I mai innføres den nye personvernforordning; GDPR. Ved ikrafttredelsen av GDPR skjerpes en del eksisterende forpliktelser, og noen nye forpliktelser inntrer. Det er derfor nødvendig for alle virksomheter å foreta en gjennomgang av hvilke personopplysninger som behandles i virksomheten og vurdere rutinene for slik behandling.
Vi anbefaler alle virksomheter å analysere hvilke rutiner man har i dag, og hva man eventuelt mangler. I det følgende oppsummerer vi de viktigste HR-relevante forholdene som virksomheten må ha rutiner for. For HR er det særlig viktig å kartlegge hvilken registrering og behandling av personopplysninger som finner sted i løpet av et ansettelsesforhold, fra rekruttering til avslutning og sikre at nødvendige rutiner og behandlingsgrunnlag er på plass
Fase 1 – Rekruttering
Ved bruk av rekrutteringsbyråer, sikre at det foreligger nødvendig databehandleravtale mellom virksomheten og rekrutteringsbyrået. Databehandleravtalen skal sette rammene for rekrutteringsbyråets behandling av personopplysninger på vegne av virksomheten.
Kun de som absolutt trenger tilgang til opplysninger om kandidater skal ha det. Man må derfor innføre tilgangsnivåer som begrenser innsynet til rekrutterende ledere om informasjon, særlig hensett til sensitiv informasjon.
HR må sørge for at søkeren gis informasjon om behandlingen av personopplysninger i søknadsprosessen. Informasjonen kan gjerne gis som ledd i søknadsprosessen, før søknaden sendes inn. Hvor søknaden sendes inn manuelt eller på e-post, bør informasjonen ligge lett tilgjengelig på virksomhetens nettsider.
Virksomheten må ha rutine for å sikre at kandidatdata slettes etter en viss tidsperiode, dersom kandidaten ikke samtykker til at virksomheten oppbevarer data for potensielle fremtidige stillinger.
Fase 2 - Under ansettelsesforholdet
Ved drifts- og sikkerhetsovervåkning av bedriftens IT-systemer vil det bli behandlet personopplysninger om brukerne. Personopplysningene kan komme i form av IP-adresser til brukernes klienter, påloggingsinformasjon og oversikt over aktiviteten på eller til/fra et system eller applikasjon.
Det er derfor viktig at de ansatte får informasjon om at slik overvåking og logging finner sted.
HR må sørge for å innhente nødvendige samtykkeerklæringer for bruk av bilder av den ansatte på Internett og Intranett. Dette kan entes tas inn i ansettelsesavtalen eller utarbeides separat. Det er viktig at slike samtykker fyller de formelle kravene som stilles til samtykker i lovgivning. Spesielt viktig er at samtykke skal være frivillig – det må gjøres helt klart for den ansatte at det er frivillig å samtykke til bruk av bilde på internett og intranett, og den ansatte må ikke møtes med negative konsekvenser eller omtale dersom samtykke ikke gis.
I personalmappen vil det normalt ligge en rekke dokumenter inneholdende personopplysninger. Som eksempel kan nevnes arbeidsavtale, kurs og kompetansebevis, lønnsjusteringer, advarsler, oversikt over fravær, referater fra medarbeidersamtaler mv.
Virksomheten kan bare oppbevarer opplysninger i personalmappen så lenge man har behandlingsgrunnlag for disse, det vil si så lenge opplysningene er nødvendige for formålet de ble samlet inn for. Normalt vil de fleste av opplysningene i personalmappen være nødvendige så lenge ansettelsesforholdet består, men ikke alltid. Det er derfor viktig å ha rutine for hvilke opplysninger som lagres her, hvem som har tilgang, hvor lenge opplysningene lagres og når de skal slettes.
Virksomheten bør ha en rutine om at e-post alltid skal lagres på virksomhetens fellesområde. For det første sikrer man da at virksomhetskritisk informasjon (kommunikasjon med kunder etc.) ikke kun er tilgjengelig for en enkelt ansatt, men for alle som trenger informasjonen. I tillegg unngår man bryet med å gjennomgå ansattes epostkonto ved avslutning av arbeidsforholdet. Arbeidsgiverens innsyn i arbeidstakerens epostkonto er svært strengt regulert, og kan by på en rekke praktiske problemer dersom man ikke har gode nok rutiner.
Arbeidstakeren skal gis informasjon om behandlingsansvarlig, formålet med behandlingen, om opplysningene vil bli utlevert til andre, og i så fall hvem, at det er frivillig å gi fra seg opplysningene, hvor lenge opplysningene blir lagret og annet som gjør at de registrerte kan ivareta rettighetene sine, for eksempel retten til innsyn, retting og sletting.
Dette kan enklest og mest praktisk gjøres ved å ha en personvernpolicy på Intranettet. Det er viktig å merke seg at arbeidstakeren i utgangspunktet har en rett til å få utlevert sine personopplysninger i elektronisk format, enten i kraft av innsynsretten eller den nye retten til dataportabilitet. Alle virksomheter bør ha rutiner på plass for vurdering av hvilke opplysninger som kan utleveres, for å ikke få problemer med utlevering av forretningshemmeligheter eller andre taushetspliktbelagte opplysninger.
Fase 3 - Avslutning av ansettelsesforholdet
Når en arbeidstaker slutter, må HR ha en rutine for innsamling av utstyr som mobil, data, adgangskort mv.
Dersom det inngås sluttavtale i forbindelse med avslutning av et arbeidsforhold, bør tilbakeleveringsplikten fremgå av sluttavtalen.
Dersom virksomheten ikke har rutine om at all epost skal lagres på fellesområdet, må virksomheten i alle fall må ha en rutine for gjennomgang og sletting av e-post når en ansatt slutter.
Virksomheten må la medarbeideren gå gjennom alle dokumenter og eposter før vedkommende slutter, og selv slette det som er privat informasjon. Pass på at vedkommende gir en skriftlig bekreftelse på at dette er gjort, slik at gjenværende informasjon vil være virksomhetsrelatert.
HR bør gjennomgå medarbeiderens personalmappe og slette all unødvendig informasjon. Dette bør skje innen rimelig tid etter at arbeidsforholdet er opphørt. Rutinen må ta utgangspunkt i forsvarlige vurderinger av oppbevaringstid og sletteplikt, herunder forpliktelser i regnskaps- og bokføringsregelverket om oppbevaring av data.
Makulering av sensitive dokumenter i papirform må gjøres på en slik måte at det ikke er mulig å rekonstruere informasjonen.
Artikkelen er skrevet av advokat Anniken Astrup og advokatfullmektig Kjetil Wick Sætre i advokatfirmaet Føyen Torkildsen AS.
Har du leder eller HR-ansvar? Hold deg faglig oppdatert med Personal og Ledelse
- Last ned enkeltsider eller utgaver av bladet
Hei! Har du fått spørsmål om å bli med i en undersøkelse fra Kantar og HRmagasinet?
Vi trenger kunnskap og innsikt om våre lesere.
Derfor har vi engasjert Kantar – et av Norges ledende analyseinstitutt – til å hjelpe oss med å gjennomføre undersøkelsen.
Mange av våre abonnenter og lesere har fått undersøkelsen tilsendt på e-post fra Kantar, og dette er en vennlig påminnelse til deg om å bidra med dine svar.
Sammen lager vi bedre innhold!
Beste hilsen
Geir Christiansen, redaktør HRmagasinet
