Allt fler arbetsgivare erbjuder sina anställda att testa sig för antikroppar mot coronaviruset.
Samtidigt som ökad testning är eftersträvansvärt ser Jennie Nilsson, som arbetar med dataskyddsfrågor på Baker McKenzie, risker med testningen ur ett GDPR-perspektiv.
– Provresultat och andra uppgifter som framkommer vid provtagningen är typiskt sett journaluppgifter. Sådana uppgifter ska behandlas av vårdgivare och inte av arbetsgivare, säger hon till Dagens Juridik.
När ett ökat antal arbetsgivare nu erbjuder sina anställda att göra antikroppstester aktualiseras frågan om vad som händer med testresultaten i efterhand.
Jennie Nilsson, expert på dataskyddsfrågor vid Baker Mckenzie Advokatbyrå, ser vissa risker med den ökade testningen och understryker vikten av att arbetsgivarna låter vårdföretagen sköta frågor kring provtagningen och resultat.
– Provtagningen bör hanteras helt av det företag som genomför provtagningen.
”Arbetsgivaren får inte skapa sitt eget register”
När testningen väl är genomförd har arbetsgivaren, enligt Jennie Nilsson, inte heller någon rätt att föra något register över resultaten.
– Som arbetsgivare är det inte tillåtet enligt GDPR att skapa sitt eget register över vilka anställda som har antikroppar, är sjuka, eller för den delen har testat negativt. Provresultat och andra uppgifter som framkommer vid provtagningen är typiskt sett journaluppgifter och sådana uppgifter ska behandlas av vårdgivare och inte av arbetsgivare. Om rapportering till Folkhälsomyndigheten ska ske, bör även detta hanteras av vårdgivaren.
– Viktigt att komma ihåg är även att ett grundläggande krav i GDPR är rätten till information. Du som arbetstagare ska få tydlig information om hur dina personuppgifter kommer att användas.
Hon uppmuntrar anställda att fråga hur testresultaten kommer att behandlas.
– Jag tycker att man kan fråga hur uppgifterna behandlas. Om testresultaten ska delas kan man fråga vilka uppgifter som delas, och med vem, och om det sägs att uppgifterna är anonymiserade kan man fråga på vilket sätt uppgifterna är anonymiserade. Riktig anonymisering innebär att det inte går att koppla uppgifterna till personen ifråga, säger Jennie Nilsson, dataskyddsexpert vid Baker Mckenzie Advokatbyrå till Dagens Juridik.
