77 Prop. 2017/18:105
10.3 Arbetsrätt, social trygghet och socialt skydd
Regeringens förslag: Känsliga personuppgifter får behandlas om det är nödvändigt för att den personuppgiftsansvarige eller den regist-rerade ska kunna fullgöra sina skyldigheter och utöva sina särskilda rättigheter inom arbetsrätten och inom områdena social trygghet och socialt skydd. Personuppgifter som behandlas med stöd av detta undantag får lämnas ut till tredje part endast om det inom arbetsrätten eller inom områdena social trygghet och socialt skydd finns en skyldighet för den personuppgiftsansvarige att göra det eller om den registrerade uttryckligen har samtyckt till utlämnandet.
Utredningens förslag överensstämmer i sak med regeringens. I utred-ningens förslag anges dock inte områdena social trygghet och socialt skydd uttryckligen i bestämmelsen.
Remissinstanserna: En majoritet av remissinstanserna tillstyrker förslaget eller har inga synpunkter på det. Centrala studiestödsnämnden anser att det är klokt att inta en försiktig hållning och inte föreslå någon reglering på områdena social trygghet och socialt skydd. Uppsala univer-sitet ifrågasätter i stället utredningens resonemang och anser att antagan-det att den sociala trygghetslagstiftningen ligger långt bort från arbets-rätten är olyckligt och riskerar att skapa fel slutsatser om när och hur arbetsgivare får behandla personuppgifter. Malmö kommun och Piteå kommun anser att det är oklart om begreppet social trygghet och socialt skydd ska ha den EU-rättsliga innebörd som utredningen menar. Svensk Försäkring påpekar att gruppförsäkringar och i de flesta fall även tjänste-pensionerna tillhandahålls av försäkringsföretag, som behöver behandla känsliga personuppgifter för att kunna tillhandahålla det avsedda försäk-ringsskyddet. Pensionsmyndigheten avstyrker förslaget och anser att det inte finns något i förordningstexten som ger skäl för nationella regler.
Dataskydd.net avstyrker förslaget och anser att artikel 9.2 inte kan kring-gås annat än genom lagstiftning som ger behandlingen en rättslig grund, vilket i så fall sker i annan lagstiftning än dataskyddslagen. Flera remiss-instanser, bl.a. Svensk Handel och Svenskt Näringsliv, har synpunkter på hur bestämmelsen om utlämnande till tredje part bör tolkas och tillämpas.
Skälen för regeringens förslag
I artikel 9.2 b i dataskyddsförordningen föreskrivs ett undantag från förbudet mot behandling av känsliga personuppgifter på arbetsrättens område. Undantaget motsvaras delvis av artikel 8.2 b i dataskyddsdirek-tivet, som har genomförts i svensk rätt genom 16 § första stycket a PUL.
Förordningens undantag är dock vidare och avser behandling som är nödvändig för att både den personuppgiftsansvarige och den registrerade ska kunna fullgöra sina rättigheter och skyldigheter inom arbetsrätten.
Vidare omfattar bestämmelsen i förordningen även områdena social trygghet och socialt skydd. Undantaget gäller i den omfattning behand-lingen är tillåten enligt nationell rätt eller ett kollektivavtal och under förutsättning att lämpliga skyddsåtgärder som säkerställer den regist-rerades grundläggande rättigheter och intressen fastställs.
Prop. 2017/18:105
78
Termen arbetsrätt har vid tillämpningen av personuppgiftslagen getts en vid tolkning som innebär att i stort sett alla skyldigheter och rättig-heter för arbetsgivare beträffande de anställda och deras organisationer innefattas, såsom exempelvis behandling i samband med sjuklön och rehabilitering av arbetstagare. Även skyldigheter och rättigheter för fackliga organisationer i förhållande till arbetsgivare och deras organisa-tioner omfattas.
Utredningen anser att det inte är helt klart vad som avses med begreppen social trygghet och socialt skydd i artikel 9.2 b, men konsta-terar att sociallagstiftning och den lagstiftning som återfinns på social-försäkringsområdet sakligt sett tycks ligga långt ifrån arbetsrätten. Med tanke på det sammanhang där begreppen förekommer bedömer utred-ningen att avsikten sannolikt i stället är att reglera behandling som är nödvändig för att arbetsgivare, fackförbund eller arbetsgivarorganisa-tioner ska kunna erbjuda eller förmedla pensioner och försäkringar med anknytning till den registrerades anställning eller yrkesliv, såsom tjänste-pensioner och olika typer av gruppförsäkringar. Eftersom sådan behand-ling i många fall ändå kan ske med stöd av undantaget som rör arbets-rätten, undantaget som rör viktiga allmänna intressen eller med stöd av samtycke, ser utredningen inte behov av att införa denna del av artikel 9.2 b i dataskyddslagen.
Uppsala universitet ifrågasätter utredningens bedömning i denna del.
Universitetet menar att begreppen social trygghet och socialt skydd har en viss innebörd enligt EU-rätten samt att det är avsett att vara ett vitt begrepp. Utredningens antagande om att den sociala trygghetslagstift-ningen ligger långt bort från arbetsrätten är enligt universitet olyckligt och riskerar att skapa fel slutsatser om när och hur arbetsgivare får behandla personuppgifter.
Enligt regeringens bedömning torde det stå klart att bestämmelsen i artikel 9.2 b gör det möjligt att behandla även känsliga personuppgifter när det är nödvändigt för att i vart fall arbetsgivare, arbetstagare, fackliga organisationer och arbetsgivarorganisationer ska kunna fullgöra sina skyldigheter eller utöva sina rättigheter med koppling till arbetslivet. Det är således inte bara behandling av personuppgifter som har sin rättsliga grund i arbetsrätten, i snäv bemärkelse, som omfattas. Bestämmelsen bör, precis som 16 § PUL, även kunna tillämpas vid behandling av person-uppgifter som en arbetsgivare utför som en följd av lagstiftningen på socialförsäkringsområdet, t.ex. i samband med en arbetstagares sjukdom och rehabilitering. Det kan därför ifrågasättas om det tillägg som gjorts i dataskyddsförordningen avseende områdena social trygghet och social omsorg innebär någon egentlig förändring jämfört med vad som gäller enligt personuppgiftslagen. För närvarande går det dock inte att dra några helt säkra slutsatser om begreppens innebörd. Som Uppsala universitet påpekar har begreppen en unionsrättslig innebörd och denna kommer efter hand att klargöras genom bl.a. EU-domstolens praxis. Det kan därför inte uteslutas att begreppen har en vidare innebörd än vad som följer av utredningens bedömning.
En förutsättning för att behandlingen ska omfattas av undantaget i artikel 9.2 b är att den är tillåten enligt gällande rätt, t.ex. enligt kollektiv-avtal, och att detta rättsliga stöd innehåller bestämmelser om lämpliga skyddsåtgärder för att säkerställa den registrerades grundläggande
79 Prop. 2017/18:105 heter och intressen. Detta innebär dock inte att undantaget i sig måste
genomföras i svensk rätt för att vara tillämpligt.
Det finns inte bara en, utan många olika tänkbara rättsliga grunder för behandling av personuppgifter med koppling till arbetslivet. I de fall den rättsliga grunden är en rättslig förpliktelse eller en uppgift av allmänt intresse ska den, enligt artikel 6.3 första stycket i dataskyddsförord-ningen, vara fastställd i enlighet med unionsrätten eller den nationella rätten. Sådana fastställda förpliktelser och uppgifter för exempelvis arbetsgivare förekommer i Sverige i kollektivavtal och arbetsrättslig lagstiftning, men också på andra områden, t.ex. i socialförsäkringsbalken, lagen (1991:1047) om sjuklön och diskrimineringslagen (2008:567).
Behov av att behandla också känsliga personuppgifter i dessa samman-hang förekommer i alla sektorer av samhället. Det finns inte någon sektorsspecifik reglering som på ett övergripande plan tillgodoser förord-ningens krav på skyddsåtgärder. Motsvarande krav på skyddsåtgärder i dataskyddsdirektivet har i stället tillgodosetts genom bestämmelsen i 16 § första stycket a samt andra stycket PUL.
För att möjliggöra sådan nödvändig behandling som avses i artikel 9.2 b och samtidigt tillgodose kravet på skyddsåtgärder anser regeringen, till skillnad från bl.a. Pensionsmyndigheten, att det krävs en generell reglering i svensk rätt även fortsättningsvis. Med avvikelse från utredningens förslag bör denna uttryckligen omfatta även områdena social trygghet och socialt skydd. Den svenska bestämmelsen skulle annars, mot bakgrund av att förordningen nämner dessa områden särskilt, kunna uppfattas som snävare än avsett.
En begränsning av möjligheten att lämna ut uppgifter till utomstående, i likhet med vad som gäller enligt 16 § andra stycket PUL, framstår som en i sammanhanget effektiv och lämplig skyddsåtgärd. Känsliga person-uppgifter som behandlas med stöd av detta undantag bör således få lämnas ut till tredje part bara om det inom arbetsrätten eller inom områdena social trygghet och socialt skydd finns en uttrycklig skyldighet för den personuppgiftsansvarige att göra det eller den registrerade har samtyckt till utlämnandet. De synpunkter som bl.a. Svenskt Näringsliv framför angående behovet av att även i andra fall än dessa lämna ut upp-gifter till utomstående föranleder inte regeringen att göra någon annan bedömning än utredningen i fråga om den generella reglering som det nu är fråga om. Den skyldighet att lämna ut personuppgifter som avses i 16 § andra stycket PUL ska följa av lagstiftning, myndighetsbeslut eller av ett muntligt eller skriftligt avtal (jfr prop. 1997/98:44 s. 124). Det-samma bör gälla även fortsättningsvis. På motsvarande sätt bör den praxis som finns kring tillämpningen av 16 § andra stycket PUL kunna vara vägledande även vid tillämpningen av bestämmelsen i dataskydds-lagen.
Det förtjänar att poängteras att den föreslagna bestämmelsen inte ersätter vare sig artikel 6 eller artikel 9.2 b i dataskyddsförordningen. De skyldigheter och rättigheter som gör behandlingen nödvändig, och därmed utgör rättslig grund, måste fastställas någon annanstans än i data-skyddslagen. Vidare kan de särskilda krav som ställs i artikel 9.2 b vara uppfyllda även genom andra bestämmelser än den föreslagna. Behand-ling av känsliga personuppgifter kan alltså ske med stöd av artikel 9.2 b även i andra fall, nämligen om behandlingen är tillåten enligt
Prop. 2017/18:105
80
avtal eller enligt annan författning än dataskyddslagen, under förut-sättning att lämpliga skyddsåtgärder fastställts.
Många gruppförsäkringar och kanske särskilt flera av de som har anknytning till arbetslivet eller som följer av kollektivavtal kan fylla en viktig funktion inom området social trygghet och socialt skydd (jfr prop. 2003/04:150 s. 314 och 343). Den föreslagna bestämmelsen skulle därför kunna vara tillämplig även för de som tillhandahåller eller admi-nistrerar sådana försäkringar. Bestämmelsen utgör inte heller någon inskränkning av de möjligheter att behandla känsliga personuppgifter som följer av andra undantagsbestämmelser i artikel 9.2 i dataskydds-förordningen. Flera undantagsbestämmelser kan vara tillämpliga samtidigt. Således kommer exempelvis försäkringsföretag även i fortsätt-ningen att, med stöd av artikel 9.2 f, kunna behandla känsliga person-uppgifter när detta är nödvändigt till följd av avtal med fackliga organisationer om gruppförsäkring för deras medlemmar (jfr prop. 1997/98:44 s. 125). På motsvarande sätt kan det vara nödvändigt för t.ex. en arbetsgivare att med stöd av artikel 9.2 f lämna ut uppgifter till en advokat eller annan rådgivare, för att kunna göra gällande eller försvara rättsliga anspråk i arbetsrättsliga ärenden.