Medarbejderkontrol i Danmark kræver et sagligt formål, et relevant behandlingsgrundlag og et rimeligt forhold mellem formål og indgreb. Et værktøj til GPS, internetlogning eller skærmaktivitet må ikke tages i brug, alene fordi det kan levere detaljerede rapporter. Arbejdsgiveren skal også undersøge de arbejdsretlige aftaler, som gælder for den konkrete arbejdsplads.
En planlagt kontrolordning bør beskrive, hvad der indsamles, hvornår kontrollen sker, hvem der ser resultaterne, og hvilke beslutninger oplysningerne kan bruges til. Her gennemgås de danske rammer og et udfyldt eksempel, hvor en servicevirksomhed begrænser GPS til arbejdsopgaven og afviser en generel måling af medarbejdernes skærmaktivitet.
To regelsæt skal forbindes
Datatilsynets vejledning om ansættelsesforhold beskriver kontrolforanstaltninger og deres databeskyttelsesretlige betingelser. Kollektive aftaler og andre arbejdsretlige rammer kan samtidig stille krav til blandt andet varsling og indførelse.
Ved kontrol i henhold til en relevant kollektiv aftale kan databeskyttelseslovens § 12, stk. 1, være grundlag. Uden en sådan regulering peger vejledningen på artikel 6, stk. 1, litra e, for offentlige arbejdsgivere og litra f for private, med de relevante betingelser. Det er ikke en fri adgang til enhver kontrol. Se den danske lovs § 12.
En privat arbejdsgiver skal ved interesseafvejning blandt andet kunne forklare det reelle behov, mindre indgribende muligheder og konsekvenserne for ansatte. En offentlig opgave kræver den relevante retlige sammenhæng. Guiden til behandlingsgrundlag hjælper med at holde grundlag og formål adskilt.
Samtykke bør ikke bruges som en hurtig erstatning for denne undersøgelse. Ansættelsesforholdets ulige relation kan gøre frivilligheden problematisk, og relevante aftaler kan have særlige regler. En kvittering for at have læst en it-politik er ikke et generelt samtykke til overvågning.
Seks ugers varsel gælder ikke som en universel GDPR-frist
På DA/LO-aftalens område er udgangspunktet underretning om nye kontrolforanstaltninger senest seks uger før iværksættelsen. Aftalen har undtagelser, hvis formålet ellers forspildes, eller tvingende driftsmæssige grunde hindrer varslet; da skal underretning ske snarest muligt med forklaring. Aftaleteksten gengives i Arbejdsrettens dom af 3. oktober 2022.
Afklar først, om denne aftale eller andre regler gælder for arbejdspladsen og foranstaltningen. Dansk Industris aktuelle forklaring beskriver kravene på aftaleområdet. Seks uger er ikke et generelt tal, som kan sættes på alle danske arbejdsgivere uanset aftaleforhold.
Varsling efter en aftale og GDPR-information er desuden forskellige kontrolpunkter. Arbejdsgiveren skal give en forståelig beskrivelse af den faktiske behandling, også hvor en arbejdsretlig procedure er gennemført. En mødedagsorden med ordet »nyt it-system« er ikke nødvendigvis tilstrækkelig information om individuel kontrol.
Beskriv kontrolformålet direkte
Et system kan beskytte mod misbrug af en konto, registrere arbejdstid eller bruges til at vurdere præstationer. Disse formål skal ikke skjules under en samlet overskrift som »drift«. Medarbejderen skal kunne forstå, om oplysninger kan bruges til kontrol, og i hvilke situationer de gennemgås.
Det er også nødvendigt at skelne mellem indsamling og efterfølgende adgang. Automatisk indsamling af et stort datamateriale kan være indgribende, selv om ledelsen lover sjældent at se det. Omvendt kan en senere brug af eksisterende sikkerhedsdata til personalekontrol ændre formålet og kræve ny vurdering.
Se formålsbegrænsning og viderebehandling. Den oprindelige sikkerhedsbegrundelse giver ikke automatisk tilladelse til at beregne individuelle produktivitetsmål fra de samme logs.
Udfyldt eksempel: GPS i en serviceflåde
Den fiktive virksomhed Sølund Service har 24 udekørende teknikere. Den ønsker at finde en ledig bil i nærheden af en hastesag. Leverandøren tilbyder samtidig fuld kørehistorik, pausetidsrapporter og rangering af medarbejdere. Nogle medarbejdere må bruge bilen privat.
Virksomheden undersøger først, om telefonisk koordinering og medarbejdernes manuelle status kan løse opgaven tilstrækkeligt. I eksemplet er der et dokumenteret behov for hurtig disponering under skiftende akutte opgaver, men ikke for at registrere privat kørsel eller beregne pauser fra historiske stoppesteder.
| Felt | Udfyldt beslutning i Sølund Service |
|---|---|
| Formål | Disponere en tilgængelig servicebil til en konkret arbejdsopgave |
| Data | Relevant arbejdsposition og status for tilgængelighed |
| Fravalgt funktion | Individuel pauserangering og generel eksport af fuld bevægelseshistorik |
| Privat brug | GPS-overvågning kan slukkes ved privat kørsel |
| Adgang | Vagtplanlægger under disponering; afgrænset teknisk administration |
| Information | Beskriver position, aktivering, adgang, formål, opbevaring og kontakt |
| Indførelse | Først efter vurdering af grundlag, relevante aftaler og varsling |
| Kontrol | Prøvekørsel viser, at privat tilstand faktisk stopper den valgte overvågning |
Vejledningen kræver ved tilladt privat brug af et køretøj mulighed for at slukke GPS-overvågningen. Det er derfor ikke tilstrækkeligt, at leverandørens skærm blot skjuler turen for den nærmeste leder, hvis detaljer stadig indsamles og bruges i baggrunden til samme kontrol.
Den konkrete tekniske løsning skal passe til beslutningen. Hvis virksomheden også mener at have et særligt tyverisikringsbehov, skal det vurderes og beskrives særskilt. Det må ikke bruges som en upræcis begrundelse for fortsat daglig overvågning af alle private ture.
Afprøv private tilstande og afledte rapporter
I Sølund Services første prøve vælger teknikeren privat tilstand. Livekortet stopper med at vise positionen, men næste dags eksport indeholder stadig turens præcise adresser. Projektet er derfor ikke klar til drift efter den beskrevne beslutning.
Leverandøren og virksomheden ændrer indstillingen og undersøger både lagring, eksport og administratoradgang. Den nye prøve omfatter også skift tilbage til arbejdstilstand. Medarbejderen skal kunne se og forstå den aktuelle tilstand, så et uklart ikon ikke bliver den eneste beskyttelse af privatlivet.
Virksomheden fravælger desuden unødvendige adgangsrettigheder på arbejdstelefonerne. MDM og mobiladministration kan understøtte adgangsstyring, men en administrationsplatform er ikke i sig selv et retligt grundlag for at registrere placering eller privat appbrug.
Internet- og e-mailkontrol skal afgrænses
Datatilsynet beskriver, at logning af internetbrug og gennemgang ved mistanke om misbrug kan ske under visse betingelser. De ansatte skal på forhånd have klar og utvetydig information om registreringen og den mulige kontrol. Nødvendighed og afvejning skal vurderes, ikke blot nævnes i en politik.
Ved gennemgang af e-mails må arbejdsgiveren ikke læse private e-mails. Adgangen bør begrænses til det relevante materiale og de personer, der har en konkret opgave. En administratorrolle er ikke en generel tilladelse til at læse kollegers kommunikation.
Sølund Service afviser i eksemplet et forslag om kontinuerlige skærmbilleder af alle kontormedarbejdere. Ledelsen har alene forklaret, at den gerne vil »se aktivitet«, og har ikke dokumenteret et behov, som berettiger det brede indgreb. En mere målrettet ledelsesmæssig opfølgning på opgaver undersøges først.
For en tidligere medarbejders konto gælder en særskilt afviklingsopgave. Se fratrådte medarbejderes e-mail. Midlertidig modtagelse af virksomhedsrelevant post er ikke automatisk det samme som en undersøgelse af den tidligere medarbejders adfærd.
Tidsregistrering gør ikke biometrisk kontrol nødvendig
En arbejdsgiver kan have et relevant formål med at registrere og kontrollere aftalt arbejdstid. Det gør ikke alle tekniske identifikationsmetoder passende. Datatilsynets vejledning afviser brug af fingeraftryk til den beskrevne almindelige komme-gå-kontrol som uforenelig med de grundlæggende principper.
Sølund Service vælger derfor ikke ansigtsgenkendelse, blot fordi det følger med tidsregistreringspakken. Virksomheden undersøger en mindre indgribende løsning med personligt adgangsmiddel og kontrol af fejl. En medarbejders biometriske data skal ikke indsamles som et komfortvalg.
Oplysninger skal også være korrekte i deres betydning. At et nøglekort blev brugt på et bestemt tidspunkt, beviser ikke nødvendigvis, hvornår alt arbejde begyndte eller sluttede. Hjemmearbejde, kundebesøg og tekniske fejl kan ændre fortolkningen. Se rigtighed og datakvalitet før oplysninger bruges til en individuel beslutning.
Skjult kontrol er en undtagelse, der kræver konkret begrundelse
Der kan være situationer, hvor information om en konkret undersøgelse midlertidigt kan undlades efter en relevant undtagelse, eksempelvis hvis afgørende hensyn til en nødvendig undersøgelse ellers forspildes. Det er ikke en generel regel om, at enhver mistanke ophæver oplysningspligten.
Dokumentér det faktiske hensyn, omfanget og hvorfor mindre indgribende muligheder ikke er tilstrækkelige. Undersøg også de relevante aftaleregler. Når forudsætningerne for at undlade information ophører, skal spørgsmålet vurderes igen.
En påstand fra en leder om, at »medarbejderen kunne slette noget«, er ikke alene en færdig beslutning. Den ansvarlige funktion skal undersøge, hvad der faktisk skal sikres, hvilke oplysninger der er nødvendige, og hvem der må håndtere dem. Adgangen skal kunne efterprøves gennem en passende sikkerhedslogning. Hvis undersøgelsen udspringer af en whistleblowerindberetning, skal ordningens særlige fortrolighed og sagsadgang respekteres, også når oplysninger gives til tekniske undersøgere.
Giv den ansatte mulighed for at forklare en konkret afvigelse
En rapport i Sølund Service viser en bil ved samme adresse i to timer. Planlæggeren må ikke uden videre registrere dette som en privat pause. Den konkrete opgave kan have krævet ventetid, eller positionen kan være forsinket. Sammenhold relevante oplysninger, og giv plads til medarbejderens forklaring, før en negativ konklusion fastholdes.
Virksomheden gemmer i eksemplet en korrigeret opgaveforklaring, som viser, at teknikeren ventede på adgang til kundens lokale. Den fejlagtige pausemarkering fjernes fra den relevante visning. En rapport, som fortsat gentager den gamle konklusion, skal også korrigeres; ellers lever fejlens konsekvenser videre trods den mundtlige afklaring.
Opbevaring og rettigheder skal indgå fra starten
Der findes ikke én GDPR-frist for alle kontroloplysninger. GPS, adgangslog, en konkret undersøgelse og kriminalitetsforebyggende tv-optagelser kan have forskellige regler og formål. For kameraer skal den danske guide til tv-overvågning inddrages, herunder særlige slette- og informationskrav.
Fastlæg perioder og adgang efter det dokumenterede behov. En relevant sag kan kræve afgrænset opbevaring af udvalgte oplysninger, uden at hele kontrolarkivet skal bevares. Medarbejderen skal kunne få håndteret indsigt, rettelse og eventuelle indsigelser efter de relevante betingelser.
Overvej også, om den planlagte kontrol sandsynligvis indebærer høj risiko og derfor kræver en konsekvensanalyse. Den udfyldte DPIA-skabelon viser, hvordan nødvendighed, alternativer og konsekvenser forbindes med en beslutning om at ændre eller afvise et projekt.
Sølund Services endelige plan omfatter det afgrænsede disponeringsbehov, fungerende privat tilstand, kendte adgange og en dokumenteret indførelsesproces. De ubegrundede skærmbilleder og pauserangeringer indgår ikke. Virksomheden genåbner vurderingen, hvis den senere ønsker at bruge oplysningerne til individuelle personalebeslutninger eller ændrer den tekniske løsning.