Integritetsskyddsmyndigheten (IMY) har utfärdat en sanktionsavgift på 75 000 kr mot Aktiebolaget Storstockholms Lokaltrafik (SL) och Waxholms Ångfartygs AB (WÅAB) vardera för överträdelser av dataskyddsförordningen (GDPR).
Av besluten framgår att IMY utrett två klagomål från arbetstagare som genomfört alkoholtester inom ramen för sina anställningar som befälhavare för fartyg som körs inom kollektivtrafiken. IMY har utrett om den aktuella behandlingen av klagandens personuppgifter har haft stöd i en rättslig grund i artikel 6 GDPR, huruvida behandlingen har omfattat känsliga personuppgifter om klaganden enligt artikel 9 GDPR och i så fall om något av undantagen mot förbudet mot att behandla sådana känsliga uppgifter varit tillämpligt.
Enligt IMY kan en arbetsgivare i vissa fall kan ha ett berättigat intresse av att utföra alkoholtester av arbetstagare i syfte att säkerställa säkerhet inom exempelvis kollektivtrafik. IMY:s granskning visar dock att det inte har varit nödvändigt att samla in och lagra uppgifter från arbetstagarnas alkoholtester i sådan stor omfattning som SL och WÅAB har gjort. Bristande rutiner har gjort att bolagen sparat arbetstagarnas uppgifter under en lång tid om flera månader trots att det inte krävts för att uppnå syftet.
IMY konstaterar vidare att det i arbetslivet är viktigt att ta hänsyn till att arbetstagaren är i beroendeställning till arbetsgivaren. Arbetsgivaren måste säkerställa att det finns stöd för personuppgiftsbehandlingen i GDPR och, om det gör det, att behandlingen inte är för omfattande eller integritetskränkande. En arbetsgivare som överväger att införa alkoholtester behöver även tänka på att resultat från ett alkoholtester kan indikera att en person har ett alkoholmissbruk. Sådana uppgifter utgör hälsouppgifter som har ett särskilt starkt skydd i GDPR.
IMY bedömer att SL och WÅAB har brutit mot reglerna i GDPR. Myndigheten har därför beslutat att bolagen ska betala en sanktionsavgift på 75 000 kronor vardera.