Fackligt medlemskap är en känslig personuppgift. En arbetsgivare som behöver uppgiften för en bestämd arbetsrättslig uppgift ska därför kunna förklara både varför behandlingen är tillåten och varför just den personen behöver se medlemskapet. Att lönesystemet har ett fält för fackförbund är inget eget skäl att fylla det för samtliga anställda.
Den här arbetsgången hjälper HR och löneadministrationen att skilja nödvändiga uppgifter vid exempelvis en lönerevision från ett permanent medlemsregister. Resultatet är en beslutad informationsväg: vad samlas in, för vilken uppgift, vem får tillgång och vad får lämnas till en annan organisation? Exemplen är fiktiva och förutsätter att den angivna arbetsrättsliga skyldigheten faktiskt gäller hos arbetsgivaren.
Börja med skyldigheten, inte med medlemslistan
Beskriv den konkreta uppgiften innan ni väljer rättsligt stöd. ”Vi administrerar personal” är för brett. ”Vi behöver identifiera vilka arbetstagare som berörs av en viss förhandling enligt tillämpliga arbetsrättsliga regler” gör det möjligt att pröva nödvändigheten. Ange vilken bestämmelse eller vilket kollektivavtal som medför uppgiften och vem som har kontrollerat dess tillämpning.
IMY:s vägledning om känsliga personuppgifter i arbetslivet tar upp att en arbetsgivare kan behöva behandla fackligt medlemskap för att fullgöra förhandlingsskyldighet. Myndigheten betonar samtidigt att behovet av att samla in uppgifterna måste övervägas, exempelvis inför en lönerevision, och att permanent lagring kan vara problematisk.
Skilj dessutom mellan medlemskap och vilket kollektivavtal som gäller för arbetet. Uppgifterna besvarar olika frågor. Dra inte slutsatsen att en person är medlem i ett visst förbund därför att personen tillhör en lönegrupp, arbetar på en viss avdelning eller omfattas av vissa avtalsvillkor. En sådan slutsats kan både vara felaktig och skapa känsliga personuppgifter som verksamheten saknar behov av.
Dokumentera två rättsliga led
Behandlingen behöver en rättslig grund enligt artikel 6 och ett tillämpligt undantag från förbudet mot känsliga personuppgifter i artikel 9 i dataskyddsförordningen. Ett berättigat intresse enligt artikel 6 är alltså inte ensamt tillräckligt för att registrera fackligt medlemskap.
Artikel 9.2 b gäller behandling som är nödvändig för skyldigheter och särskilda rättigheter inom arbetsrätten samt social trygghet och socialt skydd, i den utsträckning behandlingen är tillåten enligt unionsrätt, nationell rätt eller kollektivavtal med lämpliga skyddsåtgärder. I Sverige finns kompletterande stöd i 3 kap. 2 § dataskyddslagen.
Skriv därför inte bara ”artikel 9.2 b” i ett beslutsfält. Dokumentera vilken skyldighet eller rättighet som kräver uppgiften, varför en mindre ingripande uppgift inte räcker och vilka personer som ska få tillgång. För artikel 6 kan en tillämplig rättslig förpliktelse vara relevant; dataskyddslagens 2 kap. 1 § anger bland annat skyldigheter enligt lag och kollektivavtal. Bedömningen ska utgå från det verkliga förhållandet hos arbetsgivaren.
Om uppgiften i stället behövs för ett rättsligt anspråk kan en annan artikel 9-bestämmelse behöva prövas. Blanda inte ihop en avgränsad tvistakt med löneadministrationens löpande register. Syfte, åtkomst och bevarande kan skilja sig även när samma medlemsuppgift förekommer i båda sammanhangen.
Utlämnande till tredje part kräver en egen kontroll
När känsliga uppgifter behandlas med stöd av 3 kap. 2 § dataskyddslagen får de lämnas till tredje part endast om det inom arbetsrätten eller området för social trygghet och socialt skydd finns en skyldighet att lämna ut dem, eller om den registrerade uttryckligen har samtyckt till utlämnandet. Detta är en viktig begränsning utöver bedömningen av den interna behandlingen.
Att en arbetsgivare får använda medlemskapet för en förhandling betyder därför inte att samma lista får skickas till varje facklig organisation eller till en branschorganisation. Identifiera mottagaren, den uppgift mottagaren ska utföra och vilken uttrycklig skyldighet som bär just utlämnandet. Om ni förlitar er på en annan bestämmelse eller ett kollektivavtal som själv ger stöd enligt artikel 9.2 b behöver dess räckvidd och skyddsåtgärder analyseras.
Enligt IMY räknas bland annat den personuppgiftsansvarige, personuppgiftsbiträdet och personer som under deras direkta ansvar är behöriga att behandla uppgifterna inte som tredje part i denna mening. Det gör inte intern spridning fri. En lönehandläggare behöver fortfarande ett arbetsrelaterat behov, och ett externt systemföretag är inte automatiskt biträde bara för att avtalet kallas så. Bestäm rollen utifrån vad företaget faktiskt gör.
Uttryckligt samtycke till ett visst utlämnande ska vara ett verkligt val. Använd inte en standardkryssruta i anställningsavtalet som tillstånd för framtida överföringar till obestämda mottagare. IMY framhåller att arbetstagaren ska ha ett fritt val och kunna överblicka negativa följder. En frivillig utlämnandefråga får heller inte blandas ihop med en behandling som arbetsgivaren måste utföra oavsett samtycke.
Ifylld beslutspost: avgränsad lönerevision
Det fiktiva företaget Lind Verkstad ska genomföra en avgränsad lönerevision. HR har verifierat att en viss förhandlingsskyldighet gäller. För att genomföra den behöver HR under en begränsad period veta vilka berörda arbetstagare som tillhör den berörda organisationen. Lönefunktionen behöver däremot främst det fastställda lönebeslutet.
| Kontrollpunkt | Beslut i exemplet |
|---|---|
| Uppgift | Genomföra den identifierade förhandlingen inför årets lönerevision |
| Insamling | Berörda arbetstagare får en riktad fråga med information om användningen |
| Uppgifter | Internt anställningsnummer, relevant medlemskap och datum då uppgiften bekräftades |
| HR-åtkomst | Två utsedda handläggare som arbetar med den aktuella förhandlingen |
| Lönefunktion | Får beslutad lön, giltighetsdatum och nödvändig attest; medlemsfält följer inte med |
| Chef | Får det underlag som behövs för uppgiften, inte en generell medlemslista |
| Utlämnande | Varje mottagare och utlämnandets rättsliga stöd dokumenteras separat |
| Avslut | Arbetslistan avvecklas efter slutförd uppgift; eventuellt fortsatt behov bedöms separat |
Beslutet förutsätter mer än tabellen: den rättsliga genomgången ska ange den faktiskt tillämpliga skyldigheten. Tabellen visar hur ett konstaterat behov översätts till ett begränsat flöde. Den är inte ett besked om att alla arbetsgivare alltid behöver fråga samtliga anställda om medlemskap inför varje löneändring.
Använd en fältmatris för uppgiftsminimering för att se vilka uppgifter som följer med mellan HR-system, förhandlingsunderlag och löneexport. Ett medlemsfält som tas bort från huvudvyn kan fortfarande spridas i rapporter, integrationer och historiska filer.
Ge den anställde ett begripligt besked
Informationen ska beskriva ändamål, rättsligt stöd, mottagare eller mottagarkategorier, bevarande och rättigheter på ett sätt som passar den aktuella insamlingen. En bred personalpolicy kan behöva kompletteras med en kort, konkret förklaring när HR ställer medlemsfrågan. Utgå från mallen för integritetsinformation till anställda, men byt ut generella kategorier mot det faktiska flödet.
Ett ifyllt exempel är: ”HR behöver uppgiften för att avgöra vilka arbetstagare som berörs av den aktuella förhandlingen inför lönerevisionen. Uppgiften används av de utsedda förhandlingshandläggarna. Löneadministrationen får det fastställda lönebeslutet utan en medlemslista. Kontakta HR om uppgiften är felaktig eller om du vill veta mer om det rättsliga stödet och eventuella mottagare.” Lägg till de återstående upplysningar som artikel 13 kräver i den fullständiga informationen.
Förklara också vad ett uteblivet svar innebär. Om uppgiften verkligen behövs för en rättslig skyldighet ska arbetsgivaren redovisa det och de faktiska konsekvenserna. Undvik att märka all insamling ”frivillig” samtidigt som systemet blockerar personalärendet utan svar. Om uppgiften inte behövs ska den inte efterfrågas för att formuläret ska se komplett ut.
Rätta medlemskap utan att skapa en historisk kartläggning
Medlemskap kan förändras. Bestäm när aktualiteten måste kontrolleras för den specifika uppgiften och vem som hanterar rättelser. En gammal uppgift från en tidigare lönerevision ska inte behandlas som säkert aktuell bara för att den ligger i personalsystemet.
Anta att en arbetstagare meddelar att ett registrerat medlemskap är felaktigt. HR stoppar användningen i det pågående underlaget, verifierar den information som behövs och korrigerar berörda arbetskopior. Om uppgiften redan har lämnats ut bedöms skyldigheten att underrätta mottagarna enligt artikel 19. Använd arbetsgången för rättelse enligt artikel 16 för att dokumentera både rättelsen och vilka nedströmsflöden som måste korrigeras.
Spara inte automatiskt en full medlemskapshistorik som bevis för att rättelsen hanterades. En begränsad ärendenotering kan visa att en uppgift korrigerades och att relevanta mottagare kontaktades utan att återge den tidigare uppgiften i flera kontrollregister. Om en konkret tvist kräver historiken ska det behovet beskrivas och åtkomsten begränsas för det ändamålet.
Styr åtkomst, exporter och avslut
Låt behörigheten följa arbetsuppgiften. Separera löneattest från åtkomst till känsligt förhandlingsmaterial och kontrollera vilka administratörer som kan söka fram eller exportera fälten. Ta med medlemsuppgifter i granskningen av IT-system och dataflöden, inklusive automatiska rapporter och anslutna analysverktyg.
Bestäm en avslutspunkt för arbetslistan och hur resterande dokument bedöms. Förhandlingsprotokoll, lönebeslut och tillfälliga kontaktlistor kan ha olika ändamål och bevarandekrav. Det finns ingen generell GDPR-frist som gör det korrekt att behålla alla medlemsuppgifter under hela anställningen och flera år därefter. Ange vilken fortsatt skyldighet eller vilket konkret anspråk som motiverar varje kvarvarande dokument.
Gör en praktisk avslutskontroll. I exemplet bekräftar HR att arbetslistan har tagits bort från den gemensamma arbetsytan, att löneexporten saknar medlemsfält och att återkommande rapporter inte återskapar listan nästa månad. Kontrollbeviset anger datum, ansvarig och granskade platser. Det behöver inte innehålla arbetstagarnas medlemskap för att visa att kontrollen genomfördes.
Avgränsa angränsande arbetsrättsliga frågor
En förhandlingsskyldighet kan aktualiseras även vid exempelvis kamerabevakning på arbetsplatsen. Det innebär inte att den medlemsinformation som samlades in för en lönerevision får användas för alla senare arbetsrättsliga ärenden. Pröva det nya ändamålet och behovet innan underlaget återanvänds.
Den fackliga organisationens egen medlemsadministration är också en annan behandling än arbetsgivarens. Organisationen kan ha egna rättsliga förutsättningar, bland annat de särskilda reglerna för vissa ideella organs berättigade verksamhet. Överför inte organisationens rättsliga stöd till arbetsgivaren. Varje ansvarig behöver kunna beskriva sin behandling och de uppgifter som faktiskt måste utbytas.
Den färdiga rutinen bör slutligen ge HR ett tydligt svar vid varje begäran: vilket arbetsrättsligt behov finns, vilka uppgifter behövs, vem ska få dem och när avslutas användningen? Samla besluten med övriga bevis för ansvarsskyldighet. Då blir medlemsuppgiften en avgränsad del av en verklig uppgift i stället för en standarduppgift som följer med genom hela personaladministrationen.