Datum Diarienr 2011-01-12 500-2010 N.N Tillsyn enligt personuppgiftslagen (1998:204) - personuppgiftsbehandling vid användning av alkoskåp hos Nobina Sverige AB i Umeå Datainspektionens beslut Datainspektionen förelägger Nobina Sverige AB att, såvida inte samtycke getts, upphöra att i samband med användning av alkoskåp behandla personuppgifter om anställda som inte ska framföra fordon eller utföra arbetsuppgifter som har direkt betydelse för det säkra framförandet av fordon. Datainspektionen förutsätter att Nobina Sverige AB kompletterar den befintliga informationen enligt personuppgiftslagen med tydlig information om den behandling av personuppgifter som sker i samband med användningen av alkoskåp. Datainspektionen avslutar ärendet. Sammanfattning Under förutsättning att Nobina Sverige AB kompletterar den befintliga informationen enligt personuppgiftslagen med tydlig information om behandling av personuppgifter som sker i samband med användningen av alkoskåp anser Datainspektionen att behandling av personuppgifter rörande anställda som ska framföra fordon, och annan personal med arbetsuppgifter av direkt betydelse för det säkra framförandet av fordon, är tillåten med stöd av intresseavvägningen i 10 punkten f i personuppgiftslagen. Gällande anställda som inte ska framföra fordon eller utföra arbetsuppgifter som är av direkt betydelse för det säkra framförandet av fordon t.ex. helt administrativ personal - anser Datainspektionen att Nobina Sverige AB:s in- Postadress: Box 8114, 104 20 Stockholm E-post: datainspektionen@datainspektionen.se Besöksadress: Drottninggatan 29, plan 5 Telefon: 08-657 61 00 Webbplats: www.datainspektionen.se Telefax: 08-652 86 52
tresse av att få behandla personuppgifter i anslutning till utandningsprovet inte väger tyngre än de registrerades intresse av skydd för den personliga integriteten. När det gäller sådana anställda anser Datainspektionen att det krävs samtycke från berörd anställd för att personuppgiftsbehandlingen ska vara tillåten. Redogörelse för tillsynsärendet Datainspektionen tog emot ett klagomål mot er som bland annat påstod att ni använde uppgifter lämnade i samband med utandningsprov i ett alkoskåp som ett kontrollverktyg för registrering och kontroll av varje förares arbetstid, dvs. att alkoskåpet används som stämpelklocka. Vi inledde tillsyn mot er och ni har anfört bland annat följande. Användningen har föregåtts av ingående integritetsöverväganden. Förhandlingar enligt medbestämmandelagen har skett med Kommunal, det fackförbund som organiserar den absoluta majoriteten av era anställda vid Umeåkontoret. Ni uppger vidare bl.a. att ett s.k. skall-krav vid länstrafikens upphandling av busstjänster var att det skulle finnas alkolås i samtliga bussar. Det fanns ett stort motstånd bland era bussförare mot alkolås i bussarna. Skälet till motståndet var, enligt er, att bussförarna är tvungna att vid tre till fyra tillfällen per dag i samband med förarbyten blåsa i alkolåset i bussen varvid passagerarna dels kunde iaktta utandningsprovet och, om det skulle visa sig att utandningsluften innehåller alkohol eller det är fel på alkolåset, bussen skulle bli stående med passagerare ombord vilket skulle vara generande och kränkande för busschauffören. Förarna har därför vid flera tillfällen, senast vid Kommunals årsmöte 2009, röstat för en lösning som innebär att ni istället använder er av s.k. alkoskåp som finns installerat på ert kontor i Umeå. Ni redogör för att förhandlingar mellan er och Kommunal resulterade i att facket för sina medlemmars räkning accepterade att alkoskåp infördes. Kommunal är enligt er alltjämt av uppfattningen att systemet med alkoskåp är att föredra framför alkolås i de enskilda fordonen. Omkring 180 anställda är verksamma vid Umeådepån. Åtta av dessa är mekaniker och åtta är driftledare eller annan tjänsteman, resterande anställda är förare. Vidare beskriver ni att alkoholkontrollsystemet består av två delar en alkolåsmodul som har integrerats med ett system för inpassering. När de anställda börjar sitt arbetspass ska de hålla upp sin personliga tagg (magnetiskt identifikationskort) vid alkolåsmodulen och blåsa i densamma. Om utandningsluften innehåller mer än 0,2 promille alkohol visar lampan rött, annars grönt. Sida 2 av 10
Visar lampan grönt får driftledaren besked att passering är ok och den anställde påbörjar sitt arbetspass. Beskedet lämnas på driftledningens datorskärmar där det står test godkänt respektive ej godkänd beroende på om alkoholtestet utfaller positivt eller negativt. Motsvarande procedur upprepas vid arbetsdagens slut. Om det skulle visa sig att en förare inte har lämnat utandningsprov kontaktar driftledaren den anställde och tar ett utandningsprov med en handenhet. Alkoskåpet är placerat vid de s.k. sign-in -datorerna vid ingången till kontoret. Ni har placerat skåpet på denna plats i enlighet med Kommunals skyddsorganisations önskemål. Alkoskåpet innehåller inga nycklar. I syfte att inte särskilt utpeka era förare gäller rutinen med kontroll genom alkoskåpet samtliga anställda i Umeå, såväl mekaniker, trafikledare, övriga tjänstemän och trafikchefen. Skälet är att arbetstagareorganisationen (Kommunal) när systemet med alkoskåp skulle införas ansåg att det var ett rimligt krav att all personal, av likabehandlingsskäl, skulle lämna alkoholutandningsprov. Av allmänna arbetsrättsliga principer följer att anställda skall vara drogfria under arbetstid. Det är nödvändigt att sådan personal som är sysselsatta med driftledning respektive servicetekniker är nyktra när de utför sina arbetsuppgifter eftersom det innebär en säkerhetsrisk även om tjänstemännen eller mekanikerna skulle vara onyktra. Behandlingen är av detta skäl enligt er även relevant. Ni tillmötesgick Kommunals krav och systemet tillämpas därför numera i förhållande till samtliga anställda. Ni uppger att ni inte har inhämtat samtycke från de registrerade samt att frågan om alkoholkontroll har förhandlats med det kollektivavtalsbärande fackförbundet Kommunal och att de anställda skriftligen har fått del av Information Alkolås, Användarmanual alkoskåp respektive Drogpolicy och genom undertecknande bekräftat mottagandet. Ni anser att behandlingen uppfyller 9 i personuppgiftslagen och är tillåten enligt 10 punkten f i samma lag. Enligt er finns ett flertal skäl till varför en intresseavvägning enligt 10 punkten f ska utfalla till er fördel och ni sammanfattar att: 1) Användandet av alkoskåp enligt Arbetsdomstolen är förenligt med god sed på arbetsmarknaden. 2) Användandet av alkoskåp är i just detta fall till följd av överenskommelse med Kommunal förenligt med god sed på arbetsmarknaden. 3) Användandet av alkoskåp stämmer väl överens med lagstiftarens ambitioner att införa obligatoriskt alkolås inom yrkestrafiken. 4) Upphandlande enheter ställer krav på att alkoholkontroller utförs avseende bussförare. Sida 3 av 10
5) Trafiksäkerhetsintressenter anser att alkolås (eller motsvarande) ska vara obligatoriskt inom yrkestrafiken. 6) Det är sedvänja att alkoholkontroll genomförs avseende yrkesförare. Ni redogör för att uppgifter som samlas in med den aktuella utrustningen är namnet på den registrerade, klockslaget för utandningsprov samt uppgift huruvida alkoholhalten i utandningsluften överstiger 0,2 promille. Uppgifterna jämförs därefter med uppgifter i bolagets arbetstidshanteringssystem i vilket system den registrerades namn, tjänst och tiden för arbetspassets påbörjande och avslutande framgår. Syftet med jämförelsen är att kontrollera att samtliga anställda genomgått alkoholkontrollen. Ni har upplyst att personuppgifterna lagras i bolagets datorsystem som skyddas genom inloggning (användarnamn och lösenord). Uppgifterna i datorsystemet lagras för närvarande under 90 dagar från insamlandet och de utskrivna uppgifterna bevaras under innevarande kalendermånad. Datorsystemet loggar vem som har haft åtkomst till personuppgifterna. Åtkomst till personuppgifterna och utskrift av utdrag ur datorsystemet förvaras i ett rum som endast trafikledare och trafikchef har tillgång till. De personer som arbetar i ledningscentralen (totalt fem trafikledare och tre vikarierande trafikledare) och trafikchefen har tillgång till uppgifterna. Ni har vidare upplyst om att en underleverantör, vid support eller felrättningsbehov, kan komma att få tillgång till den aktuella utrustningen samt att personuppgiftsbiträdesavtal finns med underleverantören. Vi har tagit del av den dokumentation ni lämnat in och då åberopat. Skäl för beslutet Mot bakgrund av vad som kommit fram i ärendet anser Datainspektionen att den förenklade regleringen i 5 a personuppgiftslagen inte är tillämplig i ärendet. Ni har valt att stödja personuppgiftsbehandlingen på 10 punkten f i personuppgiftslagen. Datainspektionens bedömning av ärendet utgår därför från personuppgiftslagens hela regelverk, de s.k. hanteringsreglerna. En uppgift om att någon på grund av för hög alkoholkoncentration i sin utandningsluft fått en signal om ett icke godkänt blåsprov kan enligt Datainspektionens mening vara en sådan personuppgift som rör hälsa, i vart fall om det utgör en indikation på alkoholmissbruk. I 13 personuppgiftslagen finns ett principiellt förbud mot att behandla sådana känsliga personuppgifter, dock med flera undantag (se 15-19 ). Enligt 15 personuppgiftslagen får Sida 4 av 10
känsliga personuppgifter t.ex. behandlas om den registrerade lämnat sitt samtycke till behandlingen. Ni har valt att inte stödja den aktuella behandlingen på något samtycke. Alltså är ni hänvisade till de övriga undantag som finns angivna för behandling av känsliga personuppgifter. Det undantag som ligger närmast till hands i detta fall finns i 16 första stycket punkten a. Enligt den bestämmelsen är behandling av känsliga personuppgifter tillåten, utan samtycke, om den är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten. Dessa skyldigheter eller rättigheter kan följa av lagstiftning, myndighetsbeslut i enskilda fall eller kollektivavtal eller andra avtal. Om det blir aktuellt att behandla uppgifter till följd av ett icke godkänt blåsprov kan ni alltså komma att behöva beakta regleringarna i personuppgiftslagen rörande känsliga personuppgifter. För att en behandling enligt såväl 10 som 16 personuppgiftslagen ska få genomföras måste de grundläggande kraven i 9 vara uppfyllda. Dessa måste alltid beaktas och innebär bl.a. att ändamålet eller syftet med behandlingen måste vara klart och tydligt bestämt. Uppgifterna måste också vara adekvata och relevanta i förhållande till ändamålet med behandlingen och det är inte tillåtet att behandla fler personuppgifter än vad som är nödvändigt med hänsyn till ändamålet. Av betydelse för bedömningen är också att behandlingen följer vad som kan anses vara god sed på arbetsmarknaden. Det innebär bl.a. att personuppgiftsbehandlingen inte får vara onödigt närgången eller omfattande. Uppgifter som samlas in för ett visst ändamål får inte användas för något ändamål som är oförenligt med det ursprungliga. Ni har uppgett att ändamålet med behandlingen som sker av data som samlats in med hjälp av alkoskåpet är kontroll av alkoholhalten i utandningsluften hos anställda vid Umeåkontoret (i) i samband med att den anställde påbörjar sitt arbetspass för att kontrollera att den anställde uppfyller de nykterhetskrav som följer av lag och (ii) i samband med att den anställde avslutar sitt arbetspass för att kontrollera att den anställde uppfyllt nämnda lagkrav under arbetspasset. Alkoskåpet som stämpelklocka Datainspektionen vill inledningsvis anföra att vi inte finner någon anledning att tro att ni behandlar de aktuella personuppgifterna för några andra ändamål än de ni angivit. Det har till Datainspektionen, förutom klagomålet, kommit in skrivelser i form av e-post som anger att ni skulle använt alkoskåpet som stämpelklocka. Sida 5 av 10
Angående detta anför ni bl.a. att påståendet om att alkoskåpet skulle använts som stämpelklocka inte är korrekt. En av de personer som påstått detta vid ett fackmöte som e-posten talar om har i ett bifogat brev, vilket också getts in till Datainspektionen, förtydligat att informationen baserade sig på hörsägen och att den vid kontroll visat sig vara helt felaktig. Ni har stämt av uppgifterna i e- posten med en person som påstås vara den person som blivit föremål för registrering i alkoskåpet och där uppgifterna påstås ha använts för ändamålet att kontrollera arbetstiden. Den personen har till er uppgivit att han aldrig nämnt att någon skulle ha granskat något alkoskåpsprov för ändamålet att kontrollera arbetstiden och att de uppgifter som florerar om att alkoskåpet skulle ha använts som stämpelklocka enbart är rykten. Personuppgiftsbehandlingen till följd av utandningsproven Vid användning av alkoskåp loggas personuppgifter direkt till individen. Det är en skillnad jämfört med användningen av alkolås där utandningsprovet kopplas till ett fordon. Utandningsprovet och den därtill knutna personuppgiftsbehandlingen motiveras främst av trafiksäkerhetsskäl. I och med införandet av alkoskåpet har kretsen av personer vars uppgifter omfattas av behandling i anslutning till utandningsproven vidgats i förhållande till vad som var tankarna kring alkolåsalternativet. I utredningen om en lagreglering av skydd för den personliga integriteten i arbetslivet (Integritetsskydd i arbetslivet - SOU 2009:44) ingår bl.a. förslag om bestämmelser som innebär att drogtester bara ska vara tillåtet om det sker för ett berättigat ändamål och framstår som ett godtagbart ingrepp i arbetstagarnas personliga integritet i förhållande till det ändamål som motiverat åtgärden. Som berättigat ändamål anges i förslaget bl.a. att bedöma tillståndet hos sådana arbetstagare som har eller avses få sådana arbetsuppgifter där drogpåverkan i arbetet medför risk för människors liv, personliga säkerhet eller hälsa eller för betydande skador på miljö och egendom. Ni stödjer personuppgiftsbehandlingen på den s.k. intresseavvägningen i 10 punkten f personuppgiftslagen. De åtgärder som en arbetsgivare vidtar beträffande en arbetstagare måste ha sin grund i själva verksamheten. I vilka fall en arbetsgivares intresse väger över de registrerades intresse av att få ha sina personuppgifter i fred får precis som på andra områden avgöras efter en helhetsbedömning i det enskilda fallet. Vid en sådan helhetsbedömning bör man ta hänsyn till bland annat följande omständigheter: vilket slag av verksamhet som bedrivs Sida 6 av 10
eventuella överenskommelser som kan finnas i kollektivavtal branschpraxis regler och riktlinjer som har utfärdats av arbetsgivaren för vilket ändamål behandlingen ska utföras hur personuppgifterna behandlas och hur resultatet används om det finns fungerande rutiner för gallring av personuppgifterna och säkerheten (till exempel att åtkomsten till personuppgifter begränsas till de personer som behöver uppgifterna för sina arbetsuppgifter) vilken information arbetstagarna har fått enligt personuppgiftslagen. Informationen till de anställda Informationsmaterialet som anställda fått del av rörande alkoskåpet innehåller sammanfattningsvis information om hur hon eller han ska göra då tjänstgöringen börjar och avslutas för dagen, att alkoskåpet är ett alternativ till alkolås i bussarna och varför ni valt att införa detta alternativ samt vad som sker om ett icke godkänt blåsprov genomförs. Även er vision och policy på koncernnivå för alkohol och droger framgår. Anställda får kvittera att de tagit del av informationen om alkoskåpet och förstått dess funktioner samt erhållit gällande drogpolicy. Av denna blankett framgår att om det vid kontroll av logglista i alkoskåpet visar sig att det saknas inblåsningar gäller era disciplinåtgärder vilka också anges. Ni uppger att eftersom ändamålet med behandlingen, i korthet att kontrollera nykterhet för att tillförsäkra säkerhet i trafiken, är ändamålet helt uppenbart för de registrerade och någon särskild information om ändamålet är därför inte nödvändig. I 25 personuppgiftslagen finns regler om vad information ska innehålla. Där framgår att informationen ska vara tydlig och begriplig och omfatta uppgifter om den som är personuppgiftsansvarig, ändamålen med behandlingen, det vill säga varför personuppgifterna registreras och hur de ska användas samt övrig information som den registrerade behöver känna till, till exempel: vilka typer av uppgifter som ska behandlas till vilka företag eller andra organisationer (eller typer av dessa) som uppgifterna kan komma att lämnas ut om det är frivilligt för den registrerade att lämna uppgifter att den registrerade har rätt att begära ett registerutdrag för att kunna kontrollera vilken information som finns registrerad om honom eller henne att den personuppgiftsansvarige är skyldig att på begäran av den registrerade rätta uppgifter som är felaktiga, ofullständiga eller missvisande. Sida 7 av 10
De personuppgifter som behandlas vid användningen av alkoskåpet kan komma att utgöra mycket integritetskänslig information. Även om dessa typer av tester är vanligt förekommande i en eller annan form inom den aktuella branschen, och anställda därigenom kan antas känna till vissa delar av hanteringen kring testerna, är det viktigt att informationen kring just er personuppgiftsbehandling vid användningen av alkoskåp är klar och tydlig. Delar av den information som enligt 25 personuppgiftslagen ska ges finns i nuläget med i den koncerninstruktion avseende personuppgiftslagen och hantering av personuppgifter som de anställda har möjlighet att ta del av via ert intranät. Men där finns ingen tydlig information som tar sikte på den behandling av personuppgifter som sker i samband med användning av alkoskåpet. Vår bedömning är att den befintliga informationen om personuppgiftsbehandling avseende användning av alkoskåpet behöver kompletteras för att nå upp till personuppgiftslagens krav. En komplettering av informationen kring personuppgiftsbehandlingen vid användningen av alkoskåpet är en förutsättning för att behandlingen ska få ske oavsett om den sker med stöd av en intresseavvägning eller ett samtycke. Informationen bör i vart fall omfatta vad som anges i 25 första stycket personuppgiftslagen. Personuppgiftsbehandlingen rörande anställda som ska framföra fordon Ert intresse av alkoholtester måste anses väga synnerligen tungt när det gäller personer som ska framföra fordon och annan personal med arbetsuppgifter av direkt betydelse för det säkra framförandet av fordon. Såvitt framgår av handlingarna är den valda testmetoden förenlig med god sed på arbetsmarknaden. Vår bedömning är att personuppgiftsbehandlingen även i övrigt uppfyller personuppgiftslagens grundläggande krav. Datainspektionen anser mot bakgrund av det ovan sagda dock under förutsättning att ni kompletterar den befintliga informationen enligt personuppgiftslagen med tydlig information om personuppgiftsbehandlingen som sker vid användningen av alkoskåp - att behandling av personuppgifter rörande anställda som ska framföra fordon, och annan personal med arbetsuppgifter av direkt betydelse för det säkra framförandet av fordon, kan ske med stöd av intresseavvägningen i 10 punkten f i personuppgiftslagen. Vi vill samtidigt påminna om att en eventuell behandling av känsliga personuppgifter också måste följa personuppgiftslagens regler rörande sådana uppgifter. Sida 8 av 10
Personuppgiftsbehandlingen rörande övriga anställda vid anläggningen Vad gäller övriga personalkategorier, såsom rent administrativ personal, anser Datainspektionen att ert intresse av att få behandla personuppgifter i anslutning till utandningsprovet inte väger tyngre än de registrerades intresse av skydd för den personliga integriteten. Behandlingen av dessa personers uppgifter kan alltså inte utföras med stöd av den s.k. intresseavvägningen. När det gäller anställda som inte ska framföra fordon eller utföra arbetsuppgifter som har direkt betydelse för det säkra framförandet av fordon t.ex. helt administrativ personal - anser Datainspektionen att det krävs samtycke från berörd anställd för att personuppgiftsbehandlingen ska vara tillåten. För att ett samtycke skall vara giltigt enligt personuppgiftslagen krävs att det utgör en frivillig, särskild och otvetydig viljeyttring. De registrerade ska ha fått tillräcklig information om behandlingen för att kunna ta ställning till eventuella samtycken. Ni har i ert yttrande uppmärksammat den problematik som finns rörande personuppgiftsbehandling med stöd av samtycke inom just arbetslivet. Vi anser att behandling av personuppgifter i arbetslivet med stöd av samtycke ska begränsas till sådana situationer där de anställda har ett verkligt fritt val och senare kan ta tillbaka sitt samtycke utan att det medför några nackdelar för honom eller henne. Det innebär bland annat att de aktuella anställda måste kunna avstå utandningsprovet helt. Den behandling av personuppgifter som sker i nuläget, utan att samtycke getts, vid användning av alkoskåp och avser personer som inte ska framföra fordon eller utföra arbetsuppgifter av direkt betydelse för det säkra framförandet av fordon, är enligt Datainspektionen inte förenlig med personuppgiftslagen. Mot bakgrund av detta ska Nobina Sverige AB föreläggas att upphöra med den behandlingen av personuppgifter. Vi förutsätter att ni beaktar ovan angivna påpekanden och vidtar de åtgärder som behövs för att behandlingen ska vara tillåten enligt personuppgiftslagen. Ärendet avslutas. Hur man överklagar Om ni vill överklaga beslutet skall ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut som överklagas och den ändring som ni begär. Inspektionen måste ha fått ert överklagande inom tre veckor från den dag ni fick ta del av beslutet, annars kan överklagandet inte prövas. Datainspektionen sänder Sida 9 av 10
överklagandet vidare till Förvaltningsrätten i Stockholm för prövning om inspektionen inte själv ändrar beslutet på det sätt ni har begärt. Detta beslut har fattats av generaldirektören Göran Gräslund i närvaro av chefsjuristen Hans-Olof Lindblom, teamledaren Britt-Marie Wester samt juristen Lars Söderberg, föredragande. Göran Gräslund Lars Söderberg Kopia till: Klaganden Sida 10 av 10