Personvern i arbeidslivet: Rettigheter og plikter

Personvern er en viktig del av dagens arbeidsliv. Balansen mellom arbeidsgivers behov for kontroll og arbeidstakers rett til privatliv kan være utfordrende. Denne artikkelen gir en oversikt over reglene, rettighetene og pliktene som gjelder.

Kontrolltiltak og arbeidsgivers ansvar

Arbeidsgivere kan i visse tilfeller iverksette kontrolltiltak. Dette kan være nødvendig for å sikre driften, forebygge uønskede handlinger eller beskytte virksomheten. Eksempler på slike tiltak er overvåking av e-post og internettbruk, adgangskontroll, kameraovervåkning og rusmiddeltesting. Arbeidstilsynet har en vid definisjon av hva som regnes som kontrolltiltak.

Når er kontroll lovlig?

Et kontrolltiltak må være saklig begrunnet, nødvendig og forholdsmessig. Arbeidsgiveren må ha en legitim grunn, og tiltaket må være egnet til å oppnå formålet. I tillegg må det være det minst inngripende alternativet. For eksempel kan ikke en butikkjede innføre omfattende kameraovervåkning hvis bedre opplæring av ansatte kan redusere svinn like effektivt. Om en virksomhet benytter flere kontrolltiltak, er det viktig å vurdere den totale belastningen disse medfører. Det kan tenkes at summen av tiltakene blir uforholdsmessig inngripende, selv om hvert enkelt tiltak i seg selv er saklig begrunnet, ifølge Arbeidstilsynet.

Informasjon, drøfting og evaluering

Arbeidsmiljøloven krever at arbeidsgivere involverer de ansatte ved innføring av kontrolltiltak. Før et tiltak iverksettes, skal det drøftes med tillitsvalgte eller representanter for de ansatte. Dette skal være en reell diskusjon der de ansatte får mulighet til å komme med innspill. Alle berørte arbeidstakere skal informeres om formålet med tiltaket, de praktiske konsekvensene, hvordan det gjennomføres og hvor lenge det vil vare. Arbeidsgiver skal også jevnlig evaluere behovet for tiltakene sammen med tillitsvalgte. Tiltak som ikke lenger er nødvendige, skal avvikles.

GDPR og personvern

EUs personvernforordning (GDPR), innført i Norge i 2018, har styrket personvernet betraktelig. GDPR krever at arbeidsgivere behandler personopplysninger lovlig og åpent, med gode rutiner for håndtering av persondata. Dette innebærer, som Simployer påpeker i sin introduksjon til HR og GDPR, at virksomheter må jobbe aktivt med kompetanseheving og kvalitetssikring av personvernarbeidet.

Viktige GDPR-prinsipper

Noen sentrale GDPR-prinsipper er spesielt relevante i arbeidslivet. Dataminimering betyr at arbeidsgiver bare skal samle inn og behandle personopplysninger som er nødvendige for et bestemt formål. En restaurant trenger for eksempel ikke detaljert informasjon om ansattes matpreferanser, med mindre det er direkte relevant for jobben. Formålsbegrensning innebærer at opplysningene kun brukes til det formålet de ble samlet inn for. For eksempel kan ikke opplysninger om ansattes bankkontonummer, samlet inn for lønnsutbetaling, brukes til å sende ut reklame.

Helseopplysninger og andre sensitive data

Helseopplysninger regnes som sensitive personopplysninger. Arbeidsgiver kan bare be om slike opplysninger hvis de er nødvendige for å utføre arbeidsoppgavene. I risikoyrker kan medisinske undersøkelser være aktuelt, men de skal begrenses til det strengt nødvendige. Selv om arbeidsgiver i noen tilfeller kan kreve helseundersøkelse, kan den ikke gjennomføres med tvang. I personalsaker er det dessuten avgjørende å huske på konfidensialitet og sikker håndtering av sensitiv informasjon.

Arbeidstakers rettigheter

GDPR gir arbeidstakere rett til innsyn i egne opplysninger, retting av feil, sletting av unødvendige data og begrensning av behandling. Arbeidsgiver plikter å informere ansatte om disse rettighetene. Datatilsynet har flere eksempler på saker der brudd på disse rettighetene har fått konsekvenser.

Behandling av personopplysninger i praksis

Mange virksomheter, som Universitetet i Oslo (UiO), behandler ansattes personopplysninger i ulike IT-systemer. Dette kan være systemer for personaladministrasjon, arkivering, adgangskontroll og identitetsstyring. UiO, som mange andre, gjennomfører risikoanalyser og har tilgangskontroller for å beskytte dataene, og de ansatte har taushetsplikt. Det er viktig at virksomheter har en personvernerklæring for ansatte. Mindre bedrifter har kanskje enklere systemer, men de grunnleggende prinsippene er de samme: Personopplysninger skal behandles sikkert og i tråd med loven.

Innsyn i e-post

Arbeidsgivers rett til innsyn i ansattes e-post er et tema som ofte diskuteres. Ansatte har en viss forventning om privatliv, men arbeidsgiver kan ha behov for innsyn i enkelte situasjoner. Dette er nøye regulert i «Forskrift om arbeidsgivers innsyn i e-postkasse og annet elektronisk lagret materiale«.

Når er innsyn tillatt?

Innsyn krever nødvendighet. Det kan ikke skje hvis arbeidsgivers interesser kan ivaretas på en mindre inngripende måte. Forskriften gir noen eksempler: Ved ansattes fravær kan innsyn være nødvendig for å finne viktig jobbrelatert informasjon. Ved begrunnet mistanke om grove pliktbrudd, eller forhold som kan gi grunnlag for oppsigelse, kan innsyn også være tillatt. Det er viktig å huske at det er arbeidsgiver som har bevisbyrden.

Et eksempel på ulovlig praksis

En sak der Datatilsynet ila bot for ulovlig lagring og bruk av en ansatts IP-adresse, illustrerer hvor viktig det er å følge reglene. Arbeidsgiveren hadde ikke tilstrekkelig grunnlag, og brukte informasjonen til å etterforske en ansatt. Dette utgjorde et klart brudd på personvernet.

Varsling og gjennomføring

Arbeidsgiver skal varsle den ansatte før innsyn, så langt det lar seg gjøre. Den ansatte har rett til å uttale seg og være til stede under innsynet, gjerne sammen med en tillitsvalgt. Hvis innsyn må skje uten forhåndsvarsel, skal den ansatte underrettes i etterkant. Ved fratredelse skal e-postkontoen stenges, og unødvendig innhold slettes innen rimelig tid. Tekna opplyser at Datatilsynet anbefaler en frist på seks måneder.

Fremtidens personvern

Digitaliseringen, med økende bruk av kunstig intelligens (KI), skaper nye utfordringer for personvernet. Arbeidsgivere får stadig større muligheter for overvåkning og datainnsamling. Derfor er det behov for tydelige regler. Noen eksperter mener at Norge, i likhet med Tyskland, bør vurdere egne regler for personvern i arbeidslivet. Dette for å sikre en god balanse mellom partenes interesser, siden EU åpner for nasjonale tilpasninger innenfor GDPR.

Ansattes medvirkning er viktig

Arbeidsmiljøloven og Hovedavtalen mellom LO og NHO understreker at ansatte og tillitsvalgte skal involveres i beslutninger om teknologi og systemer. De skal få informasjon, opplæring og reell mulighet til å medvirke. Likevel viser forskning at dette ikke alltid skjer i praksis. Det er derfor viktig å styrke opplæringen av tillitsvalgte, slik at de kan ivareta ansattes rettigheter på en god måte, ifølge FriFagbevegelse.

Taushetsplikt

Arbeidsgiver har mulighet til å pålegge ansatte og deres representanter taushetsplikt om konfidensiell informasjon, dersom dette er nødvendig for virksomhetens drift.

Råd for et godt personvern

Personvern i arbeidslivet handler om å finne en god balanse. Arbeidsgivere har behov for styring og kontroll, men arbeidstakere har rett til privatliv. For å skape et trygt og rettferdig arbeidsliv, bør arbeidsgivere utarbeide klare retningslinjer for personvern, gi opplæring til ansatte, jevnlig evaluere rutinene, vurdere personvernkonsekvenser ved innføring av ny teknologi, sørge for sikker behandling av personopplysninger og respektere ansattes rettigheter. Arbeidstakere bør sette seg inn i sine rettigheter, be om innsyn ved usikkerhet, ta kontakt med tillitsvalgt eller Datatilsynet ved behov, og være bevisst på egen deling av personopplysninger. Åpen dialog, tydelige retningslinjer og god opplæring er avgjørende for å lykkes.