Nyhet Strid om GDPR och ID06-loggen kan avgöras av EU-domstolen

Kan man begära ut hela ID06-loggen i en domstolsprocess eller hindrar GDPR detta? Den frågan ligger nu på Högsta domstolens bord och domstolen överväger att begära att EU-domstolen lämnar ett förhandsavgörande som kan få stora konsekvenser i framtida entreprenadtvister.

Historien börjar med en vanlig entreprenadtvist (Attunda tingsrätts mål T 6195-18) mellan en byggherre och en totalentreprenör enligt ABT 06 där entreprenören har begärt ersättning för ÄTA-arbeten medan byggherren å sin sida ifrågasätter bland annat om entreprenören verkligen har arbetat den tid för vilken ersättning krävs. Entreprenaden var av sådan omfattning att byggherren var skyldig att enligt 39 kap. skatteförfarandelagen föra en så kallad elektronisk personalliggare och att tillhandahålla entreprenören utrustning för att göra detta. Skyldigheten innebär att man ska se till att registrera all tid som anställda tillbringar på arbetsplatsen. Skatteförfarandelagen ger dock byggherrar en möjlighet att genom avtal överlåta sina skyldigheter för personalliggaren till en entreprenör, en möjlighet som många byggherrar begagnar sig av för att slippa detta administrativa moment. Byggherren hade använt sig av denna möjlighet i det aktuella projektet.

Det finns flera tekniska system för elektroniska personalliggare, men det i särklass största på den svenska marknaden är ID06. ID06 är ett samarbete mellan intresseorganisationer inom bygg- och anläggningssektorn. Systemet bygger på att vissa godkända leverantörer tillhandahåller speciella kort, kopplade till enskilda arbetstagares personnummer och med en mängd andra personuppgifter inkodade, samt läsare med vilka en arbetstagare kan registerna in- och utpasseringar genom att ”blippa in” och ”blippa ut” såsom man gör i exempelvis kollektivtrafiken. Resultatet blir en datafil där bland annat enskilda arbetstagares in- och utloggningar sparas.

Enligt skatteförfarandelagen ska den som för en personalliggare (det vill säga byggherren eller den entreprenör till vilken byggherren överlåtit denna skyldighet) spara uppgifterna två år efter utgången av företagets beskattningsår. Uppgifterna ska sedan på begäran tillhandahållas Skatteverket. Enligt ID06:s allmänna villkor ska den fullständiga filen endast lämnas ut till Skatteverket. Kontraktsparten får nöja sig med speciella rapporter på organisationsnummernivå där det samlade antalet timmar för ett visst företag anges tillsammans med antalet personer verksamma på arbetsplatsen utan vare sig uppgifter om vilka arbetstagarna är eller vilka exakta tider som in- och utpasseringar skett.

I Attunda tingsrätts mål hade byggherren som nämnt överlåtit ansvaret för den elektroniska personalliggaren till entreprenören. Enligt avtalet, som hänvisade till ID06:s allmänna villkor, hade man därmed ingen på avtal grundad uttrycklig rätt att ta del av personalliggaren. Dock ger den svenska processuella lagstiftningen (det vill säga de regler som styr hur rättegångar går till) personer rätt att från andra få ut dokument som kan få betydelse som bevis i en tvist. Detta görs genom att man vänder sig till domstolen och begär så kallad edition. Denna rättighet gäller oavsett om man har avtal med personen som har dokumentet eller inte.

Om alla arbetstagare har använt riktiga ID06 kort och registrerat sig på det sätt som regelverket föreskriver ska systemet registrera all tid som samtliga arbetstagare tillbringar på arbetsplatsen. Detta omfattar inte nödvändigtvis all tid som entreprenören har rätt till ersättning för. Exempelvis kommer inte arbete som utförs utanför arbetsområdet (i exempelvis verkstad eller byggvaruhus) att synas. Trots sådana felkällor kan en byggherre som ifrågasätter att entreprenören arbetat de timmar som står på fakturan vilja veta vad man kan utläsa av ID06 systemet.

I målet vände sig därför byggherren till Attunda tingsrätt och begärde att den leverantör som entreprenören anlitat för att föra den elektroniska personalliggaren skulle lämna ut all information för en viss period, i första hand i omaskerat skick, i andra hand med maskering av personnummer och i sista hand i anonymiserad form. Entreprenören bestred detta och hävdade att detta skulle strida mot GDPR eftersom dessa personuppgifter samlats in i syfte att underlätta skattekontroll och inte för att kontrollera fakturor. Byggherren invände mot detta och argumenterade för att den processuella lagstiftningen utgör ett sådant lagstöd som gör en sådan hantering av personuppgifter förenlig med GDPR.

Attunda tingsrätt gick på byggherrens linje i sitt beslut den 3 februari 2020, liksom Svea hovrätt i sitt beslut den 26 februari 2020. Den 7 september 2020 beslutade Högsta domstolen att ta upp frågan varefter parterna och Datainspektionen fick möjligheter att yttra sig. Under slutet av oktober meddelade Högsta domstolen att man övervägde att begära ett förhandsavgörande från EU-domstolen i denna fråga.

När denna artikel skrivs har Högsta domstolen ännu inte beslutat att inhämta ett sådant förhandsavgörande, men det finns goda skäl att tro att man till slut kommer att göra detta. I sådana fall kommer svaret på denna väldigt intressanta rättsliga fråga att dröja åtminstone något år till.