Enligt GDPR krävs det att en personuppgiftsansvarig har laglig grund och syfte med all personuppgiftsbehandling. Om en arbetsgivare får in en begäran från arbetstagarorganisation kan de stödja sig på 22§ lag (1999:678) om utstationering av arbetstagare för att överlämna begärda uppgifter. Däremot bör de självständigt göra en bedömning av om samtliga begärda uppgifter är nödvändiga (trots att det är arbetstagarorganisations ansvar). Är det några uppgifter som finns i handlingar som arbetstagarorganisationen begärt in som inte är nödvändiga enligt deras bedömning kan de raderas/svärtas, men om kompletterande förfrågan inkommer behöver arbetsgivaren göra en ny bedömning utifrån den nya förfrågan. Eftersom det är en rättslig förpliktelse för arbetsgivaren som utgör grunden för denna behandling av personuppgifter, kan en förfrågan inte nekas (i vart fall inte med hänvisning till GDPR) i sin helhet av en arbetsgivare.
Det som skall tillhandahållas är anställningsavtal, lönespecifikationer, tidrapporter och intyg över gjorda löneutbetalningar, samt begränsat till uppgifter inom dessa dokument som behövs för att organisationen ska kunna bedöma om kollektivavtalet har följts i fråga om sådana kollektivavtalsvillkor som avses i 15, 16 eller 19 § lag (1999:678) om utstationering av arbetstagare (alltså för att bedöma stridsåtgärder).
Utdrag från prop. 2019/20:150 s.96f
[…] Det kan dock bli fråga om en hantering av personuppgifter i samband med kontrollåtgärden, t.ex. arbetstagarens namn och personnummer. I sammanhanget ska noteras att den eventuella personuppgiftsbehandling som kan följa av den skyldighet att tillhandahålla handlingar som föreslås är begränsad både till omfattningen och till tiden.
I den mån personuppgifter behöver behandlas av arbetsgivaren eller arbetstagarorganisationen gör regeringen följande överväganden i fråga om kraven på sådan behandling och avvägningen i förhållande till integritetsskyddet.
Bestämmelser om behandling om personuppgifter finns bl.a. i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), EU:s dataskyddsförordning, i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, dataskyddslagen, och i förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning.
Enligt artikel 6 i EU:s dataskyddsförordning är en behandling av personuppgifter laglig endast under vissa förutsättningar, t.ex. om den är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (artikel 6.1 c) eller nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e) eller nödvändig efter en intresseavvägning (artikel 6.1 f).
Det kan konstateras att den utvidgade skyldigheten för utstationerade arbetsgivare innebär en sådan rättslig förpliktelse som avses i 6.1 c i EU:s dataskyddsförordning. Skyldigheten föreslås regleras i utstationeringslagen. Den rättsliga grunden är därmed fastställd på det sätt som anges i artikel 6.3 i EU:s dataskyddsförordning. Skyldigheten syftar till att säkerställa skyddet för utstationerade arbetstagare, vilket är ett mål av allmänt intresse. Skyldigheten bedöms vara proportionerlig för att uppnå det målet.
Enligt regeringens bedömning är integritetsskyddet också väl avvägt i förhållande till sådan personuppgiftsbehandling som anses nödvändig med beaktande av de krav som ställs på sådan behandling.
Det kan också konstateras att inga sådana känsliga personuppgifter som omfattas av artikel 9 eller 10 i EU:s dataskyddsförordning kommer att behöva behandlas. Arbetsgivare är skyldiga att säkerställa att endast sådana personuppgifter som behövs lämnas till arbetstagarorganisationerna.
Sammanfattningsvis bedöms EU:s dataskyddsförordning och dataskyddslagen med tillhörande förordning utgöra tillräcklig reglering för den personuppgiftsbehandling som föranleds av förslaget om en utvidgad skyldighet för utstationerande arbetsgivare att tillhandahålla handlingar till arbetstagarorganisationer. […].”
Här återfinns således stöd för att arbetsgivare kan lämna ut de uppgifter som är nödvändiga för att arbetstagarorganisationen ska kunna utföra sin kontrollfunktion, i enlighet med GDPR.
Kom ihåg att det är enbart behandlingen i form av överlämnande som arbetsgivaren är ansvarig för, vilket de har en laglig grund för enligt GDPR (rättslig förpliktelse, som redovisats ovan). Vad arbetstagarorganisationen sedan gör med uppgifterna har de enskilt personuppgiftsansvarig för och därmed också skyldighet att informera om m.m. Så klart är det viktigt att arbetstagarorganisationen kan redogöra för vad uppgifterna ska användas till vid begäran till arbetsgivaren, så att arbetsgivaren kan ta ställning till om överlämningen av uppgifter är nödvändig, men i det fall det gäller kontroll av efterlevnaden av kollektivavtal kan det vara nödvändigt med en hel del uppgifter.