Den som bedriver byggverksamhet måste föra en elektronisk personalliggare över vilka som är verksamma på byggarbetsplatsen. Kravet på personalliggare infördes för att minska risken för svartarbete och stärka sunda konkurrensförhållanden. Eftersom personalliggaren innehåller uppgifter om när personer befunnit sig på arbetsplatsen gör beställare av entreprenader ibland gällande att innehållet ska redovisas då det är av betydelse för att bedöma entreprenörens rätt till ersättning för utfört arbete och nedlagd tid. Högsta domstolen (HD) har nyligen slagit fast att en beställare kan få ta del av en personalliggare i en entreprenadtvist, efter att intresset för beställaren att kunna få fram bevis ansetts väga tyngre än att skydda de personuppgifter som finns i liggaren.
Bakgrunden till tvisten
En entreprenör hade inte fått fullt betalt för sina krav avseende uppförandet av ett kontorshus. Tvisten gick till domstol där beställaren invände att entreprenören redovisat en för hög tidsåtgång i kostnadsunderlaget. För att försöka visa att entreprenören redovisat en för hög tidsåtgång begärde beställaren att få del av den elektroniska personalliggaren. Detta genom så kallad edition, vilket innebär att en part i domstol begär att få ta del av skriftliga eller digitala handlingar som kan fungera som bevisning. Entreprenören invände att personalliggaren innehåller personuppgifter och att den registrerade personalens intresse av personlig integritet väger tyngre än beställarens intresse av att få tillgång till dessa uppgifter, varför handlingen inte skulle lämnas ut. Frågan om edition överklagades till HD som konstaterade att avgörande för om personaliggaren skulle lämnas ut är en avvägning mellan beställarens intresse av att få tillgång till möjlig bevisning och skyddet av personalens personuppgifter.
EU-domstolen
Skyddet av personuppgifter regleras gemensamt inom EU, primärt genom EU:s dataskyddsförordning, förordning (EU) 2016/679 (GDPR). HD sökte därför vägledning hos EU-domstolen för att tolka bestämmelserna. EU-domstolen konstaterade att personalliggaren innehöll personuppgifter skyddade enligt GDPR, och betonade vikten av att noggrant överväga dataskyddsaspekter i denna typ av ärenden. Det konstaterades att personuppgifterna hade samlats in huvudsakligen för skattekontroll. HD instruerades därför att ta ställning till om en vidarebehandling utanför det ursprungligen tilltänkta användningsområdet vore proportionerlig. Vidare skulle HD ta ställning till om det vid ett utlämnande var möjligt att minimera spridningen av personuppgifterna.
Högsta domstolens bedömning
I enlighet med EU-domstolens vägledning beaktade HD GDPR:s principer. Beställarens intresse av att ta del av personalliggaren vägde tungt enligt HD. Tillgång till bevisning ansågs vara en förutsättning för rätten till ett effektivt domstolsskydd och en rättvis rättegång. Även den berörda personalens intresse av skydd för hur deras personuppgifter fick hanteras var beaktansvärt, och HD balanserar därför i sin dom dessa intressen mot varandra.
Personuppgifterna i personalliggaren bestod främst av namn på personalen och deras personnummer. Namnuppgifterna ansåg HD vara mindre integritetskänsliga. HD beaktade även att beställaren redan under byggtiden hade haft tillgång till personalliggaren och att personalen enligt HD:s bedömning inte direkt påverkades av utgången i tvisten. Vid en samlad bedömning slog HD fast att personalens intresse att skydda sina personuppgifter vägde mindre tungt i det aktuella fallet.
Samtidigt konstaterades att personnummer är en något känsligare personuppgift och att beställaren inte hade framfört någon argumentation om huruvida personnumren hade något bevisvärde.
HD dömde sammanfattningsvis att personalliggaren skulle lämnas ut till beställaren, men att personnummer och liknande identifieringsnummer skulle maskeras innan utlämnandet.
Granskning av personalliggare framöver
Att personalliggaren lämnades ut grundades sig alltså på rätten till ett effektivt domstolsskydd. Att få ta del av personalliggaren utanför domstol hade således krävt en helt annan grund. Det är därför fortsatt oklart om och under vilka förutsättningar uppgifterna i en personalliggare kan lämnas ut eller användas utom domstol när hanteringen är en annan än det ursprungligen tilltänkta syftet med systemet.
Eftersom i princip all personuppgiftshantering enligt GDPR kräver ett ändamål och stöd i en rättslig grund uppstår frågan om vad den senare kan vara vid en sådan utökad hantering. En rättslig grund kan vara att det föreligger samtycke från de vars personuppgifter berörs eller att det finns ett berättigat intresse av personuppgiftshanteringen. Bedömningen blir ofta beroende av vem det är som begär utlämnandet.
Att den som inrättat personalliggaren inhämtar samtycke från sina anställda lär vara svårt att stödja sig på som rättslig grund. Generellt anses anställda stå i ett beroendeförhållande till sin arbetsgivare, varför de ofta inte anses kunna ge ett frivilligt samtycke. I ett sådant fall ligger det kanske närmre till hands att överlämnandet görs med stöd av ett berättigat intresse. Här krävs noggranna överväganden.
En beställare som också är byggherre har under byggtiden rätt att ta del av personalliggaren enligt skattelagstiftningen. Det bör i praktiken vara svårt att hindra en beställare som getts tillgång till liggaren från att jämföra innehållet med den redovisade tiden i faktureringsunderlaget.
Det kan framhållas att en beställare som får ut en kopia på personalliggaren själv drar på sig ett personuppgiftsansvar i förhållande till de personer vars uppgifter finns i personalliggaren. Samtidigt kan ett sådant ansvar undvikas om beställaren i stället för att få en kopia på personalliggaren, och därigenom hanterar (behandlar enligt GDPR) personuppgifterna, nöjer sig med att få titta i personalliggaren. Skulle beställaren efter granskningen anse att det finns felaktigheter kan en tvist tas vidare till domstol, där nödvändiga uppgifter ur personalliggaren kan begäras ut som bevisning i enlighet med HD:s nya dom. Om handlingarna ges ut av domstolen och innehåller personuppgifter måste beställaren dock vara uppmärksam på det personuppgiftsansvar som hanteringen av handlingarna innebär.
Alldeles oavsett är det som vid all form av personuppgiftshantering viktigt att tydligt informera, och då ofta senast i samband med att handlingarna tas emot, om hur berörda individers personuppgifter kan komma att användas.
Domens påverkan på användningen av personalliggare
Vid en begäran om edition gör domstolen normalt inte någon bedömning av de begärda uppgifternas relevans. För att edition ska beviljas är det tillräckligt att omständigheterna talar för att handlingen som sådan i vart fall får ett visst mindre bevisvärde vid prövningen i målet. Det bör därför noteras att HD inte prövade vilken betydelse personalliggaren har som bevisning avseende omfattningen av entreprenörens arbetade tid i det aktuella målet. Denna fråga kommer i första hand att prövas av Attunda tingsrätt där entreprenadtvisten fortsatt handläggs. Entreprenören kan naturligtvis komma att framställa en rad invändningar om varför redovisade tider i personalliggaren inte återspeglar all arbetad tid i entreprenaden.
Om domstolarna fäster vikt vid innehållet i personalliggaren vid bedömningen av entreprenörens rätt till ersättning torde detta framöver kunna få betydelse för entreprenörernas vilja att ge beställaren tillgång till liggaren. Även om skattelagstiftningen ger byggherren rätt att få tillgång till personalliggaren saknas sanktioner vid överträdelse. Det kan därför uppstå svårigheter för beställare som vill satsa på egna kontroller mot svartarbete om entreprenören hindrar en sådan tillgång.
En sådan utgång kan dock även leda till att entreprenörerna har ett större incitament att säkerställa att all faktiskt arbetad tid blir registrerad i personalliggaren eftersom det skulle kunna underlätta för entreprenörerna att erhålla betalning. Detta skulle i stället kunna leda till att personalliggare bättre återspeglar verkligheten genom att entreprenörerna tillser att all tid redovisas, något som i förlängningen innebär att svartarbete blir mindre attraktivt då entreprenören riskerar att ha svårare att få betalt för tid som inte syns i liggaren.
Slutsatser
HD:s avgörande visar på vilket genomslag lagstiftaren gett skyddet av personuppgifter, och att detta skydd ofta kan behöva ställas mot andra rättsliga intressen.
Den som genom edition vill ta hjälp av domstol för att få ut handlingar, som kan användas som bevisning, bör i sin argumentation ta hänsyn till regelverket om hur personuppgifter får hanteras. Det står också klart att domstolen självmant bör göra sådana överväganden. Även den part som får en begäran om att dela med sig av information kan använda GDPR som argument för att vägra utlämnande. Det bör finnas utrymme att hävda att personuppgiftslagstiftningen begränsar skyldigheten att utlämna såväl handlingarna i sig, som de enskilda personuppgifter som handlingarna innehåller.
I fråga om just personalliggare är det fortsatt inte klarlagt om, och då under vilka former, uppgifterna i en personalliggare kan spridas på annat sätt än för systemets ursprungliga syfte. Särskilt när en domstol inte är inblandad som i det nu aktuella avgörandet. Även i dessa fall lär dock EU-rätten, och speciellt regelverket om skyddet av personuppgifter, vara avgörande för att bestämma formerna för en sådan spridning. Att GDPR och motsvarande bestämmelser är centrala i dessa överväganden står klart, och regelverket tycks vara här för att stanna.
Hela domen kan du läsa här: HD mål nr Ö 1750-20.
Zara Hellmark
Simon Wilkens
Anton Broberg Holm