Personvern overvåking og kontrolltiltak i arbeidslivet. Paratkonferansen, 16. november 2010 Bjørn Erik Thon

Transkript

1 Personvern overvåking og kontrolltiltak i arbeidslivet Paratkonferansen, 16. november 2010 Bjørn Erik Thon

2 Disposisjon - Kort om Datatilsynet og det lovverk vi forvalter - Kort om regler som regulerer personvern i arbeidslivet - Hva innebærer egentlig personvern -.og hvordan er ståa i arbeidslivet? - Det totale overvåkingstrykk en oversikt - Enkelte særlige temaer - Innsyn i epost, fødseslnummer, adgangskontroll, kameraovervåking, sporingsteknologi Side 2

3 Datatilsynet Uavhengig forvaltningsorgan Etablert i 1980 Kan ikke instrueres av Kongen eller departementet Administrativt underlagt FAD 40 medarbeidere - Fire avdelinger Juridisk Tilsyns- og sikkerhet Informasjon Administrasjon Side 3

4 Datatilsynet Håndhever personopplysningsloven, helseregisterloven, helseforskningsloven+ annet lovverk Saksbehandling Tilsyn/kontroll Veiledning/informasjon - Fire viktige prosjekter Slettmeg.no Personvernombud Kommuneprosjektet Dubestemmer

5 Side 5

6 Personvernretten - Europeiske menneskerettighetskonvensjon artikkel 8 - rett til respekt for sitt privatliv og familieliv, sitt hjem og sin korrespondanse - EUs personverndirektiv (direktiv 95/46/EF) - Lov om behandling av personopplysninger av 14. april 2000 (personopplysningsloven) - Forskrift til personopplysningsloven Side 6

7 Hva er personvern - Personvern handler ofte om et føre - var prinsipp; vi jobber for at det personopplysninger ikke skal komme på avveie - Vi oppnår suksess når ikke noe går galt, og det er i mange sammenhenger en litt utakknemlig oppgav, fordi dette blir en veldig usynlig størrelse Side 7

8 Hva er personvern? - Noen viktige ord personverntanken. - Samtykke - Informasjon og innsyn - Selvbestemmelse - Sletting - Korrekt informasjon og mulighet for retting av feil - God informasjonssikkerhet som forutsetning for å kunne ivareta personvernet - God internkontroll Side 8 - Etterprøvbarhet

9 Paratundersøkelsen i lys av dette - 56% varsles ikke om kontrolltiltak - 55% har ikke evaluert behovet for kontrolltiltak - Kun 43% har fått informasjon om kontrolltiltak - 57% vet ikke hva som er registrert om dem i personalmappen - Og høy vet ikke - andel gjør tallene enda mer nedslående

10 Hvilke lover og regler gjelder?

11 En del spesielle forhold kjennetegner arbeidslivet - Det angår nesten alle - Det har stor økonomisk og velferdsmessig betydning - Banalt, men: Vi bruker mye av livet vårt på arbeidsplassen - Et område der de aller fleste har en sjef som i stor utstrekning kan bestemme over oss - Det eksisterer et avhengighetsforhold som gjør at en del av de vanlige personvernkravene kommer under press

12 Arbeidsmiljøloven 9-1. Vilkår for kontrolltiltak i virksomheten (1)Arbeidsgiver kan bare iverksette kontrolltiltak overfor arbeidstaker når tiltaket har saklig grunn i virksomhetens forhold og det ikke innebærer en uforholdsmessig belastning for arbeidstakeren. (2) Personopplysningsloven gjelder for arbeidsgivers behandling av opplysninger om arbeidstakere i forbindelse med kontrolltiltak med mindre annet er fastsatt i denne eller annen lov Side 12

13 Grunnkrav til behandling av personopplysninger, 11 jf personverntanken Personopplysningene som behandles skal: bare nyttes til uttrykkelig angitte formål som er saklig begrunnet i arbeidsgivers virksomhet. ikke brukes senere til formål som er uforenlig med det opprinnelige formålet med innsamlingen, med mindre arbeidstager samtykker. er tilstrekkelige og relevante for formålet med behandlingen. er korrekte og oppdaterte, og ikke lagres lenger enn nødvendig for å gjennomføre formålet med behandlingen Side 13

14 Krav om behandlingsgrunnlag Ved all behandling av personopplysninger kreves et behandlingsgrunnlag, jf. 8; samtykke, lov nødvendig for å ivareta en berettiget interesse som ikke overstiger hensynet til den enkeltes personvern Tilleggskrav ved behandling av sensitive personopplysninger, jf. 9. Alternative grunnlag: Samtykke Lovhjemmel for behandlingen Nødvendig for gjennomføringen av arbeidsrettslige plikter eller rettigheter Den registrerte selv frivillig har gjort opplysningene kjent Side 14

15 Samtykke, 2 nr. 7 - Frivillig - uttrykkelig og - informert.erklæring fra den registrerte om at han eller hun godtar behandling av opplysninger om seg selv - Samtykke i arbeidsforhold Side 15

16 Sensitive personopplysninger nr. 8 uttømmende oppregning Rasemessig eller etnisk bakgrunn Politisk, filosofisk eller religiøs oppfatning At en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling Helseforhold Seksuelle forhold Medlemskap i fagforening Side 16

17 Melde eller konsesjonsplikt? Utgangspunkt: Sensitive personopplysninger = konsesjonsplikt 33 Andre opplysninger = meldeplikt 31 Unntak: Personvernombud 7-12 Unntak fra meldeplikt - men før intern oversikt Personellregistre mv Ikke-sensitive opplysninger: Hovedregel: Unntak fra meldeplikt Sensitive personopplysninger: Hovedregel: Meldeplikt Internkontroll 14: Krav om oversikt over behandlinger Side 17

18 Interesseavveiningen etter 8 bokstav f Arbeidsgivers berettigede interesse Hensynet til den registrertes personvern Berettiget interesse Side 18

19 Side 19

20 Forskjellige typer bruk og muligheter for kontroll - Adgangskontroll - Aktivitetslogger - Kontroll av e-post - Kontroll av Internettbruk - Kontroll av private filer - Kontroll av MSN - Kontroll av telefonbruk - Medlytting - Kameraovervåkning - Vandelsattest - Kredittvurdering - Referansekontroll -Veskekontroll - Ransaking - Kroppsvisitering - Personlighetstester - Brevåpning - Rusmiddelkontroll - Printerkontroll - Tidsregistrering - GPS - Produksjonskontroll - Plukklister på lager - Medarbeiderundersøkelser - Helseundersøkelser - Innhenting av helseopplysninger - Spørsmål om graviditet - Private etterforskere - Reiseregninger Side 20

21 Side 21

22 Rettigheter for arbeidstager Innsyn Unntak, 23 Informasjon Unntak, 23 Retting Sletting Side 22

23 Innsyn i opplysninger hos arbeidsgiver Enhver Grunninformasjon om behandlingen Den ansatte (og andre som er registrert) Hva er registrert om meg? Personalmappe, datasystem, opptak fra overvåkningskamera Unntak for taushetsbelagte opplysninger ( 23) Utilrådelig ( helseopplysninger), rikets sikkerhet, taushetsplikt osv 30 dagers frist til å svare på en innsynsbegjæring jf. 16 Kan kreves skriftlig, jf Side 23

24 Informasjon til arbeidstager, Informasjonsplikten gjelder når det samles inn opplysninger: fra den registrerte selv fra andre enn den registrerte Det skal gis opplysninger om: den behandlingsansvarlige, Hvorfor det samles in personopplysninger, opplysningene vil bli utlevert, ev. til hvem, det er frivillig å gi fra seg opplysningene, og annet som gjør arbeidstager i stand til å ivareta sine rettigheter etter loven, for eksempel krav om innsyn, sletting Side 24

25 Informasjonsplikt - 19 og 20 Formålet er å gjøre arbeidstager i stand til å benytte sine rettigheter etter loven Før innhenting fra den registrerte selv ( 19) Etter innhenting fra andre enn den registrerte selv eller eventuelt før utlevering til andre ( 20) Uansett: Samtykke ved bruk som er uforenelig med det opprinnelige formålet jf. 11 c Og: Et samtykke er bare gyldig dersom det er informert Side 25

26 Sletting, 28 Personopplysninger skal ikke lagres lenger enn det som er nødvendig for å gjennomføre formålet med behandlingen. Ulike formål = ulike frister for sletting. Unntak: lagring av opplysninger er regulert i annet regelverk, eksempelvis arkivloven, regnskapslovgivningen Rutiner for gjennomgang av lagret informasjon: Hva er nødvendig? Hvor lenge? Side 26

27 Hva kan (og skal?) arbeidsgiver samle inn? Personalia; navn, adresse, fødselsdato og personnummer Lønnsinformasjon; avtalt lønn, kontonummer, skattekort, bidragsstrekk, Opplysning om nærmeste pårørende; navn og telefonnummer i tilfelle skade eller lignende Opplysning om ansvar for barn og evt. kronisk sykdom for beregning av sykedager Avtaler om lån, hjemmekontor, Helseopplysninger innefor rammen av aml., særlovgivning og det som er nødvendig for å tilrettelegge arbeidsplassen Vandelsopplysninger KUN dersom lovhjemmel Kredittvurdering KUN ved stillinger med økonomisk ansvar Opplysninger som er offentlig tilgjengelig for eksempel på Internett? Side 27

28 Ved ansettelse Aml Innhenting av opplysninger ved ansettelse - forbudt å spørre om seksuell orientering, politiske spørsmål, fagorganisering Aml. 9-3 Innhenting av helseopplysninger ved ansettelse - forbudt å be om andre helseopplysninger enn dem som er nødvendige for å utføre de arbeidsoppgaver som knytter seg til stillingen. Aml Medisinske undersøkelser av arbeidssøkere og arbeidstakere a) Når det følger av lov eller forskrift b) Ved stillinger som innebærer særlig risiko c) Når arbeidsgiver finner det nødvendig for å verne liv eller helse Side 28

29 Fødselsnummer - 12 Ikke en sensitiv personopplysning Arbeidsgiver trenger den ansattes fødselsnummer. Må ikke fremkomme av postsendinger eller telekommunikasjon slik at det er tilgjengelig for andre enn adressaten (POF 9-2) ikke utenpå konvolutt eller i åpent kort fortrinnsvis ikke som KID eller medlemsnummer på regning kryptering ved bruk i Internettløsninger sladding av dokumenter før de legges ut på Internett Side 29

30 Side 30

31 Hvem skal ha tilgang? Hovedregel: personopplysninger skal kun være tilgjengelig for personer med tjenstlig behov for slik tilgang. Eksempler på tiltak mot uautorisert innsyn: Tilgangsstyring Taushetsplikt Logging Revisjon/kontroll av logger Side 31

32 Adgangskontroll Behandlingsgrunnlag 8f) arbeidsgivers interesse overstiger arbeidstagers personvern Formål: ivareta interne sikkerhetsmessige forhold Bruk til andre (uforenlige) formål: krav om samtykke Bedriftens system for tidsregistrering kan bruke samme leser og system, men kobling krever samtykke Drøftingsplikt, jf. aml. kapittel 9 Informasjon til ansatte, jf. 19 Meldeplikt til Datatilsynet, jf Side 32

33 Kameraovervåking Definisjon: vedvarende eller regelmessig gjentatt personovervåkning Ved overvåkning av sted der begrenset krets av personer ferdes oppstilles det et tilleggskrav om særskilt behov, jf. 38. Hva er formålet? Nødvendig? I hvilket omfang? Formål = setter grenser for hva opptak kan brukes til Informasjonsplikt: varsle om at overvåking finner sted + meldeplikt til Datatilsynet. Oppbevaring: maksimalt 7 dager Side 33

34 Sporingsteknologi i kjøretøy Formål: elektronisk kjørebok, flåtestyring, sikkerhet mv. Kontrolltiltak etter aml. kapittel 9 = drøftingsplikt Behandlingsgrunnlag: samtykke eller 8 bokstav f Informasjon Sikkerhetstiltak Noe ord om ecall Side 34

35 Telefonkontroll Utgangspunkt: forbudt å avlytte samtaler man ikke selv deltar i Straffeloven 145 Særbestemmelser som skal motvirke hvitvasking Arbeidsgiver må kunne vise til konkret hjemmel Opplæring Personopplysningsloven 8 bokstav f Bruk til nye uforenelige formål krever samtykke Personopplysningsloven 11 c Husk informasjonsplikten! Side 35

36 Nye regler om innsyn i e-post mv. Nytt kapittel 9 i personopplysningsforskriften vedtatt 29. januar i kraft 1. mars 2009 Formål: klargjøre arbeidsgivers adgang til å gjøre innsyn, samtidig som den ansatte vernes mot urimelig kontroll I stor grad kodifikasjon av tidligere praksis skillet privat/virksomhetsrelatert e-post varsling Viktige regler som bl.a. fastsetter når det kan gis innsyn, hvordan og hvilke prosedyrer som skal følges Side 36

37 Nye regler om innsyn i e-post mv. - fortsettelse Personopplysningsforskriften 9-1 Arbeidsgivers rett til innsyn i arbeidstakers e-postkasse arbeidsgiver = den behandlingsansvarlige Konkretisering av interesseavveiningen i POL 8 f Side 37

38 Vilkår for innsyn - 1 Arbeidsgiver har bare rett til å gjennomsøke, åpne eller lese e-post : a) når det er nødvendig for å ivareta den daglige driften eller andre berettigede interesser ved virksomheten Ivareta den daglige driften arbeidstakers fravær dersom det er god grunn til å tro at det er kommet virksomhetsrelaterte meldinger som arbeidsgiver trenger av driftshensyn. Berettigede interesser målestokken er hva man i alminnelighet anser som legitime hensyn ved en virksomhet Side 38

39 Vilkår for innsyn - 2 POF 9-2 Arbeidsgiver har bare rett til å gjennomsøke, åpne eller lese e-post : b) ved begrunnet mistanke om at arbeidstakerens bruk av e-postkassen medfører grovt brudd på de plikter som følger av arbeidsforholdet, eller kan gi grunnlag for oppsigelse eller avskjed Brudd på konkurranseklausul Nedlastning av barneporno Side 39

40 Prosedyrer for innsyn POF 9-3 Arbeidstaker skal så langt som mulig varsles og få anledning til å uttale seg Krav til varslets innhold: begrunnelse for hvorfor vilkår i 9-2 anses oppfylt orientere om arbeidstakers rettigheter etter bestemmelsen Arbeidstakeren skal så langt som mulig gis anledning til å være tilstede og har rett til å la seg bistå Side 40

41 Prosedyrer for innsyn - fortsettelse Innsyn uten forutgående varsel - arbeidstakeren skal gis skriftlig underretning så snart innsynet er gjennomført: - begrunnelse for hvorfor vilkår i 9-2 anses oppfylt - opplysninger om hvilken metode for innsyn som ble benyttet - hvilke e-poster/dokumenter ble åpnet? - resultatet av innsynet Unntak fra varsel og etterfølgende underretning POL Side 41

42 Unntak fra retten til informasjon POL 23 - til skade for rikets sikkerhet, landets forsvar, forholdet til fremmede maker eller internasjonale organisasjoner - forebygging, etterforskning, avsløring og rettslig forfølgning av straffbare handlinger - utilrådelig av hensyn til vedkommendes helse eller forholdet til personer som står vedkommende nær - lovhjemlet taushetsplikt - intern saksforberedelse - i strid med åpenbare og grunnleggende private eller offentlige interesser

43 Hva kan man søke etter? Krav om relevans nødvendighet Hva leter man etter? Kvalitetssikring av søkestreng hotmailadresse navn på arbeidstaker kontrakt as Velge en metode som kan etterprøves notoritet, POF 2-16 protokoll hvem var til stede, hvilken metode ble brukt, søkestreng, hvilke dokumenter ble åpnet mv Side 43

44 Sletting mv. ved opphør av arbeidsforholdet POF 9-4 E-postkassen skal avsluttes og innhold som ikke er nødvendig for den daglige driften av virksomheten skal slettes innen rimelig tid Den ansatte bør: slette eventuelle private meldinger overføre/arkivere virksomhetsrelatert e-post etter avtale med ledelsen gi beskjed til sine kontakter om eventuell ny adresse for privat og virksomhetsrelatert e-post Side 44

45 Sanksjoner Pålegg om endring eller opphør av ulovlige behandlinger, jf. 46 jf. 42, 3. ledd Overtredelsesgebyr, jf. 46 Tvangsmulkt, jf Side 45

46 Datatilsynet anbefaler Arbeidsgiver: Lag instruks for databruk Involver de ansatte og tillitsvalgte i prosessen Sørg for etterprøvbarhet ved eventuelt innsyn Opprett egen e-post adresse for tillitsvalgte osv Ansatt: Unngå privat bruk av arbeidsgivers utstyr Merk mapper og filer med privat innhold Følg arbeidsgivers instruks for bruk av utstyret Side 46

47 Oppsummering Arbeidsmiljøloven bestemmer i stor grad når kontroll kan iverksettes, mens personopplysningsloven bestemmer hvordan man kan behandle resultatene fra kontrollen. - Kontrolltiltak bør (skal) drøftes med de tillitsvalgte. - Informasjon til de ansatte er grunnleggende. - Samtykke bør benyttes med forsiktighet i arbeidslivet. - Interesseavveiningen etter 8 f skal være konkret. - Lagringstiden avhenger av formålet med behandlingen Side 47

48 Hva nå i Datatilsynet? - Personvern i arbeidslivet blir en av hovedsatsingene våre i Vi vil bl.a. gjennomføre en kartlegging av overvåkningstrykket innen to til tre bransjer - Vi vil utarbeide veiledere og informasjonsmateriell - Vi vil utarbeide standardbrev arbeidstager kan bruke - Vi vil ha tettere samarbeid med partene i arbeidslivet Side 48