GDPR i arbeidslivet
Overvåking og kontroll av ansatte på arbeidsplasser
Overvåking og kontroll av ansatte på arbeidsplassen er ikke uvanlig. For eksempel, når en enhet sporer ytelsen til ansatte, bruker posisjoneringsteknologi eller kameraovervåking.
Krav til overvåking og kontroll av ansatte på arbeidsplassen
Når en slik kontroll innebærer behandling av ansattes personopplysninger, må arbeidsgiveren overholde reglene fastsatt i GDPR. På den annen side reguleres arbeidsgivers rett til å kontrollere sine ansatte først og fremst av nasjonal arbeidsrett.
Kan arbeidsgivere overvåke og kontrollere ansatte på arbeidsplasser og overvåke deres ytelse?
Ja, det kan være tillatt å overvåke og kontrollere ansatte på arbeidsplassen og følge opp deres ytelse, men arbeidsgiveren må overholde reglene i GDPR ved behandling av personopplysningene.
Oppfølging på individnivå
Det er vanlig praksis for arbeidsgivere å overvåke ytelsen til sine ansatte og å behandle personopplysninger i denne sammenheng. For eksempel når det er berettiget å følge opp på individnivå, i stedet for gruppenivå. På den annen side er ytelsesovervåking ikke tillatt hvis det ikke var hensikten med behandlingen fra begynnelsen. I tillegg må de ansatte ha blitt informert om behandlingen. Personopplysninger skal behandles for det formålet de ble samlet inn for, ikke for andre uforenlige formål.
Måle arbeidsutførelse for å oppfylle arbeidsavtalen
Arbeidsgiveren kan ha behov for å måle arbeidsutførelse for å oppfylle arbeidsavtalen. For eksempel, hvis en ansatt selger bare jobber på provisjonsbasis, er det nødvendig å vite hvor mye selgeren har solgt, for å kunne beregne og betale riktig lønn. I slike tilfeller er det rettslige grunnlaget for behandlingen kontrakten med den registrerte (dvs. arbeidskontrakten).
Overvåke ytelse for andre legitime formål
Det kan være tillatt å måle og overvåke ytelse for andre legitime formål, forutsatt at dette gjøres på en rimelig måte som ikke er skadelig for ansatte. For eksempel å administrere, organisere, planlegge og følge opp de ansattes arbeid. I slike tilfeller er det ofte mer hensiktsmessig å anvende det juridiske grunnlaget for legitim interesse i henhold til artikkel 6 (1) (f) GDPR. På den annen side må arbeidsgiveren utføre og dokumentere en interesseavveining, for å se om det er en legitim interesse, før behandlingen utføres.
Bruk av IT-systemer på arbeidsplassen
Selskaper som behandler personopplysninger har en forpliktelse til å beskytte dem ved å implementere hensiktsmessige tekniske og organisatoriske sikkerhetstiltak. Med andre ord, ved å ha et tilstrekkelig høyt nivå av informasjonssikkerhet. Derfor er det viktig at selskapet også informerer ansatte om hvordan de skal bruke for eksempel IT-systemer. I tillegg bør selskapet etablere prosedyrer og instruksjoner for ansatte om hvordan de skal bruke for eksempel mobiltelefoner og datamaskiner.
Bruk av arbeidstelefon og datamaskin til private formål
Det er ikke uvanlig for arbeidsgivere å forby sine ansatte fra å installere mobile applikasjoner til privat bruk, som ikke er nødvendige for utførelsen av sine plikter, på en arbeidstelefon eller datamaskin. Årsaken til dette er å redusere risikoen for at uvedkommende får tilgang til arbeidsrelatert informasjon på enheten.
Kan ha legitim interesse
Arbeidsgiver kan ha en berettiget interesse i å følge opp om arbeidstakerne etterlever instruksen. Selskapet kan ha tilgang til loggbøker om bruk av IT-utstyr og systemer, og kontrollere dem regelmessig. Det er imidlertid viktig å huske på at logging kan være en personvernsensitiv behandling, derfor er det viktig at det ikke er mer forstyrrelser enn nødvendig for formålet.
Er det tillatt for arbeidsgivere å bruke posisjoneringssystemer (GPS) som indirekte sporer ansatte?
Ja, arbeidsgivere kan få lov til å bruke posisjoneringssystemer (GPS) som indirekte sporer ansatte. Det har blitt mer vanlig for bedrifter å kontrollere plasseringen av for eksempel deres arbeidsutstyr, for eksempel kjøretøy, gjennom posisjoneringssystemer (GPS). For eksempel i aktiviteter som omhandler transport, for eksempel budtjenester.
Det er imidlertid viktig å forstå at selv i slike tilfeller verifiserer slik bruk av posisjoneringssystemer hvor ansatte befinner seg. Dette gjør det mulig å følge opp de ansatte. Derfor er det viktig å minimere risikoen for utilbørlig inntrenging i personvernet til ansatte.
Rettslig grunnlag for bruk av posisjoneringssystemer (GPS)
Berettiget interesse i henhold til artikkel 6 (1) (f) GDPR er ofte det mest hensiktsmessige rettslige grunnlaget for ikke-statlige arbeidsgivere for å støtte deres behandling av personopplysninger når behandlingen innebærer posisjonering av sine ansatte.
Kan arbeidsgivere bruke videoovervåkning av ansatte på arbeidsplassen?
For at et selskap skal kunne implementere kameraovervåking på arbeidsplassen, må det være sterke grunner til å gjøre det. Dette er fordi det er et brudd på personvernet som mange ønsker å unngå når de jobber.
På den annen side trenger bedrifter ikke alltid tillatelse til å utføre kameraovervåking på arbeidsplassen, men dette betyr ikke at det alltid er tillatt.
For eksempel kan et selskap ha grunner til å ha kameraovervåking på kontoret i løpet av nettene etter arbeidstid for å forhindre forbrytelser, for eksempel innbrudd. Et selskap kan også ha sterke grunner til å overvåke sine aksjer når produktene er av høy verdi.
Rettslig grunnlag for kameraovervåking av ansatte
Det er vanlig for arbeidsgivere som ikke er offentlige myndigheter å bruke legitim interesse som rettslig grunnlag for videoovervåking av ansatte.
Er det lov for arbeidsgivere å implementere kameraovervåking for å sjekke hvordan ansatte jobber?
Nei, det er generelt ikke tillatt som arbeidsgiver å implementere kameraovervåking for å sjekke hvordan ansatte jobber. Det er forbudt å bruke kameraer på arbeidsplassen for å overvåke arbeidsytelsen og hvordan ansatte jobber regelmessig. Imidlertid kan kameraovervåking tillates i visse farlige produksjonsprosesser eller andre spesifikke omstendigheter, for forebygging og forebygging av ulykker, beskyttelse av personell eller eiendom.
Gjennomføre en konsekvensanalyse
Det er viktig å huske på at arbeidsgiver kan ha behov for å gjennomføre og dokumentere en konsekvensutredning før kameraovervåkingen starter. I tillegg kan arbeidsgiveren be om en forhåndskonsultasjon av den ledende DPA-en dersom en høy risiko for registrerte fortsatt vedvarer. Videre er det viktig å informere ansatte om kameraovervåkingen i en personvernerklæring.
Bedrifter fikk bot etter å ha hatt kameraovervåking der ansatte skiftet over
Et selskap fikk en bot på 34 000 euro fra det islandske datatilsynet etter å ha hatt kameraovervåking på stedet der de ansatte byttet til arbeidsklærne sine. I tillegg hadde selskapet ikke informert de ansatte om kameraovervåkingen. Det islandske datatilsynet har også beordret selskapet til å stanse kameraovervåkingen i garderoben.
Er det tillatt å kontrollere kjøretøy eller annet utstyr ved hjelp av posisjoneringsteknologi (GPS)?
Noen selskaper, inkludert de i transportsektoren, kontrollerer ofte sine kjøretøy og annet utstyr gjennom posisjoneringssystemer. Indirekte betyr dette at arbeidsgiveren også kontrollerer sine ansatte og deres oppholdssted.
En slik overvåking innebærer en risiko for de ansatte. Arbeidsgiveren bør analysere om det er behov for å foreta en konsekvensutredning før behandlingsstart.
Ikke behandle personopplysninger uansett
Vær oppmerksom på at det ikke er tillatt å behandle innsamlede personopplysninger på noen måte, bare fordi det er et lovlig grunnlag for å behandle det. For eksempel bør et selskap ikke sjekke hvor lange pauser ansatte tar fra de innsamlede dataene, selv om slik informasjon kan utledes fra de innsamlede dataene.
Når et kjøretøy brukes av arbeidstakeren både privat og til arbeidsformål
Hvis en ansatt har lov til å bruke arbeidskjøretøyet både til arbeid og private formål, bør arbeidstakeren kunne slå av sporingen når han eller hun ikke jobber. I de fleste tilfeller er det forbudt å overvåke kjøretøyposisjonen til ansatte når de ikke jobber.
Rettslig grunnlag for bruk av posisjoneringsteknikker for overvåking av arbeidstakere:
Berettiget interesse
Legitime interesser er det vanligste rettslige grunnlaget som brukes av selskaper når de overvåker ansatte gjennom posisjoneringsteknikker. Eksempler på når et foretak kan ha en berettiget interesse i å overvåke ansattes posisjonering omfatter:
- Av sikkerhetsgrunner.
- For allokering av ressurser.
- For styring og administrasjon av logistikk.
I stedet kan en juridisk forpliktelse være et passende rettslig grunnlag å bruke i visse tilfeller. For eksempel, hvis arbeidsgiveren trenger å rapportere kjøreposter fra sine ansatte til skattemyndigheten.
Mer om GDPR
Arbeidsgivers ansvar ved behandling av personopplysninger
Arbeidsgiver er behandlingsansvarlig for behandling av ansattes personopplysninger. Ofte behandler arbeidsgiver sensitive personopplysninger om ansatte, for eksempel data om sykefravær (som er data om helse), samt personvernsensitive data, for eksempel bankdetaljer og lønnskontonumre. I dette tilfellet er arbeidstakerne datasubjekter under GDPR. Dette innebærer blant annet at arbeidstakerne har rett til å bli informert om arbeidsgiverens behandling. De har også rett til å be om at deres rettigheter under GDPR respekteres. Derfor er det viktig at arbeidsgiver har interne rutiner for å informere og håndtere forespørsler fra egne ansatte.