Du har varslet GPS på medarbejderne? Det er ikke nok

Du har gjort det efter bogen. Du har varslet medarbejderne seks uger i forvejen, du har skrevet i personalehåndbogen, at servicebilerne har GPS, og du har endda hængt en seddel op ved tidsregistreringen. Så trækker du vejret lettet: nu er jeg dækket ind, nu kan ingen komme efter mig. Det er den samme ro, som folk har, når de kører ud fra køreprøven med kørekortet i hånden og tror, de allerede kan køre bil.

Problemet er, at varslet ikke er et frikort. Det er en dør, ikke et værelse. At du har lov til at gå ind, betyder ikke, at du derinde må gøre, hvad der passer dig. Mellem døren og værelset ligger hele forskellen på at føle sig lovlig og faktisk at være det. Det lyder som en spidsfindighed for jurister, lige indtil Datatilsynet banker på og minder dig om, at der ikke er noget spidsfindigt ved det overhovedet.

Det fik en dansk virksomhed at føle. SIF Gruppen havde GPS i servicebilerne, omkring 200 medarbejdere blev berørt, og det var ingen hemmelighed for nogen. Alligevel udtalte Datatilsynet i august 2020 alvorlig kritik. Ikke fordi GPS-systemet var ulovligt i sig selv, men fordi medarbejderne ikke havde fået ordentlig besked: hvad blev der indsamlet, på hvilket grundlag, hvilke rettigheder havde de, og hvor kunne de klage. Kontrolforanstaltningen var på plads. Garantierne, der skulle følge med, var det ikke. Og det er garantierne, Datatilsynet kigger på.

Varslet er det første skridt, ikke det sidste

Det, der gør SIF-sagen lærerig, er hvor lidt der skal til. Datatilsynet førte tilsyn med fem arbejdspladser, kiggede efter, om medarbejderne var blevet ordentligt oplyst om kontrollen, og fandt mangler hos alle fem. Det var ikke et tilfældigt nedslag fra himlen. Det var et fokusområde, og overvågning af medarbejdere er det igen i 2026. Med andre ord: den dør, du ikke har lukket ordentligt, står på Datatilsynets liste lige nu, ikke om ti år.

Her ligger det, der undslipper mange arbejdsgivere i god tro. Reglerne om kontrolforanstaltninger på arbejdspladsen svarer på ét eneste spørgsmål: må du indføre GPS, og har du varslet den i tide? Det skal du, og det er rigtigt at gøre. Men når du først er inde ad døren, begynder et andet kapitel, som varslet ikke dækker: hvordan behandler du de data, hvilke samler du og hvilke lader du være, hvor længe gemmer du dem, og frem for alt, hvad fortæller du til dem, det handler om. Det kapitel skriver databeskyttelsesloven og GDPR, og det har en anden opkræver, Datatilsynet, der ikke ser på, om du har varslet, men om du har overholdt nødvendighed, proportionalitet og gennemsigtighed. To regelsæt, to forskellige spørgsmål, og du skal svare på begge.

Hvad der virkelig tæller, ud over varslet

Garantierne, der gør forskellen, er ikke mystiske. De er bare kedelige, og derfor bliver de sprunget over. Det tæller at indsamle det mindst mulige: positionen skal vise, at opgaven blev løst det rigtige sted, ikke kortlægge time for time, hvor en person har været. Det tæller at lade være med at spore løbende: et system, der pinger positionen hele dagen, hober en bjergside af data op, som du aldrig kommer til at bruge, og som den dag, en tidligere medarbejder klager, bliver beviset mod dig i stedet for for dig. Det tæller at slette det, der ikke længere er brug for, frem for at lade årenes spor ligge i et arkiv, ingen kigger i, før det forkerte sted gør det. Og det tæller, mere end alt andet, oplysningen: at fortælle medarbejderne, skriftligt og forståeligt, hvad du indsamler, hvorfor, og hvor længe.

Har det nogensinde slået dig, at du har varslet GPS uden nogensinde at have skrevet en linje privatlivspolitik til dine folk? Det er mere almindeligt, end man skulle tro, og det er præcis hullet, kritikken kommer ind ad. Varslet beskytter dig ikke der. Tværtimod viser det, at du vidste, du sad med følsomme data, og at du stoppede opmærksomheden ved det første, formelle skridt og glemte resten. Det er som at have våbentilladelse og lade pistolen ligge ladt på køkkenbordet: papiret frikender dig ikke for, hvordan du bruger den.

Der er også en misforståelse om tid, der narrer mange. Varslet giver man én gang, så lægger man det i mappen, og derfra føles det som en lukket sag. Garantierne er derimod et arbejde, der fortsætter: hver gang du skifter system, tilføjer en funktion eller ansætter nye folk, skal billedet opdateres, og oplysningen skrives om. Den, der behandler det at være lovlig som et stempel, man har taget og glemt, står år senere med et system, der er vokset hulter til bulter, og en privatlivspolitik, der beskriver en helt anden virksomhed.

En ting til, som er typisk dansk og let at overse: i Danmark er det domstolene, der udmåler bøderne på Datatilsynets indstilling. Tilsynet selv deler ud af kritik og alvorlig kritik, som i SIF-sagen, og melder de groveste sager til politiet. At der ikke faldt en bøde den gang, er altså ikke det samme som, at den slags er gratis. Det betyder bare, at vejen til bøden går gennem en anklager og en dommer, ikke gennem et gebyr i posten.

At blive lovlig på rigtig

Den gode nyhed er, at det at rette ind ikke betyder at rive det hele ned. Det betyder at vælge værktøj, der er bygget til at samle lidt og sige det klart, og følge det med de rigtige dokumenter. Et system, der kun registrerer positionen i selve stemplingsøjeblikket, ved start og slut, og aldrig i mellemtiden, starter med det rigtige ben: det indsamler det mindst mulige af natur, ikke af god vilje, og netop det mindst mulige er det, loven beder om. Tilbage står den skrevne del, oplysningen, der sætter folk ind i, hvad der sker, og der fjerner en færdig skabelon undskyldningen om, at man ikke ved, hvor man skal begynde.

GeoTapp er sat sammen netop sådan: positionen registreres med et tryk ved vagtens begyndelse og slutning, og imellem er der ingen sporing, for beviset for det udførte arbejde har ikke brug for at skygge nogen. Varslet og kontrollen sørger du for, garantierne giver du dig selv, og mellem de to er der ingen genvej. Den, der behandler dem som én samlet blok og løser dem for alvor, holder op med at åbne posten med frygt for at finde en henvendelse fra Datatilsynet.

Varslet har de fleste styr på. Den skrevne oplysning til medarbejderne, næsten ingen. Og det er altid fra den manglende linje, Datatilsynet begynder at kigge.

Døren åbnes af varslet, oplysningen holder dig inden for loven. Har du ikke skrevet den linje endnu, er det værd at starte med det rigtige dokument.