Ansatte skal ha informasjon om personvern

Arbeidsgiver behandler mye informasjon om ansatte i egen virksomhet. Det kan være alt fra kontaktinformasjonen til den ansatte og nærmeste familie, informasjon som er nødvendig for å betale ut lønn, dokumenter knyttet til sykefravær, medarbeideroppfølging, advarsler og annet mer eller mindre sensitivt innhold i personalmappen.

For å behandle denne informasjonen trenger arbeidsgiver hjemmel i lovverket. Samtidig har de ansatte krav på informasjon om hvilke personopplysninger arbeidsgiver behandler. Det skal også gis informasjon om arbeidstakers rett til innsyn og retten til å kreve retting eller sletting av personopplysninger.  

- Vårt inntrykk er at mange arbeidsgivere nå jobber mye med å kartlegge hvilken informasjon de har lagret om ansatte og kunder, og hvor den er lagret. I dette arbeidet er det viktig at man også tenker på hvordan de ansatte informeres, sier Infotjenesters juridiske rådgiver Camilla Schie-Veslum.

Ansatte har krav på lett forståelig informasjon

Schie-Veslum sier det er artikkel 13 og 14 i EU-forordningen som regulerer hvilken informasjon som skal gis til den registrerte, hvor paragraf 13 vil være den viktigste i arbeidsforhold.

- Artikkel 13 tar for seg informasjon om personopplysninger generelt, og vil således også gjelde i arbeidsforhold. Gjennomsiktighet er et viktig prinsipp i GDPR, og det betyr at arbeidstakeren i størst mulig grad skal ha informasjon om, og innsyn i, de behandlinger som finner sted. Prinsippet om gjennomsiktighet krever at all informasjon og kommunikasjon i forbindelse med behandling av personopplysninger er lett tilgjengelig og lettfattelig, og at språket som brukes er klart og enkelt, sier Schie-Veslum.

Tillegg til personalhåndboken

For å hjelpe virksomheter til å gi denne informasjonen på en klar måte, tilbyr nå Infotjenester et tilleggstema om personvern i Simployer personalhåndbok. Camilla Schie-Veslum og hennes kolleger vil overvåke og vedlikeholde temaet for å holde det oppdatert.

- Her får du tilgang til artikler som våre fageksperter har skrevet og tilpasset til medarbeidere. Enkelte av tekstene må dere selv bearbeide med interne beskrivelser tilpasset egen virksomhet, men vi setter dere i stand til å få med det som er viktig for medarbeidere å kjenne til, sier Schie-Veslum.

Her kan du lese mer om Simployer personal- og lederhåndbok fra Infotjenester.

Fakta: Artikkel 13 i GDPR

Informasjon som skal gis ved innsamling av personopplysninger fra den registrerte

1. Når personopplysninger om en registrert samles inn fra den registrerte, skal den behandlingsansvarlige på tidspunktet for innsamlingen av personopplysningene gi den registrerte følgende informasjon:
   1. identiteten og kontaktopplysningene til den behandlingsansvarlige og eventuelt den behandlingsansvarliges representant,
   2. kontaktopplysningene til personvernombudet, dersom dette er relevant,
   3. formålene med den tiltenkte behandlingen av personopplysningene samt det rettslige grunnlaget for behandlingen,
   4. dersom behandlingen er basert på artikkel 6 nr. 1 bokstav f), de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart,
   5. eventuelle mottakere eller kategorier av mottakere av personopplysningene,
   6. dersom det er relevant, det faktum at den behandlingsansvarlige akter å overføre personopplysninger til en tredjestat eller en internasjonal organisasjon og om hvorvidt Kommisjonen har truffet en beslutning om tilstrekkelig beskyttelsesnivå eller ikke, eller når det gjelder overføringene nevnt i artikkel 46 eller 47 eller artikkel 49 nr. 1 annet ledd, en henvisning til nødvendige eller passende garantier, hvordan man får tak i et eksemplar av dem, eller hvor de er gjort tilgjengelig.
2. tillegg til informasjonen nevnt i nr. 1 skal den behandlingsansvarlige på tidspunktet for innsamling av personopplysninger gi den registrerte følgende ytterligere informasjon som er nødvendig for å sikre en rettferdig og åpen behandling:
   1. det tidsrom personopplysningene vil bli lagret, eller dersom dette ikke er mulig, kriteriene som brukes for å fastsette dette tidsrommet,
   2. retten til å anmode den behandlingsansvarlige om innsyn i og retting eller sletting av personopplysninger eller begrensning av behandlingen som gjelder den registrerte, eller til å protestere mot behandlingen samt retten til dataportabilitet,
   3. dersom behandlingen er basert på artikkel 6 nr. 1 bokstav a) eller artikkel 9 nr. 2 bokstav a), retten til når som helst å trekke tilbake et samtykke uten at det påvirker lovligheten av en behandling basert på et samtykke før samtykket trekkes tilbake,
   4. retten til å klage til en tilsynsmyndighet,
   5. om det foreligger et lovfestet eller avtalefestet krav om å gi personopplysninger eller et krav som er nødvendig for å inngå en avtale, samt om den registrerte har plikt til å gi personopplysningene og om mulige konsekvenser dersom vedkommende ikke gjør det,
   6. forekomsten av automatiserte avgjørelser, herunder profilering, som nevnt i artikkel 22 nr. 1 og 4, og, i det minste i nevnte tilfeller, relevant informasjon om den underliggende logikken samt om betydningen og de forventede konsekvensene av en slik behandling for den registrerte.
3. Dersom den behandlingsansvarlige har til hensikt å viderebehandle personopplysningene for et annet formål enn det opplysningene ble samlet inn for, skal den behandlingsansvarlige før nevnte viderebehandling gi den registrerte informasjon om nevnte andre formål og annen nødvendig informasjon som nevnt i nr. 2.
4. 1, 2 og 3 får ikke anvendelse dersom og i den grad den registrerte allerede har informasjonen.