Uppgifter i system för inpassering

Arbetslivet

Fråga:
Jag har en fråga om hur man får lämna ut uppgifter som finns i ett inpasseringssystem.

Vid vårt företag har vi ett inpasseringssystem som innebär att vi registrerar alla som passerar in och ut genom ett flertal dörrar i företaget. Det går att köra ut händelselistor från systemet där man ser tider när enskilda personer gått in eller ut genom dörrarna.

Fråga 1. Om arbetsmiljöinspektionen kräver att få ut sådana listor för att kontrollera att företaget följer arbetstidslagen, får vi då lämna ut dessa med hänsyn till personuppgiftslagen?

Fråga 2. Om lokala fackliga organisationer kräver samma sak för att kontrollera mot lag och branschavtal, får vi då lämna ut uppgifterna?

Svar:
Med anledning av din begäran om samråd angående företagets användande av uppgifter i sitt inpasseringssystem kan Datainspektionen lämna följande vägledning. Datainspektionen betonar dock att det är den personuppgiftsansvariges uppgift att självständigt och på eget ansvar se till att behandlingen av personuppgifter följer personuppgiftslagen.

Grundläggande krav på behandlingen

För att personuppgifter ska få behandlas måste de grundläggande kraven i 9 § personuppgiftslagen alltid vara uppfyllda. Behandlingen av personuppgifter ska bland annat vara laglig, ske på ett korrekt sätt och i enlighet med god sed. Personuppgifter får vidare bara samlas in för särskilda, uttryckligt angivna ändamål och får sedan inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Arbetsgivaren måste därför bestämma ett ändamål för varje typ av behandling.

Uppgifter som har samlats in för ett visst ändamål, exempelvis behörighetskontroll, får sedan inte behandlas för något ändamål som är oförenligt med det man samlade in uppgifterna för, exempelvis prestationsmätning. Av din fråga framgår inte för vilka ändamål som uppgifterna i inpasseringssystemet samlats in. Datainspektionen kan därför inte uttala sig om den aktuella behandlingen är förenlig med det ursprungliga ändamålet med insamlingen.

Tillåten behandling

I 10 § personuppgiftslagen finns bestämmelser om när det är tillåtet att behandla personuppgifter. Huvudregeln är att personuppgifter bara får behandlas med den registrerades samtycke. Även utan samtycke kan personuppgifter behandlas om behandlingen är nödvändig för något av de syften som anges i 10 § punkterna a) – f) i personuppgiftslagen. En arbetsgivare får bland annat, enligt 10 § punkt b), behandla personuppgifter utan samtycke om behandlingen är nödvändig för att arbetsgivaren ska kunna fullgöra en rättslig skyldighet. Arbetsgivare är enligt flertal lagar och förordningar skyldiga att lämna ut uppgifter om anställda till bland annat statliga och kommunala myndigheter.

Av arbetstidslagen (1982:673) framgår att en arbetsgivare ska föra anteckningar om jourtid, övertid och mertid samt att fackliga organisationer som företräder arbetstagare på arbetsstället har rätt att ta del av anteckningarna (11 §). Vi-dare framgår att Arbetsmiljöverket har rätt att på begäran få de upplysningar och handlingar som behövs för att utöva tillsyn över att arbetstidslagen följs (21 §).

Om Arbetsmiljöverket eller fackliga organisationer begär ut uppgifter med stöd av dessa bestämmelser är det, enligt Datainspektionens bedömning, nödvändigt för företaget att lämna ut uppgifterna för att fullgöra en rättslig skyldighet. Fö-retaget kan då lämna ut uppgifterna utan att först inhämta arbetstagarens samtycke, under förutsättning att ett av företagets syften med insamlingen av uppgifterna var att föra anteckningar om jourtid, övertid och mertid.

Om de fackliga organisationerna, utan lagstöd, begär ut uppgifterna för att kontrollera om företaget följer branschavtal avseende arbetstid kan uppgifterna inte lämnas ut med stöd av 10 § punkt b). En arbetsgivare får dock, enligt 10 § punkt f), behandla personuppgifter efter en intresseavvägning om intresset av att behandla uppgifterna är större än den anställdes intresse av att uppgifterna inte behandlas. Eftersom utlämnandet av uppgifterna till stor del får anses ske i arbetstagarens intresse är det troligt att uppgifterna kan lämnas ut med stöd av en intresseavvägning. En förutsättning är dock att ändamålet med utlämnandet inte är oförenligt med det ändamål företaget ursprungligen samlade in uppgifterna för.

Med de synpunkter som har lämnats ovan avslutas ärendet.

(september 2004)

Personuppgiftsombudet


Samrådsyttranden
Ett personuppgiftsombud kan fråga Datainspektionen om råd när han eller hon är osäker på vilka regler som gäller för hur personuppgifter ska behandlas eller hur de ska användas. På de här sidorna har vi samlat en del av dessa samrådsfrågor och -svar som kan vara av allmänt intresse.

Till listan med samrådsyttranden

Frågor & svar

För dig som vill veta mer har Datainspektionen sammanställt en mängd vanliga frågor och svar om personuppgiftslagen och andra områden.