Ansattdata: hva loven lar deg bruke, og hva du bør la ligge

Lars starter skiftet, logger inn på appen, kjører ut på jobb, avslutter to oppdrag og er hjemme til middag. I løpet av de åtte timene har han etterlatt seg spor overalt: innstempling, GPS-koordinater, antall fullførte jobber, meldinger i systemet, kanskje til og med hvor lenge han holdt skjermen aktiv. Alt dette er data, og i dag koster det nesten ingenting å samle dem inn. Det er lett å tenke at man bør beholde alt, for man vet jo aldri hva som kan komme godt med. Problemet er at loven allerede har trukket en linje, og den går akkurat der du ikke venter den.

Linjen går ikke mellom “gode data” og “dårlige data”. Den går mellom det du faktisk trenger og det du samler inn fordi du kan. Prinsippet heter dataminimering, og det er ryggraden i GDPR slik det gjelder arbeidsforhold: du kan behandle data om de ansatte bare for et oppgitt formål, bare i den utstrekning det formålet krever, og bare så lenge det er nødvendig. Høres abstrakt ut, men det er egentlig det mest praktiske spørsmålet som finnes: hva skal jeg bruke dette til, konkret? Hvis svaret er “vet ikke, men jeg beholder det i tilfelle”, er det et tegn på at du ikke burde ha det. De fleste klager og sanksjoner fra Datatilsynet starter ikke i avanserte systemer, de starter i oppblåste arkiver som ingen lenger husker hvorfor eksisterer.

Ta tidsregistrering, som er det vanligste tilfellet. Å vite når en ansatt startet og avsluttet dagen er et legitimt og nødvendig formål: du trenger det for å lønne folk, fakturere kunden, og dokumentere at arbeidet ble utført. Å vite nøyaktig hvor Lars befant seg hvert eneste minutt av arbeidsdagen er noe helt annet, og sjelden nødvendig. Mellom de to finnes det en hel verden, og det er den samme verden som skiller en lovlig registrering fra et kontrolltiltak. Arbeidsmiljøloven §9-1 sier at kontrolltiltak bare er tillatt når det foreligger saklig grunn, og §9-2 pålegger deg å drøfte tiltaket med de tillitsvalgte og informere de ansatte i god tid på forhånd. Stempeldata kan du ha. En film av hele arbeidsdagen kan du ikke.

De gratis verktøyene for å bli i samsvar

Tre gratis verktøy, alle i nettleseren din og uten konto, for å gå fra teori til praksis:

• Er du i samsvar med ansattdata? — en test med 9 spørsmål med poengsum og områder å rette.
• Generator for GPS-personvernerklæring — lager malen etter art. 13, nå med klausulen om arbeidstakerrepresentasjon per land.
• Generator for oppbevaringspolicy — en oppbevaringstabell per land, med anbefalte perioder og PDF-eksport.

Formålet først, deretter dataene

Det er en refleks som lurer selv de mest samvittighetsfulle: man samler inn data først, og bestemmer seg etterpå for hva de skal brukes til. Loven tenker omvendt, og den har rett. Du bestemmer formålet på forhånd, og samler deretter inn bare det som formålet faktisk krever. Et eksempel som gjelder for enhver virksomhet med folk på farten: hvis formålet er å dokumentere overfor kunden at oppdraget er utført, trenger du et presist bevis, tidspunktet da teamet ankom og da de forlot stedet, pluss et bilde om nødvendig. Du trenger ikke ruten de kjørte, du trenger ikke vite hvor de spiste lunsj, og du trenger ikke beholde disse dataene i to år. Hvert ekstra datapunkt du samler inn er et ekstra datapunkt du en dag må begrunne overfor Datatilsynet, beskytte mot sikkerhetsbrudd og, om noe går galt, forklare til den ansatte.

Et punkt som nesten ingen ser på før det er for sent: GPS-data du har samlet inn for ett formål, for eksempel dokumentasjon av besøk, kan du ikke gjenbruke til et helt annet, for eksempel å vurdere de ansattes prestasjoner eller effektivitet. Det er et selvstendig brudd på GDPR, uavhengig av om innsamlingen var lovlig i utgangspunktet. Og så er det oppbevaringstid, et kapittel de fleste hopper over. Data som er samlet inn på riktig måte, men lagret i det uendelige, er data utenfor reglene. Posisjonen ved en innstempling er ikke nyttig etter noen uker, bildene fra et oppdrag er ikke nyttige etter at jobben er avsluttet og fakturert. Å beholde dem “for sikkerhets skyld” er ikke forsvarlig, det er det stikk motsatte: du akkumulerer en risiko som ikke gir deg noen fordel.

---

De ansatte er ikke et unntak, de er selve poenget

Det er én ting som skiller ansattdata fra alle andre typer data, og det er grunnen til at loven er strengere her enn noe annet sted: det er ikke likevekt mellom deg og dem som jobber for deg. Ingen er egentlig fri til å si nei til arbeidsgiveren sin, og nettopp derfor regnes ikke samtykke fra den ansatte som et gyldig rettsgrunnlag i arbeidsforhold. Du er henvist til berettiget interesse eller oppfyllelse av arbeidsavtalen, og dette rettsgrunnlaget må avveies, nedtegnes og forklares i en informasjon som arbeidstakerne får lese på forhånd, ikke etterpå. Der det finnes tillitsvalgte skal de trekkes inn, akkurat slik §9-2 krever. Dette er ikke et byråkratisk irritasjonsmoment, det er den konkrete måten du viser at du er på den riktige siden av linjen.

Sett på denne måten slutter overholdelse av personvernreglene å likne en bremse, og begynner å ligne det det faktisk er: en arbeidsmåte som samler inn beviset på det utførte arbeidet uten å kreve kontroll over hver bevegelse. Det er den samme logikken GeoTapp er bygget på, et verktøy som registrerer posisjonen bare i det øyeblikket den ansatte stempler inn eller ut, aldri kontinuerlig gjennom dagen, slik at du sitter igjen med akkurat det du trenger og ingenting mer. Vil du se hvordan reglene varierer fra land til land, er kartet over GPS-regler for arbeidstakere i hele EU åpent for alle, og det finnes også en generator som lager den lovpålagte informasjonen etter artikkel 13 på noen minutter.

Til slutt er det egentlig bare ett spørsmål å stille seg, og det lar jeg deg ta med videre: av alle dataene du kunne samle inn om dem som jobber for deg, hvor mange trenger du faktisk, og hvor mange beholder du bare fordi de kanskje kan bli nyttige en dag?