De senaste årens snabba utveckling på såväl informationsteknikens som medicinens område har medfört dramatiskt ökade möjligheter för arbetsgivare att på olika sätt kontrollera arbetstagare. Riskerna för intrång i arbetstagarnas personliga integritet har därmed blivit avsevärt större. Detta har också föranlett de fackliga organisationerna att efterlysa ett förstärkt skydd för den personliga integriteten för arbetstagare och arbetssökande.

Vid genomgången av gällande rätt har konstaterats att det inte finns någon samlad reglering till skydd för den personliga integriteten i arbetslivet. Inte heller finns det någon lagstiftning i detta avseende som har utformats med hänsyn till den tekniska och medicinska utvecklingen.

Utredningen har i enlighet med sina direktiv inriktat arbetet framför allt på frågor kring risker för kränkningar av arbetstagarnas personliga integritet i samband med dels användningen av informationsteknik i arbetslivet, dels arbetsgivarens kontroller av arbetstagarnas hälsa eller droganvändning. Dessutom har utredningen tagit upp andra situationer där arbetstagarnas personliga integritet kan anses allvarligt hotad. Behovet av skydd för arbetssökande har särskilt uppmärksammats och i utredningens arbete har såväl arbetssökande som tidigare arbetstagare i förekommande fall jämställts med arbetstagare.

Enligt vad utredningen funnit saknas det ett godtagbart, rättsligt bindande skydd för arbetstagares personliga integritet. Såväl internationellt som nationellt råder det dock bred enighet om att respekten för enskildas privatliv och skyddet för den personliga integriteten är en mänsklig rättighet som staten har en skyldighet att garantera. En sådan garanti kan bara ställas ut genom lagstiftning.

Utredningen föreslår därför en lag om skydd för personlig integritet i arbetslivet (LIA).

Förslaget till lag om skydd för personlig integritet i arbetslivet

Utredningen skall enligt direktiven se över behovet av lagstiftning eller andra åtgärder för att stärka skyddet av den enskildes personliga integritet i arbetslivet. De situationer som ingår i översynen utgörs av kontroller och andra åtgärder, varigenom arbetsgivaren avser att skaffa sig information i olika avseenden om arbetstagare eller arbetssökande. Risker för intrång i den personliga integriteten uppkommer då i samband med att uppgifter om enskilda samlas in eller behandlas på annat sätt. Utredningen har därför inriktat sitt arbete på att försöka begränsa arbetsgivarens rätt att behandla personuppgifter i de situationer där den personliga integriteten kan anses allvarligt hotad.

Personuppgiftslagen (PUL), som gäller all behandling som sker automatiserat eller i registerform, är den lag som för närvarande ger det bästa integritetsskyddet vid behandling av personuppgifter. Utredningen har funnit att det är naturligt och i praktiken även ofrånkomligt att LIA tar sin utgångspunkt i PUL.

Genom PUL har det s.k. dataskyddsdirektivet införts i svensk lagstiftning. Att LIA nu tar sin utgångspunkt i PUL medför därför bl.a. att de grundläggande principer om relevans och finalitet, som varit styrande för utformningen av dataskyddsdirektivet och PUL, kommer att gälla även för LIA.

Dessa principer, som alltså genomsyrar hela lagförslaget, innebär i korthet

• att de personuppgifter som samlas in måste vara adekvata och relevanta i förhållande till ändamålen med behandlingen,
• att ändamålen måste vara särskilda, uttryckligt angivna och berättigade, och
• att personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlats in.

I förhållande till PUL är LIA en speciallag, vilket innebär att bestämmelserna i LIA i förekommande fall tar över vad som föreskrivs i PUL. LIA begränsas dock inte till att utveckla och precisera de regler av särskilt intresse för arbetslivet som finns i PUL utan lagförslaget har ett något bredare anslag.

Vid arbetsgivarens behandling av arbetstagares personuppgifter finns det risker för integritetskränkningar även om behandlingen sker helt manuellt. Utredningen föreslår därför att LIA skall tillämpas även vid helt manuell behandling av personuppgifter. Det innebär att behandling av alla dokumenterade personuppgifter, alltså även skriftliga anteckningar på lösa papperslappar, omfattas.

LIA omfattar även sättet för genomförande av olika åtgärder som kan innebära kränkningar av den personliga integriteten. Det föreslås t.ex. att personuppgifter i första hand skall inhämtas från arbetstagaren själv. Bara om detta inte är möjligt får arbetsgivaren efter samtycke från arbetstagaren inhämta uppgifter från någon annan källa. Vidare anges hur hälsoundersökningar, drogtester och personlighetstester skall genomföras för att så långt som möjligt skydda arbetstagarnas personliga integritet.

LIA föreslås gälla för både den offentliga och den privata sektorn av arbetsmarknaden och lagförslaget syftar till att stärka inte bara arbetstagarnas integritetsskydd utan även skyddet för arbetssökande och tidigare arbetstagare.

Omfattningen av det skydd som LIA erbjuder för den personliga integriteten i arbetslivet framgår genom kombinationen av de olika bestämmelser som utredningen föreslår.

Användningen av informationsteknik i arbetslivet

Den ökade användningen av informationsteknik i arbetslivet har medfört större risker än tidigare för intrång i arbetstagarnas personliga integritet och riskerna har även fått en något annan karaktär än tidigare. Den tekniska utrustningen i dag ger arbetsgivaren stora möjligheter till kontroller och dessa kan även lätt utföras utan att den arbetstagare som blir kontrollerad vet om det.

Användningen av informationsteknik orsakar risker för arbetstagarnas personliga integritet framför allt i två typsituationer. Den ena, som också fått stor uppmärksamhet bl.a. i massmedia, rör frågan om vilken rätt en arbetsgivare har att ta del av privat e-post eller andra privata uppgifter som finns elektroniskt tillgängliga. Den andra situationen rör arbetsgivarens användning av loggningsfunktioner som automatiserat samlar in uppgifter om arbetstagarnas beteenden och aktiviteter.

Privat e-post och andra elektroniska uppgifter

Utredningen konstaterar inledningsvis att arbetsgivaren har rätt att bestämma över användningen av sin tekniska utrustning. Det är alltså arbetsgivaren som avgör om och i vilken utsträckning som en arbetstagare får använda utrustningen för privat bruk. Riktlinjer och policies för privat användning av e-post och Internet finns numera på de flesta större företag och myndigheter och torde i regel medge de anställda att i begränsad omfattning använda arbetsgivarens dator för privat bruk. På arbetsmarknaden i övrigt förefaller dock frågan om privat användning av e-post och Internet i stor utsträckning ha lämnats oreglerad.

En arbetstagares privata användning av arbetsgivarens dator medför att privata elektroniska uppgifter kan komma att lagras hos arbetsgivaren. Uppgifterna finns som regel i form av skickade och mottagna e-postmeddelanden men också i form av andra typer av filer, t.ex. text- eller bildfiler. Utredningens genomgång av gällande rätt visar att arbetsgivaren har stora möjligheter att göra kontroller som innebär att arbetsgivaren tar del av sådana uppgifter. Enligt vedertagen praxis i arbetslivet får kontrollerna dock inte strida mot lag, god sed eller annars vara otillbörliga. Eftersom en åtgärd som innebär att arbetsgivaren tar del av privata elektroniska uppgifter utgör en behandling av personuppgifter enligt PUL måste även den lagens bestämmelser följas.

LIA innehåller en bestämmelse som avser att precisera och begränsa arbetsgivarens rätt att ta del av sådana privata elektroniska uppgifter. Att tillförsäkra arbetstagarna ett absolut integritetsskydd för privat e-post eller andra privata elektroniska uppgifter genom en generell lagstiftning för hela arbetslivet har däremot visat sig ogörligt. En sådan reglering skulle medföra alltför stora negativa och svåröverskådliga konsekvenser för arbetsgivarna och därmed för hela samhället.

I LIA föreslås som en utgångspunkt ett förbud för arbetsgivaren att ta del av en arbetstagares privata e-post eller andra privata elektroniska uppgifter. För att arbetsgivaren skall kunna använda sina IT-verktyg på ett rationellt sätt gäller förbudet bara avsiktliga intrång, dvs. arbetsgivaren måste vara medveten om att uppgifterna är arbetstagarens privata. En arbetstagare skall också kunna samtycka till att arbetsgivaren tar del av sådana uppgifter. Vidare föreslås undantag från förbudet när det är nödvändigt för arbetsgivarens verksamhet att arbetsgivaren tar del av privata elektroniska uppgifter. Vilka dessa situationer är har inte uttryckligen angetts, däremot har de exemplifierats på ett sätt som förutsätter en restriktiv tillämpning av möjligheten till undantag från förbudet. Som exempel anges att det särskilt skall beaktas om det finns fara för informationssäkerheten eller om det finns skälig misstanke att arbetstagaren har gjort sig skyldig till brott vid användningen av arbetsgivarens utrustning eller till sådant illojalt beteende som kan utgöra saklig grund för uppsägning eller föranleda skadeståndsskyldighet.

Den föreslagna bestämmelsen gäller oavsett om arbetstagaren har haft arbetsgivarens tillstånd att använda arbetsgivarens dator för privat e-post eller andra privata elektroniska uppgifter.

Loggning

Vid praktiskt taget all användning av informationsteknik sker loggning av de aktiviteter som förekommer vid användningen. De s.k. elektroniska spår som samlas in på detta sätt kan ofta knytas till en enskild individ och innehåller då information om den enskildes åtgärder och beteenden i olika avseenden. Uppgifterna kan gälla relativt harmlösa förhållanden, t.ex. den tidpunkt när en arbetstagare loggade in sin PC mot nätverket. Med mer avancerad teknik kan dock arbetsgivaren registrera en arbetstagares samtliga åtgärder vid användning av vissa IT-verktyg, vilket förekommer bl.a. vid prestationsmätning i teletjänstverksamhet. Vidare kan med användning av s.k. GPS-teknik registreras en arbetstagares fysiska vistelseort, vilket förekommer t.ex. i transportbranschen. En arbetsgivare har således relativt omfattande möjligheter att använda loggning för att kontrollera arbetstagare. Möjligheterna begränsas dock genom att kontrollerna inte får strida mot lag, god sed eller annars vara otillbörliga.

Sådan loggning som innebär att insamlade uppgifter kan knytas till vissa enskilda arbetstagare utgör behandling av personuppgifter enligt PUL. Vid bedömningen av det integritetsskydd som PUL erbjuder har utredningen funnit att den lagen får anses ge ett tillfredsställande skydd för arbetstagares personliga integritet vid loggning. Den omständigheten, tillsammans med det förhållandet att loggning som företeelse knappast går att reglera i en generell bestämmelse, har medfört att utredningen avstår från att föreslå någon bestämmelse som materiellt reglerar loggning. Däremot finns det anledning att lyfta fram och tydliggöra det integritetsskydd som PUL innebär. Utredningen föreslår därför att det i LIA tas in en hänvisning till PUL:s bestämmelser.

Personuppgifter om hälsa eller droganvändning

Personuppgifter om hälsa eller droganvändning är känsliga uppgifter och det krävs därför att sådana uppgifter behandlas med stor restriktivitet. Av utredningens genomgång av gällande rätt framgår att det inte finns något heltäckande godtagbart integritetsskydd för arbetstagare i detta avseende.

Med hänsyn till uppgifternas känsliga natur föreslår utredningen som huvudregel ett förbud för arbetsgivaren att behandla personuppgifter om arbetstagares hälsa eller droganvändning. Regeln ger inte något utrymme för samtycke av arbetstagaren. Undantag föreslås dock om det är nödvändigt att arbetsgivaren får behandla personuppgifter om en arbetstagares hälsa eller droganvändning för att bedöma om arbetstagaren är lämpad för att utföra arbetsuppgifter i arbetsgivarens verksamhet.

Undantaget är avsett att tillämpas när det är nödvändigt för säkerheten för arbetstagaren själv, andra anställda, verksamheten eller allmänheten. Men även i andra fall när det bedöms nödvändigt för att bedöma om arbetstagaren är lämpad för att utföra arbetsuppgifter, t.ex. vid alkohol- eller droganvändning som inverkar påtagligt negativt på arbetstagarens arbetsförmåga eller på arbetsmiljön för övriga anställda. Arbetsgivaren får också behandla personuppgifter om en arbetstagares hälsotillstånd för att kunna bedöma om arbetstagaren har de fysiska förutsättningar, exempelvis beträffande syn eller hörsel, som krävs för arbetsuppgifterna.

Vidare får undantag från förbudet även göras för att arbetsgivaren skall kunna bedöma en arbetstagares rätt till sådana förmåner som inte följer av lag, under förutsättning att arbetstagaren själv har begärt detta.

Genomförandet av hälsoundersökningar och drogtester

LIA innehåller bestämmelser som avser att garantera arbetstagarna att hälsoundersökningar och drogtester utförs med tillförlitliga metoder. Hälsoundersökningar och drogtester får sålunda enligt LIA bara utföras av personal inom hälso- och sjukvården eller under överinseende av sådan personal.

Beträffande drogtester ställs det dessutom krav på att prov skall analyseras av ett laboratorium som är ackrediterat enligt lagen om teknisk kontroll. Detta gäller alla slags prov som kan ligga till grund för en analys av droganvändning, med undantag för utandningsprov. För att minska risken för att falska positiva resultat godtas som slutresultat föreslår utredningen vidare att prov som visar positivt resultat skall genomgå två analyssteg.

Under utredningens arbete har det framförts önskemål från företrädare för de offentliga arbetsgivarna om utökade möjligheter för dessa arbetsgivare att beordra hälsoundersökningar och drogtester. Utredningen har förståelse för att det kan finnas ett sådant behov men har funnit att direktiven inte ger utredningen möjlighet att överväga något förslag i detta avseende.

Från företrädare för de fackliga organisationerna har framförts kravet att en bestämmelse motsvarande 30 § lagen om offentlig anställning skall införas inom den privata sektorn av arbetsmarknaden. Även här kan det ifrågasättas om det ligger inom ramen för utredningens direktiv att föreslå sådana beordrade hälsoundersökningar. Med hänsyn till detta men även till den omständigheten att denna fråga inte har tagits upp vid centrala förhandlingar, i vart fall inte på senare tid, anser utredningen att förhandlingsvägen bör prövas i första hand innan några lagstiftningsåtgärder aktualiseras.

Personuppgifter om lagöverträdelser

Personuppgifter om lagöverträdelser är i regel synnerligen känsliga och behandlingen av sådana uppgifter innebär en uppenbar risk för kränkningar av den personliga integriteten. Det är dessutom ett allmänt intresse att en person som har avtjänat sitt straff skall kunna gå vidare utan att diskrimineras eller särbehandlas till följd av tidigare brottslighet.

Utredningen föreslår därför ett förbud för arbetsgivare att behandla personuppgifter om lagöverträdelser som avser arbetstagare. Undantag från förbudet föreslås endast för det fall att behandlingen är nödvändig för att bedöma en arbetstagares tillförlitlighet med hänsyn till säkerheten för det allmänna eller för arbetsgivarens verksamhet, vari innefattas även säkerheten för övriga anställda och för arbetsplatsen. Tillämpningen av undantaget bör enligt förslaget ske med stor restriktivitet.

Det förekommer inte sällan att arbetsgivaren kräver utdrag ur belastningsregistret som villkor för en anställning. Registret omgärdas visserligen av sträng sekretess, men en enskild har alltid rätt att få uppgifter om sig själv ur registret. Enligt upplysningar av Rikspolisstyrelsen har ansökningar av enskilda om registerutdrag ökat kraftigt på senare tid, vilket är en indikation på att det har blivit allt vanligare att arbetsgivare begär att få registerutdrag.

Den föreslagna bestämmelsen innebär att en arbetsgivare inte längre mer eller mindre rutinmässigt skall kunna ställa krav på registerutdrag för en anställning. Bestämmelsen i LIA kompletteras vidare av motsvarande regel i 21 § PUL som förbjuder alla utom myndigheter att behandla personuppgifter om lagöverträdelser automatiserat eller i registerform.

Varken enligt LIA eller PUL kan en arbetstagare samtycka till behandling av personuppgifter om lagöverträdelser.

Personlighetstester

Personlighetstester används numera i stor omfattning under anställningsförfaranden. Testerna, som bl.a. syftar till att avspegla den testades personlighet och förutsättningar i olika avseenden, kan medföra risker för kränkningar av den personliga integriteten. De tester som för närvarande finns på marknaden är dessutom av skiftande kvalitet och testanvändarnas kompetens kan variera.

I LIA föreslås därför en bestämmelse som anger att behandling av personuppgifter som hämtas in genom ett personlighetstest bara får göras med samtycke av arbetstagaren. Detta betyder att arbetstagaren behåller kontrollen över de uppgifter som framkommer vid testet. För att ytterligare minska risken för kränkningar av den personliga integriteten föreslås även att arbetsgivaren skall se till att personlighetstester bara utförs på ett betryggande sätt med tillförlitliga testinstrument och av personer med adekvat utbildning.

För närvarande pågår inom Stiftelsen för tillämpad psykologi ett kvalitetssäkringsarbete angående tillförlitligheten av testinstrument och testanvändare. Utredningen, som förutsätter att detta arbete kommer att avslutas med förslag och rekommendationer inom den närmaste tiden, anser att resultatet av arbetet bör avvaktas innan den föreslagna bestämmelsen träder i kraft.

Övriga bestämmelser

De materiella bestämmelserna i LIA kompletteras av bestämmelser som säkerställer att arbetstagaren får insyn i och kontroll över behandlingen av personuppgifter som rör honom eller henne. Härmed avses den tidigare nämnda bestämmelsen att arbetsgivaren vid behandling av personuppgifter om hälsa, droganvändning eller lagöverträdelser är skyldig att i första hand hämta in sådana personuppgifter från arbetstagaren. Vidare avses de föreslagna bestämmelserna om

• förvaring av personuppgifter,
• arbetsgivarens skyldighet att informera arbetstagaren om pågående behandling av personuppgifter
• arbetsgivarens skyldighet att rätta eller utplåna felaktiga, ofullständiga eller irrelevanta uppgifter, samt
• tystnadsplikt för den som i privat verksamhet behandlar eller har behandlat personuppgifter.

Överträdelser av lagen sanktioneras genom straff och skadestånd.

Straffansvar gäller dock inte vid helt manuell behandling.

Det fackliga inflytandet

Arbetsmarknadens parter har centrala uppgifter när det gäller all lagstiftning som rör arbetslivet och utredningen framhåller att parternas ansvar och engagemang behövs för att LIA skall kunna ge arbetstagare och arbetssökande det avsedda integritetsskyddet. Effektiviteten av LIA bygger i hög grad på ett fackligt engagemang, såväl centralt som lokalt.

Utredningen har med utformningen av LIA avsett att främja samarbetet mellan arbetsmarknadens parter när det gäller skyddet för den personliga integriteten i arbetslivet. Den föreslagna lagen innehåller därför flera regler där det inte är på förhand alldeles givet hur de skall tillämpas på en arbetsplats. Avsikten är då att parterna med lagen som grund skall kunna träffa kollektivavtal med bestämmelser som preciserar vad som skall gälla enligt lagen med hänsyn till förhållanden inom skilda branscher eller lokala förhållanden på olika arbetsplatser.

För att parterna skall kunna träffa sådana preciserande kollektivavtal krävs det ingen särskild bestämmelse i LIA. Avtalen får nämligen inte stå i strid med lagen utan bara precisera den. Vid tvist om vad lagen innebär i ett visst fall kan sådana kollektivavtal förutsättas få stor betydelse.

I LIA erinras även om arbetsgivarens primära förhandlingsskyldighet enligt MBL samt om att lagen om rättsgången i arbetstvister gäller för tvister som rör lagen, varvid organisation kan företräda medlem.