I likhet med tidligere år er problemstillinger knyttet til personvern i arbeidslivet et av de områdene hvor Datatilsynet mottar flest henvendelser fra publikum. Henvendelsene fordeler seg jevnt mellom arbeidsgiver- og arbeidstakersiden og dreier seg i stor grad om arbeidsgivers innsyn i e-post og internettlogger, kontroll av telefonbruk, kameraovervåking og opptak av telefonsamtaler. Siden mange av henvendelser også dreier seg om forhold som ligger i grenselandet mellom personopplysningsloven og arbeidsmiljøloven har Datatilsynet etablert en nærmere dialog med Direktoratet for arbeidstilsynet. De to tilsynsetatene utveksler informasjon om aktuelle saker, blant annet om bruk av vandelsattester, rusmiddelkontroll og ulike typer arbeidsmiljøundersøkelser.
Felles nordisk tilsynsprosjekt
Det nordiske Datatilsynssjefsmøtet besluttet i 2003 at det skulle gjennomføres et samnordisk tilsynsprosjekt for å se nærmere på behandling av personopplysninger i tilsettingsprosesser. Det ble for Norges del gjennomført tilsyn mot vaktselskapene Falck Norge AS og Securitas AS. I tillegg også mot teknologikonsernet Nokia Norge.
Manglende sletting av personopplysninger
Et trekk som gikk igjen i de tre kontrollerte virksomhetene var at det manglet retningslinjer for ivaretakelse den enkeltes rett til innsyn i registrerte opplysninger. Det forelå heller ikke tilfredsstillende rutiner for retting og sletting av personopplysninger. Alle de tre selskapene oppbevarte opplysninger i personalmappene som skulle ha vært slettet. Hos begge vaktselskapene lå også tidligere innhentede politiattester fortsatt lagret i personalmappene. Dette strider mot lov om strafferegistrering og kravene til sletting i personopplysningsloven. Formålet med politiattesten er oppfylt så snart det er godtgjort at den tilsatte har tilfredsstillende vandel. Politiattesten skal deretter makuleres. Av andre opplysninger som burde vært slettet var blant annet svært gamle advarsler og sykmeldinger. De tre virksomhetene fikk pålegg om å gjennomgå personalmappene for å slette unødige personopplysninger. De ble også pålagt å utforme skriftlige rutiner for innsyn, retting og sletting.
Securitas har anket pålegget om å makulere tidligere innhentede politiattester inn for Personvernnemnda.
Egenerklæring om vandel
Vaktselskapene har gjennom Lov om vaktvirksomhet med forskrift hjemmel til å innhente politiattest. Attesten viser om søkeren tidligere har vært straffet eller bøtelagt, eller om vedkommende er under etterforskning.
Securitas innhentet i tillegg egenerklæringer om vandel. Her ble søkerne bedt om å redegjøre for forhold som går ut over de opplysningene som fremgår av politiattesten.
Dette er en tendens Datatilsynet har sett også hos arbeidsgivere i andre bransjer, som ikke har anledning til å innhente politiattest. I mangel av nødvendig lovhjemmel ber arbeidsgiver jobbsøkere og ansatte om at de i stedet fyller ut egenerklæringer om vandel, for eksempel om vedkommende noen gang har vært mistenkt eller anklaget for mulige straffbare forhold. Innhenting av denne typen egenerklæringer innebærer etter Datatilsynets vurdering en omgåelse av lovgivers intensjoner med å begrense tilgangen til vandelsopplysninger.
Datatilsynet påla Securitas å avvikle ordningen med å innhente egenerklæring om vandel.
Egenerklæring om helse
Securitas benyttet også en meget omfattende egenerklæring om helse, hvor søkeren ble bedt om å oppgi opplysninger om blant annet syn, hjerteproblemer og kondisjon.
Datatilsynet ga vaktselskapet pålegg om å avslutte innhentingen av helseopplysninger via egenerklæring. Etter å ha vært i en etterfølgende dialog med Securitas har Datatilsynet omgjort vedtaket, slik at enkelte relevante helseopplysninger nå anses lovlig innhentet, forutsatt at arbeidstaker samtykker til dette. Dette gjelder blant annet opplysninger om hørsel, syn og fargesans. I tillegg også opplysninger om sykdomstilstander som kan gjøre den ansatte uskikket til å utføre enkelte arbeidsoppgaver innen vaktvirksomheten.
Ikke samtykke for rusmiddeltesting
Securitas hadde også etablert et system for rusmiddeltesting av sine ansatte, basert på samtykke. Datatilsynet mener imidlertid at arbeidsgivers styringsrett og samtykke fra de ansatte ikke er et tilstrekkelig hjemmelsgrunnlag for å kunne gjennomføre rusmiddeltester. Selv om Datatilsynet må utvise forsiktighet med å overprøve et gitt samtykke, er det ikke tvil om at mange arbeidstakere føler seg forpliktet til å si ja til denne typen inngrep. Konsekvensen av å ikke gi samtykke til rusmiddeltesting vil lett være at man heller ikke får jobb.
Tatt i betraktning den inngripende karakter som rusmiddeltesting innebærer, og den manglende maktbalanse det er mellom arbeidsgiver og arbeidstaker, mener Datatilsynet at det er lovgiver som må avgjøre hvilke bransjer og arbeidsforhold som gjør det nødvendig med rusmiddelkontroller. Både formålsbestemmelsene i personopplysningsloven, hensynet til menneskerettighetene og legalitetshensyn tilsier en restriktiv holdning.
Selv om vaktselskapet hevder at kundene og allmennheten forventer en særskilt kontroll av sikkerhetspersonellet, mener Datatilsynet at Securitas ikke har dokumentert et større behov for rusmiddeltesting enn hva andre arbeidsgivere kan påberope seg. Personer som på grunn av rusproblemer ikke er egnet til å arbeide i vaktselskapene må fanges opp på annen måte.
Vedtaket er påklaget til Personvernnemnda.
Ny arbeidslivslov
Arbeidslivslovsutvalget leverte våren 2004 en svært omfattende utredning.
Formålet med utredningen var å få til en forbedring og forenkling av gjeldende arbeidsmiljølov. Når det gjelder de delene av utredningen som omtaler kontroll og overvåkning i arbeidslivet kan Datatilsynet imidlertid ikke se at de foreslåtte endringene bidrar til verken forbedring eller forenkling.
Bestemmelsene i forslaget gir kun generelle overordnede prinsipper, som allerede finnes i personopplysningsloven. Forslagene vil ikke gi de presiseringer som Datatilsynet har sett behov for når det gjelder bruk av personopplysninger i arbeidslivet. Etter Datatilsynets oppfatning hører denne typen presiseringer og konkretiseringer hjemme i forskriften til personopplysningsloven, og ikke ny arbeidslivslov. Det er uheldig når regelverk som gjelder bruk av personopplysninger blir spredt utover i lovverket. Det er upedagogisk og lite hensiktsmessig at behandling av personopplysninger i personalmapper skal følge reglene i personopplysningsloven, mens opplysninger knyttet til ansattes e-post skal reguleres i ny arbeidslivslov.
Utvalget legger stor vekt på bruk av samtykke som grunnlag for kontroll av ansatte. Både i EUs personverndirektiv og i vår egen personopplysningslov er samtykke et sentralt utgangspunkt for å kunne behandle personopplysninger. Innen arbeidslivet knytter det seg imidlertid vesentlige begrensninger til et slikt samtykke. I mange situasjoner vil den ansatte ikke stå overfor et reelt valg når det gjelder å gi sitt samtykke eller ikke. Skal et samtykke være reelt må det være frivillig. Arbeidstaker må også senere, uten at det fører til negative konsekvenser, kunne trekke sitt samtykke tilbake.
Datatilsynet er imidlertid tilfreds med at utvalget ikke legger opp til samtykke som behandlingsgrunnlag for helseundersøkelser og lignende.
Tillitsvalgte får innsyn i lønnsopplysninger
I 2001 avgjorde Datatilsynet at arbeidsgiver ikke, uten samtykke fra arbeidstaker, kunne utlevere lønnsopplysninger til tillitsvalgte om uorganiserte eller organiserte i andre arbeidstakerorganisasjoner i forkant av lønnsforhandlingene. Det var bare få unntak fra regelen, blant annet ved spørsmål om brudd på det såkalte ufravikelighetsprinsippet, eller saker som angår likestillingsloven.
Etter at det kom fram nye momenter fra Landsorganisasjonen vurderte Datatilsynet saken på nytt i 2004.
Datatilsynets vurdering
I de fleste tilfellene er det tilstrekkelig for tillitsvalgte å få opplysninger om ansattes lønn på gruppenivå i forbindelse med lønnsforhandlingene. Så lenge kategoriseringen, det være seg stilling, organisasjonstilhørighet, eller kjønn inneholder opplysninger om fem eller flere personer, vil opplysningene ikke omfattes av personopplysningsloven.
Når det dreier seg om færre enn fem personer kan enkeltpersoner være indirekte identifiserbare og personopplysningsloven gjelder. Etter Datatilsynets nye vurdering kan de tillitsvalgte likevel få tilgang til lønnsopplysninger om færre enn fem personer. Den tillitsvalgte må imidlertid da underskrive en taushetserklæring.
Til grunn for Datatilsynets endrede oppfatning er også hensynet til forskjellen mellom offentlig og privat sektor på grunn av reglene i offentlighetsloven.
Personlighet i pannen
En sak som dukket opp helt i slutten av meldingsåret illustrerer at
Datatilsynet enkelte ganger må stille spørsmål ved arbeidsgivers respekt for den ansattes personlige integritet, selv om personopplysninger ikke direkte blir behandlet.
For å bedre kommunikasjonen internt i et selskapet Transocean oppfordres de ansatte til å ta en personlighetstest. På bakgrunn av testen blir arbeidstaker så kategorisert i en til to av fire forhåndsdefinerte kategorier, symbolisert gjennom fire ulike dyrearter og farger. En klistrelapp som viser hvilken kategori den ansatte tilhører festes deretter på vedkommendes hjelm eller kontordør. På denne måten skal det synliggjøres for alle hva slags karaktertrekk vedkommende har. Dette skal lette kommunikasjonen medarbeiderne imellom.
Etter forespørsel fra Datatilsynet hevder selskapet at gjennomføring av testen er frivillig. De ansatte utfører testen på egen hånd og finner selv ut hvilken kategori de tilhører. De detaljerte testresultatene blir heller ikke oppbevart. Det skjer dermed ingen behandling av personopplysninger, slik personopplysningsloven definerer det.
Datatilsynet mener likevel at tiltaket, slik det er gjennomført, kan krenke den enkeltes personlige integritet. Arbeidstaker vil lett oppleve press i retning av å måtte gjennomføre testen, for deretter å feste klistremerket som signaliserer personlighet på hjelmen. Dette vil lett kunne virke stigmatiserende, også om man, som en av få, skulle nekte å la seg merke på denne måten.
Datatilsynet mener at det bør være mulig å skape bevissthet om viktigheten av god kommunikasjon mellom mennesker på en arbeidsplass på mindre potensielt krenkende måter.