Avgörande från HD angående personalliggare och GDPR vid tvist

Inledning

Högsta domstolen kom i december med ett beslut rörande en elektronisk personalliggare som enligt lag ska finnas på byggarbetsplatser, och huruvida denna skulle göras tillgänglig för motparten vid en tvist. Högsta domstolen ändrade till viss del hovrättens domslut, och avgjorde, i enlighet med hovrätten att personalliggaren ska göras tillgänglig för motparten vid en tvist. Beslutet togs dock med ändring om att vissa uppgifter så som personnummer på de anställda skulle maskeras.

Beställaren av en entreprenad hävdade att entreprenören tagit betalt för arbete som inte utförts. Personaliggaren innehåller personuppgifter på de som arbetar på byggarbetsplatsen, det handlar om sådana typer av uppgifter som vanligtvis ska skyddas av GDPR. Den innehåller också arbetad tid. Entreprenören, som också är arbetsgivaren i detta fall, bestred att liggaren skulle lämnas ut till motparten då den innehöll de anställdas personuppgifter och att det fanns intresse av personlig integritet.

Elektronisk personalliggare inom entreprenad

Den elektroniska personalliggaren ska enligt 39 kap. skatteförfarandelagen (2011:1244) finnas tillgänglig på byggarbetsplatser där uppgifter på de som är verksamma på arbetsplatsen ska framgå. Uppgifterna som ska finnas är bland annat namn, personnummer och arbetstid. Det samma gäller för utländska uppgifter. Personalliggaren ska finnas tillgänglig för Skatteverket och byggherren, vilket i detta fall inkluderade beställaren av entreprenaden. Regeln om personalliggaren har till syfte att undvika svartarbete inom byggbranschen.

Det aktuella målet

Tvisten som överklagades till HD handlade om att den ena parten, entreprenören, utfört en byggnadsentreprenad åt den andre parten som då var beställaren. När uppdraget var färdigställt uppkom en tvist mellan beställaren och entreprenören om betalning av arbetet. Beställaren menade på att entreprenören tagit betalt för tid och arbete som denne egentligen inte lagt ner. Information om arbetade timmar finns i den elektroniska liggaren och beställaren begärde att uppgifterna i liggaren skulle ges ut för att kunna bevisa hur mycket arbete entreprenören utfört.

I tingsrätten beslutades det att liggaren skulle ges ut, inklusive alla de uppgifter om personalen som fanns däri. Detta överklagades av entreprenören till hovrätten och senare HD då entreprenören ansåg att de anställdas personuppgifter bör skyddas och att det vägde tyngre än beställarens intressen att ta del av liggaren.

Editionsplikten

Utkrävande av handlingar som beställaren gjort gällande i detta fall kallas för edition och regleras i 38 kap 2 § första stycket rättegångsbalken (1942:740). Editionsplikten ger den som har skriftliga handlingar som kan antas utgöra bevis en skyldighet att ge ut handlingarna. I detta fall handlade det om informationen i personalliggaren. Det finns vissa undantag till editionsplikten.

Plikten har som syfte att möjliggöra en fullständig utredning. Vid en avvägning om handlingen ska förpliktigas att lämnas ut eller inte ingår vad handlingen har för relevans i jämförelse med vilket anledning det finns för den andra parten att inte lämna ut handlingen. Det är alltså vanligtvis endast de tvistande parternas intressen som ska tas hänsyn till i bedömningen.

I det aktuella målet handlade det om intresset av att inte lämna ut anställdas personuppgifter och det blev då en fråga om editionsplikten i förhållande till GDPR.

Behandling av personuppgifter

I art. 6.1 c GDPR framgår det att det kan vara lagligt att behandla personuppgifter för att fullgöra en rättslig förpliktelse som finns för den ansvarige för personuppgifterna. Enligt art. 6.3 GDPR ska det fastställas om behandlingen är laglig med grund i unionsrätten eller medlemsstaternas nationella regler som den personuppgiftsansvarige omfattas av. Vidare i art. 6.4 GDPR framgår att om uppgifterna ska behandlas i andra ändamål än de som de samlade in för och det inte grundar sig på de registerarades samtycke, unionsrätten eller de nationella reglerna så ska personuppgiftsansvarige beakta vissa andra kriterier vid en bedömning om uppgifterna ska lämnas ut.

Bedömning

Högsta domstolen bad EU-domstolen om ett förhandsavgörande om innehållet i art. 6.3 och 6.4 GDPR, mer specifikt om artiklarna innefattade nationella processrättsliga regler om editionsplikt. Vidare, om det visade sig att så var fallet, innebär GDPR att också de registrerad anställdas intressen ska beaktas vid bedömning av edition i koppling till personuppgifter? EU-domstolen svarade att artiklarna är tillämpliga vid edition av personalliggare som innehåller personuppgifter på andra än parterna i tvisten och att de registrerades intressen ska tas hänsyn till vid bedömning av edition, och då med hänsyn till de omständigheter som finns i varje enskilt fall.

HD bedömde att beställaren hade ett intresse att genom editionsplikten begära ut personalliggaren och vid prövningen om en sådan begäran är proportionerlig togs hänsyn till de anställdas intressen som har personuppgifter registrerade i liggaren. I detta fall bedömde HD att intresset för skydd av personuppgifter registrerade i liggaren allmänt sett vägde mindre tungt än beställarens intresse av att få ut uppgifterna, då beställaren under entreprenadens gång haft tillgång till liggaren. HD bedömde att det inte kunde anses vara ”några utpräglat integritetskänsliga uppgifter i sammanhanget” men ansåg dock att beställaren inte redogjort för varför uppgifter så som personnummer behövdes som del av bevisningen och HD anförde att personalliggaren skulle ges ut men med maskering av personnummer, samordningsnummer eller motsvarande utländska nummer.

Personalliggaren skulle alltså lämnas ut i enlighet med vad tingsrätten och hovrätten beslutat men med ändring i att vissa personuppgifter skulle maskeras.

Utkrävande av personalliggare

Det framgår ur rättsfallet att det kan finnas ett visst intresse av att personalliggare ges ut på grund av edition vid tvist mellan parter rörande entreprenad. Det framgår dock ur avgörandet att den registrerade personalens intressen också ska tas hänsyn till vid en bedömning av om personuppgifterna ska lämnas ut vid edition. I detta fall vägdes intresset emot beställarens att få tillgång till handlingar som kan vara relevant som bevis. Avgörandet innehöll dock en avvägning mellan vilka uppgifter som var relevanta och vilka som kunde maskeras till skydd för personalens integritet.

Mer om GDPR kan du läsa om här.