registret om en annan enskild, rätt att få del av dessa uppgifter om regeringen medger det. 
 205 
  
 Personuppgifter om lagöverträdelser 
  
 SOU 2002:18 
  
 I förordningen (1999:1134) om belastningsregister har vissa myndigheter i varierande utsträckning fått rätt att hämta uppgifter ur registret. Vad avser enskildas rätt att få uppgifter ur registret beträffande andra enskilda gäller detta enligt förordningen dels vissa larminstallationsföretag i fråga om den som företaget tänker anställa eller anlita som uppdragstagare för sådana installationer, dels enskilda sammanslutningar eller personer som beslutar om anställning av personal inom psykiatrisk sjukvård, vård av utvecklingsstörda eller vård av barn och ungdom, i fråga om den som den enskilde avser att anställa eller anlita som uppdragstagare. 
  
 8.1.4 
  
 Säkerhetsskyddsförfattningarna 
  
 Säkerhetsskyddslagen (1996:627) och säkerhetsskyddsförordning- en (1996:633) gäller vid verksamhet hos t.ex. staten, kommunerna, bolag över vilka staten eller kommuner utövar ett rättsligt be- stämmande inflytande samt enskilda vars verksamhet är av betydel- se för rikets säkerhet eller särskilt behöver skyddas mot terrorism. 
 Med säkerhetsskydd avses bl.a. skydd mot sabotage och andra brott som kan hota rikets säkerhet samt skydd mot brott som innebär användning av våld, hot eller tvång för politiska syften (terrorism) även om brotten inte hotar rikets säkerhet. Säkerhets- skyddet skall förebygga att personer som inte är pålitliga från säkerhetssynpunkt deltar i verksamhet som har betydelse för rikets säkerhet eller behöver skyddas mot terrorism. Denna skyddsåtgärd kallas säkerhetsprövning och inkluderar registerkontroll. Med sådan kontroll avses att uppgifter hämtas från belastningsregistret, misstankeregistret eller från ett register som omfattas av polis- datalagen. Med registerkontroll avses också att sådana person- uppgifter hämtas som Rikspolisstyrelsen eller Säkerhetspolisen behandlar utan att de ingår i ett sådant register. Registerkontroll kan t.ex. komma i fråga för deltagande i verksamhet hos SJ, hos statliga forskningsinstitut, på flygplatser och på anläggningar inom elförsörjningen. 
  
 8.1.5 
  
 Sekretesslagen 
  
 Enligt 7 kap.17 § sekretesslagen (1980:100) gäller sekretess för uppgift som har tillförts register som förs enligt lagen om belast- ningsregister. Om utlämnande av sådan uppgift gäller vad som är föreskrivet i den lagen och i säkerhetsskyddslagen samt i för- 
 206 
  
 SOU 2002:18 
  
 Personuppgifter om lagöverträdelser 
  
 ordningar som har stöd i dessa lagar. I fråga om uppgift i allmän handling föreskrivs att sekretessen skall vara i högst sjuttio år. 
 Sekretessen gäller både hos Rikspolisstyrelsen och hos de myndigheter som kan göra utdrag ur belastningsregistret. Sekre- tessen är absolut, dvs. något skaderekvisit ställs inte upp som villkor för sekretessen, och den gäller även sådana uppgifter som har avförts från registret. Den enskilde själv har dock alltid insyn i all registrering av uppgifter som rör honom eller henne själv. 
 Enligt 7 kap. 11 § sekretesslagen gäller inte sekretess i myndighets personaladministrativa verksamhet beträffande ären- den om anställning eller disciplinansvar. Uppgifter om lagöver- trädelser i sådana ärenden är därför som regel offentliga. 
  
 8.1.6 
  
 Lagen om registerkontroll av personal inom förskoleverksamhet, skola och barnomsorg 
  
 Enligt lagen (2000:873) om registerkontroll av personal inom förskoleverksamhet, skola och barnomsorg skall den som erbjuds en anställning inom förskoleverksamhet, skola och barnomsorg till den som erbjuder anställningen lämna ett utdrag, som är mindre än ett år gammalt, ur det register som förs enligt belastningsregister- lagen. För sådana ändamål används särskilda utdrag med ett be- gränsat innehåll. Den som inte har lämnat ett registerutdrag får inte anställas. Undantag görs för den som inom ett år erbjuds förnyad anställning hos samma arbetsgivare. På begäran av den som lämnat ett registerutdrag skall det återlämnas i original. 
 Bakgrunden till införandet av denna lag är vetskapen om att sexuella övergrepp på barn av personal överhuvudtaget före- kommer och att regeringen vill minska risken för att sådana över- grepp sker. Regeringen för i propositionen (prop. 1999/2000:123 ) ett resonemang som i korthet återges enligt följande. 
 Ett kontrollförfarande i sig kan anses som ett intrång i den personliga integriteten, oavsett om personerna förekommer i re- gistret eller inte. Utlämnande av en upplysning om att en viss person inte antecknats för något brottsligt kan dock knappast anses som någon nämnvärd integritetskränkning, men en register- uppgift som innehåller uppgifter om att en person begått ett brott är att betrakta som integritetskänslig. Vissa brott är dock av sådant slag att det starkt bör övervägas om personer som dömts för dessa brott bör arbeta med barn och ungdom och därför bör en lämplig- hetskontroll införas utan dröjsmål. En registerkontroll avhåller 
 207 
  
 Personuppgifter om lagöverträdelser 
  
 SOU 2002:18 
  
 sannolikt personer som dömts för ifrågavarande brott att söka anställning inom de aktuella verksamheterna och kan också bidra till ökad medvetenhet inom verksamheterna om dessa brott och hur allvarligt myndigheterna ser på sådana händelser. Kontrollen bör ses som ett komplement till anställningsförfarandet i övrigt och bör vara det sista momentet i förfarandet. Den bästa ordningen är att den arbetssökande själv inhämtar registerutdrag. Integritets- kränkningen blir minst när den arbetssökande har kontroll över vilka uppgifter som lämnas ut till den presumtive arbetsgivaren. Ett ytterligare skäl är att den valda modellen för registerkontroll rör ett stort område på arbetsmarknaden och ett mycket stort antal arbetsgivare och att det därför av integritetsskäl inte är möjligt att låta representanter för alla dessa arbetsgivare begära registerutdrag med risk för spridning av uppgifter till andra än den som skall ta emot uppgiften. Valet av modell är gjort med hänsyn till de förhållanden som gäller inom berörda verksamhetsområden och behöver inte nödvändigtvis passa andra sektorer i samhället. 
  
 8.1.7 
  
 ILO:s riktlinjer 
  
 I ILO:s riktlinjer angående skydd för arbetstagares personuppgifter sägs att en arbetsgivare i princip inte skall hämta in uppgifter om en arbetstagares lagöverträdelser. Under särskilda omständigheter får en arbetsgivare dock göra detta, nämligen om uppgifterna är direkt relevanta för anställningen och i överensstämmelse med nationell lagstiftning. Arbetsgivaren skall alltid hämta in sådana uppgifter från arbetstagaren själv och endast efter förhandsinformation och uttryckligt samtycke av arbetstagaren skall arbetsgivaren kunna vända sig till andra för sådana uppgifter. I kommentaren till riktlinjerna sägs att en uppgift om fällande dom för övergrepp på barn är relevant om anställningen innefattar arbete med barn. En arbetstagare eller en arbetssökande är i sådant fall även skyldig att lämna arbetsgivaren uppgift om en sådan dom. 
 208 
  
 SOU 2002:18 
  
 Personuppgifter om lagöverträdelser 
  
 8.2 
  
 Överväganden och förslag 
  
 Utredningen föreslår:  
 En huvudregel bör införas som innebär att en arbetsgivare inte får behandla personuppgifter om lagöver- trädelser, som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Undantag från denna regel får göras bara om detta är nödvändigt för att bedöma en arbetssökandes eller en arbetstagares tillförlitlighet med hänsyn till säkerheten för det allmänna eller för arbetsgivarens verksamhet. Förbudet i 21 § PUL för andra än myndigheter att behandla sådana uppgifter bör kvarstå vid behandling som är helt eller delvis automatiserad eller i registerform. 
 Som framgått av redovisningen av den rättsliga regleringen definieras visserligen inte personuppgifter om lagöverträdelser som känsliga personuppgifter i PUL. Att personuppgifter om lag- överträdelser ofta berör känsliga förhållanden framgår dock av såväl dataskyddsdirektivet som PUL:s förarbeten. Detta har också resulterat däri att behandlingen av dessa uppgifter kringgärdas av sådana inskränkningar i PUL som visar att uppgifterna skall handhas med betydande återhållsamhet. 
 Det har redan nämnts inledningsvis i detta kapitel men förtjänar ändå att åter framhållas att det är viktigt att uppgifter om lagöverträdelser behandlas med stor restriktivitet för att den som har avtjänat sitt straff skall kunna gå vidare utan att i fortsättningen diskrimineras eller särbehandlas på annat sätt på grund av tidigare lagöverträdelser. Personuppgifter om lagöverträdelser rör som regel mycket privata förhållanden och är vanligtvis synnerligen känsliga. Uppgifterna kan också i sig ge mycket information om arbets- tagaren, t.ex. om denne har haft missbruksproblem, ekonomiska problem eller sociala svårigheter. Med hänsyn till arbetstagarens beaktansvärda intresse av att ha ett gott skydd för den personliga integriteten i detta avseende anser utredningen att det finns skäl att utforma en klarare definition av integritetsskyddet än vad som kommer till uttryck i 21 § PUL. Utredningen föreslår därför att 21 § PUL kompletteras av en bestämmelse i LIA som innefattar en förstärkning av integritetsskyddet i detta avseende. 
 209 
  
 Personuppgifter om lagöverträdelser 
  
 SOU 2002:18 
  
 8.2.1 
  
 Intresseavvägningen mellan arbetsgivare och arbetstagare 
  
 En arbetsgivare kan ha flera skäl för att vilja kontrollera om en arbetstagare är kriminellt belastad. Arbetsgivaren kan exempelvis ha intresse av att en person som tidigare gjort sig skyldig till för- mögenhetsbrott inte anförtros att hantera pengar eller värdeföre- mål. Arbetsgivaren kan vidare med hänsyn till arbetsmiljön på arbetsplatsen och andra anställda har intresse av att kontrollera om arbetstagaren har gjort sig skyldig till narkotikabrott. Av samma skäl kan arbetsgivaren också vilja kontrollera om en arbetstagare har dömts för sexualbrott eller våldsbrott. Det kan även finnas andra intressen som innebär att arbetsgivaren anser sig ha ett behov av att kontrollera om arbetstagaren har gjort sig skyldig till lagöverträdelser. 
 En arbetsgivare kan alltså ha många skäl för att vilja behandla personuppgifter om lagöverträdelser. Mot arbetsgivarens intresse av att kontrollera om en arbetstagare är kriminellt belastad måste emellertid ställas den omständigheten att sådana uppgifter som regel är mycket känsliga och att en arbetstagare med fog kan förvänta sig att arbetsgivaren tillåts att behandla dessa uppgifter bara när det verkligen är nödvändigt. Avvägningen av arbets- givarens intresse av kontroll mot arbetstagarens intresse av ett gott skydd för sin personliga integritet utfaller enligt utredningens mening på så sätt de enda skäl från arbetsgivarens sida som kan anses berättigade i detta sammanhang är säkerhetsskäl. 
  
 8.2.2 
  
 Nödvändighetskravet 
  
 9 § PUL gäller vid all behandling av personuppgifter enligt 2 § LIA. Det innebär bl.a. att en arbetsgivare bara får behandla person- uppgifter som är adekvata och relevanta i förhållande till ändamålen med behandlingen. Relevanskravet skulle i och för sig vara till- räckligt för att hindra arbetsgivare från att behandla uppgifter om lagöverträdelser, om det inte krävs med hänsyn till de i bestäm- melsen angivna säkerhetsaspekterna. Utredningen anser dock att det i detta sammanhang finns skäl att förstärka relevanskravet genom att i lagtexten föra in ordet nödvändigt. I bestämmelsen föreskrivs således att personuppgifter om lagöverträdelser får be- handlas bara om det är nödvändigt för att bedöma arbetstagarens tillförlitlighet med hänsyn till säkerheten för det allmänna eller för arbetsgivarens verksamhet. Kravet på att behandlingen skall vara 
 210 
  
 SOU 2002:18 
  
 Personuppgifter om lagöverträdelser 
  
 nödvändig har tillkommit för att betona vikten av att arbetsgivaren inte i några andra fall än när det verkligen behövs på grund av de i bestämmelsen angivna säkerhetsskälen får behandla dessa person- uppgifter. 
  
 8.2.3 
  
 Säkerhetsaspekter 
  
 När man skall överväga vilka former av säkerhet som kan berättiga en arbetsgivare att få behandla en arbetstagares personuppgifter om lagöverträdelser kommer i blickpunkten först den allmänna säkerheten, dvs. vad som i många sammanhang definieras som risk för människors liv, personliga säkerhet eller hälsa eller för betydande skada på miljö eller egendom. Men även säkerheten för arbetsgivarens egen verksamhet, vari då innefattas säkerheten för övriga anställda och för arbetsplatsen som sådan, måste kunna beaktas. Gränserna mellan dessa olika säkerhetsaspekter kan naturligtvis vara flytande och ofta kan flera säkerhetsaspekter samtidigt vara aktuella. Även om det nu är arbetsgivarens intresse av att värna säkerheten som lyfts fram, bör det dock framhållas att det i realiteten oftast torde vara ett gemensamt intresse för arbetsgivaren och arbetstagarna att värna om både den allmänna säkerheten och säkerheten hos arbetsgivarens verksamhet. En säkerhetsskada i något av dessa avseenden kan nämligen få allvarliga konsekvenser för verksamheten, t.ex. i form av en inskränkning av verksamheten eller t.o.m. en nedläggning av denna. 
 Vad först avser den allmänna säkerheten anser utredningen det självklart att en arbetsgivare som driver en verksamhet som kan innebära risker för den allmänna säkerheten - dvs. risker för människors liv, personliga säkerhet eller hälsa eller för betydande skada på miljö eller egendom - skall ha rätt att få all relevant information om en arbetstagare vars arbetsuppgifter kan innefatta sådana risker, således även uppgifter om lagöverträdelser. 
 Den allmänna säkerheten kan hotas på flera olika sätt t.ex. genom brand, explosion, översvämning, flyg- eller tågolycka eller utsläpp av gifter, föroreningar eller smittämnen. Som exempel på offentliga och privata arbetsgivare, som på grund av verksamhetens art bör ha rätt att behandla uppgifter om lagöverträdelser, kan nämnas kärnkraftverk och andra kraftverk, flygplatser, SAS och SJ m.fl. kommunikationsföretag, företag inom den kemiska industrin, processindustrin och livsmedelsindustrin samt vissa forsknings- institut. 
 211 
  
 Personuppgifter om lagöverträdelser 
  
 SOU 2002:18 
  
 Här bör uppmärksammas att säkerhetsskyddsförfattningarna gäller för flera av dessa arbetsgivare, varför de redan på denna grund har rätt att behandla personuppgifter om lagöverträdelser. Det skulle därför kunna ifrågasättas om inte dessa författningar innebär att det egentligen inte behövs någon särskild bestämmelse i LIA som ger arbetsgivaren rätt att behandla personuppgifter om lagöverträdelser med hänsyn till säkerheten för det allmänna. Säkerhetsskyddsförfattningarna är emellertid inriktade på att skydda samhället mot sabotage och andra brott som kan hota rikets säkerhet samt terrorism, varför övriga risker för den allmänna säkerheten i form av t.ex. olyckshändelser eller allmän brottslighet, faller utanför och bör fångas upp av LIA. 
 Vad sedan gäller arbetsgivarens behov av att värna om säkerheten för den egna verksamheten sammanfaller detta, som redan påpekats, ibland med arbetsgivarens intresse av att skydda den allmänna säkerheten. Även om säkerhetsriskerna mestadels torde begränsas till arbetsgivarens egen verksamhet kan de under vissa omständigheter indirekt eller i förlängningen också innebära ett hot mot den allmänna säkerheten. Sålunda kan skador på verksamheten hos ett kraftverk medföra risker för den allmänna elkraftförsörjningen, skador på verksamheten hos större transport- företag medföra risker för de allmänna kommunikationerna, skador på verksamheten hos nationella medier medföra risker för nyhetsförmedlingen etc. 
 Säkerheten för arbetsgivarens verksamhet kan hotas i både fysiskt och ekonomiskt avseende. Det kan vara fråga om risk för fysisk åverkan på t.ex. byggnader, maskiner, annan material och produkter men också risk för stöld, bedrägeri och annan ekonomisk brottslighet. Arbetstagarna anförtros i många fall att hantera egendom av stort ekonomiskt värde eller att i övrigt ansvara för uppgifter vars rätta utförande har stor ekonomisk betydelse för arbetsgivaren. Inte minst hanteringen av den tekniska informationssäkerheten kan ha betydelse i detta sammanhang. Det finns också ett stort behov hos många arbetsgivare, både offentliga och privata, att värna om säkerheten för förtroendet för verksamheten. För vissa privata arbetsgivare kan förtroendet för deras verksamhet, deras s.k. goodwill, t.o.m. utgöra förutsättningen för verksamhetens fortsatta existens. 
 Utredningen har försökt att precisera vilka arbetsgivare som skall anses ha sådana särskilda behov att värna om säkerheten för sin verksamhet att de får behandla personuppgifter om lagöver- 
 212 
  
 SOU 2002:18 
  
 Personuppgifter om lagöverträdelser 
  
 trädelser men har funnit att det är föga meningsfullt att söka göra en sådan uttömmande och detaljerad uppräkning. Som exempel på sådana arbetsgivare kan dock, förutom de tidigare anförda, nämnas banker och andra institut inom den finansiella sektorn, vissa ADB- företag, företag inom bevakningsbranschen, företag som utför värdetransporter och kontor för valutaväxling. I övrigt har utredningen stannat för att frågan måste avgöras i varje enskilt fall, varvid arbetsgivaren har att beakta den stora restriktivitet som måste iakttas i fråga om behandlingen av dessa uppgifter. 
 I arbetsgivarens verksamhet innefattas också säkerheten för övriga anställda och säkerheten på arbetsplatsen. Arbetsgivaren ansvarar för att arbetsförhållandena är sådana att de anställda inte utsätts för risk för ohälsa eller för den personliga säkerheten. Arbetsgivaren svarar även för att arbetsplatsen är säker för dem som besöker denna eller som i övrigt vistas där, t.ex. kunder och andra besökande. Statsmakterna har tidigare ansett att det krävs särskild lagstiftning för att göra intrång i den personliga integriteten av liknande skäl. 
 1  
 Utredningen anser att även om man inte behöver gå så långt som att kräva särskild lagstiftning för vissa bestämda situationer bör det krävas starka skäl för att arbetsgivaren skall tillåtas behandla personuppgifter om lagöverträdelser. Det skydd för den personliga integriteten som bestämmelsen avser att garantera kan i annat fall komma att urholkas i sådan utsträckning att den blir meningslös. Tröskeln för att nödvändighetskravet skall anses vara uppfyllt bör alltså enligt utredningens mening sättas högt. Det bör t.ex. krävas att det har inträffat något som innebär att det verkligen finns orsak att ifrågasätta att en viss arbetstagare utgör en påtaglig säkerhetsrisk för andra anställda eller för arbetsplatsen i övrigt. 
 Slutligen bör framhållas att den föreslagna bestämmelsen är uttömmande på så sätt att arbetsgivaren inte får behandla personuppgifter om lagöverträdelser för andra syften än dem som nämns i bestämmelsen. Inte ens om arbetstagaren samtycker har arbetsgivaren en större rätt till behandling. 
  
 8.2.4 
  
 Registerkontroll 
  
 Det har på senare tid visat sig att många privata arbetsgivare upplever ett ökat behov av att förvissa sig om att personer som 
  
 1  
 Lagen (2000:873) om registerkontroll av personal inom förskoleverksamhet, skola och barnomsorg. 
 213 
  
 Personuppgifter om lagöverträdelser 
  
 SOU 2002:18 
  
 anställs inte har ett kriminellt förflutet som kan äventyra verksam- heten. Dessa arbetsgivare ställer därför ofta som villkor att den som skall anställas själv skall skaffa ett utdrag ur det rikstäckande belastningsregistret och överlämna detta till arbetsgivaren. Enligt vad utredningen erfarit är detta tillvägagångssätt mer eller mindre rutin inom den finansiella sektorn och inom säkerhets- och bevakningsbranschen men förekommer även i övrigt på hela arbets- marknaden. Eftersom det mestadels är fråga om en helt manuell behandling är förfarandet inte lagstridigt och har visat sig vara ett effektivt sätt att kringgå de föreskrifter som omgärdar uppgifterna i belastningsregistret. 
 Det beskrivna tillvägagångssättet har behandlats tidigare i lagstiftningssammanhang. I förarbetena till lagen om belastnings- register (prop.1997/98:97 s. 84) framhålls att den enskildes rätt att ta del av uppgifter om sig själv i registret i och för sig kan innebära att denna rätt kan komma att utnyttjas av t.ex. arbetsgivare. Man hänvisar till tidigare lagförarbeten (prop. 1987/88:122 s. 13 ff.) där risken diskuterades och där det uttalades att man fick följa utveck- lingen noga och reagera vid tecken på missbruk. Därefter konstate- ras att det dittills inte framkommit något som tyder på missbruk i sådan omfattning att någon annan utformning av lagen borde övervägas. 
 Det finns även anledning att här uppmärksamma den nyligen införda lagen om registerkontroll av personal inom förskole- verksamhet, skola och barnomsorg. Där föreskrivs att den som er- bjuds anställning inom förskoleverksamhet, skola och barnsomsorg skall lämna ett registerutdrag till arbetsgivaren och att den som inte gör det inte får anställas. I detta fall har man infört en skyldighet för arbetsgivarna, såväl offentliga som privata, att inhämta register- utdrag från de arbetssökande i stället för att ge arbetsgivarna rätt att själva hämta uppgifter ur registret. Motiveringen till varför man använt denna metod är att den har ansetts innebära en mindre kränkning av de arbetssökandes integritet än om arbetsgivarna getts möjlighet att själva inhämta registerutdrag utan deras med- verkan. Det framhålls i förarbetena att valet av modell har gjorts med hänsyn till de förhållanden som gäller inom berörda verksamhetsområden och att det inte nödvändigtvis behöver passa andra sektorer i samhället. 
 Enligt vad som upplysts från Rikspolisstyrelsen har ansök- ningarna från enskilda om utdrag ur belastningsregistret ökat kraftigt. Även om man räknar bort ansökningarna från dem som 
 214 
  
 SOU 2002:18 
  
 Personuppgifter om lagöverträdelser 
  
 har sökt och söker arbete inom förskola och barnomsorg kan det konstateras att ökningen har antagit sådana proportioner att det finns en risk för att skyddet för den personliga integriteten har börjat eroderas. 
 Utredningens förslag innebär att det nu beskrivna förfarandet får en påtaglig uppstramning. Om det inte kan visas att det är nöd- vändigt från säkerhetssynpunkt förbjuds alla arbetsgivare, såväl offentliga som privata, att samla in personuppgifter om lagöver- trädelser om arbetstagare. Inte ens om arbetstagaren på eget initia- tiv vill överlämna ett registerutdrag till arbetsgivaren får arbets- givaren behandla detta på ett sådant sätt som omfattas av LIA. Skyddet för den personliga integriteten stärks således dels genom att missbruk av enskildas rätt att få uppgifter om sig själva ur belastningsregistret försvåras, dels genom att arbetstagaren behåller kontrollen över uppgifterna. 
 Det kan anmärkas att den föreslagna bestämmelsen självfallet inte innebär någon inskränkning i den rätt att ta del av register- utdrag som myndigheter och enskilda har enligt belastnings- registerförfattningarna. Detta följer direkt av att dessa författ- ningar, i den mån de avviker från LIA, skall gälla enligt 2 § LIA. 
 Utredningen har även övervägt om det finns skäl att förslå någon utökning av kretsen av dem som har rätt att få uppgifter direkt ur registret men anser inte att det finns tillräckliga skäl för detta. Utredningen delar den uppfattning som statsmakterna tidigare ut- talat i förarbetena till lagen om registerkontroll av personal inom föreskoleverksamhet, skola och barnomsorg, nämligen att den bästa ordningen är att den enskilde själv inhämtar registerutdrag och överlämnar detta till arbetsgivaren. Integritetskränkningen blir minst när den enskilde själv har kontroll över vilka uppgifter som lämnas ut till arbetsgivaren. 
 2 
  
 Det bör för fullständighetens skull också sägas att det är en fri- villig handling av arbetstagaren att överlämna ett registerutdrag, arbetstagaren är inte skyldig att efterkomma en sådan uppmaning av arbetsgivaren utan kan vägra med hänsyn till att det skulle kränka den personliga integriteten. 
  
 8.3 
  
 Förhållandet till PUL och dataskyddsdirektivet 
  
 Enligt artikel 8 punkten 5 i dataskyddsdirektivet är huvudregeln att uppgifter om lagöverträdelser bara får behandlas under kontroll av 
  
 2  
 Se prop. 1999/2000:123 s. 25. 
 215 
  
 Personuppgifter om lagöverträdelser 
  
 SOU 2002:18 
  
 myndighet. Dock kan medlemsstaterna, om lämpliga skydds- åtgärder finns i nationell lag, tillåta ändringar med stöd av natio- nella bestämmelser som innehåller lämpliga och specifika skydds- åtgärder. Som ovan redovisats har i enlighet med bestämmelsen i dataskyddsdirektivet tagits in ett förbud i 21 § PUL för alla utom myndigheter att behandla sådana personuppgifter. 
 Frågan är då om detta förbud bör gälla även enligt LIA. Även om det i och för sig är möjligt att upphäva förbudet för arbetslivets del med stöd av undantagsbestämmelsen i artikel 8 punkten 5 finns det, som utredningen ser det, ingen anledning att göra detta så länge som förbudet fortfarande gäller för samhället i övrigt. Härvid beaktar utredningen även det förhållandet att det som regel inte torde finnas någon anledning för privata arbetsgivare att behandla personuppgifter om lagöverträdelser automatiserat eller i register- form. Utredningen anser att om förbudet skall hävas helt eller delvis bör detta ske genom en ändring i 21 § PUL så att ändringen gäller generellt. Utredningens uppdrag är dock begränsat till arbetslivets område så det ligger utom ramen för utredningens direktiv att överväga en sådan ändring. I LIA bör därför tas in en hänvisning till 21 § PUL när det gäller automatiserad behandling eller behandling i registerform. 
 Utredningens förslag innebär en inskränkning av arbetsgivares rätt att behandla personuppgifter om lagöverträdelser. Vad först avser helt manuell behandling av personuppgifter om lagöver- trädelser måste alla arbetsgivare iaktta bestämmelserna i LIA. Beträffande behandling som är helt eller delvis automatiserad eller i registerform föreslås att förbudet enligt 21 § PUL bör fortsätta att gälla. Vidare klargörs genom förslaget att myndigheter betraktas på samma sätt som andra arbetsgivare, dvs. att myndigheter får behandla en arbetstagares personuppgifter om lagöverträdelser bara om att det är nödvändigt för att bedöma tillförlitligheten hos arbetstagaren med hänsyn till säkerheten för det allmänna eller för myndighetens verksamhet. 
 Förslaget i förevarande hänseende är enligt utredningens mening helt i överensstämmelse med dataskyddsdirektivet. 
 216 
  
 9 
  
 Sättet för inhämtande av uppgifter 
  
 9.1 
  
 Överväganden och förslag 
  
 Utredningen föreslår:  
 För att ge en arbetstagare och en arbetssökande kontroll över och insyn i en arbetsgivares behandling av personuppgifter om hälsa och droganvändning samt lagöverträdelser bör det införas en bestämmelse som ålägger en arbetsgivare att i första hand hämta in sådana personuppgifter från arbetstagaren eller arbetssökanden själv. Bara om detta inte är möjligt och under förutsättning av arbetstagarens eller arbetssökandens samtycke får arbetsgivaren hämta in sådana personuppgifter från någon annan källa. 
 För närvarande saknas rättslig reglering som innebär begränsningar av arbetsgivarens rätt att hämta in personuppgifter från annan än arbetstagaren, varmed i detta kapitel avses även arbetssökanden. Att arbetsgivaren i första hand bör vända sig till arbetstagaren och först därefter bör vara tillåten att hämta in uppgifter från någon annan är emellertid en princip som klart stärker skyddet vid behandling av arbetstagarens uppgifter. Arbetstagaren ges härigenom kontroll över vilka uppgifter som hämtas in. Liknande bestämmelser finns t.ex. i ILO:s förslag till riktlinjer Code of practice on the protection of workers personal data. Enligt utredningens mening bör en rättsligt bindande bestämmelse med detta innehåll också finnas med i LIA. 
 Huvudregeln bör vara att arbetsgivaren i första hand skall hämta in uppgifterna från arbetstagaren personligen och att arbetsgivaren skall vara tillåten att vända sig till annan bara när detta inte är möjligt. Arbetstagaren kan på så sätt dels välja vilka uppgifter som arbetsgivaren skall få del av, dels försäkra sig om att uppgifterna är korrekta. I syfte att garantera arbetstagaren detta även i de fall där 
 217 
  
 Sättet för inhämtande av uppgifter 
  
 SOU 2002:18 
  
 det inte är möjligt att hämta in hälsouppgifter och uppgifter om lagöverträdelser från arbetstagaren själv bör det uppställas ett krav på att arbetstagaren skall samtycka till att arbetsgivaren vänder sig till annan källa. 
 Behovet av det förhöjda skydd som arbetstagaren kommer i åtnjutande av i och med en denna regel uppstår bara i samband med att arbetsgivaren hämtar in personuppgifter om hälsa, droganvändning eller lagöverträdelser. Bestämmelsen har därför avgränsats till att avse dessa uppgifter. 
 Personuppgifterna bör anses inhämtade från arbetstagaren personligen exempelvis när arbetstagaren själv lämnar över ett skriftligt formulär som arbetstagaren fyllt i och när arbetstagaren vidarebefordrar uppgifter om den egna personen genom att t.ex. överlämna resultatet av en hälsoundersökning eller ett drogtest som utförts av någon utomstående eller ett utdrag av belastningsregistret. Att uppgifterna skapats eller sammanställts av någon annan än arbetstagaren bör alltså inte innebära att informationen hämtats in från någon annan än arbetstagaren. Detta gäller under förutsättning att arbetstagaren själv lämnar över uppgifterna till arbetsgivaren på ett sätt som gör det möjligt för arbetstagaren att först ta del av uppgifterna och därigenom också kunna kontrollera dessa innan de vidarebefordras. 
 Bara om arbetsgivaren av olika anledningar inte kan hämta in personuppgifter från arbetstagaren bör arbetsgivaren vara tillåten att vända sig till annan källa. Så kan exempelvis vara fallet när arbetstagaren inte längre har tillgång till vissa uppgifter som behandlas av en tidigare arbetsgivare. Att arbetsgivaren vänder sig till annan källa torde innefatta samtliga de fall där informationen inte kan anses vara hämtad från arbetstagaren personligen. Detta bör exempelvis vara fallet om sjukvårdspersonal inom företagshälsovården vidarebefordrar hälsouppgifter till arbetsgivaren eller när arbetsgivaren själv hämtar in personuppgifter ur olika register. Även i de fall där arbetstagaren lämnar över ett belastningsregisterutdrag i ett obrutet kuvert bör uppgifterna anses inhämtade från annan än arbetstagaren, eftersom arbetstagaren i detta fall inte ges insyn i vilka uppgifter som kommer att behandlas. 
 Om arbetsgivaren med samtycke har hämtat in uppgifter från annan källa bör det inte komma i fråga att tillerkänna arbetstagaren skadestånd för kränkning bara för att det i och för sig hade varit möjligt att hämta in uppgifterna från arbetstagaren själv. 
 218 
  
 SOU 2002:18 
  
 Sättet för inhämtande av uppgifter 
  
 Bestämmelsen tar sikte på arbetsgivarens åtgärd att  
 hämta in  
 uppgifter. Detta innebär att det är bara arbetsgivarens aktiva åtgärder för att hämta in personuppgifter som omfattas av bestämmelsen. Att arbetsgivaren utan att själv vidta åtgärder får del av information om arbetstagarens hälsa eller lagöverträdelser på annat sätt regleras inte i detta sammanhang. 
 Det bör även nämnas att det i belastningsregisterförordningen ges möjlighet för vissa arbetsgivare att själva begära och få ta del av särskilda uppgifter ur registret. Enligt 2 § LIA kommer denna möjlighet inte att förändras. 
 219 
 10 Förvaring av personuppgifter 
  
 10.1 
  
 Överväganden och förslag 
  
 Utredningen föreslår:  
 I LIA bör införas en bestämmelse som innebär att en arbetsgivare skall förvara personuppgifter som arbetsgivaren behandlat enligt 3, 5, 8 och 9 §§ på ett betryggande sätt och åtskilda från övriga personuppgifter som arbetsgivaren behandlar. De kategorier av personuppgifter som omfattas av den föreslagna bestämmelsen får dessutom bara behandlas av en begränsad krets av personer. 
 Om behandlingen sker helt eller delvis automatiserat eller i registerform skall även 30 och 31 §§ PUL gälla. 
 För att skyddet för integriteten skall bibehållas efter det att uppgifterna hämtats in eller annars kommit arbetsgivaren till del bör det föreskrivas i LIA att vissa personuppgifter skall förvaras på ett betryggande sätt och åtskilda från andra uppgifter samt att endast en begränsad krets av personer skall få ha tillgång till uppgifterna. Bestämmelsen tar sikte på sådana privata elektroniska uppgifter som arbetstagaren tagit del av enligt 3 §, personuppgifter om hälsa, droganvändning, lagöverträdelser och personuppgifter som hämtas in genom personlighetstester. Dessa uppgifter kan innehålla känslig information och arbetstagaren kan till följd därav ha ett mycket starkt intresse av att de inte blandas med andra uppgifter. 
 När det gäller uppgifter som arbetsgivaren tagit del av enligt 3 § LIA innebär bestämmelsen ingen skyldighet att hålla all sådan privat elektronisk information som avses i den paragrafen åtskild i särskilda förvar. Bestämmelsen tar endast sikte på de fall där arbetsgivaren faktiskt tar del av privat elektronisk information. Om 
 221 
  
 Förvaring av personuppgifter 
  
 SOU 2002:18 
  
 arbetsgivaren tar del av informationen med stöd av 3 § eller i strid med denna saknar betydelse för bestämmelsens tillämpning. 
 Arbetsgivaren har själv att avgöra vem och hur många som skall få ha tillgång till uppgifterna. Denna bedömning påverkas exempelvis av omständigheter som omfattningen av arbetsgivarens verksamhet, organisationen av arbetsgivarens verksamhet och i vilken utsträckning behandlingen faktiskt äger rum. Det är därvid inte nödvändigt att en krets som har tillgång till uppgifterna återfinns bland arbetsgivarens anställda, utan det kan också vara fråga om expertis som anlitas av arbetsgivaren i samband med hälsoundersökningar och drogtester. 
 Hur förvaringen av uppgifterna rent praktiskt skall anordnas för att vara betryggande och för att uppgifterna skall förvaras åtskilda från andra uppgifter måste naturligtvis avgöras utifrån vad som är lämpligast för verksamheten och verksamhetens organisation. Generellt kan dock sägas att kravet för manuellt dokumenterade uppgifter bör innebära att de skall deponeras i ett låst skåp eller i ett liknande utrymme. Detta bör vara försett med en låsanordning som kräver t.ex. behörighetskod eller nyckel för att någon skall få tillträde. Naturligtvis avses med manuellt dokumenterade uppgifter även utskrifter av uppgifter som behandlas eller har behandlats automatiserat. Uppgifter som behandlas automatiserat bör förvaras på ett sätt som t.ex. kräver en särskild säkerhetskod för att någon skall få tillgång till uppgifterna. En betryggande förvaring kan också bestå i att arbetsgivaren förvarar uppgifterna på en separat persondator som inte ingår i ett större system. I detta sammanhang bör Datainspektionens allmänna råd om säkerhet för personuppgifter särskilt nämnas. 
 När det gäller sådan behandling av personuppgifter som omfattas av PUL bör arbetsgivaren vara skyldig att tillämpa även de säkerhetsbestämmelser som följer av den lagen. 
 222