Tillsyn enligt personuppgiftslagen (1998:204); behandling av personuppgifter för kontroll av anställda

Transkript

1 Beslut Dnr Carlsberg Sverige AB Bryggerivägen STOCKHOLM Tillsyn enligt personuppgiftslagen (1998:204); behandling av personuppgifter för kontroll av anställda Beslut Datainspektionen ser utifrån personuppgiftslagens bestämmelser inget principiellt hinder mot att Carlsberg Sverige AB (bolaget) behandlar personuppgifter i Astro för ändamål som innebär individuell prestationsmätning. Datainspektionen bedömer däremot att det utifrån de angivna ändamålen med behandlingen av personuppgifter i Astro, nämligen att uppfylla skyldigheter enligt ett prestationsbaserat lönesystem och att hålla s.k. måltalssamtal med de anställda, inte är tillåtet att använda systemet för att i realtid övervaka hur de anställda utför sina arbetsuppgifter och när de tar raster. Datainspektionen konstaterar också att bolaget informerar de anställda om behandlingen av personuppgifter i Astro först i samband med att bolaget håller måltalssamtal med de anställda. Datainspektionen förelägger bolaget att se till att de anställda informeras om behandlingen i enlighet med personuppgiftslagen redan när uppgifterna samlas in i Astro. Datainspektionen påpekar också att bolaget måste tillse att det finns rutiner för att begränsa åtkomsten till personuppgifter i Astro. Bolaget måste också ta ställning till hur länge det är nödvändigt att spara personuppgifterna som behandlas i systemet. Bolaget måste gallra uppgifterna när de inte längre behövs med hänsyn till ändamålen med behandlingen i Astro. Datainspektionen utgår från att bolaget kommer att beakta de synpunkter som lämnats ovan och kommer därför i nuläget inte att vidta några ytterligare åtgärder. Men för att säkerställa att den framtida behandlingen av personuppgifter i Astro inte strider mot bestämmelserna i personuppgiftslagen avser Datainspektionen att följa upp ärendet. Redogörelse för tillsynsärendet Datainspektionen har genom ett klagomål uppmärksammats på att anställda vid bolagets lager i Falkenberg utsätts för övervakning genom ett datoriserat Postadress: Box 8114, STOCKHOLM E-post: datainspektionen@datainspektionen.se Besöksadress: Fleminggatan 14, plan 9 Telefon: Webbplats: Telefax:

2 2 (6) lagersystem. Enligt klaganden agerar arbetsgivaren i strid med en facklig överenskommelse, bl.a. genom att arbetsledarna och cheferna bevakar raster med hjälp av datasystemet och tittar i realtid hur de anställda utför sina arbetsuppgifter. Datainspektionen har beslutat att inleda tillsyn mot bolaget, i dess egenskap av personuppgiftsansvarig för den aktuella personuppgiftsbehandlingen. Av bolagets redogörelse framgår bl.a. att bolaget använder ett datasystem benämnt Astro, i vilket uppgifter om de anställdas plockfrekvens registreras. Avsikten är att uppgifterna ska tjäna som underlag till den rörliga lönedel som de anställda plockarna vid lagret har. Dessutom används uppgifterna som underlag till de måltalssamtal som bolaget kontinuerligt håller med de anställda plockarna. Bolaget har inte inhämtat samtycke från de anställda till den aktuella behandlingen av personuppgifter i Astro, utan behandlingen sker med stöd av en intresseavvägning enligt personuppgiftslagen. De anställda informeras om behandlingen av personuppgifter i samband med måltalssamtalen. Vidare framgår att Astro är behörighetsstyrt och att tillgången till information ur systemet beror på vilken funktion i bolaget respektive anställd har. Enligt bolaget har logistikchefen, lagerchefen, arbetsledare på lagret samt två stycken administratörer tillgång till uppgifterna i Astro. Det finns också en övervakningsskärm där det bl.a. går att följa olika uppdragsköer och hur de olika lassen ligger till i förhållande till färdigtid. Dessa uppgifter har samtliga arbetsledare och kontrollanter tillgång till och det är möjligt att gå ned på användarnivå för att se vilka anställda som är inloggade och vilken kö de kör i. Här finns också information om hur många uppdrag varje anställd har utfört. Av bolagets redogörelse framgår också att individrelaterade uppgifter i Astro sparas i maximalt 365 dagar. Skäl för beslutet Den aktuella behandlingen av personuppgifter sker inom ramen för ett datasystem benämnt Astro, som är ett standardsystem för lagerhantering. Ursprungligen användes systemet enbart för lageradministration, men bolaget har successivt utvidgat tillämpningsområdet för systemet och idag används det även för ändamål som innebär individuell prestationsmätning. Med hjälp av systemet är det nämligen möjligt att ta fram uppgifter om hur många plockade kolli per timme de anställda plockarna på lagret presterar. Uppgifterna används dels för utbetalning av premielön till de anställda plockarna på lagret, dels som underlag till de individuella målsättningssamtal som bolaget regelbundet håller med sina anställda. En arbetsgivare kan kontrollera sina anställda på olika sätt. Om kontrollen innefattar en datoriserad behandling av personuppgifter gäller personuppgiftslagen. Sedan den 1 januari 2007 gäller en förenklad reglering i personuppgiftslagen för behandling av personuppgifter i s.k. ostrukturerat material, såsom publicering av löpande text och ljud och bild, som i princip får utföras fritt så länge det inte uppkommer en kränkning av den registrerades personliga integritet. Men i det aktuella fallet rör det sig enligt Datainspektionens uppfattning om behandling av personuppgifter i s.k. strukturerat material, d.v.s. uppgifterna ingår i eller är avsedda att ingå i ett system som har strukturerats för att påtagligt underlätta sökning efter eller

3 sammanställning av personuppgifter (se 5 a personuppgiftslagen). Det innebär i princip att bolaget måste ta hänsyn till samtliga regler i personuppgiftslagen. 3 (6) Datainspektionen gör följande bedömning. Behandling av personuppgifter för individuell prestationsmätning av anställda Enligt de grundläggande kraven i 9 personuppgiftslagen får personuppgifter bara samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Ändamålen med behandlingen bestämmer sedan hur arbetsgivaren får använda de redan insamlade uppgifterna. Arbetsgivaren får inte använda de insamlade personuppgifterna för något nytt ändamål som är oförenligt med det för vilket uppgifterna samlades in. Dessutom får inte fler personuppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. All kontroll av anställda som sker genom behandling av personuppgifter måste med andra ord ha ett i förväg bestämt ändamål som dessutom är sakligt grundat i verksamheten. Kontrollen får inte heller utföras godtyckligt eller kränkande eller på ett sätt som strider mot lag eller god sed på arbetsmarknaden. Att personuppgifter inte får behandlas i strid med god sed kan bl.a. innebära att kontroller inte får ske på ett sätt som innebär mycket närgången och omfattande övervakning av arbetstagaren. Under förutsättning att kraven i 9 personuppgiftslagen är uppfyllda, får behandling av personuppgifter för individuell prestationsmätning anses tillåten om den registrerade har lämnat sitt samtycke till behandlingen. Undantag från kravet på samtycke har gjorts endast för behandlingar som är nödvändiga för något av de ändamål som anges i 10 punkterna a-f personuppgiftslagen. En arbetsgivares behandling av personuppgifter för individuell prestationsmätning kan bl.a. vara tillåten för att ett avtal med den registrerade ska kunna fullgöras (10 punkten a). Med stöd av denna bestämmelse har en arbetsgivare t.ex. möjlighet att behandla personuppgifter om de anställda för att uppfylla skyldigheter enligt ett ackordslöneavtal eller något annat avtalat prestationsbaserat lönesystem. Arbetsgivaren kan också i vissa situationer ha rätt att behandla personuppgifter för individuell prestationsmätning med stöd av en intresseavvägning (10 punkten f). Huruvida en arbetsgivares intresse av att behandla de anställdas personuppgifter väger över de anställdas intresse av skydd för den personliga integriteten får avgöras efter en bedömning av omständigheterna i det enskilda fallet. Vid denna bedömning kan hänsyn tas till bl.a. ändamålet med behandlingen och om arbetsgivaren följer reglerna i personuppgiftslagen när det t.ex. gäller kraven på information till de anställda, väl avvägda gallringsrutiner samt skydd från obehörig åtkomst. Behandling av personuppgifter som sker för att planera, organisera, leda och följa arbetet kan vara en tillåten behandling av personuppgifter enligt personuppgiftslagen. Det innebär bl.a. att behandling av personuppgifter för allmän uppföljning kan vara tillåten utan samtycke om den är nödvändig för att ett berättigat intresse hos den personuppgiftsansvarige ska kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. Innehållet i fackliga överenskommelser kan också ha betydelse för

4 4 (6) om behandlingen av personuppgifter i kontrollsyfte är tillåten med stöd av en intresseavvägning enligt personuppgiftslagen. De fackliga representanternas uppfattning av kontrollen ska vägas in i intresseavvägningen. Datainspektionen ser utifrån personuppgiftslagens bestämmelser inte något principiellt hinder mot att bolaget behandlar personuppgifter i Astro för de ändamål som bolaget angett, nämligen för utbetalning av avtalad premielön och för att få underlag till de individuella måltalssamtal som bolaget regelbundet håller med de anställda plockarna på lagret. Utifrån de angivna ändamålen med behandlingen är det däremot inte motiverat att, som klaganden beskrivit, använda systemet i syfte att i realtid övervaka hur de anställda utför sina arbetsuppgifter och när de tar raster. Att använda Astro på detta sätt strider därför mot 9 och 10 personuppgiftslagen. Enligt Datainspektionen kan det också ifrågasättas om en sådan mycket närgången övervakning av de anställda, för annat än säkerhetsskäl, är förenlig med god sed. I övrigt konstaterar Datainspektionen att en arbetsgivares rätt att leda och fördela arbetet samt rätten att följa upp enskilda arbetstagares insatser regleras genom arbetsrättsliga regelverk och eventuellt i kollektivavtal. På grund av detta förefaller det lämpligt att den typen av frågor i första hand löses mellan arbetsgivaren och de fackliga organisationerna. Information till de registrerade Den som är personuppgiftsansvarig är skyldig att på eget initiativ informera de registrerade om hur deras personuppgifter kommer att behandlas. Om uppgifter om en person samlas in från personen själv, ska den personuppgiftsansvarige i samband med detta lämna information om behandlingen av uppgifterna (23 personuppgiftslagen). Om personuppgifterna samlas in från någon annan källa än den registrerade, ska den personuppgiftsansvarige lämna den registrerade information om behandlingen av uppgifterna när de registreras (24 personuppgiftslagen). Av 25 personuppgiftslagen framgår att informationen ska innehålla uppgift om: - den personuppgiftsansvariges identitet - ändamålen med behandlingen, och all övrig information som behövs för att den registrerade ska kunna tillvarata sina rättigheter i samband med behandlingen, såsom - information om vilka kategorier som är mottagare av uppgifterna - skyldigheten för den enskilde att lämna uppgifter - rätten att ansöka om information och få rättelse av eventuellt felaktiga uppgifter. Datainspektionen tolkar bolagets yttrande som att de anställda informeras om behandlingen av personuppgifter i Astro först i samband med att bolaget håller måltalssamtal med de anställda. Ett sådant förfarande strider mot bestämmelserna om information i personuppgiftslagen. Den anställdes intresse av att få information kan förväntas vara särskilt starkt när det gäller vilka kontroller som han eller hon kan komma att utsättas för med hjälp av de insamlade uppgifterna. Bolaget måste därför se över sina rutiner i fråga om

5 5 (6) information till de anställda, så att dessa informeras om behandlingen i enlighet med personuppgiftslagen redan när uppgifterna samlas in i Astro. Behörighet för personal att ta del av personuppgifter i Astro Den personuppgiftsansvarige är enligt 9 punkterna e-f personuppgiftslagen skyldig att se till att de personuppgifter som bevaras är adekvata och relevanta i förhållande till ändamålen med behandlingen och att inte fler personuppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Bestämmelserna innebär bl.a. att anställda endast bör ha tillgång till sådan information som de behöver för sitt arbete. Behovet av information varierar således beroende på befattning och arbetsuppgifter. Av bolagets yttrande framgår bl.a. att logistikchefen, lagerchefen, arbetsledarna på lagret samt två stycken administratörer har tillgång till uppgifter i Astro. Men det framgår inte närmare vilka typer av uppgifter de olika personalkategorierna har tillgång till. Det kan t.ex. ifrågasättas om logistikchefen eller lagerchefen i sitt arbete behöver tillgång till uppgifter om respektive anställds plockeffektivitet. Av bolagets yttrande framgår vidare att samtliga arbetsledare på lagret samt två stycken administratörer har tillgång till en övervakningsskärm där det bl.a. går att gå ned på individnivå för att se vilka som är inloggade, vilken kö de kör i och hur många uppdrag de har utfört. Datainspektionen påpekar att bolaget måste se till att det finns väl avvägda rutiner för behörighetstilldelning i Astro och tydliga riktlinjer för när det är tillåtet för personal att ta del av personuppgifter om anställda i Astro. Gallringstider Bolaget har angett att individrelaterade uppgifter i Astro sparas i maximalt 365 dagar. Men det framgår inte om bolaget tillämpar skilda gallringstider för olika kategorier av personuppgifter. Det är värt att poängtera att personuppgifter, enligt 9 punkten i) personuppgiftslagen, inte får bevaras under en längre tid än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Det är således ändamålen med behandlingen de ursprungliga ändamålen som bestämdes vid insamlingen av uppgifterna och de andra ändamål som senare kan ha bestämts som avgör hur länge uppgifterna får bevaras i identifierbart skick. I förevarande fall, när ändamålet med behandlingen är individuell prestationsmätning, bör uppgifterna som ligger till grund för mätningen normalt avidentifieras eller förstöras så snart de inte längre har någon betydelse för detta ändamål. Bolaget måste se till att det finns väl fungerande rutiner för gallring av personuppgifter i Astro. När uppgifterna inte längre behövs måste bolaget se till att de gallras. Avslutande synpunkter Datainspektionen utgår från att bolaget kommer att beakta de synpunkter som lämnats ovan, bl.a. i fråga om övervakning av de anställda i realtid och information till de registrerade, och kommer därför i nuläget inte att vidta några ytterligare åtgärder. Men för att säkerställa att den framtida behandlingen av

6 6 (6) personuppgifter i Astro inte strider mot bestämmelserna i personuppgiftslagen avser Datainspektionen att följa upp ärendet. Detta beslut har - efter hörande av Datainspektionens styrelse - fattats av generaldirektören Göran Gräslund i närvaro av chefsjuristen Leif Lindgren, teamledaren Britt-Marie Wester samt juristen Oskar Öhrström, föredragande. Göran Gräslund Oskar Öhrström Hur man överklagar Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut som överklagas och den ändring som ni begär. Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från den dag då ni fick del av beslutet, annars kan överklagandet inte prövas. Datainspektionen sänder överklagandet vidare till Länsrätten i Stockholms län för prövning om inspektionen inte själv ändrar beslutet på det sätt ni har begärt. Kopia till: Klaganden