Personvernnemndas avgjørelse av 06.12.2005 (Jon Bing, Gro Hillestad Thune, Hanne Bjurstrøm, Tom Bolstad, Jostein Halgunset, Tore Hauglie, Leikny Øgrim)
1. Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på deler av tilsynets vedtak den 7.12.2004. Saken gjelder adgangen til å gjennomføre rusmiddelkontroll av ansatte i Securitas, og oppbevaring av innhentede vandelsattester.
2 Saksgang
Den 15.3.2004 gjennomførte Datatilsynet tilsyn med Securitas behandling av personopplysninger om potensielle og eksisterende ansatte i virksomheten. Foreløpig rapport fra tilsynet, og varsel om pålegg ble oversendt til Securitas den 7.6.2004. Securitas kommenterte varselet i brev av 13.7.2004. Securitas gjorde tilsynet oppmerksom på at flere av de forhold som det varslede pålegg hadde knyttet seg til, var blitt rettet opp av bedriften, eller det var iverksatt prosess for endringer. Dette gjenspeiles i Datatilsynets endelige rapport og vedtak om pålegg av 6.10.2004.
Vedtak om pålegg ble påklaget av Securitas den 25.10.2004, med utfyllende brev av 12.11.2004. Etter en ny vurdering av saken, foretok Datatilsynet delvis omgjøring av vedtaket i brev av 7.12.2004. Klagen gjelder dermed bare deler av vedtaket. Klagen ble ytterligere begrunnet av Securitas advokat i brev av 22.12.2004.
Personvernnemnda mottok saken fra Datatilsynet den 7.1.2005. Nemnda mottok kommentarer fra Securitas advokat den 19.1.2005.
3 Faktum
Før tilsynet benyttet Securitas et omfattende søknads- og ansettelsesskjema. De som søkte jobb eller ble ansatt i bedriften måtte blant annet avgi opplysninger om egen helsetilstand, sykefravær ved tidligere arbeidssted, opplysninger om ektefelle, samt en bekreftelse på at vedkommende var villig til å underkaste seg rusmiddelkontroll. Securitas endret deler av søknads- og ansettelseskontrakten da Datatilsynet mente at skjemaene var av en for inngripende karakter. Antall spørsmål ble redusert, og det er nå frivillig å avgi helseopplysninger ved ansettelse. Andre forhold som det varslede pålegg knyttet seg til, er i hovedsak rettet opp eller planlagt endret.
Klagen gjelder adgangen til å gjennomføre rusmiddelkontroll av ansatte i Securitas, og oppbevaring av vandelsattester. Securitas ønsker ikke å foreta endringer i henhold til disse to forholdene. Securitas gjennomfører rusmiddelkontroll ved mistanke om rusmisbruk. Datatilsynet godkjenner ikke slik rustesting. Når det gjelder oppbevaring av vandelsattester, dreier saken seg om hvor lenge Securitas kan oppbevare attestene etter ansettelse.
Datatilsynet har pålagt Securitas å endre eller stoppe nåværende praksis inntil Personvernnemnda har fattet endelig beslutning i saken. Klageren har bedt Personvernnemnda omgjøre denne beslutningen, og nemnda gjorde dette i brev av 15.2.2005 til Securitas.
4 Anførslene
Securitas tar sterkt avstand fra bruk av rusmidler. Som arbeidsgiver ser Securitas det som sin plikt å informere de ansatte om at rusmidler ikke aksepteres på arbeidsplassen. Formålet med kontrollen er å sørge for at den sikkerheten som Securitas er satt til å ivareta, møter de krav som kunden og allmennheten forventer, samt lovgivers krav til vaktselskaper. Dette er årsaken til at Securitas ønsker å foreta rusmiddelkontroll dersom det foreligger mistanke om at en ansatt er ruset på jobb.
Securitas mener at virksomheten har et særlig behov for rusfrie ansatte fordi virksomhetens oppgave er å verne om økonomiske verdier og personers sikkerhet. Securitas anfører at rusmidler kan medføre en irrasjonell handlemåte som gjør det vanskelig å håndtere for eksempel påvirkede personer og konfliktsituasjoner. Dette er forhold som ansatte i Securitas daglig risikerer å stå overfor.
Securitas anfører at rutinene omkring testingen ivaretar både bedriftens behov for kontroll, og den ansattes rett til vern av personlig integritet. Securitas anfører at det kun vil bli foretatt rusmiddelkontroll dersom det foreligger skjellig grunn til mistanke, etter for eksempel rapporteringer fra kollegaer eller overordnede. Etter det Securitas er kjent med, har det ikke forekommet klager fra de ansatte over den kontroll som har vært gjennomført. Tillitsvalgte er informert og har godkjent praksisen.
Tidligere innhentet Securitas samtykke til rusmiddelkontroll ved ansettelse. Securitas har foretatt endringer i ansettelseskontrakten, slik at et samtykke nå først vil bli innhentet dersom det faktisk blir aktuelt med en rusmiddelkontroll. I ansettelseskontrakten må imidlertid den som blir ansatt, skrive under på at vedkommende er klar over at Securitas kan kreve ruskontroll ved mistanke.
Datatilsynets vurdering er at samtykke til rusmiddelkontroll ikke vil være frivillig. Securitas anfører at samtykke vil være frivillig, da et eventuelt avslag fra en ansatt ikke vil få konsekvenser for ansettelsen fordi vedkommende allerede er ansatt. Securitas kan derfor ikke se at Datatilsynets anførsel om at samtykke ikke er frivillig, er en riktig forståelse av personopplysningslovens krav til samtykke, jf § 2 nr 7.
Securitas anfører at arbeidsgivers styringsrett kan hjemle rusmiddeltesting, ettersom tiltaket, slik det er lagt opp, ikke virker uforholdsmessig, og at det ellers må anses saklig begrunnet.
Bedriften anfører at rusmiddelkontroll foregår også i andre bransjer uten at det foreligger særskilt lovhjemmel. Blant annet skal rustesting av ansatte i oljebransjen være hjemlet i en avtale mellom partene i arbeidslivet. Dette fremgår av retningslinjer fra Oljeindustriens landforening og Norges rederiforbund. Securitas viser også til at rusmiddelkontroll er blitt godkjent i en dansk voldgiftsavgjørelse, og at et underutvalg til Arbeidslivslovutvalget (NOU 2004:5 Om lov om arbeidsmiljø, arbeidstid og stillingsvern mv. (arbeidsmiljøloven) har lagt til grunn at rettstilstanden i Norden anses å være lik hva gjelder kontrolltiltak blant ansatte. Securitas anfører at Arbeidslivslovutvalget har konkludert med at arbeidsgivers styringsrett kan være hjemmel for å gjennomføre rusmiddeltesting av ansatte.
Securitas anfører videre at personopplysningsloven ikke setter ytterligere skranker for rustesting i arbeidslivet så lenge kontrollen baserer seg på et frivillig samtykke. Behandlingen vil således ha hjemmel i personopplysningsloven § 9 litra f, jf § 8 litra f ved at tiltaket ligger innenfor arbeidsgivers styringsrett.
Det fremgår av Datatilsynets vurdering at tilsynet mener at blod- eller urinprøve har et vesentlig misbrukspotensial. Securitas anfører at det virker som om Datatilsynet tror at virksomheten blir sittende på atskillig mer data enn det som faktisk er tilfellet. Securitas viser til at dersom det foreligger mistanke om rusmisbruk, og det er aktuelt med en kontroll, vil bedriftshelsetjenesten, eller eventuelt annet godkjent helsepersonell, bli brakt inn for å gjennomføre selve testen. Securitas vil kun få tilbakemelding om vedkommende har testet positivt på en type rusmiddel. Securitas vil følgelig kun inneha informasjon om vedkommende var ruspåvirket i strid med arbeidsreglementet. Annen informasjon vil kun det helsepersonell som har gjennomført testen inneha. Slik overskuddsinformasjon kan følgelig ikke utleveres til Securitas uten at helsepersonellets taushetsplikt brytes.
Når det gjelder oppbevaring av innhentede vandelsattester, fremgår det av Datatilsynets vurdering at vandelsattestene må slettes kort tid etter ansettelse. Securitas anfører at de lovlig kan oppbevare innhentede vandelsattester utover selve tidspunktet for ansettelse. Securitas viser til at virksomheten har saklig behov for oppbevaring så lenge ansettelsen varer, og så lenge oppbevaring er nødvendig for å ivareta formålet. Verken personopplysningsloven eller strafferegistreringsforskriften vil således pålegge sletting. Securitas legger også vekt på at de fikk tillatelse til å oppbevare vandelsattestene i personalmappen av Landsdelspolitikammer Østlandet i 1991. I tillegg viser Securitas til at attesten fungerer som bevis for at vandel faktisk er kontrollert i tilfeller der ansettelse går raskt eller i saker hvor bedriften møter kritikk for at ansatte ikke er egnet i tjenesten.
Securitas har separat påklaget Datatilsynets pålegg om å endre eller slutte praksis omkring de to ovennevnte forhold, inntil Personvernnemnda har fattet endelig vedtak. Securitas anfører at de forhold som her er påklaget, har vært praksis i Securitas gjennom en årrekke. Rutinene er følgelig godt innarbeidet. Securitas kan ikke se at det vil ha nevneverdig betydning for de ansattes personvern dersom en slik årelang praksis videreføres i påvente av endelig klagebehandling av de omstridte punktene hos Personvernnemnda. Securitas mener også at det vil være et svært uheldig signal å endre praksis for en kort periode, da de forhold som er påklaget er meget vesentlig i bedriftens holdningsskapende arbeid overfor de ansatte, og Securitas troverdighet overfor kundene.
Det fremgår også av Datatilsynets vurdering at tilsynet "ikke legger vekt på et eventuelt behov for å markedsføre rusfrie ansatte". Securitas anfører at bedriften nesten finner dette provoserende. Virksomhetens ønske om å sikre at de ansatte er rusfrie ved utøvelsen av sitt arbeid, har ikke noe med selskapets markedsføring å gjøre. Securitas anfører at det at de ansatte er rusfrie, har avgjørende betydning for sikkerheten til vedkommendes kollegaer, allmennheten og oppdragsgiverne.
Securitas informerer forøvrig om at bransjeforeningen Servicebedriftenes Landsforening arbeider for at lovgiver skal se behovet for å lovregulere forholdet omkring helseopplysninger og adgangen til å rusmiddelkontrollere vektere, da dette anses som vesentlig for bransjen. Arbeidet gjelder også ønsket om muligheten for å kunne oppbevare politiattest under ansettelsesforholdet. Dette understreker hvor viktig Securitas mener det er med rusfrie ansatte.
5 Datatilsynets vurdering
Datatilsynet mener at rusmiddelkontroll er et så stort inngrep i den personlige integritet at det må kreves klar hjemmel i lov for gjennomføring. Samtykke er ikke tilstrekkelig hjemmelsgrunnlag for rustesting på generelt grunnlag, og tilsynet stiller særlig spørsmål til frivilligheten. Datatilsynet mener at selv om tilsynet som forvaltningsorgan vil utvise forsiktighet med å overprøve et gitt samtykke, er det ikke tvil om at mange arbeidstakere føler seg forpliktet til å samtykke i denne typen inngrep.
Tilsynet legger også vekt på at blod- eller urinprøve har et vesentlig misbrukspotensial da andre sensitive opplysninger kan utledes av materialet. Tilsyner viser til at både blod og urin kan gi grunnlag for forholdsvis detaljerte opplysninger knyttet til helsetilstand eller for eksempel graviditet.
Sett hen til behandlingens inngripende karakter, og den manglende maktbalanse som det ofte er i et arbeidsforhold, mener tilsynet at lovgiver burde ta stilling til i hvilke bransjer eller arbeidsforhold det er behov for rusmiddelkontroller ved ansettelse og fortløpende i arbeidsforholdet. Datatilsynet er av den oppfatning at personopplysningslovens formål, menneskerettigheter, legalitetshensyn og ulovfestede personvernprinsipper således tilsier en innskrenkende tolkning av hjemmelsgrunnlaget. Etter Datatilsynets vurdering vil dette også avskjære mulighetene til å hjemle behandlingen i personopplysningsloven § 9 litra f, jf § 8 litra f. Tilsynet mener at opplysningenes sensitive karakter gjør det klart at de ansattes personverninteresse overstiger Securitas interesse i dette tilfellet. Det at Securitas skal kunne anføre overfor sin kundekrets eller oppdragsgivere at deres ansatte er rusfrie, er ifølge tilsynet uansett ikke å anse som en arbeidsrettslig forpliktelse i relasjon til personopplysningsloven § 9 litra f.
Datatilsynet avviser at arbeidsgivers styringsrett kan hjemle ruskontroll i denne saken. Tilsynet mener styringsretten begrenses av personopplysningslovens regler, slik at et krav til lovhjemmel også vil innskrenke arbeidsgivers styringsrett her, jf drøftelsen ovenfor. I denne forbindelse finner Datatilsynet ikke å kunne legge vesentlig vekt på at Arbeidslivslovutvalget i sin utredning antyder at styringsretten kan hjemle ruskontroll. Den rettskildemessige verdien av et slikt lovforslag er per dags dato begrenset. Datatilsynet antar dessuten at flere av de konklusjonene som trekkes i lovforslaget, vil være gjenstand for diskusjon og meningsforskjell i det videre lovarbeidet.
Datatilsynet mener forøvrig at behandlingen er i strid med personopplysningsloven § 11, 1. ledd litra b da den ikke kan anses saklig begrunnet i virksomheten. Datatilsynet kan ikke se at Securitas har dokumentert et større behov for rusmiddelkontroll enn andre arbeidsgivere kan påberope seg. Datatilsynet avviser Securitas anførsler om at kundene og allmennheten forventer at det foretas særskilt kontroll. Tilsynet mener at et eventuelt behov for å markedsføre rusfrie ansatte ikke kan tillegges vekt. Datatilsynet har hatt tilsyn ved et annet stort vaktselskap, og Datatilsynet bemerker at dette vaktselskapet ikke påberopte seg det samme behovet. Datatilsynet mener at personer som ikke er egnet til å utføre virksomhetens oppgaver må identifiseres på en annen måte.
I vurderingen av hvorvidt det foreligger et saklig behov, har Datatilsynet også lagt vekt på at lov om vaktvirksomhet (1988:29) ikke hjemler rusmiddelkontroll, mens den ellers regulerer behandling av personopplysninger i slik virksomhet (for eksempel innhenting av vandelsattest). Tilsynet mener det ville ha vært naturlig å lovfeste rusmiddelkontroll i forbindelse med denne loven dersom lovgiver mente at vaktselskaper har et slikt generelt behov.
Datatilsynet presiserer at vurderingene knytter seg til rusmiddelkontroll på generelt grunnlag slik det åpnes for i Securitas ansettelseskontrakt. Tilsynet har ikke tatt stilling til om samtykke kan hjemle rustesting i andre konkrete saker.
Ved oppbevaring av vandelsattester, mener Datatilsynet at både personopplysningsloven § 28 og strafferegistreringsforskriften § 20 pålegger at vandelsattester skal slettes når formålet er oppfylt. Datatilsynet mener at formålet er oppfylt når Securitas har konstatert at den enkelte ansatte har tilfredsstillende vandel, ettersom det er selve tilsettingen som er formålet med innhenting av attesten. Datatilsynet legger dessuten til grunn at attesten i utgangspunktet kun sier noe om situasjonen på det tidspunktet den er innhentet. De forhold som en vandelsattest berører, vil kunne forandre seg i løpet av ansettelsesperioden, slik at opplysningene ikke lenger er oppdaterte. Opplysningene vil således ikke være egnet til å oppfylle formålet.
Datatilsynet kan ikke se at Securitas argumenter er tilstrekkelig til å begrunne at det er nødvendig å oppbevare vandelsattester under hele ansettelsesforholdet. Tilsynet avviser Securitas anførsler om at attesten fungerer som bevis for at vandel faktisk er kontrollert i forhold til enkelte ansatte. Datatilsynet mener at bevis for at vandelskontrollen er gjennomført kan ivaretas på andre måter, for eksempel gjennom interne rutiner. I slike særlige tilfeller vil dessuten forskrift om vaktvirksomhet kunne hjemle innhenting av politiattest også etter tilsetting, jf § 4.
Tilsynet har valgt å ikke legge vekt på tillatelsen til oppbevaring av vandelsattesten i personalmappen som er gitt fra Landsdelspolitikammer Østlandet, da tilsynet har vurdert denne til å være i strid med personopplysningslovens regler.
Datatilsynet har også lagt vesentlig vekt på uttalelsen fra Justis- og politidepartementet av 28.5.2004, der departementet støtter Datatilsynets konklusjon om at vandelsattester skal slettes når tilsettingen er gjennomført. Ifølge Politiavdelingen vil slikt pålegg også følge av strafferegistreringsforskriften § 20. Politiavdelingen kan heller ikke se at det nevnte samtykket fra Landsdelspolitikammer Østlandet er i samsvar med strafferegistreringsforskriften.
6 Personvernnemndas vurderinger
6.1 Oppsettende virkning
Securitas har klaget på at Datatilsynet ikke ga klagen på Datatilsynets hovedvedtak oppsettende virkning, slik at rutiner måtte endres før Personvernnemndas vedtak forelå. I egen beslutning av 15.2.2005 har Personvernnemnda imøtekommet Securitas begjæring i så måte, og gitt klagen på hovedvedtaket oppsettende virkning.
6.2 Kontroll av bruk av rusmidler
6.2.1 Innledning - forholdet til arbeidsmiljøloven og biobankloven
Securitas ønsker å sikre at ansatte er rusfrie på arbeid ved å ta blod- eller urinprøve når det foreligger skjellig grunn til mistanke om misbruk. Den aktuelle ansatte må samtykke til at det tas prøve.
Selve det inngrepet overfor den enkelte ansatte som sikring av en blodprøve representer, faller ikke inn under personopplysningsloven. Adgangen til å foreta dette inngrepet fremstår likevel som hovedproblemet i saken. Hvorvidt arbeidsgiver har rett til å foreta et slikt inngrep, vil avgjøres av arbeidsmiljølovens bestemmelser, eventuelt også av avtaleverket mellom organisasjonene for arbeidsgiver og arbeidstaker. Arbeidsmiljøloven (2005) ble vedtatt 17.6.2005 med ikrafttredelse 1.1.2006.
Personvernnemnda legger den nye loven til grunn for sin behandling.
For at testing ved blodprøve skal gi mening, må det foretas en analyse av prøven. Analyseresultatene vil representere personopplysninger av sensitiv karakter, jfr personopplysningsloven § 2 nr 1 jf nr 8. Også om resultatet av testingen bare angis med to verdier (positivt eller negativt), vil dette representere personopplysninger. Det er derfor noe villedende når det i Ot prp nr 49 (2004-2005) Om lov om arbeidsmiljø, arbeidstid og stillingsvern mv. (arbeidsmiljøloven) s 138-139 heter at alkohol- og narkotikatesting ikke omfattes av personopplysningsloven.
Etter personopplysningsloven § 8 er ett av de alternative behandlingsgrunnlag at det er "fastsatt i lov at det er adgang til slik behandling". Spørsmål om hvorvidt inngrepet er tillatt, blir å vurdere etter arbeidsmiljøloven § 9-1, jfr § 9-4.
Anvendelsen av arbeidsmiljøloven og personopplysningsloven fremstår som prinsipielt forskjellig: Arbeidsmiljølovens bestemmelser regulerer hvorvidt arbeidsgiver kan iverksette det kontrolltiltak som slike prøver representerer. Dette vil da være en medisinsk undersøkelse som arbeidsgiver bare kan kreve gjennomført etter arbeidsmiljøloven § 9-4. Personopplysningsloven regulerer hvorvidt personopplysninger fra slike prøver kan behandles, jf henvisningen i arbeidsmiljøloven § 9-1 nr 2. De to lovene vil i slike tilfeller som i nærværende sak, regulere to sider av det samme spørsmålet. Det ville gi liten sammenheng i lovverket om man antok at det var tillatt å iverksette en medisinsk undersøkelse etter arbeidsmiljølovens bestemmelser, men ikke tillatt å behandle opplysningene etter personopplysningsloven og vice versa. Personvernnemnda legger denne forståelse til grunn for sin behandling av saken.
Personvernnemnda peker også på at blodprøven vil være "humant biologisk materiale som er avgitt for medisinsk undersøkelse" eller diagnostikk, jf biobankloven § 2, 1.ledd. Det fremgår ikke om en slik blodprøve vil inngå i en "samling" som kvalifiseres som biobank etter den samme bestemmelsen. Dette vil bero på de aktuelle rutinene, f eks hvor mange prøver som tas, hvordan og hvor lenge de oppbevares (man antar at prøvene må oppbevares en viss tid, bl a for bevissikring og eventuell klage fra den som prøven er tatt av). Personvernnemnda tar ikke stilling til om biobankloven kommer til anvendelse, men forutsetter at den behandlingsansvarlige vurderer dette, og eventuelt følger lovens bestemmelser om meldeplikt for diagnostisk biobank, utpeking av en ansvarshavende med nødvendige kvalifikasjoner mv.
6.2.2 Samtykke som behandlingsgrunn i forhold til personopplysningsloven § 8
For å kunne behandle analyseresultatene, må det foreligge en behandlingsgrunn.
Samtykke kan være en tilstrekkelig behandlingsgrunn, jfr personopplysningsloven § 11 jf § 8 første alternativ og § 9, 1.ledd litra a. Som nevnt innhentes den enkeltes samtykke i forbindelse med den aktuelle testingen. Spørsmålet vil være om samtykket tilfredsstiller de krav som personopplysningsloven stiller, jfr personopplysningsloven § 2 nr 7. Securitas anfører at den enkelte står fritt til å nekte samtykke, og at en slik nektelse ikke vil få følger for ansettelsesforholdet ettersom vedkommende på dette tidspunkt allerede er ansatt.
Etter forarbeidene (Ot.prp.nr.92 [1998-1999] Behandling av personopplysninger [personopplysningsloven] til personopplysningsloven § 2) ligger det i uttrykket at samtykket ikke må være avgitt "under noen form for tvang fra den behandlingsansvarlige eller andre". I dette tilfellet fremhever Securitas som arbeidsgiver at en nektelse ikke vil få følger for den aktuelle persons ansettelsesforhold. For den enkelte vil det likevel være nærliggende å oppleve at det vil kunne få konsekvenser for vedkommendes arbeidsforhold. Arbeidsgiver har alltid en viss makt over de ansatte gjennom sin styringsrett. Det vil i skyggen av denne være vanskelig å anse et samtykke fra en ansatt avgitt uten tanke på at nektelse vil kunne ha betydning for fremtiden - selv om arbeidsgiver ikke har til hensikt å utnytte opplysningene til skade for arbeidstaker.
Personvernnemnda anser at det samme følger av arbeidsmiljøloven, hvor samtykke ikke er nevnt som begrunnelse for iverksettelse av kontrolltiltak fra arbeidsgivers side, jf ordlyden i arbeidsmiljøloven § 9-1 nr 1. Jf også "Protection of workers' personal data: an ILO code of practice" (1996), hvor det fremgår at samtykke som hovedregel ikke er tilstrekkelig for narkotikatesting av ansatte.
Personvernnemnda har merket seg at etter personopplysningsforskriften § 7-16, 2.ledd litra a (denne bestemmelsen gjelder "Personellregistre mv") gjøres det et unntak fra konsesjonsplikten for sensitive opplysninger når "den registrerte har samtykket i behandlingen". Dette synes å forutsette at samtykke fra arbeidstaker kan være en behandlingsgrunn. Som det fremgår av bemerkningene ovenfor, antar Personvernnemnda at samtykke ikke kan være en tilfredsstillende behandlingsgrunn etter personopplysningsloven § 8 første alternativ. Nemnda utelukker imidlertid ikke at det kan være spesielle situasjoner der man kan bygge på samtykke, men dette vil vanligvis ikke være tilfellet, og er ikke tilfellet i denne situasjonen.
Personvernnemnda finner derfor at behandling av personopplysninger som innhentes ved testene, ikke kan skje med grunnlag i samtykke fra den enkelte ansatte. Av denne grunn finner Personvernnemnda at unntaket fra konsesjonsplikten i personopplysningsforskriften § 7-16, 2.ledd ikke kommer til anvendelse da vilkåret i bestemmelsens litra a ikke er oppfylt.
Nemnda må derfor vurdere om behandlingen kan skje med grunnlag i personopplysningsloven § 9, 1.ledd litra b, jf § 8 litra f, sml personopplysningsloven § 33.
6.2.3 Saklighetsprinsippet - personopplysningsloven § 11, 1.ledd litra b jf § 8 litra f.
Etter personopplysningsloven § 8 litra f kan behandlingen skje når det er nødvendig for å "vareta en berettiget interesse, og hensynet til den registrertes personvern ikke overstiger denne interessen".
I stor utstrekning vil dette bero på den rett Securitas som arbeidsgiver har til å iverksette kontrolltiltak overfor ansatte. I Ot prp nr 49 (2004-2005) Om lov om arbeidsmiljø, arbeidstid og stillingsvern mv. (arbeidsmiljøloven) s 135 heter det bl a om dette spørsmål:
"Det rettslige utgangspunkt er at kontrolltiltak som virker inngripende i forhold til arbeidstakerens personlige sfære eller integritet ikke er rettmessig med mindre det foreligger en hjemmel for tiltaket … Hvilket krav som må stilles til rettsgrunnlaget for at kontrollen skal være rettmessig, vil særlig bero på begrunnelsen og behovet for kontrollen, kontrolltiltakets art og hvor inngripende det vil virke i forhold til den enkelte ansatte."
I utredningen skilles det mellom spørsmålet om rekkevidden av arbeidsgivers adgang til å iverksette kontrolltiltak, og spørsmålet om adgangen til å behandle opplysninger som fremkommer som et resultat av tiltaket. Imidlertid fremheves det at det er en "nær indre sammenheng mellom problemstillingene". I oppsummeringen av nordisk rett heter det at et felles trekk ved kriteriene for å tillate kontroll av egne ansatte er saklighet begrunnet i virksomhetsrelaterte forhold, og proporsjonalitet mellom mål og middel, jf også oppsummeringen av gjeldende rett Ot prp nr 49 (2004-2005) Om lov om arbeidsmiljø, arbeidstid og stillingsvern mv. (arbeidsmiljøloven) s 139-40.
Etter arbeidsmiljøloven § 9-4 nr 1 kan medisinske undersøkelser bare benyttes som kontrolltiltak
- når det følger av lov eller forskrift,
- ved stillinger som innebærer særlig risiko,
- når arbeidsgiver finner det nødvendig for å verne liv eller helse.
Det antas også i forarbeidene at beslutningen om å iverksette medisinske kontrolltiltak, ofte må "forankres i en vurdering av ulovfestede prinsipper om vern av den personlige integritet". Personvernnemnda anser at henvisningen i personopplysningsloven § 8 litra f til den registrertes personvern omfatter slike ulovfestede prinsipper, jfr Ot prp nr 49 (2004-2005) Om lov om arbeidsmiljø, arbeidstid og stillingsvern mv. (arbeidsmiljøloven) s 146 som antar at det langt på vei er sammenfall mellom de arbeidsrettslige prinsipper og de "personvernnormer som personopplysningsloven bygger på". Dette fremheves også i Stefan Jørstad Arbeidsgiveres adgang til å kontrollere og overvåke sine ansatte, CompLex 3/04, Institutt for rettsinformatikk, Oslo 2004:75.
Det saklighetsprinsipp som fremheves ovenfor, vil i denne saken svare til det som fremgår av personopplysningsloven § 11, 1.ledd litra b, som krever at opplysningene bare kan benyttes til "uttrykkelig angitte formål som er saklig begrunnet i den behandlingsansvarliges virksomhet". Etter personopplysningslovens systematikk, må alltid kravene i personopplysningsloven § 11, 1.ledd være oppfylt for at behandlingen av personopplysninger skal være tillatt. I tillegg må et av nødvendighetskravene være oppfylt, i dette tilfellet personopplysningsloven § 8 litra f. For behandling av sensitive opplysninger, må dessuten et av alternativene i personopplysningsloven § 9 være oppfylt.
I departementets bemerkninger til arbeidsmiljøloven § 9-4 fremheves at det saklige formålet både for virksomhet og arbeidstaker ikke bare må være forankret i virksomhetens formål som sådan, men også må gjelde den enkelte arbeidstaker som omfattes av kontrolltiltaket. Som eksempel nevnes at et flyselskap etter omstendighetene kan ha saklig grunn til å pålegge pilotene rusmiddelkontroll (sml arbeidsmiljøloven § 9-4 nr 1 litra b), men ikke kontorpersonalet. Det fremheves også at begrunnelsen må være vedvarende, dvs at kontrollen må opphøre når det behov eller formål som begrunnet kontrollen, ikke lenger foreligger eller er sterkt redusert.
Personvernnemnda anser på denne bakgrunn at saklighetsprinsippet både etter personopplysningsloven og arbeidsmiljøloven er til hinder for Securitas kan gjennomføre en generell testing av alle sine ansatte.
Hvis Securitas imidlertid begrenser testingen til de som utfører vektertjenester for sikring av personer mv, dvs den gruppen man antar at vil kunne komme i situasjoner hvor liv eller helse står på spill, vil en testing kunne være tilstrekkelig begrunnet hvis Securitas etter omstendighetene finner at dette er nødvendig for å verne "liv eller helse", sml arbeidsmiljøloven § 9-4 nr 1 litra c.
Ett forhold som kan gjøre at et tiltak som ellers ville anses som berettiget ikke utgjør en tilstrekkelig saklig grunn, vil være "usikre testresultater", dvs at til tiltaket ikke er egnet til å fremme formålet. Usikkerheten ved rusmiddelkontroll er diskutert bl a av "Breisteinutvalget" (NOU 2001:4) pkt 9.3.3. I oppsummeringen heter det bl a:
"Hvis målsetningen er økt sikkerhet og effektivitet, har utvalget ikke funnet dokumentasjon som bekrefter at rutinemessig eller tilfeldig rusmiddeltesting i de tilfellene det gjennomføres, har noen slik effekt."
Den testingen som Securitas ønsker å gjennomføre, vil ikke være rutinemessig eller tilfeldig, men basert på en konkret mistanke om at det foreligger misbruk. I slike tilfeller vil sikkerheten for å kunne bekrefte mistanken være større, og innvendingene i det siterte avsnittet ikke gjelde, i alle fall ikke med samme tyngde. (Som vedlegg til dette vedtaket har Personvernnemnda gjengitt et kort notat som behandler pålitelighet ved denne typen testresultat.)
Personvernnemnda finner likevel den begrunnelse Securitas har angitt for testene som ikke tilstrekkelig tungtveiende. Det gjelder for det første henvisingen til en ønsket preventiv effekt. Men hvis det forekommer en konkret mistanke - "skjellig grunn til mistanke" - om at arbeidstaker er påvirket, synes det som om det i en slik situasjon er flere alternativ til en test, f eks kan arbeidsgiver bortvise arbeidstaker.
For det andre kan det være at Securitas ønsker å sikre seg bevis for at arbeidstakeren er påvirket, f eks til bruk i en senere oppsigelsessak. Dette er imidlertid et formål som ikke isolert sett vil virke preventivt, og dermed bidra til å verne liv eller helse, jfr arbeidsmiljøloven § 9-4 nr 1 litra c.
Personvernnemnda utelukker ikke at slik testing vil kunne bidra til å fremme virksomhetens formål. Securitas relaterer imidlertid ikke begrunnelsene klart til selve virksomheten.
6.2.4 Oppsummering
Etter dette kommer Personvernnemnda til at Securitas ikke kan innføre medisinske undersøkelser eller behandle opplysningene som blir resultatet av slike undersøkelser, av alle sine ansatte uavhengig av hvilke arbeidsoppgaver disse utfører for å kontrollere eventuell rusmisbruk.
Dersom Securitas ønsker å gjennomføre slik test overfor ansatte som utfører oppdrag hvor "liv og helse" må sies å stå på spill, må eventuelt ny søknad fremmes om behandlingen av de sensitive personopplysningene som blir resultatet av slike undersøkelser.
6.3 Oppbevaring av vandelsattester
Securitas ønsker å oppbevare vandelsattester i hele ansettelsesperioden, og begrunner dette fortrinnsvis med at dette er følger av formålet med innhenting av attestene, og som bevis for at vandel faktisk er kontrollert.
Etter personopplysningsloven § 28, 1.ledd kan den behandlingsansvarlige ikke lagre personopplysninger i lengre tid enn det som er nødvendig for å gjennomføre formålet med behandlingen. Innhenting av vandelsattest skjer i forbindelse med selve ansettelsen, og når denne prosessen er gjennomført, er formålet med den innhentede attest oppnådd.
Den behandlingsansvarlige er dessuten pålagt å iverksette rutiner for å sikre opplysningens kvalitet, jf personopplysningsloven § 14, 1.ledd. Vandelsattesten refererer seg til situasjonen på det tidspunkt opplysningene ble innhentet, og vil ikke nødvendigvis gi et korrekt bilde på et senere tidspunkt. Etter personopplysningsloven § 28, 1.ledd må vandelsattestene slettes når ansettelsesprosessen er gjennomført.
Etter lov om strafferegistrering (1971:52) § 10 nr 7, jf forskrifter om strafferegistrering (1974:4) § 20 heter det at "[p]olitiattester … skal effektivt tilintetgjøres etter å ha vært benyttet til oppgitt formål", jfr også Justisdepartementets brev av 28.5.2004 (ref 2004/06118 PPU/MSv). Også etter disse bestemmelsene skal altså vandelsattesten slettes når ansettelsesprosessen er fullført.
Personvernnemnda vil ellers vise til sammenhengen med personopplysningsloven § 10. Det må anses lite ønskelig at det i en større bedrift etableres et "sekundært strafferegister" i personalsystemer.
Personvernnemnda opprettholder Datatilsynets vedtak.
7. Vedtak
- Rusmiddelkontoll av ansatte i Securitas. Personvernnemnda tillater ikke tiltak for å kontrollere rusmisbruk av samtlige ansatte generelt. Datatilsynets vedtak stadfestes.
- Oppbevaring av vandelsattester. Datatilsynets vedtak stadfestes.
Klagen tas ikke til følge.
Oslo 6.2.2006
For Personvernnemnda
Jon Bing
Leder
Vedlegg
I denne saken spilte påliteligheten av testene en viss rolle. Som hjelp til Personvernnemndas arbeid, lot nemnda utarbeide et kort notat som forteller noe om grunnlaget for påliteligheten av en test. Notatet har ikke hatt avgjørende betydning for nemndas standpunkt, men gjengis som en alminnelig orientering.
Ingen medisinsk test er 100 % pålitelig. Hvis man foretar samme undersøkelse av et antall personer som biologisk sett er svært like hverandre, som for eksempel er av samme alder og kjønn, har samme medisinske status osv, vil man få måleresultater som viser en viss spredning. Hvis man foretar parallelle undersøkelser av en og samme person, vil måleresultatene også vise spredning. En slik spredning av resultatene kalles deres fordeling. Jo mindre avstanden mellom enkeltresultatene er, det vil si jo smalere fordelingen er, og jo nærmere sentrum i fordelingen ligger den "sanne" verdien, desto bedre er testen. Hvis man bruker testen til å klassifisere de undersøkte i en av to kategorier, eksempelvis enten i kategorien "påvirket av narkotisk stoff" eller i kategorien "ikke påvirket av narkotisk stoff", vil det alltid være en viss risiko for at enkelte av de undersøkte havner i feil kategori. Testens evne til korrekt å identifisere de "påvirkede" benevnes som testens sensitivitet, mens dens evne til korrekt å identifisere de "ikke påvirkede" kalles dens spesifisitet. De undersøkte havner i en av fire mulige grupper:
| Positiv test | Negativ test | ||
|---|---|---|---|
| Påvirket | A | B | A + B |
| Ikke påvirket | C | D | C + D |
| A + C | B + D | A + B + C + D |
Sensitiviteten uttrykkes ved: A / (A + B)
Spesifisiteten uttrykkes ved: D / (C + D)
Sensitivitet og spesifisitet er karakteristiske egenskaper ved den enkelte testmetode. Når man undersøker en person, vet man i utgangspunktet ikke om vedkommende er påvirket eller ikke. Det relevante spørsmålet blir i denne situasjonen: Hvor stor er sannsynligheten for at en person virkelig er påvirket når testen slår positivt ut? Denne størrelsen kalles prediksjonsverdi av positiv test: A / (A + C). Tilsvarende blir prediksjonsverdien av negativ test: B / (B + D).
Prediksjonsverdien er ikke gitt ved sensitivitet og spesifisitet alene. Den er sterkt avhengig av hvor hyppig tilstanden, det vil i dette tilfelle si ruspåvirkning, er i den gruppen som undersøkes. Det er åpenbart at hvis forekomsten er null (A + B = 0), det vil si at ingen er påvirket, vil alle positive testresultater være falske. Prediksjonsverdien av positiv test vil derfor være lik null. Hvis derimot alle i gruppen virkelig er ruspåvirket (C + D = 0), vil prediksjonsverdien av positiv test åpenbart være 100 %. Og hvis forekomsten ligger et sted mellom disse to ekstremene, vil prediksjonsverdien også være en funksjon av forekomsten. Generelt kan man si at jo sjeldnere den tilstanden er som man vil finne, desto større andel av de positive testresultatene vil ved nærmere granskning vise seg å være feil.
Prediksjonsverdien av positiv test kan uttrykkes som
A / (A + C) =
Sensitivitet * Forekomst / ( Sensitivitet * Forekomst + (1 - Spesifisitet) * ( 1 - Forekomst)
Ved hjelp av denne formelen kan prediksjonsverdien beregnes for ulike verdier av sensitivitet, spesifisitet og forekomst.
Prediksjonsverdi av positiv test, angitt i %.
| Sensitivitet i % | 90 | 95 | 99 | 99,9 | 89 |
| Spesifisitet i % | 90 | 95 | 99 | 99,9 | 96 |
| Forekomst i % | |||||
| 0,01 | 0,1 | 0,2 | 1 | 9 | 0,2 |
| 0,1 | 0,9 | 2 | 9 | 50 | 2 |
| 0,2 | 2 | 4 | 17 | 67 | 4 |
| 0,3 | 3 | 5 | 23 | 75 | 6 |
| 0,4 | 3 | 7 | 28 | 80 | 8 |
| 0,5 | 4 | 9 | 33 | 83 | 10 |
| 0,6 | 5 | 10 | 37 | 86 | 12 |
| 0,7 | 6 | 12 | 41 | 88 | 14 |
| 0,8 | 7 | 13 | 44 | 89 | 15 |
| 0,9 | 8 | 15 | 47 | 90 | 17 |
| 1 | 8 | 16 | 50 | 91 | 18 |
| 2 | 16 | 28 | 67 | 95 | 31 |
| 3 | 22 | 37 | 75 | 97 | 41 |
| 4 | 27 | 44 | 80 | 98 | 48 |
| 5 | 32 | 50 | 84 | 98 | 54 |
| 6 | 36 | 55 | 86 | 98 | 59 |
| 7 | 40 | 59 | 88 | 99 | 63 |
| 8 | 44 | 62 | 90 | 99 | 66 |
| 9 | 47 | 65 | 91 | 99 | 69 |
| 10 | 50 | 68 | 92 | 99 | 71 |
| 20 | 69 | 83 | 96 | 100 | 85 |
| 30 | 79 | 89 | 98 | 100 | 91 |
| 40 | 86 | 93 | 99 | 100 | 94 |
| 50 | 90 | 95 | 99 | 100 | 96 |
| 60 | 93 | 97 | 99 | 100 | 97 |
| 70 | 95 | 98 | 100 | 100 | 98 |
| 80 | 97 | 99 | 100 | 100 | 99 |
| 90 | 99 | 99 | 100 | 100 | 100 |
| 100 | 100 | 100 | 100 | 100 | 100 |
Ut fra tabellen ser man at hvis man tester en gruppe mennesker på rusmisbruk ved hjelp av en test med en sensitivitet og en spesifisitet som begge er på 90 %, vil en positiv test bare være riktig i 8 % av tilfellene hvis 1 av 100 i gruppen virkelig er ruspåvirket. Hvis den sanne forekomsten av rusmisbruk er så høy som 10 %, vil fortsatt 50 % av de som ender opp med en positiv test, i virkeligheten være rusfri.
Hvis man har en svært pålitelig test med sensitivitet og spesifisitet på 99,9 %, og hvis den sanne forekomsten av rusmisbruk er på 0,1 %, vil en positiv test likevel bare være riktig i 50 % av tilfellene. Det betyr at halvparten av de rusmisbrukerne som "oppdages", mistenkes med urette.
Den beskrevne sammenhengen mellom testresultat og forekomst gjør at tilfeldige stikkprøver eller systematiske undersøkelser av store arbeidstakergrupper, der man vil forvente at den faktiske forekomsten er svært lav, fører til at mange får urettmessig mistanke rettet mot seg, med de psykologiske og sosiale virkninger dette kan ha. Resultatet av blod- eller urinundersøkelse i tilfelle der det allerede foreligger en mistanke, er mye mer pålitelig.