En varslingssak trenger en saksmappe som gjør det mulig å undersøke forholdet, beskytte de involverte og vise hvordan konklusjonen ble truffet. Begrens tilgang, skill påstander fra dokumenterte fakta og vurder informasjon og innsyn konkret. Å merke hele mappen «konfidensiell» løser ingen av disse oppgavene alene.
Denne veiledningen gjelder arbeidsgiverens håndtering av personopplysninger i interne varslingssaker i Norge. Den gir et forslag til mappestruktur, en utfylt undersøkelsesmatrise og beslutningspunkter for rettigheter og avslutning. Arbeidsrettslig reaksjon, eventuell politianmeldelse og taushetsplikt etter særlov må vurderes ut fra den konkrete saken.
Start med norsk aktivitetsplikt og tydelig ansvar
Etter arbeidsmiljøloven § 2 A-3 skal arbeidsgiver sørge for at varselet blir tilstrekkelig undersøkt innen rimelig tid. Arbeidsgiver skal også særlig påse at varsleren har et fullt forsvarlig arbeidsmiljø og ved behov sørge for tiltak egnet til å forebygge gjengjeldelse. Forbudet mot gjengjeldelse følger av § 2 A-4.
Lag derfor to parallelle oppgaver: undersøkelse av det varslede forholdet og oppfølging av arbeidsmiljøet. Personen som håndterer saken må ha nødvendig mandat og kunne arbeide uten bindinger til dem saken gjelder. Dersom varselet gjelder den vanlige mottakeren, må rutinen føre det til en annen ansvarlig.
Arbeidsmiljølovens regler om interne varslingsrutiner står i § 2 A-6. Ikke importer frister fra en utenlandsk mal og presenter dem som norsk lov. En egen frist for å bekrefte mottak kan være god drift, men må merkes som virksomhetens rutine. Den erstatter ikke kravet om en undersøkelse tilpasset sakens alvor og kompleksitet.
Identifiser hvem opplysningene gjelder
Et varsel kan inneholde opplysninger om varsleren, den det varsles om, vitner og personer som bare nevnes i bakgrunnen. Alle kan ha personvernrettigheter. Også en tekst uten navn kan identifisere noen gjennom skiftplan, stilling eller en beskrivelse av en bestemt hendelse. Dette er fremhevet i Datatilsynets veiledning om varsling og personopplysninger.
Registrer hvem opplysningen gjelder og hvorfor den trengs. Ikke legg komplette personalmapper i varslingsmappen fordi enkelte opplysninger kan bli relevante. Hent det nødvendige dokumentet når undersøkelsesplanen begrunner det. Veiledningen om dataminimering i skjema og systemer hjelper med å skille relevant dokumentasjon fra praktisk tilgjengelig overskuddsinformasjon.
Et anonymt mottaksskjema bør heller ikke love at identitet aldri kan utledes. Tekniske logger, vedlegg og selve fortellingen kan røpe hvem som står bak. Forklar hva kanalen faktisk registrerer, og hvordan den som ønsker å være anonym kan kommunisere videre dersom løsningen støtter det. Ikke krev identifisering bare for å gjøre saksadministrasjonen enklere.
Avklar grunnlag og roller før dere samler mer
Formålet er å håndtere det kritikkverdige forholdet og nødvendige oppfølgingsoppgaver. Dokumenter hvilket behandlingsgrunnlag som dekker hver aktivitet, blant annet i lys av arbeidsgiverens lovpålagte plikter. En opplysning blir ikke lovlig å samle inn bare fordi den ligger ved et varsel. Bruk arbeidsarket for behandlingsgrunnlag til å begrunne nødvendigheten.
Hvis materialet inneholder helseopplysninger, fagforeningsforhold eller andre særlige kategorier, trengs også et anvendelig unntak fra artikkel 9. Opplysninger om straffedommer og lovovertredelser har egne vilkår etter artikkel 10 og norsk rett. Ikke bruk merkelappen «berettiget interesse» som fullstendig svar på slike spørsmål. Artikkel 9-veiledningen viser hvorfor et vanlig grunnlag og et særskilt vilkår må holdes fra hverandre.
Arbeidsgiveren vil normalt være behandlingsansvarlig for sin saksbehandling. En portal som behandler opplysninger etter instruks kan være databehandler. En ekstern gransker eller advokat må vurderes ut fra faktisk oppdrag, selvstendig ansvar og bruk av opplysningene. Avtal ikke databehandlerrollen automatisk for alle eksterne. Bruk rolleavklaringen før tilgang gis.
Opprett en begrenset og etterprøvbar saksmappe
En praktisk struktur kan bestå av seks deler: mottak og mandat, identitetsopplysninger, undersøkelsesmateriale, kontradiksjon, vurdering og konklusjon, samt rettigheter og avslutning. Delene trenger ikke være forskjellige tekniske systemer. Poenget er at tilgang og formål kan styres uten å spre hele saken.
| Del | Eksempel på innhold | Tilgang i et konstruert opplegg |
|---|---|---|
| Mottak og mandat | Originalt varsel, dato, habilitetsvurdering | Saksansvarlig og utpekt stedfortreder |
| Identitet og kontakt | Kontaktkanal og eventuell separat identitetsnøkkel | Bare dem som trenger direkte kontakt |
| Undersøkelse | Relevante dokumenter og daterte intervjunotater | Avgrenset undersøkelsesgruppe |
| Kontradiksjon | Påstander forelagt og svar mottatt | Ansvarlig for undersøkelsen og vurderingen |
| Konklusjon | Begrunnelse, usikkerhet og beslutning | Beslutningstaker med nødvendig mandat |
| Rettigheter og avslutning | Innsynsvurderinger, sletting og videre oppbevaring | Saksansvarlig og relevante støttefunksjoner |
Bevar originaldokumentet slik at det er mulig å se hva som faktisk ble mottatt. Arbeid med nødvendige kopier eller uttrekk når materiale skal forelegges andre. Lag ikke et felles regneark med alle navn, anklager og helseopplysninger som sendes rundt på e-post.
En separat identitetsdel reduserer unødvendig eksponering, men gir ingen garanti for at identiteten aldri må opplyses etter loven. Det er et tilgangstiltak, ikke et rettslig unntak fra innsyn.
Bruk en undersøkelsesmatrise som skiller status
Anta at et konstruert varsel beskriver at en leder har endret vaktfordelingen som reaksjon på en tidligere bekymringsmelding. Matrisen skal ikke starte med konklusjonen «gjengjeldelse». Den bør gjøre det synlig hva som påstås, hvilke kilder som finnes og hva som gjenstår å avklare.
| Spørsmål | Foreløpig kilde | Kontroll og status |
|---|---|---|
| Ble vaktene endret? | Varslerens beskrivelse | Sammenlign relevante versjoner av vaktplanen |
| Når ble endringen bestemt? | E-post om ny plan | Kontroller dato og ansvarlig beslutningstaker |
| Hva var begrunnelsen? | Lederens forklaring | Forelegg konkrete avvik og innhent svar |
| Hvordan påvirket dette varsleren? | Samtale med varsleren | Registrer relevant belastning uten unødig helsekartlegging |
| Var endringen knyttet til varslingen? | Flere mulige forklaringer | Vurder sammenheng etter at begge sider er hørt |
Merk notater med «opplyst av», «bestridt», «bekreftet gjennom» eller «ikke avklart» etter faktisk status. En gjengivelse av en persons utsagn kan være korrekt som referat selv om selve påstanden er uriktig. Unngå at en foreløpig beskyldning kopieres til personalmappen som fastslått faktum. Ved feil eller uenighet kan rutinen for retting hjelpe med å bevare nødvendig historikk og tydelig markere korrigeringen.
Gi informasjon og håndter innsyn separat
Den som leverer opplysninger direkte skal få relevant informasjon ved innsamlingen. Når opplysninger hentes fra andre, må informasjonsplikten etter artikkel 14 vurderes. Utgangspunktet er informasjon innen rimelig tid, senest én måned, og tidligere dersom første kommunikasjon eller utlevering utløser fristen. En pågående undersøkelse er ikke i seg selv et generelt fritak. Se informasjon når data kommer fra andre.
Datatilsynets veiledning om informasjon og innsyn i varslingssaker beskriver at både varsleren og den omtalte som utgangspunkt kan få innsyn i egne personopplysninger. Innsyn etter personvernreglene og muligheten til å imøtegå påstander er nært forbundet, men skal ikke behandles som identiske spørsmål.
Lag en fristlogg med person, informasjon gitt, eventuell forespørsel, ansvarlig og neste tiltak. Et møte hvor personen får høre at «det er kommet en klage», er ikke nødvendigvis tilstrekkelig informasjon eller reell kontradiksjon. Beskriv de konkrete påstandene slik at vedkommende kan forstå hva det skal svares på, innenfor lovlige begrensninger.
Unnta bare opplysninger når vilkårene faktisk er oppfylt
Datatilsynet presiserer at unntak må vurderes konkret. Det finnes ingen generell regel om at arbeidsgiver alltid kan holde varslerens identitet skjult. Personopplysningsloven § 16 inneholder avgrensede unntak, blant annet for opplysninger det er påkrevd å hemmeligholde av hensyn til straffeforfølgning og visse tekster for intern saksforberedelse. Det er ikke nok å hevde at noe ulovlig kan ha skjedd eller å merke et dokument «internt».
Ved en mulig begrensning bør beslutningsnotatet angi hvilken opplysning det gjelder, hvilken bestemmelse som vurderes, hvorfor vilkårene er oppfylt og om en mindre omfattende begrensning er tilstrekkelig. Vurder også når et midlertidig behov bortfaller. Rettighetene til andre kan kreve skjerming i en kopi, men skal ikke brukes som automatisk begrunnelse for å avslå hele forespørselen.
Et praktisk eksempel er at en relevant hendelsesbeskrivelse kan forelegges uten et privat telefonnummer eller en uvedkommende helseopplysning i samme vedlegg. Om kilden selv kan skjermes krever en egen vurdering. Ikke lov varsleren absolutt anonymitet for å få flere opplysninger, og ikke utlever identitet rutinemessig uten å vurdere gjeldende rettigheter og unntak.
Sikre driften og avslutt hver opplysning med et formål
Tilgang bør være personlig, tidsavgrenset til oppgaven og kontrollert ved rollebytte. Unngå at innleide saksbehandlere beholder kopier i egne mapper etter oppdraget. En enkel plan for sikkerhetstiltak bør dekke deling, eksport, logging, sikker kommunikasjon og håndtering av feilsending.
Ved avslutning må dere skille mellom dokumentasjon som fortsatt er nødvendig og arbeidskopier som kan slettes. Vurder mulige rettskrav, lovpålagt oppbevaring og, for offentlige organer, arkivreglene særskilt. Ikke sett samme ubetingede lagringstid for alle varslingssaker. En ubegrunnet påstand skal heller ikke bli liggende synlig for fremtidige ledere uten vurdering av nødvendighet og riktighet.
Avslutningsnotatet kan i eksemplet si at undersøkelsen er fullført, hvilke spørsmål som er avklart, hvilke forhold som fortsatt er usikre og hvem som følger opp arbeidsmiljøtiltak. Angi deretter hvilke dokumenter som beholdes for hvilket formål, hvilke tilganger som fjernes og dato for neste vurdering. Kontroller at denne beslutningen faktisk gjennomføres i portalen, delte mapper og e-postvedlegg. Først da samsvarer saksavslutningen med den reelle behandlingen av opplysningene.
Gjør dessuten en egen kontroll av hva beslutningstakeren trenger fra undersøkelsen. I vaktplaneksemplet kan styret eller øverste leder ha behov for vurderingen av årsakssammenheng og foreslåtte tiltak, men ikke alle kontaktopplysninger eller ordrette beskrivelser av private belastninger. Saksansvarlig lager derfor et nødvendig beslutningsuttrekk og beholder henvisninger til underlaget. Dette gir mulighet for etterprøving uten at hele materialet distribueres på nytt.
Dersom et vitne senere melder at et referat gjengir uttalelsen feil, skal saken ha en tydelig vei for korreksjon. Registrer den nye forklaringen, undersøk om feilen påvirket konklusjonen og informer relevante mottakere når det følger av rettingsplikten. Ikke overskriv et avsluttet vurderingsnotat lydløst. Lag en datert tilleggsbeslutning som viser hva som ble endret og hvorfor. På den måten kan både personens rettigheter og behovet for en pålitelig sakshistorikk ivaretas uten å behandle den første formuleringen som uforanderlig sannhet.
Offentlige arbeidsgivere må også skille rettigheter etter personvernreglene fra allmennhetens dokumentinnsyn og eventuell nettpublisering. Bruk arbeidsprosessen for offentlig journal og publisering når saken inngår i offentlig dokumentforvaltning. En lovlig begrensning i én sammenheng er ikke automatisk samme beslutning i de andre.