EU-förordning om dataskydd ersätter nationella personuppgiftslagar

EU:s så kallade dataskyddsförordning antogs i somras. Den börjar tillämpas den 25 maj 2018 och ersätter då medlemsstaternas lagstiftning om behandling av personuppgifter. De allra flesta reglerna i det nuvarande så kallade dataskyddsdirektivet återfinns i sak i den nya förordningen, men de uttrycks i den senare ofta mera ordrikt. Detta och en hel del nyheter har gjort att förordningen blivit omfångsrik med 99 artiklar och 173 förklaringspunkter. Vi har på drygt trettio år gått från 9 sidor med generella dataskyddsprinciper i Europarådets dataskyddskonvention 1981 (nr 108) till 88 sidor med direkt tillämpliga detaljregler.

En nyhet är att kollektivavtal nämns uttryckligen i förordningen. Ett kollektivavtal ska såled-es kunna grunda en rätt att behandla känsliga personuppgifter om till exempel hälsa som behövs för att någon ska kunna fullgöra sina skyldigheter och utöva sina särskilda rättigheter inom arbetsrätten. Det verkar som om kollektivavtalet i så fall måste reglera själva behand-lingen av personuppgifterna, vilket nog inte är så vanligt i dag.

En annan nyhet är att genetiska uppgifter och biometriska uppgifter, som fingeravtryck, kommer att ingå i definitionen av känsliga personuppgifter. Biometriska uppgifter definieras dock som känsliga bara när de används för identifiering. I praktiken innebär det att det måste erbjudas något alternativ till inloggning eller inpassering med biometriska uppgifter, om det inte finns stöd i lag eller kollektivavtal.

I förordningen finns också en särskild bestämmelse som innebär att ”mer specifika regler” om behandlingen av personuppgifter i anställningsförhållanden, inklusive vid rekrytering och avslutande av anställningar, kan fastställas i kollektivavtal eller nationell lag. Reglerna måste innehålla bestämmelser om åtgärder för att skydda den registrerades mänskliga värdighet, berättigade intressen och grundläggande rättigheter. Medlemsstaterna måste anmäla sina regler till kommissionen, men det slipper kollektivavtalsparterna. Det återstår att se om det är möjligt att genom dessa ”mer specifika regler” i praktiken avvika från bestämmelserna i förordningen.

Sören Öman Ordförande i Arbetsdomstolen

Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning