Framsida » Avgöranden » Samlande av personuppgifter i internet med hjälp av en sökmaskin, genom att sk. googla, å arbetsgivarens vägnar samt borttagande av uppgifter från Google-sökmaskinen

Samlande av personuppgifter i internet med hjälp av en sökmaskin, genom att sk. googla, å arbetsgivarens vägnar samt borttagande av uppgifter från Google-sökmaskinen

2006

Ärende:

Dataombudsmannen fick en fråga gällande samlande av personuppgifter i internet å arbetsgivarens vägnar. Klagande berättade att denne i samband med förhandlingar gällande dennes arbetsförhållande märkte att arbetsgivaren hade besökt de google sidor som hade hans namn, från vilka det hittades ett nästan fem år gammalt paneldiskussionsreferat. Enligt klagande utnyttjade arbetsgivaren i arbetsförhandlingarna på ett kränkande sätt denna gamla, förgångna tidsperiod i klagandes liv, utan att denne visste det. Enligt klagande stämplades denne till en person med mentala problem på väldigt ifrågasatta och föråldrade grunder. Av dataombudsmannen frågades hur detta är möjligt och vad som kan göras för att få ifrågavarande innehåll bort från google-indexet. Klagande konstaterade att denne från början inte varit medveten om att paneldiskussionen skulle komma till en Internetsida och av honom hade inte begärts tillstånd till offentliggörandet.

Dataombudsmannens svar:

Enligt huvudregeln i 4 § i lagen om integritetsskydd i arbetslivet (759/2004, arbetslivets dataskyddslag) skall arbetsgivaren eller dennes representant samla arbetstagarens eller arbetssökandenas personuppgifter i första hand från arbetstagaren eller arbetssökande själv. Om arbetsgivaren samlar personuppgifter från andra än arbetstagaren själv bör utav arbetstagaren fås ett samtycke till det. I lagens 4 §:s motiveringar (RP 75/2000) konstateras att samlande av uppgifter annanstans ifrån än utav arbetstagaren eller arbetssökande själv, m.a.o. från utomstående, gäller också uppgifter som samlas från datanät, t.ex. Internet m.h.a. sökmaskin s.k. genom att googla.

I lagens motiveringar konstateras vidare att ifall arbetstagaren eller arbetssökande inte ger sitt samtycke till att samla uppgifter eller detta är med beaktande av ärendets natur omöjligt att be av denne, har arbetsgivaren rätt att skaffa uppgifter också utan samtycke med två förutsättningar. För det första kan uppgifter skaffas endast då de är omedelbart behövliga för arbetsförhållandets del i enlighet med lagens 3 §:s relevanskrav. För det andra bör till skaffandet av uppgifter finnas en klar grund, som anknyter sig till utredandet av arbetstagarens eller den arbetssökandes pålitlighet.

Utredandet av pålitligheten utan arbetstagarens eller den arbetssökandes samtycke kräver ändå strängare kriterier än vanligt arbete. I lagens motiveringar nämns bl.a. granskandet av arbetstagarens personkredituppgifter eller utredningar om ekonomiskt oberoende, ifall det är frågan om en person som omedelbart är ekonomiskt ansvarig över arbetsgivarens egendom eller då arbetsförhållandet för övrigt kräver särskilt förtroende. För tillförlitlighetsutlåtandets del som har givits av polisen konstateras att behovet av att skaffa sådana beror på organisationens säkerhetsbehov. Arbetsplatser som kan kräva en säkerhetsutredning är bl.a. flygstationer, kärnkraftverk, teleoperatörcentraler, myndigheter, stora adb tjänsteföretag och särskilda produktions- och forskningsanstalter.

Ifall arbetsgivaren samlar från Internet med en ovan nämnd grund uppgifter om arbetstagaren eller den arbetssökande skall arbetsgivaren sörja i enlighet med lagens 4 § 2 moment för att arbetsgivaren meddelar arbetstagaren eller den arbetssökande på förhand om skaffandet av sådana uppgifter för att utreda tillförlitligheten. Om arbetstagarens/den arbetssökandes uppgifter har samlats annanstans ifrån än från arbetstagaren/den arbetssökande själv, skall arbetsgivaren meddela arbetstagaren/den arbetssökande om de uppgifter som denne har fått före de börjar användas i beslutsfattande gällande arbetstagaren/den arbetssökande. Enligt lagens 4 § 3 moment hör samlande av personuppgifter vid anställning och under arbetsförhållandets till samarbetsförfarandet, om vilket stadgas i lag om samarbete inom företag (334/2007) och lag om samarbete inom statens ämbetsverk och inrättningar (651/1988).

Uppgifter som har skaffats genom en sökmaskin, s.k. genom att googla, kritiseras på grund av deras otillförlitlighet. Därför förutsätter arbetslivets dataskyddslag att arbetsgivaren samlar uppgifterna från arbetstagaren själv. Man bör också notera att som allmän lag blir personuppgiftslagen (523/1999) tilämplig, enligt vilken den registeransvariga bör handla med aktsamhet, använda tillförlitliga uppgiftskällor och behandla endast behövliga personuppgifter. Därför kan samlande och sparande av personuppgifter genom s.k. googlande, anses vara ett förfarande som står i strid med arbetslivets dataskyddslags 4 § och personuppgiftslagens 5 §, 6 § och 9 §. Ifall arbetsgivaren eller dess representant endast söker och använder i egna syften dessa uppgifter som finns i datanätet utan att arbetsgivaren samlar, sparar eller för övrigt använder dessa i datanätet skaffade uppgifter i beslutsfattande som gäller arbetstagaren eller den arbetssökande, faller denna behandling utanför personuppgiftslagens och arbetslivet dataskyddslags tillämpningsområde.

Eftersom arbetstagarens eller den arbetssökandes uttryckliga samtycke eller en i lagen angiven grund har stadgats om som förutsättningar för samlande av uppgifter om hälsotillstånd är det inte med beaktande personuppgiftslagens 11 § 4 punkt och arbetslivets dataskyddslags 3 §, 4 § och 5 §, motiverat att å arbetsgivarens vägnar samla personuppgifter gällande arbetstagarens eller den arbetssökandes hälsotillstånd, från Internet m.h.a. en sökmaskin och inte heller använda dessa uppgifter i beslutsfattande gällande arbetstagaren eller den arbetssökande, bl.a. i samband med beslut gällande arbetsavtalsförhållanden.

Uppgifter om hälsotillstånd får behandlas endast för de ändamål som stadgas om i lagen, bl.a. för betalning av lön under sjukdomstid eller för att utreda om frånvaro från arbetet har haft en grundad anledning eller om arbetstagaren/arbetssökande uttryckligen vill förklara sin arbetsförmåga. En läkare eller annan yrkesperson inom hälsovården kan ge ett utlåtande om arbetstagarens/arbetssökandes arbetsförmåga i sina arbetsuppgifter. En uppgift som hälsotillstånd som har samlats från Internet fyller inte arbetslivets dataskyddslags 5 §:s krav. I personuppgiftslagens motiveringar konstateras att envar har rätt att som utgångspunkt bli bedömd på basis av riktig och relevant fakta. Samlande av obehövliga uppgifter kan också leda till diskriminering, p.g.a. vilket lagstiftningens diskrimineringsförbud har betydelse vid behandlingen av personuppgifter med början vid bedömningen av behövligheten. Till uppgifter som har samlats m.h.a. sökmaskiner anknyts också problem gällande uppgiftens tidsenlighet, tillförlitlighet, felfrihet samt personens tillförlitliga identifiering. I Internet kan det finnas uppgifter om flera personer med samma namn, vilket betyder att man i misstag kan behandla uppgifter som gäller en annan fullständigt utomstående person.

Förande av en organisations eller förenings medlems personuppgifter till föreningens hemsida kan oftast anses vara automatisk behandling av personuppgifter, så som avses i personuppgiftslagens 2 § 2 moment, till vilket krävs personens samtycke i enlighet med personuppgiftslagens 8.1 § 1 punkt eller en i lag angiven grund. Ifall det är fråga om t.ex. en förenings protokoll eller ett referat som har utarbetats i samband med en offentlig diskussion eller en mötespromemoria, kan ett sådant enskilt dokument bli utanför personuppgiftslagens tillämpning och gällande informeringen tillämpas då inte personuppgiftslagen. Ett referat som har utarbetats i samband med en offentlig diskussion kan också bli utanför personuppgiftslagens tillämpningsområde bl.a. som material som har publicerats i media, eller som en personuppgift som har behandlats i redaktionella samt konstnärliga eller litterära syften. Med beaktande av den information som dataombudsmannen fått kan denne inte ta ställning till huruvida publicerandet av ett sådant paneldiskussionsreferat var automatisk behandling av personuppgifter eller om man borde ha bett om samtycke för det.

Dataombudsmannen har inte behörighet att be företaget Google Technology Inc, som verkar utanför Finland att ta bort från Google personuppgifter. För att få bort uppgifter bör man i första hand ta kontakt med sidans uppehälle, m.a.o. med den organisation som har satt det ifrågavarande paneldiskussionsreferatet på sina hemsidor och be organisationen ta bort ifrågavarande dokument från sina hemsidor. Endast sidans uppehållare kan göra en begäran om att ta bort uppgifter från Google sökmaskinens cacheminne eller alternativt be det själv. Dataombudsmannen handledde den klagande till att bekanta sig med dataombudsmannens byrås handledning ("Radera uppgifter ur sökmotorerna i Internet", i vilken det finns mera handledning om raderandet av uppgifter från Google.

Tillämpade bestämmelser:

Personuppgiftslagen 1 §, 2 § 1, 2, 4, 5 mom., 5 §, 6 §, 7 §, 8.1 § 1, 5 k, 9 §, 11 § 4 k, 38 §, 40 § och 48 §
Lag om integritetsskydd i arbetslivet 1 §, 2 §, 3 §, 4 §, 5 §, 22 § och 24 §
Lag om samarbete inom företag 334/2007
Lag om samarbete inom statens ämbetsverk och inrättningar (651/1988)

 
Publicerad 9.6.2017