Det finnes unntak fra konsesjons- og meldeplikt for personellregistre. Et sentralt krav i bestemmelsen er at den ansatte må samtykke dersom det skal lagres sensitive opplysninger om ham eller henne.

Bare for personaladministrasjon
Formålet med et personellregister er personaladministrasjon, som administrering av lønn, utvikling, opplæring, karriereplanlegging, behandling av disiplinærsaker med mer. Opplysninger som er samlet inn for personaladministrasjon kan bare nyttes til dette utrykkelig angitte formålet, og ikke senere til andre formål som er uforenlige med det opprinnelige.

Når må vi melde eller søke konsesjon?
Dersom arbeidsgiveren ikke fyller alle vilkårene i forskriftens unntaksbestemmelse, må det enten sendes melding eller søkes om konsesjon i samsvar med personopplysningsloven §§ 31 og 33.

Unntak for personellregistre uten sensitive opplysninger
Personellregistre som ikke inneholder sensitive opplysninger er i utgangspunktet meldepliktige. Det samme gjelder når sensitive opplysninger utelukkende blir behandlet manuelt. Disse registrene er imidlertid unntatt fra meldeplikt (forskriften § 7-16 første ledd). Hvilke opplysninger som kan føres i et slikt register, og hvilke krav det stilles til grunnlaget for behandlingen følger av loven direkte. Det er særlig §§ 8, 9 og 11 som er relevante i denne sammenheng. Se mer om krav og vilkår for behandling av personopplysninger lenger ned på denne siden.

Sensitive personopplysninger:opplysninger om: a) rasemessig eller etnisk bakgrunn, eller politisk, filosofisk eller religiøs oppfatning, b) at en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling, c) helseforhold, d) seksuelle forhold, e) medlemskap i fagforeninger.

Mange er unntatt konsesjonsplikt
For personellregistre som inneholder sensitive personopplysninger er det i utgangspunktet konsesjonsplikt. Forskriften unntar fra konsesjonsplikten under forutsetning av at enkelte konkrete vilkår er oppfylt. Vilkårene krever at den registrerte må ha samtykket i behandlingen, at opplysningene er knyttet til arbeidsforholdet, og at personopplysningene behandles som ledd i personaladministrasjon. Samtykket skal være en frivillig, uttrykkelig og informert erklæring fra den registrerte. Dersom registeret fyller disse kravene gjelder meldeplikten i stedet for den mer omfattende konsesjonsplikten.

Mange er også unntatt meldeplikt
Mange personellregistre med sensitive opplysninger er også unntatt meldeplikt. Dersom registeret tilfredsstiller alle kravene i avsnittet over, og i tillegg bare inneholder opplysninger om medlemskap i fagforeninger, nødvendige fraværsopplysninger, opplysninger som er registreringspliktige og opplysninger som påkrevd etter arbeidsmiljøloven, er personellregisteret også unntatt meldeplikt

Fraværsopplysninger
Tidligere praksis var at fraværsopplysninger skulle begrenses til fraværsdato, type fravær og varighet, med tillegg av enkelte opplysninger pålagt registrert i henhold til arbeidsmiljøloven. Angivelse av sykdommens art var ikke omfattet. Det kan vanskelig tenkes at behovet er endret etter ikrafttredelse av personopplysningsloven.

Fra personopplysningsforskriften:§ 7-16 Personellregistre mv. Arbeidsgivers behandling av personopplysninger om nåværende eller tidligere ansatte, personale, representanter, innleid arbeidskraft samt søkere til en stilling, er unntatt fra konsesjonsplikten etter personopplysningsloven § 33 første ledd og fra meldeplikt etter § 31 første ledd.

Unntak fra konsesjonsplikt gjelder bare dersom:

a) den registrerte har samtykket i behandlingen
b) opplysningene er knyttet til arbeidsforholdet, og
c) personopplysningene behandles som ledd i personaladministrasjon.
Unntak fra meldeplikt gjelder bare dersom de sensitive opplysningene erbegrenset til:

a) opplysninger om medlemskap i fagforeninger som nevnt i personopplysningsloven § 2 nr. 8 bokstav e,
b) nødvendige fraværsopplysninger og opplysninger som er registreringspliktige i henhold til lov 4. februar 1977 nr. 4 om arbeidervern og arbeidsmiljø mv. § 20
c) opplysninger som er nødvendige for å tilrettelegge arbeidssituasjonen på grunn av helseforhold.
 
Overgangsregler
Dersom den behandlingsansvarlige legger til grunn unntaksbestemmelsen i forskriften § 7-16, trer personopplysningslovens regler i kraft umiddelbart. Den behandlingsansvarlige kan likevel vente til 1. juli 2001 med å etterleve reglene om sikkerhet, internkontroll og informasjonsplikt i personopplysningsloven. (Pol. §§ 13, 14, 19 og 20)

Dersom den behandlingsansvarlige må sende melding, eller søke om konsesjon, jf. loven §§ 31 og 33, er fristen for å sende melding eller søke konsesjon 1. januar 2001.

Vilkår for å behandle personopplysninger
Enhver behandling av personopplysninger må ha grunnlag i pol. § 8. Samtykke er den klare hovedregelen. Virksomheten bør derfor først vurdere å skaffe seg et samtykke for behandlingen. Noen behandlinger vil ha hjemmel i lov, og andre er nødvendige for å oppfylle en avtale med den registrerte. Enkelte behandlinger kan være nødvendige for å ivareta en berettiget interesse, som hensynet til den enkelte ansattes personvern ikke overstiger.

Dersom personellregisteret skal inneholde sensitive opplysninger kreves det, i tillegg til at § 8 er oppfylt, at behandlingen oppfyller et av vilkårene i § 9. Et av de aktuelle vilkårene i § 9, er bokstav f, som gjelder behandlinger som er nødvendige for at den behandlingsansvarlige kan gjennomføre sine arbeidsrettslige plikter eller rettigheter. Datatilsynet vil presisere at et slikt krav til nødvendighet innebærer en streng vurdering. At den registrerte samtykker i behandlingen av de sensitive opplysninger, vil derfor antagelig være det mest praktiske alternativ.

En del grunnopplysninger kan behandles med hjemmel i § 8, uten samtykke. Datatilsynet er av den oppfatning at de 25 opplysningskategoriene som ramses opp i den grå boksen under utgjør slike grunnopplysninger i et arbeidsforhold. Adgang til behandling av disse opplysningskategoriene følger delvis av lov, og kan være nødvendige for å oppfylle en avtale med den registrerte. Videre vil behandlingen kunne være nødvendig for å ivareta en berettiget interesse, som hensynet til den enkelte ansattes personvern ikke overstiger. Om arbeidsgiveren ønsker å behandle andre opplysninger, vil det som hovedregel forutsette samtykke fra den enkelte ansatte.

Eksempler på opplysningskategorier:

1. navn
2. adresseopplysninger
3. statsborgerskap/bostedland
4. anropsnummer for teletjenester
5. fødselsnummer og annet nummer knyttet til person (rullenummer/arbeidstakernummer)
6. rubriseringsdata, (såsom kategori, type ansatt/representant, distrikt, type varer, kontonummer i regnskap, representantkategori, andre opplysninger til bruk i statistikk og annen bedriftsintern avregning)
7. kjønn
8. nærmeste pårørende
9. sivilstand
10. antall barn og barnas fødselsår
11. stillingsbetegnelse
12. yrkesopplysninger som etter overenskomst eller tariffavtale som har betydning for lønns- og arbeidsvilkår
13. opplysninger om utdannelse og praksis
14. lønns- og provisjonsopplysninger
15. kontonummer
16. pensjonsopplysninger
17. trekk- og skatteopplysninger
18. ansettelses- og sluttdato (permisjoner e l)
19. sluttårsak
20. fraværsdato, type fravær og varighet. Angivelse av sykdommens art tillates ikke registrert utover det som er pålagt ved lov 4. februar 1977 nr 4 om arbeidervern og arbeidsmiljø mv § 20
21. dødsdato
22. firmabil e l
23. utlånte eiendeler
24. lån til ansatte eller garanti for lån
25. opplysning om den ansatte er mobiliseringsdisponert (ja/nei), evt militært løpenummer, grad, og rulleførende avdeling.