Tidrapportering och GDPR: vad som får hända med tidsdatan

Så fort ett företag börjar registrera arbetstid dyker en berättigad fråga upp: vad får jag egentligen göra med de här uppgifterna? Det är ingen bisak. Det är frågan som avgör om din tidrapportering är ett rent verktyg eller ett integritetsproblem med anlopp. För tidsdata, vem som jobbade när, är personuppgifter, och därmed omfattas de av GDPR.

Det låter först som ett hinder, men det är framför allt ett förtydligande. Vem som började när, när rasten låg, från vilken plats: allt säger något om en bestämd person. Samma grundprinciper gäller alltså som för all annan behandling av personuppgifter. Frågan är inte om du får registrera, det måste du ändå. Frågan är hur.

Den första principen är ändamålsbegränsning. Du samlar in tidsdata för att dokumentera arbetstiden, betala löner rätt och uppfylla lagkrav. För de ändamålen får du använda uppgifterna, och inte för några andra. Tidsdatan är inget allmänt övervakningsinstrument som man vid sidan av använder för att se vem som sliter hårdast.

Den andra principen är uppgiftsminimering. Du samlar bara in det som ändamålet verkligen kräver. Början, slut, längd, raster, eventuellt arbetsplatsen: ja. En minutiös rörelsekarta över hela dagen: nej, för det behöver inte löneadministrationen. Varje uppgift du samlar på hög utan ändamål är, vid en kontroll, en uppgift du måste kunna förklara.

Hur länge, och vem får se

Sedan lagringstiden. Tidsunderlag omfattas av bevarandekrav, beroende på sammanhang ett antal år. Men bevarandekrav betyder inte för evigt: efter tiden raderas uppgifterna. Och åtkomsten ska vara begränsad. Alla på företaget behöver inte kunna se allas tidsdata. Den som har åtkomst ska ha ett skäl, och det reglerar du, du överlåter det inte åt slumpen.

Öppenhet i stället för smygtittande

Den kanske viktigaste punkten är öppenheten. Att i smyg gå igenom tidsdatan för att övervaka en enskild anställd är inte tillåtet, och det är dessutom oklokt. De anställda ska veta vad som registreras och varför. En tidrapportering som personalen vet exakt hur den fungerar skapar förtroende. En som läses av i det fördolda skapar en konflikt och i värsta fall en sanktionsavgift.

---

Att samla tidsdata i ett öppet Excel-ark på en delad disk är ungefär lika integritetsvänligt som att lägga personalakterna i fikarummet. Praktiskt nära till hands, javisst. Men nära till hands för precis fel personer.

Integritet som en egenskap hos verktyget

Den goda nyheten är att du inte behöver vakta de här principerna för hand varje dag. Du kan besluta dem en gång, vid valet av verktyg. Ett system byggt för ändamålet lagrar krypterat, begränsar åtkomsten av sig själv, har raderingstider och samlar bara in det ändamålet kräver. En Excel-fil tar inget av det med sig, utom problemet.

Så är GeoTapp byggt. En tryckning för att börja, en för att sluta, och början, slut och längd står fast, geolokaliserat och utan att kunna ändras i tysthet, men också ändamålsbundet, med begränsad åtkomst och utan smygande rörelsekarta. Integritet är ingen reparation du skruvar på i efterhand, den ligger i hur verktyget arbetar.

Den ärliga frågan till sist: vem på ditt företag kan i dag komma åt tidsdatan, och skulle dina anställda veta vad som händer med den? Tvekar du, se här hur en GDPR-säker tidrapportering ser ut.