Personverninformasjon til ansatte skal forklare hva arbeidsgiveren gjør med opplysningene deres, hvorfor det skjer og hvordan de kan bruke rettighetene sine. En generell nettsideerklæring om besøkende dekker sjelden lønn, personaladministrasjon, tilgangsstyring og andre arbeidsrelaterte behandlinger. Lag derfor informasjon som følger de faktiske HR-prosessene og er lett å finne når spørsmålet oppstår.
Artikkel 13 i GDPR gjelder når opplysninger samles inn fra personen selv. Opplysninger fra andre kilder kan utløse artikkel 14. Datatilsynets område for personvern på arbeidsplassen viser at arbeidslivet også har særskilte problemstillinger som må vurderes konkret. Arbeidsarket nedenfor er et utgangspunkt for informasjonstekst, og må fylles med virksomhetens egne behandlinger og rettslige vurderinger.
Kartlegg HR-behandlingene før teksten skrives
Skill mellom rekruttering, gjennomføring av arbeidsforholdet, lønn, fraværsoppfølging, kompetanseutvikling og avslutning. Ta også med IT-tilgang, adgangskontroll og andre tekniske løsninger som behandler opplysninger om ansatte. Det kan være forskjellige formål, grunnlag, mottakere og oppbevaringsbehov for disse aktivitetene.
Bruk behandlingsprotokollen som kilde, men kontroller at den beskriver faktisk drift. Spør HR, lønn og IT hvilke systemer og arbeidskopier de bruker. Personverninformasjonen blir misvisende hvis den utelater en fast eksport eller viser til et system som er avviklet. Noter åpne spørsmål før teksten godkjennes.
Informasjon er noe annet enn samtykke
Ikke be ansatte samtykke til all personalbehandling bare for å dokumentere at de har fått informasjon. Virksomheten må velge riktig behandlingsgrunnlag for hver aktivitet. Nødvendig behandling av arbeidsforholdet, konkrete rettslige plikter og valgfrie aktiviteter kan kreve ulike vurderinger. Behandlingsgrunnlag etter artikkel 6 bør begrunnes før teksten ferdigstilles.
En eventuell bekreftelse på mottatt informasjon skal ikke gi inntrykk av at personen gir fra seg rettigheter. Der samtykke faktisk brukes, må det oppfylle vilkårene i regelverket, blant annet frivillighet og mulighet for tilbaketrekking. Avhengighetsforholdet mellom arbeidsgiver og ansatt må inngå i vurderingen, særlig hvis et avslag kan få negative følger.
Lag en felles innledning og egne behandlingsmoduler
En kort fellesdel kan identifisere arbeidsgiveren, kontaktpunkt og eventuelt personvernombud. Deretter beskrives aktivitetene hver for seg. Dette gjør det lettere å oppdatere én behandling uten å omskrive alt, og hjelper ansatte å finne informasjonen som gjelder deres situasjon.
Arbeidsutkast til fellesdel: [Virksomhetens juridiske navn] er behandlingsansvarlig for behandlingene som er beskrevet her. Du kan kontakte oss om personopplysninger gjennom [kontaktkanal]. Dersom virksomheten har personvernombud, finner du ombudets kontaktopplysninger her: [kontaktinformasjon]. Denne informasjonen gjelder [definert gruppe og prosesser], og ble sist faglig gjennomgått [dato].
Fyll ut kontaktinformasjon som faktisk følges opp. Et navn på en tidligere HR-medarbeider er ikke et fungerende kontaktpunkt. Vurder om en rollebasert kanal gir bedre kontinuitet, samtidig som tilgang til henvendelser om personvern begrenses til dem som trenger den.
Arbeidsmal for hver behandling
| Informasjon | Hva som skal fylles ut |
|---|---|
| Formål | Den konkrete arbeidsoppgaven opplysningene brukes til |
| Opplysninger | Relevante kategorier, forklart på forståelig norsk |
| Grunnlag | Aktuell artikkel og eventuell konkret rettslig plikt |
| Berettiget interesse | Hvilken interesse som forfølges når dette grunnlaget brukes |
| Mottakere | Hvem eller hvilke mottakerkategorier som får opplysninger |
| Overføring | Relevant tredjeland, grunnlag og tilgang til garantier |
| Oppbevaring | Periode eller kriterier som gjør varigheten forståelig |
| Innsamling | Om opplysningene må gis, hvorfor og følger av å la være |
| Automatisering | Relevant informasjon der regelverket krever det |
Tabellen er et arbeidsverktøy. Den ferdige informasjonen kan gjerne skrives som korte, sammenhengende avsnitt. Unngå tekniske systemnavn som eneste forklaring på mottaker eller formål. En ansatt trenger å forstå at opplysninger brukes til lønnsberegning eller adgangskontroll, ikke bare navnet på plattformen.
Eksempel på modul for lønnsadministrasjon
Arbeidsutkast: Vi behandler [aktuelle opplysningskategorier] for å beregne og utbetale lønn og gjennomføre [konkret beskrevne rapporteringsoppgaver]. Grunnlaget for [hver relevant del] er [behandlingsgrunnlag og eventuell bestemmelse]. Opplysninger deles med [mottakere eller presise kategorier] for [oppgaver]. Vi oppbevarer [kategori] i [periode eller begrunnede kriterier]. Opplysninger som er nødvendige for [oppgave], må gis fordi [forklaring]; dersom de mangler, kan [konkret konsekvens] oppstå.
Eksemplet skal ikke fylles med én felles frist for alle personalopplysninger. Lønnsunderlag, kontaktinformasjon og valgfrie personalaktiviteter kan ha forskjellige behov. Dersom fødselsnummer brukes, bør virksomheten også kunne begrunne behovet for sikker identifisering etter den særnorske regelen; se arbeidsarket for fødselsnummer.
Beskriv mottakere og overføringer etter faktisk bruk
Kartlegg lønnsleverandører, pensjons- og forsikringsaktører, offentlige mottakere og eventuelle konsernfunksjoner. Vurder rollene særskilt. Ikke kall alle eksterne parter databehandlere hvis enkelte behandler opplysningene til egne formål. Informasjonen bør beskrive delingen slik at den ansatte kan forstå hvem som mottar hvilke typer opplysninger.
Ved relevante overføringer til tredjeland skal informasjonen dekke det regelverket krever om grunnlag og garantier. Bruk overføringsvurderingen som underlag for faktabeskrivelsen. En generell setning om at leverandører kan finnes hvor som helst, gir lite forutsigbarhet og kan være utilstrekkelig for den konkrete behandlingen.
Gi en realistisk beskrivelse av oppbevaring
Angi perioder når de kan fastsettes, eller kriterier som gjør varigheten forståelig. Knytt beskrivelsen til type opplysning og formål. «Så lenge nødvendig» uten forklaring kan gjøre det vanskelig for ansatte å forstå hva som faktisk skjer. Samtidig bør virksomheten ikke love en bestemt slettedato den ikke har grunnlag for å overholde.
Skill aktiv personaladministrasjon fra avgrenset oppbevaring etter avslutning. Bruk lagringsbegrensning til å kontrollere sammenhengen mellom teksten og systemenes oppsett. Informasjonen må også ta hensyn til nødvendige kopier og dokumentasjon, uten å gi en generell tillatelse til å beholde hele personalmappen uten tidsmessig vurdering.
Forklar rettigheter og hvordan de brukes
Beskriv rett til innsyn, retting og andre rettigheter som gjelder under sine vilkår, samt retten til å klage til Datatilsynet. Hvis behandlingen bygger på samtykke, må informasjonen forklare tilbaketrekking og at den ikke påvirker lovligheten av behandling som skjedde før tilbaketrekkingen. Ikke lov at enhver opplysning alltid kan slettes umiddelbart uavhengig av grunnlag og formål.
Gi en konkret kontaktmåte og forklar hvordan henvendelsen tas imot. Knytt gjennomføringen til innsynsrutinen. Ansatte bør ikke måtte finne riktig artikkelnummer eller begrunne et vanlig innsynskrav juridisk for å bli hjulpet. Avklar internt hvem som koordinerer HR, IT og andre kilder ved et krav.
Hold kontrolltiltak og e-postinnsyn særskilt
En generell personverninformasjon gir ikke i seg selv adgang til alle former for kontroll.
Ved konkrete behov for å åpne en ansatts postkasse må vilkår og prosedyre for e-postinnsyn vurderes før innholdet leses. Vurder kontrolltiltak på arbeidsplassen med relevante arbeidsrettslige prosesser og GDPR-vilkår. Praktiske konsekvenser, databruk og nødvendig informasjon bør beskrives for det aktuelle tiltaket.
Det samme gjelder arbeidsgivers innsyn i e-post og personlige filområder. Informasjon om at et IT-system administreres av arbeidsgiver er ikke et ubegrenset samtykke til innsyn. Skill den alminnelige driften fra en konkret innsynssak med egne vilkår og prosedyrer. Personverninformasjonen bør vise til riktig prosess uten å gi inntrykk av videre adgang enn regelverket tillater.
Håndter opplysninger som kommer fra andre
Hvis arbeidsgiver mottar relevante opplysninger fra en annen kilde, må artikkel 14 vurderes med sitt innhold, tidspunkt og eventuelle unntak. Det kan gjelde bestemte opplysninger fra leverandører, referanser eller andre eksterne kilder. Ikke anta at en informasjonstekst gitt ved ansettelse automatisk dekker enhver senere indirekte innsamling.
Bruk arbeidsplanen for artikkel 14 til å dokumentere vurderingen. Oppdater formålsbeskrivelsen før planlagt viderebehandling for et nytt formål der regelverket krever dette. Vurder samtidig lovligheten av den nye bruken; en oppdatert tekst gjør ikke en ellers ulovlig behandling tillatt.
Kontroller teksten sammen med arbeidsprosessen
La en ansattrepresentant eller annen egnet leser prøve å finne svar på konkrete spørsmål: Hvem får lønnsopplysninger? Hvor lenge beholdes en bestemt kategori? Hvordan ber man om innsyn? Kontroller at svaret stemmer med fagansvarliges beskrivelse og systemoppsettet. Uenighet er et signal om at enten teksten eller prosessen trenger avklaring.
Dokumenter hvordan informasjonen gis ved innsamling og hvordan ansatte finner den senere. Oppdater ved relevante endringer, og gjør vesentlige endringer kjent på en egnet måte. Den ferdige leveransen bør være et vedlikeholdt informasjonsgrunnlag som ansatte faktisk kan bruke, med tydelig eier og kontaktpunkt.