När företagsöverlåtelser blir aktuella, träder en viktig aspekt av GDPR – Europaparlamentets och rådets förordning om skydd för personuppgifter – i ljuset. Denna artikel syftar till att förklara hur dataskyddsförordningen GDPR påverkar processen vid företagsöverlåtelser, och vad det innebär för såväl företag som enskilda individer. Vi navigerar genom komplexiteten i regelverket och presenterar en tydlig vägledning om hur man följer GDPR vid överföring av verksamheter och anställningsförhållanden.
Företagsöverlåtelser berör inte bara juridiska entiteter utan även deras anställda och den data som rör dem. Därför är det av yttersta vikt att förstå hur GDPR och företagsöverlåtelser samverkar, för att säkerställa en smidig övergång och skydd av personuppgifter.
Inledning
I dagens samhälle kommer alla någon gång om inte flertalet gånger per dag i kontakt med GDPR, speciellt i sitt yrkesliv. Sedan GDPR (Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG) trädde i kraft har både företag och offentlig verksamhet behövt anpassa sig efter regleringen. Det är också en reglering som i vissa fall kan kännas svårförståelig. I denna artikel beskrivs GDPR generellt och i samband med företagsöverlåtelser.
Vid en företagsöverlåtelse, eller övergång som det uttrycks i lagen (1982:80) om anställningsskydd (LAS), följer ofta hela eller delar av verksamheten med till de nya ägarna, där ibland anställningarna som finns.
I och med att de anställda försätter sin anställning men med nya ägare behöver också information föras över från den förra ägaren till den nya. Det är här det kan uppstå frågor om GDPR i form av information om den anställde som fanns hos den tidigare arbetsgivaren. Det kan vara lätt att som arbetstagare tänka att det finns anledning att hävda att GDPR förbjuder överföring av personliga uppgifter. För att reda ut vilken information som får föras över ska vi börja med att gå igenom både vad denna lag i samband med företagsöverlåtelser faktiskt innebär.
Generellt om GDPR
Genom dataskyddsförordningen har kraven på personuppgiftshantering höjts. Arbetsgivare är nu tvungna att införa rutiner och processer för hantering av personuppgifter, särskilt med avseende på den digitala informationen. Det finns också regler som gäller särskilt för offentlig verksamhet.
Viktigt att komma ihåg är att verksamheten i den offentliga sektorn i flera fall måste förhålla sig till offentlighetsprincipen. Det betyder att gemene man har rätt att begära ut allmänna handlingar hos myndigheter. Det innefattar också personalregister hos myndigheter och då kan personuppgifter inom den offentliga sektorn i vissa fall lämnas ut på begäran. Trots detta måste GDPR följas och personuppgifter som är känsliga ska skyddas. Vissa uppgifter skyddas också av sekretess.
Dataskyddsombud
GDPR ställer höga krav på arbetsgivare även i förhållande till dennes anställda. I vissa fall måste arbetsgivaren utse ett dataskyddsombud som ska hjälpa arbetsgivaren att följa förordningen och som arbetstagare kan vända sig till med frågor. Dubbelkolla därför alltid med din arbetsgivare om det finns ett dataskyddsombud att vända sig till. Oavsett om ett dataskyddsombud finns eller inte måste arbetstagaren bli informerad vem som är personuppgiftsansvarig och hur denne kan nås enligt artikel 13.
Rätt att veta hur personuppgifterna hanteras
Som huvudregel har alla arbetstagare rätt att veta om arbetsgivaren samlar in personuppgifter, varför de samlas in och hur de används enligt artikel 13. Det får inte råda några oklarheter om hur arbetsgivaren hanterar de anställdas personuppgifter.
Arbetstagarens rätt att veta vad som händer med dennes personuppgifter gäller nästan samtliga uppgifter om arbetstagaren. Om personuppgifterna lämnas direkt från arbetstagaren måste denne få reda på hur dessa ska användas i samband med att personuppgifterna samlas in. Ifall uppgifterna samlas in från en annan part ska arbetstagaren meddelas inom en rimlig tid, dock aldrig senare än en månad från insamlingstillfället enligt artikel 14. Här kan det dock finnas undantag för offentligt anställda på grund av offentlighetsprincipen.
Utöver detta måste arbetsgivaren informera arbetstagaren om dennes rättigheter enligt GDPR. Arbetstagaren har flertalet rättigheter, till exempel kan en arbetstagare kräva att få veta om dennes personuppgifter behandlas samt begära ett utdrag av dennes personuppgifter och kompletterande information enligt artikel 15.
Rättelse och radering av uppgifter
En arbetstagare har även rätt att begära rättelse av felaktiga personuppgifter om denne samt komplettera dessa om omständigheterna kräver det enligt artikel 16. I vissa fall har arbetstagaren rätt att begära att arbetsgivaren raderar vissa personuppgifter enligt artikel 17. Uppgifterna måste raderas om uppgifterna till exempel inte längre behövs för de ändamål som de samlades in, om behandlingen av personuppgifterna grundade sig på arbetstagarens samtycke och denne har återkallat detta etc.
Kompletterande regler
GDPR kompletteras även av andra lagar vilket möjliggör att det finns regler om behandling av personuppgifter i arbetstagarens kollektivavtal. Regler i kollektivavtal kan därför påverka behandling av personuppgifter och den anställde bör se över sitt kollektivavtal. Dessa regler är dock komplement och får inte strida mot GDPR.
GDPR är en omfattande förordning som innebär många rättigheter för den som lämnar ifrån sig personuppgifter och många skyldigheter för den som samlar in dem. Arbetstagare bör vara vaksamma gentemot arbetsgivarens hantering av deras personuppgifter och utöva sin rätt att kontrollera att personuppgifterna är korrekta och inte sparas för länge.
GDPR och anställningsavtal
Regler om anställning vid företagsöverlåtelser regleras bland annat i 6 b § lagen (1982:80) om anställningsskydd (LAS). Paragrafen speglar de regler som stadgats i EU-direktiv om arbetstagarens rättigheter vid företagsöverlåtelser.
Vad som menas med övergång av företag i LAS mening är att det sker ett skifte av arbetsgivare och en övergång är alltså inte aktuellt när det endast handlar om överlåtelse av aktier i företaget. Vad om utgör övergång av verksamhet bedöms med vägledning i praxis från EU-domstolen och har också behandlats i arbetsdomstolens avgöranden. I ett avgörande från 2023 har AD uttryckt att en övergång förutsätter att en ekonomisk enhet går över till en annan arbetsgivare och att enheten behåller sin identitet efter att verksamheten fortsätter eller återupptas.
För att en verksamhet ska ha behållit sin identitet er man till flertalet faktorer så som verksamhetens art, om verksamheten tillgångar överlåtits, om kunder övertagits, avbrottet i verksamheten under övergången och lika verksamheterna är innan och efter överlåtelsen. Det är alltså flertalet omständigheter som spelar in i att avgöra om det är en övergång av verksamhet som är aktuellt. Det är också av vikt att det faktiskt handlar om överlåtelse av verksamhet för att reglerna i LAS ska gälla.
Vad händer med anställningsvillkoren vid en företagsöverlåtelse?
Enligt 6 b § LAS följer att anställningsvillkoren automatiskt övergår vid överlåtelsen, vilket betyder att förvärvaren måste följa de skyldigheter för arbetsgivaren som anställningsavtalet ger. Vad det enskilda anställningsavtalet för varje medarbetare föreskriver är viktigt för att den anställde ska behålla samma rättigheter som innan vid överlåtelsen. Till exempel kommer ju en arbetstagare med en tillsvidareanställning att ha ett starkare skydd i sin anställning än en arbetstagare som har en provanställning.
En del uppgifter måste enligt 6 c § LAS finnas skriftligen i anställningsavtalet. Eftersom arbetsgivaren har en laglig förpliktelse att behandla dessa personuppgifter i anställningsavtalet för att fullfölja avtalet krävs med hänsyn till GDPR sällan ett samtycke för arbetsgivaren att behandla dessa uppgifter.
Det finns undantag i 6 b § 4 st. LAS och det handlar om arbetstagarens önskan att anställningsavtalet inte ska övergå. Denna möjlighet är enligt rättsfallet AD 1998 nr 144 en rättighet som enbart arbetstagaren själv kan disponera över. Det finns således inget utrymme för den tidigare arbetsgivaren eller den nya arbetsgivaren att bestämma över detta.
GDPR får inte hindra LAS
Sett till GDPR så föreligger en laglig behandling av personuppgifter om: ”Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås” enligt artikel 6.1 (b). Vid överlåtelse kan behandlingen av personuppgifter räknas som nödvändigt för att uppfylla anställningsavtal i enlighet med GDPR. Detta innebär också, med koppling till vad som sagts ovan om förvärvarens ansvar enligt LAS, att artikel 6.1 (c) GDPR tillåter att personuppgifter behandlas eftersom det krävs av lag.
Eftersom 6 b § LAS föreskriver att anställningsavtalet och dess villkor ska överlämnas till den nya arbetsgivaren vid en verksamhetsöverlåtelse ska detta inte hindras av GDPR.
Sammanfattning
Sammanfattningsvis kan det sägas att anställningsavtalet ska överlämnas till den nya arbetsgivaren så länge arbetstagaren inte motsätter sig detta. GDPR bör inte hindra att personuppgifter i anställningsavtalet lämnas till den nya arbetsgivaren och det är alltså inget skäl för en överlåtare att neka att lämna över enskilda anställningsavtal.
Anställningsavtal kan såklart innehålla olika typer av uppgifter och det är svårt att i det enskilda fallet svara på vilken typ av information som kan anses känslig i enlighet med GDPR. Det är också viktigt att komma ihåg att man som anställd kan begära information om vilka personuppgifter som samlats in av arbetsgivaren och att man i vissa fall kan begära att dessa raderas.
Vill du veta mer kan du även läsa om arbetsgivarens lojalitetsplikt och GDPR i denna artikel, där lyfter vi konsekvenserna av att bryta mot lagen.
