Du har drøftet GPS-sporing med de tillitsvalgte. Det holder ikke

Du har gjort alt etter boka. Du tok opp GPS-sporingen av bilene med de tillitsvalgte i god tid, dere snakket gjennom hvorfor og hvordan, du skrev ned at drøftingen var gjennomført, og så lente du deg tilbake. Endelig i havn, tenker du, nå er jeg trygg. Det er den samme tryggheten som han som går ut fra trafikkstasjonen med splitter nytt førerkort i lomma og tror han allerede kan kjøre.

Problemet er at en gjennomført drøfting ikke er noe frikort. Arbeidsmiljøloven kapittel 9 krever at du drøfter kontrolltiltaket med de tillitsvalgte før du innfører det, og at tiltaket har et saklig grunnlag og ikke blir en uforholdsmessig belastning. Det er riktig, og det er obligatorisk. Men drøftingen er døra, ikke rommet. Den sier at du har lov til å gå inn, ikke at du kan gjøre hva du vil når du først er der inne. Og mellom de to ligger hele forskjellen på å føle seg innenfor loven og faktisk være det.

Den distinksjonen høres ut som juristflisespikkeri, helt til det dumper inn et gebyr som minner deg på at den ikke har noe flisespikkeri ved seg i det hele tatt. Et renovasjonsfirma fikk erfare det på den dyre måten. De sporet bilene sine med GPS, og fikk et overtredelsesgebyr på 100 000 kroner fra Datatilsynet. Ikke fordi sporingen i seg selv var forbudt, men fordi sjåførene ikke hadde fått tilstrekkelig informasjon om hva som ble samlet inn om dem. Selve tiltaket var på plass. Garantiene rundt det var ikke det.

Drøftingen er første steg, ikke det siste

Det lærerike med en slik sak er at den sjelden begynner med et tilsyn fra oven. Den begynner med at noen kjenner seg overvåket. En ansatt som har kjørt rundene sine, sett at posisjonen registreres, lurt på hvor lenge den lagres og hvem som ser på den, og som til slutt klager. Derfra ser Datatilsynet inn i systemet, og finner gjerne det samme mønsteret: mer data enn nødvendig, lagret lenger enn nødvendig, og folk som ikke har fått vite hva som skjer med opplysningene om dem. Drøftingen du gjennomførte hjelper deg ingenting i det bildet, rett og slett fordi drøftingen ikke handler om de bitene.

Og her er punktet som glipper for mange arbeidsgivere i god tro. Drøftingen med de tillitsvalgte svarer på ett spørsmål: har du lov til å innføre et tiltak som kan brukes til å kontrollere de ansatte, ja eller nei? Det er arbeidsmiljøloven kapittel 9 som krever det, og det skal du ha på stell. Men idet tiltaket er innført, begynner et helt annet kapittel som drøftingsreferatet ikke dekker: hvordan du behandler dataene, hva du samler og hva du lar være, hvor lenge du beholder dem, og fremfor alt hva du forteller dem det gjelder. Det kapittelet skriver personvernforordningen, som Norge er bundet av gjennom EØS-avtalen. Den har en annen vokter, Datatilsynet, som ikke spør om du drøftet tiltaket, men om du holdt deg til nødvendighet, forholdsmessighet og åpenhet. To regelverk, to spørsmål, og du må svare ja på begge.

Det som faktisk teller, utover referatet

Garantiene som gjør forskjellen er ikke mystiske, de er bare kjedelige, og det er nettopp derfor de hoppes over. Det teller å samle inn minst mulig: posisjonen skal vise at jobben ble gjort på det stedet, ikke rekonstruere time for time hvor en person har vært. Det teller å ikke spore kontinuerlig: et system som pinger posisjonen hele dagen samler en haug med data du aldri kommer til å bruke, og som den dagen det kommer en klage blir bevis mot deg i stedet for for deg. Det teller å slette det du ikke trenger lenger, i stedet for å samle år med spor i et arkiv ingen ser på før feil person ser på det. Og det teller, mer enn alt annet, personvernerklæringen: at du forteller de ansatte, skriftlig og forståelig, hva du samler inn, hvorfor, og hvor lenge.

Har det noen gang hendt deg at drøftingen var unnagjort, referatet signert, og så ble det aldri skrevet en eneste linje med informasjon til de ansatte om selve sporingen? Det er mer vanlig enn man skulle tro, og det er akkurat hullet gebyrene går gjennom. Et signert drøftingsreferat beskytter deg ikke i de tilfellene. Om noe viser det at du visste at du håndterte følsomme opplysninger, og at du stoppet oppmerksomheten ved første steg, det formelle, og glemte resten. Det er litt som å ha våpenkort og la pistolen ligge ladd på kjøkkenbordet: papiret frikjenner deg ikke for hvordan du bruker den.

Det finnes også en misforståelse om tidsperspektiv som lurer mange. Drøftingen gjør du én gang og legger i skuffen, og derfra føles saken lukket. Garantiene er derimot et arbeid som fortsetter: hver gang du bytter system, legger til en funksjon, ansetter nye folk, må bildet oppdateres og erklæringen skrives om. Den som behandler etterlevelse som et stempel man tar og glemmer, sitter år etter med et system som har vokst i hytt og vær og en erklæring som beskriver et helt annet firma.

Å komme i orden på ordentlig

Det gode er at å rette opp ikke betyr å rive ned alt. Det betyr å velge verktøy som er laget for å samle lite og si det tydelig, og følge dem med de riktige dokumentene. Et system som registrerer posisjon bare i stemplingsøyeblikket, ved start og slutt på vakta, og aldri i mellom, starter allerede med riktig fot: det samler minimum av natur, ikke av god vilje, og det minimumet er nøyaktig det loven ber om. Igjen står den skriftlige delen, erklæringen som setter folk inn i hva som skjer, og der tar et ferdig utkast bort unnskyldningen om at man ikke vet hvor man skal begynne.

GeoTapp er utviklet nettopp slik: posisjonen registreres med ett trykk ved start og slutt av vakta, og i mellomtiden er det ingen sporing, for beviset på utført arbeid trenger ikke å skygge noen. Drøftingen tar du med de tillitsvalgte, garantiene gir du deg selv, og mellom de to finnes det ingen snarvei. Den som behandler dem som én blokk, og løser den på ordentlig, slutter å se på innboksen med frykt for å finne et brev fra Datatilsynet.

Referatet, det har nesten alle. Den skriftlige informasjonen til de ansatte, nesten ingen. Og det er alltid fra den manglende linja Datatilsynet begynner å se.