I våras hamnade en kvinna som jobbade på ett försäkringsbolag i Arbetsdomstolen efter att hon sökt på en expartner i arbetsgivarens register. Syftet var att hjälpa kvinnans son att komma i kontakt med sin pappa.  

Sökningen tog endast några minuter och hon gjorde aldrig om det. Mannen lämnade även sitt samtycke i efterhand. 

Ändå räckte det för att arbetsgivaren skulle avskeda henne. Arbetsdomstolen kritiserade också arbetstagarens agerande och framhöll att det var brottsligt, men bedömde på grund av omständigheterna i målet att handlandet inte var tillräckligt för att avsluta anställningen.

En enda otillåten sökning kan hota anställningen

Många arbetsplatser har tillgång till register med känslig information, som kunduppgifter, patientjournaler och försäkringsärenden.

För den som har behörighet kan det vara frestande att söka efter mer information än vad arbetet kräver. Men nyfikenhet på grannen, exet eller en bekant kan få allvarliga konsekvenser.

Sök inte på vänner, släktingar eller grannar

Den som använder registren för privata syften riskerar både uppsägning och att begå ett brott.

– Du får aldrig göra privata sökningar på vänner, släktingar och grannar som ligger utanför dina arbetsuppgifter. Gör du det kan det få en rad följder, du riskerar din anställning och i vissa fall kan slagningarna vara brottsliga, säger Elisabet Ohlsson, Förbundsjurist på Unionen. 

Vad slagningarna får för följder bedöms från fall till fall. Men det kan räcka med en enda sökning för att hamna i klistret hos arbetsgivaren. Det spelar heller ingen roll att du inte haft uppsåt att använda uppgifterna eller gjort sökningen i ren välmening. 

Hur stort ansvar har arbetsgivaren för att anställda inte använder jobbets register som egna sökmotorer? 

 – På de flesta arbetsplatser är det arbetsgivaren som är personuppgiftsansvarig, säger Albin Brunskog, enhetschef, Integritetsskyddsmyndigheten (IMY). 

Det innebär att det är arbetsgivaren som ansvarar för att personuppgifter behandlas lagligt och säkert enligt personuppgiftslagen.

– I praktiken innebär det att informera anställda om vilka regler som gäller, se till att medarbetare bara har tillgång till uppgifter de behöver i sitt arbete och bestämma vilka personuppgifter som får behandlas, säger Albin Brunskog, enhetschef, Integritetsskyddsmyndigheten (IMY).

Osäker på sökningen? Fråga chefen först

Men även om det finns regler och policys så finns det gråzoner: en handläggare som ska förbereda ett kundärende och tittar i systemet i förväg, sökningar på familj som gett sitt samtycke, eller sökningar på sig själv.  

– En tumregel är att vara väldigt restriktiv. Och blir du osäker på om sökningen är okej, kolla med chefen, be om att få instruktioner och utbildning. Du ska vara professionell i din yrkesroll och bara använda de olika registren för sådant som är nödvändigt för att utföra dina arbetsuppgifter, säger Elisabet Ohlsson. 

Mannen arbetade med flygbolagets fraktverksamhet på Arlanda. När företaget utökade verksamheten förändrades mannens schema och han tvingades därför att åka till jobbet både tidiga morgnar och eftermiddagar samma dag. Schemat innebar fler resor och efter att ha vänt sig till Unionen för rådgivning krävde han ersättning för ökade resekostnader. Kort därefter gav företaget honom en skriftlig varning och en uppmaning att läsa på om företagets löneregler. 

Problemen med schemaläggningen fortsatte sedan, enligt stämningsansökan. Mannens schema ändrades ofta med kort varsel, vilket gjorde det svårt att planera vardagen.

Chefen slog mannen på armen

I december förra året diskuterade mannen schemaläggningen med sin närmaste chef. Chefen blev då, enligt stämningsansökan, arg och slog mannen tre gånger på armen. Händelsen anmäldes till en högre chef och den närmaste chefen ska senare ha bett om ursäkt inför kollegor. Unionen anser dock att bolaget inte genomförde någon tillräcklig utredning eller hantering av situationen.

Unionen kräver 190 000 i skadestånd

I mars i år meddelade företaget att mannen skulle sägas upp av personliga skäl. Enligt arbetsgivaren hade han bland annat brustit i samarbetsförmåga och inte följt sina arbetsscheman. Bolaget hänvisade också till den tidigare varningen.

Enligt Unionen saknas sakliga skäl för uppsägningen. Fackförbundet stämmer därför flygbolaget i Arbetsdomstolen och kräver att mannen får 190 000 kronor i allmänt skadestånd och jobbet tillbaka.

Kvinnan hade tidigare arbetat som receptarie i apoteksverksamheten på ett företag inom detaljhandeln. Efter att hon lämnat sin anställning upptäckte hon att hennes kollega, en apotekstekniker, vid tre tillfällen hade loggat in i företagets receptsystem. Där hade teknikern tagit del av uppgifter om hennes receptförskrivna läkemedel.

Uppgifterna hämtades från den nationella läkemedelslistan, som innehåller information om vilka läkemedel en person har fått förskrivna och hämtat ut.

Unionen: Kollegans sökningar var ett allvarligt integritetsintrång

Enligt Unionen rör det sig om känsliga personuppgifter och sökningar som saknade laglig grund. Därför har facket nu stämt bolaget i Arbetsdomstolen.

– Hanteringen har inneburit ett allvarligt intrång i vår medlems personliga integritet. Hon har känt obehag över att utomstående har fått tillgång till privat information utan hennes vetskap, säger Klara Hedlund, förbundsjurist på Unionen, som företräder kvinnan.

Unionen: Företaget ansvarar för behandlingen av personuppgifter

Enligt Klara Hedlund har företaget lämnat olika förklaringar till det inträffade.

– Arbetsgivaren har bland annat uppgett att kvinnan bett om hjälp att kontrollera lagerstatus för läkemedel. Det förnekar hon.

Enligt Unionens stämningsansökan ska företaget också ha hänvisat till en IVO-anmälan mot den tidigare anställda, men enligt facket saknar det ärendet koppling till kvinnans egna läkemedel.

Därför stämmer Unionen arbetsgivaren

Varför stämmer Unionen bolaget när det tycks vara en anställd som aktivt gjort fel?

– Vi menar att det är bolaget som har personuppgiftsansvaret. Då är utgångspunkten att anställdas behandling av personuppgifter sker under arbetsgivarens ansvar.

Har företaget brustit i sina kontrollsystem i det här fallet?

– Vi har inte argumenterat i frågan om kontroll eftersom arbetsgivaren menar att det finns skäl för den behandling av personuppgifter som har skett. Där har vi olika uppfattningar.

Unionen kräver företaget på 40 000 kronor i skadestånd för brott mot dataskyddsförordningen, GDPR. 

Fotnot: Kollega har sökt arbetsgivaren för en kommentar.