Sett internationellt tillhör Sverige ett av de länder med högst facklig organisationsgrad i världen. Under coronapandemin har det fackliga medlemsantalet ökat än mer och år 2020 var ca 70 procent av de anställda i Sverige fackligt anställda.1 I en svensk kontext tycks frågan om facklig tillhörighet inte vara särskilt kontroversiell. I många EU-länder är det dock betydligt mer känsligt att som anställt vara fackligt ansluten. Uppgifter om facklig tillhörighet utgör s.k. känsliga uppgifter och omfattas av särskilda bestämmelser i GDPR. Följande inlägg är på förfrågan från en av våra läsare och syftar till att mer specifikt utreda hur uppgifter anställdas fackliga tillhörighet ska behandlas på arbetsplatsen; hur uppgifterna får spridas samt hur fackligt förtroendevalda ska tillförsäkras sina rättigheter då de utövar sina uppdrag på arbetsplatsen.
Arbetsgivarens personuppgiftsansvar
Arbetsgivaren är i regel personuppgiftsansvarig för de personuppgifter som hanteras om de anställda i verksamheten. Exempelvis samlar arbetsgivaren in personuppgifter som namn, adress och löneuppgifter, när anställningsavtal tecknas. Personuppgiftsansvarig är vanligtvis en juridisk person men kan även vara en enskild person, läs mer om det i detta blogginlägg.
Viktigt att notera är att det är själva organisationen som arbetsgivaren, och inte specifika anställda inom organisationen, som är ansvariga. Definitionen av personuppgiftsansvariga är att det är den som bestämmer för vilka ändamål (”varför”) och med vilka medel (”hur”) personuppgifter ska behandlas samt har det yttersta ansvaret för att behandlingen sker i enlighet med GDPR.
Vanligt är att arbetsgivaren anlitar personuppgiftsbiträden, som på uppdrag behandlar personuppgifter för den personuppgiftsansvariges räkning, till exempel en digital tjänst för löneutbetalningar. Därutöver finns situationer då personuppgiftsansvarig gemensamt bestämmer varför och hur personuppgifter ska behandlas (s.k. gemensamt personuppgiftsansvar) förekomma; exempelvis vid ett projekt som drivs gemensamt av två organisationer där de samlar in uppgifter om deltagare på ett event, se fler exempel på situationer här.
Uppgifter om fackligt medlemskap utgör känsliga personuppgifter
Som tidigare nämnts utgör uppgifter om fackligt medlemskap känsliga personuppgifter (eller särskilda kategorier av personuppgifter, läs mer om vilka typer av uppgifter som omfattas här) enligt GDPR. Behandling av sådana personuppgifter särregleras i GDPR då uppgifterna anses särskilt känsliga och skyddsvärda och behandling kan innebära betydande risker för individers grundläggande fri- och rättigheterna.
Huvudregeln är känsliga personuppgifter inte får behandlas. För att behandling ska vara tillåten krävs att något av undantagen i artikel 9 är tillämpliga. Samtliga undantag som kan ge stöd för behandling av känsliga personuppgifter finns sammanfattade här. Vad gäller uppgifter om fackligt medlemskap på arbetsplatsen är det främst följande undantag som aktualiseras:
- Den anställde har uttryckligen lämnar samtycke till behandlingen av uppgift om facklig tillhörighet
Behandling av känsliga personuppgifter kan vara tillåten då den registrerade har samtyckt till den aktuella behandlingen. För att behandla personuppgifter med stöd av samtycke krävs att samtycket uppfyller kraven i GDPR vilket b.la. innebär att det ska vara informerat, specifikt och frivilligt. Läs mer om villkoren för ett giltigt samtycke här. I praktiken bör arbetsgivaren ha begränsade möjligheter att stödja behandling av anställdas känsliga personuppgifter med stöd av samtycke. Detta beror b.la. på att ett samtycke för att vara frivilligt förutsätter att den registrerade har ett genuint fritt val samt att det i regel råder ojämlikhet i maktförhållandet mellan arbetsgivare och anställda. Enligt Integritetsskyddsmyndigheten (härefter IMY) ska samtycke till stöd för utlämnande av känsliga personuppgifter i regel endast användas då det är till den anställdes fördel. 2
- Den anställde har tydligt offentliggjort uppgift om sin fackliga tillhörighet
Behandling av känsliga personuppgifter är tillåten då uppgifterna offentliggjorts av den anställde.3 Enligt IMY bör det inte vara tillräckligt att den anställde har tagit på sig ett uppdrag som facklig företrädare på en arbetsplats, utan det krävs att personen åtagit sig att representera den fackliga föreningen, för att uppgiften om facklig tillhörighet ska anses offentliggjord.4 Fackliga förtroendemän utses av lokala- eller centrala fackföreningar.
- Generellt undantag för behandling av uppgifter om facklig tillhörighet på grund av skyldighet eller rättighet inom arbetsrätten
För att undantaget ska aktualiseras krävs att behandlingen är nödvändig för att den personuppgiftsansvarige eller den registrerade ska kunna fullgöra skyldigheter eller rättigheter inom arbetsrätten.5 Skyldigheter och rättigheter kan följa av såväl lagstiftning, myndighetsbeslut som kollektivavtal och andra avtal. Det kan exempelvis vara nödvändigt för arbetsgivaren att behandla uppgifter om anställdas fackliga medlemskap för att fullgöra sin förhandlingsskyldighet enligt lagen om medbestämmande i arbetslivet (MBL).6 Uppgifterna måste vara relevanta och inte mer omfattande än vad som krävs för att fullgöra skyldigheterna.
- Uppgift om facklig tillhörighet är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk7
Det är tillåtet att behandla känsliga personuppgifter för att hävda rättsliga anspråk. Exempelvis kan det gälla i samband med arbetsrättsliga tvister.
- Särskilt undantag för behandling av uppgifter om facklig tillhörighet inom fackliga föreningar.
För att undantaget ska kunna tillämpas krävs dels att behandlingen utförs inom en berättigad verksamhet med fackligt syfte där lämpliga skyddsåtgärder är vidtagna, dels att den rör medlemmar, tidigare medlemmar eller personer som föreningen har regelbunden kontakt med på grund av verksamhetens syfte. Vid tillämpning tillåts behandling av känsliga personuppgifter som sker internt inom den aktiva verksamheten, men utlämnande till tredje part, t.ex. en arbetsgivare, kräver att medlemmen (den registrerade) uttryckligen samtycker till det.8
OBS! Utöver att behandling av känsliga personuppgifter förutsätter att något undantag i artikel 9 är tillämpligt, krävs givetvis att de allmänna kraven på personuppgiftsbehandling också uppfylls. Grundläggande vid personuppgiftsbehandling är krav på ett tydligt och specificerat syfte samt att behandlingen har stöd i en rättslig grund (läs mer här) är förenlig med de grundläggande principerna i GDPR (se mer här).
Sammanfattning
Arbetsgivaren är i regel personuppgiftsansvarig för de anställdas personuppgifter. Det innebär att arbetsgivaren ansvarar för att behandlingen av uppgifterna är laglig; b.la. sker med ett berättigat syfte med stöd av en rättslig grund och i enlighet med de grundläggande principerna i GDPR. Uppgifter om facklig tillhörighet utgör känsliga personuppgifter då de anses särskilt skyddsvärda och innebär en högre risk för den registrerades fri- och rättigheter. Huvudregeln är att känsliga uppgifter är förbjudna att behandlas. För att behandling av sådana uppgifter ska vara tillåten krävs att det finns stöd i något av undantagen som stadgas i artikel 9.2 i GDPR, t.ex;
- Att den anställde uttryckligen har samtyckt till behandlingen,
- Att den anställde tydligt har offentliggjort uppgiften
- Att behandling av uppgifter är nödvändig för att fullgöra en skyldighet eller rättighet inom arbetsrätten, eller;
- Att behandlingen är nödvändig för att hävda ett rättsligt anspråk.
Har du frågor om hantering av personuppgifter inom din verksamhet eller förslag på ämne för kommande blogginlägg?
Kontakta oss gärna via info@gdprhero.se eller 046 – 273 17 17!
Fotnoter
- https://arenaide.se/wp-content/uploads/sites/2/2021/04/arena-ide-modellen-kjellberg-210614.pdf s. 85
- https://www.imy.se/verksamhet/dataskydd/dataskydd-pa-olika-omraden/arbetsliv/tillaten-behandling–vilka-krav-galler/kansliga-personuppgifter/
- Se artikel 9.2.e.
- https://www.imy.se/verksamhet/dataskydd/dataskydd-pa-olika-omraden/arbetsliv/tillaten-behandling–vilka-krav-galler/kansliga-personuppgifter/
- Se artikel 9.2.b
- Se b.la. 11 § MBL
- Se artikel 9.2.f.
- Se artikel 9.2.d.
