Att lämna ut löneuppgifter till ett annat företag är inte tillåtet enligt PUL

Ett kundföretag har ställt krav på att få ta del av lönelistor hos medlemsföretag i syfte att med det som grund sätta timpris i affärsavtal mellan medlemsföretaget och kundföretaget. Kan konsultföretaget skicka över lönelistor till kundföretaget om de anser att det är befogat?

Fråga 1:

Ett kundföretag har ställt krav på att få ta del av lönelistor hos medlemsföretag i syfte att med det som grund sätta timpris i affärsavtal mellan medlemsföretaget och kundföretaget. Kan konsultföretaget skicka över lönelistor till kundföretaget om de anser att det är befogat?

Svar: NEJ, för att det ska vara tillåtet att behandla personuppgifter måste den personuppgiftsansvarige (arbetsgivaren) fastställa ett ändamål och syfte med personuppgiftsbehandlingen i enlighet med personuppgiftslagens grundläggande regler i 9 §. Detta ändamål sätter gränser för vilka personuppgifter som får behandlas, hur länge uppgifter får sparas, vilka behandlingar som kan göras mm utan att bryta mot personuppgiftslagen. Det är inte tillåtet att behandla insamlade personuppgifter för ett syfte som är oförenligt med det för vilket personuppgifterna samlades in.

Att lämna ut löneuppgifter till kunder är således att se som en ny behandling som kräver ett ändamål och syfte i enlighet med PUL (9 §) och även en grund i PUL (10 §) för att vara tillåten.

Behandling av personuppgifter avseende lön behandlas av en arbetsgivare för att fullgöra anställningsavtalet dvs. det måste vara ett avtal mellan den personuppgiftsansvarige (arbetsgivaren) eller den registrerade (den anställde) alternativt för att fullgöra en rättslig skyldighet (lämna uppgifter enligt lag till Skatteverket t ex). Med stöd av någon av dessa grunder finns inget utrymme att lämna uppgifter avseende lön till en helt annan arbetsgivare (kunden).


Fråga 2:

Om konsultföretaget skaffar ett godkännande från sina medarbetare! Kan de skicka löneuppgifterna då?

Svar: NEJ, det ställs särskilda krav på ett samtycke enligt PUL för att det ska vara ett giltigt samtycke. Den anställde ska innan samtycket lämnas får mycket tydlig information kring vilken personuppgiftsbehandling arbetsgivaren avser att göra, så att den anställde kan överväga för- och nackdelar med att lämna samtycke. Ett samtycke ska vara en frivillig och otvetydig viljeyttring i ett särskilt fall. Om den registrerade i praktiken inte kan avstå kan samtycket inte gärna vara "frivilligt" (t.ex. hot om att förlora sitt uppdrag).

Samma sak gäller den situation som uppstår när man är underordnad eller i beroende ställning i förhållande till den personuppgiftsansvarige, som till exempel när en arbetsgivare begär samtycke till registrering av uppgifter om en arbetstagare eller arbetssökande. Att ett samtycke ska vara frivilligt innebär att den enskilde i praktiken måste ha ett fritt val att avgöra om hans eller hennes uppgifter ska få behandlas.

Det finns inget krav på att samtycket ska vara skriftligt. Men bevisbördan ligger på arbetsgivaren som i det här fallet har mycket svårt att bevisa att det fanns ett giltigt samtycke vid personuppgiftsbehandlingen. Man kan med fog ifrågasätta frivilligheten i ett sådant samtycke.