Ny dataskyddslag – kompletterande bestämmelser till EU:s dataskyddsförordning (SOU 2017:39)

Dnr: Ju2017/04264/L6

Srf konsulternas förbund har i sin arbetsgrupp med systemleverantörer Srf Lönsam analyserat och diskuterat förslaget till ny dataskyddslag.

Srf Lönsam är en samverkan mellan Srf konsulterna och Sveriges ledande lönesystemleverantörer; Aditro Enterprise AB, Agrando AB, Bluegarden AB, Caspeco AB, Cloudator AB, DataVara AB, Fortnox AB, Flex Applications AB, Hogia Professional Services AB, HRM Software AB, Kontek Lön AB, Nmbrs Sweden AB, Softone Sverige AB, Unit4 AB, SAP Svenska AB, Visma Enterprise AB, Visma Spcs AB.

Srf Lönsam har arbetat nära Skatteverket i frågan kring Arbetsgivardeklaration på individnivå, tagit fram en gemensam standard för lönearter, och för dialog med andra viktiga intressenter kring lön såsom Fora, SCB, Collectum, Datainspektionen, Arbetslöshetskassornas samorganisation. 

Sammanfattning:

Srf konsulternas förbund och arbetsgruppen Srf Lönsam tillstyrker att de förslag som presenteras i betänkandet införs men med några korrigeringar och tillägg. Vi anser att:

• Om det blir upp till arbetsmarknadens parter att fastställa hur behandling av personuppgifter ska hanteras för den anställde så måste kollektivavtalen bli allmänt tillgängliga.
• Uppförandekod bör likställas med kollektivavtal som grund för behandling av personuppgifter.
• Tydliga riktlinjer måste tas fram av ansvarig myndighet för gränsdragningar och förtydliganden kring den praktiska hanteringen av lagen.

Motivering:

Grunden för behandling av personuppgifter

I betänkandet framhålls att grunden för behandlingen av personuppgifter, även avseende oorganiserade arbetstagare, principiellt bör kunna anses vara fastställd i enlighet med svensk rätt genom kollektivavtal. Kollektivavtalen utgör grunden i de svenska principerna för lönebildning och omfattar viktiga delar av anställningsvillkoren. Historiskt sett har kollektivavtalen i Sverige haft hög täckningsgrad bland arbetsgivare och arbetstagare hög organisationsgrad. Sedan år 2000 har dock den genomsnittliga organisationsgraden haft en nedgång på tolv procentenheter. Tendensen är fortfarande en minskning av den genomsnittliga organisationsgraden, vilket innebär att antalet oorganiserade arbetstagare ökar. Idag är fyra av tio arbetare inom privat sektor inte med i facket. Syftet med den nya EU-förordningen och Dataskyddslagen är att värna individens rättigheter gällande personuppgiftsbehandling. En förutsättning för att individens rättigheter ska kunna tillvaratas och säkerställas är att gällande regelverk är transparent. När oorganiserade arbetstagare inkluderas i ett av kollektivavtal fastställt regelverk, fråntas de oorganiserade arbetstagaren den rättigheten.

I Sverige fanns 668 olika kollektivavtal enligt Medlingsinstitutets årsrapport för 2016. Nio av tio arbetstagare i Sverige omfattas av kollektivavtal trots frånvaron av lagstiftning om allmängiltigförklaring. Framförallt är det de större företagen som har kollektivavtal samt givetvis den offentliga sektorn. Kollektivavtalen skiljer sig åt i varierande omfattning och utvecklingen av antalet kollektivavtal har medfört en komplex hantering för många arbetsgivare. Eftersom många arbetsplatser har fler än ett kollektivavtal (det finns de företag som har upp till 180 kollektivavtal att hantera) innebär det ett stort behov av kompetens och stöd i form av avancerade systemlösningar för att uppfylla de förutsättningar som görs gällande i kollektivavtalen. Framförallt blir det betungande för de mindre företagen som mer sällan har tecknat kollektivavtal. Om det blir kollektivavtalen som ska reglera personuppgiftsbehandlingen för arbetsgivare finns en överhängande risk att en arbetsgivare måste tillgodose inte bara en variant utan lika många som arbetsplatsen har kollektivavtal.

Graverande är det faktum att kollektivavtalen inte är allmänt tillgängliga. Om personuppgiftsbehandlingen ska regleras i kollektivavtalen måste de bli allmänt tillgängliga. 

Uppförandekod

För att komma runt problematiken och risken med kollektivavtalens diversifierade tillämpningar anser vi att Integritetskommitténs förslag i SOU 2017:52 om uppförandekoder bör bli det som blir normgivande för personuppgiftsbehandlingen. En uppförandekod beskrivs som en sorts branschvis självreglering i syfte att konkretisera regelverket. En uppförandekod eller branschkod kan ge tydligare riktlinjer och skapa trygghet i att hanteringen av personuppgifter blir rättvis och lika i behandling.  Inom många områden finns motsvarande koder eller riktlinjer som är vedertagna såsom ”God redovisningssed” och ”Svensk kod för bolagsstyrning”. Inom branschen för redovisning och lön finns framtagna standards som SALK, Svensk standard för auktoriserade lönekonsulter, och Reko, Svensk standard för redovisningstjänster. Som företrädare för lönebranschen finns alla förutsättningar till att få fram specificeringar om hur man i praktiken ska tillämpa dataskyddsförordningen i en motsvarande kod.  Srf Lönsam har för avsikt att ta fram en gemensam uppförandekod/branschkod motsvarande det som beskrivs i SOU 2017:52.

Begränsningar av vissa rättigheter och skyldigheter 

I Sverige får de allra flesta anställda sin lön bearbetad via ett lönesystem. Rätten till utdrag av personuppgifter blir en väsentlig fråga för behandling i lönesystem, som till exempel hur mycket data en anställd kan kräva att få ut ur lönesystemet vid avslutad anställning. Uppgifterna i lönesystemen är övervägande till för att uppfylla arbetsgivarens åtaganden till följd av anställningsavtal och kollektivavtal. Dock finns det i systemen möjlighet att fylla på med frivilliga uppgifter i anteckningsfält.

I förslaget till ny dataskyddslag utgör personuppgifter i löpande text som inte fått sin slutliga utformning när begäran gjordes eller som utgör minnesanteckning eller liknande, undantag från rättigheten till utdrag. Detta gäller allt utom minnesanteckningar som gjorts under ett år utan att texten färdigställts. Vad som kan anses vara minnesanteckningar och när en text är färdigställd kan bli svårdefinierat och där önskas att tydliga riktlinjer tas fram av ansvarig myndighet för gränsdragningar och förtydliganden kring den praktiska hanteringen av lagen.