Datatilsynet har i ett tillsynsbeslut bedömt att en arbetsgivares utlämnande av personuppgifter, inklusive uppgifter om facklig tillhörighet, till en extern rådgivare i samband med en arbetsrättslig tvist skedde inom ramen för dataskyddsförordningen (GDPR).
Bakgrund
En fackförening lämnade på sin medlems vägnar in ett klagomål till Datatilsynet angående en tidigare arbetsgivares utlämnande av personuppgifter om den registrerade till en tredje part. Utlämnandet skedde i samband med en arbetsrättslig tvist mellan parterna. Den tredje part som mottog uppgifterna var närstående till företagets ägare och kollega till den registrerade i dennes nuvarande anställning.
Klaganden hävdade att företaget inte hade haft något berättigat intresse av att lämna ut uppgifterna och att utlämnandet av information om facklig tillhörighet inte var nödvändigt för att hantera det arbetsrättsliga anspråket. Företaget å sin sida uppgav att rådgivaren tidigare hade bistått vid anställningen av klaganden och därför hade relevant kännedom om dennes löne- och pensionsvillkor, samt att utlämnandet var begränsat till vad som var nödvändigt för att hantera det aktuella anspråket.
Myndighetens bedömning
Datatilsynet prövade utlämnandet mot artikel 6.1 (f) GDPR, som tillåter behandling av personuppgifter om behandlingen är nödvändig för att tillgodose ett berättigat intresse hos den personuppgiftsansvarige eller en tredje part, förutsatt att den registrerades intressen eller grundläggande rättigheter inte väger tyngre. Tillämpningen av denna grund förutsätter att tre kumulativa villkor är uppfyllda: att ett berättigat intresse föreligger, att behandlingen är nödvändig för att tillgodose detta intresse samt att den registrerades intressen inte väger tyngre.
Datatilsynet konstaterade att det inte fanns grund för att underkänna företagets bedömning att utlämnandet till rådgivaren tillgodosåg ett berättigat intresse. Myndigheten betonade att rådgivaren hade bistått vid anställningen av klaganden och därmed hade nödvändiga förutsättningar för att bedöma om det arbetsrättsliga anspråket var berättigat enligt det ingångna anställningsavtalet. Datatilsynet bedömde att den registrerades intressen inte vägde tyngre än arbetsgivarens berättigade intresse av att inhämta rådgivning inför ett eventuellt försvar mot anspråket.
Vad gäller utlämnandet av uppgifter om facklig tillhörighet, som utgör känsliga personuppgifter enligt artikel 9.1 GDPR, prövade Datatilsynet om undantaget i artikel 9.2 (f) GDPR var tillämpligt. Denna bestämmelse tillåter behandling av känsliga personuppgifter om det är nödvändigt för att fastställa, göra gällande eller försvara rättsliga anspråk. Datatilsynet konstaterade att uppgiften om facklig tillhörighet framkom till följd av att klaganden hade bemyndigat fackföreningen att agera som partsrepresentant i tvisten, och att sådan information typiskt sett bör anses relevant att lämna ut till en rådgivare som anlitas för att hantera ett arbetsrättsligt anspråk.
Datatilsynet konstaterade sammanfattningsvis att utlämnandet skett inom ramen för GDPR och riktade ingen kritik mot företaget.
Praktiska konsekvenser
Beslutet ger vägledning om hur arbetsgivare får hantera personuppgifter, inklusive känsliga uppgifter om facklig tillhörighet, i samband med arbetsrättsliga tvister. Utlämnande av sådana uppgifter till externa rådgivare kan vara förenligt med GDPR om rådgivaren har en relevant koppling till det aktuella ärendet och utlämnandet begränsas till vad som är nödvändigt.
Relaterad expertis
TechLaw bistår verksamheter med juridisk rådgivning i frågor som rör dataskydd, personuppgiftsansvar och regelefterlevnad enligt GDPR. Läs mer om vår expertis inom dataskydd och integritet.
Har ni frågor om hur dataskyddsreglerna påverkar er verksamhet är ni välkomna att kontakta oss.
Källa: Datatilsynet.