Personuppgifter om anställda: så hanterar arbetsgivaren dem enligt GDPR

Rättslig grund: avtal, lag och intresseavvägning – sällan samtycke

Varje register om anställda behöver ett uttalat ändamål och en rättslig grund. Den vanligaste är avtalet. IMY nämner system för löneberäkning, registrering av sjukfrånvaro och tidredovisning som exempel på behandling som är nödvändig för att anställningsavtalet ska kunna fullgöras. Nästa grund är rättslig förpliktelse, där arbetsgivaren måste behandla uppgifter enligt lag eller andra regler, exempelvis kollektivavtal, som när skatteavdrag och arbetsgivaravgifter ska redovisas till Skatteverket. Den tredje är intresseavvägning. Den kräver att arbetsgivarens berättigade intresse väger tyngre än den anställdes intresse av skydd för sina uppgifter. Bedömningen påverkas av vilka uppgifter det gäller, hur arbetsplatsen ser ut och vad den anställde rimligen kan förvänta sig. Den anställde har rätt att invända mot sådan behandling, och arbetsgivaren ska ha informerat om den rätten redan när uppgifterna samlades in.

Samtycke är enligt IMY normalt inte en användbar grund i anställningen, eftersom den anställde är i beroendeställning och sällan kan säga nej utan att känna press. Att arbetsgivaren skriver att något är frivilligt räcker inte. Samtycket fungerar bara när det finns ett verkligt fritt val, rimliga alternativ och möjlighet att återkalla utan nackdelar. Ett exempel från IMY är anhöriglistor, som i stället kan föras med stöd av intresseavvägning. Arbetsgivaren bör då låta bli att registrera vilken relation den anhörige har, eftersom den uppgiften indirekt kan avslöja sexuell läggning. En annan fälla gäller inhyrd personal. Enligt IMY ger avtalet med ett bemanningsföretag ingen rättslig grund att behandla uppgifter om bemanningsföretagets anställda, eftersom anställningsavtalet inte är ingånget med kunden. Den som hyr in behöver alltså en annan grund, i praktiken ofta en intresseavvägning.

Vad de anställda ska få veta – och kan kräva

Informationsplikten gäller i princip all behandling. Samlas uppgifterna in från den anställde, till exempel via ett personalformulär eller en inloggning som loggas, ska informationen lämnas senast när det sker. Kommer de från någon annan källa ska den lämnas inom rimlig tid, dock högst en månad. De anställda ska förstå att uppgifter samlas in, varför och hur de används, och vilka rättigheter de har. Det enklaste är en samlad personalinformation som lämnas vid anställningen och uppdateras när ett nytt system införs. Uppgifter som samlats in för ett ändamål får inte användas för ett oförenligt ändamål senare. IMY ger exemplet att uppgifter för planering och logistik inte utan vidare får användas för prestationsmätning. Ska ni börja följa upp arbetet med data ni redan har, gör en ny bedömning och informera de anställda innan ni sätter igång.

Den anställde har rätt att få en kopia av sina personuppgifter och information om hur de behandlas, och svaret ska enligt dataskyddsförordningen normalt lämnas inom en månad. Hen kan också begära att felaktiga uppgifter rättas och att uppgifter som inte längre behövs raderas. Ha därför en rutin för att kunna ta fram allt ur lönesystem, tidsystem, e-post och ärendehantering. Personnummer får enligt 3 kap. 10 § dataskyddslagen behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet, vikten av säker identifiering eller något annat beaktansvärt skäl. IMY skriver att det knappast finns anledning att skriva ut personnummer på tjänstgöringslistor eller adressetiketter, och att det som utgångspunkt inte heller är motiverat att använda det som användarnamn vid inloggning. Ett lönesystem i molnet innebär att leverantören är personuppgiftsbiträde, och då ska ett skriftligt biträdesavtal finnas.

Sjukfrånvaro, hälsa och facklig tillhörighet

Känsliga personuppgifter är bland annat uppgifter om hälsa, etniskt ursprung, religiös övertygelse, sexuell läggning och medlemskap i fackförening. Enligt IMY räknas sjukfrånvaro, graviditet och läkarbesök som uppgifter om hälsa. Huvudregeln är att sådana uppgifter inte får behandlas, men dataskyddsförordningen gör undantag när behandlingen är nödvändig för att fullgöra skyldigheter eller utöva rättigheter inom arbetsrätten. I Sverige ger 3 kap. 2 § dataskyddslagen ett generellt stöd för det. IMY:s exempel är uppgifter om sjukdom som behövs för att beräkna sjuklön, utreda rätten till frånvaro eller inleda en rehabiliteringsutredning, och uppgift om fackligt medlemskap när arbetsgivaren ska fullgöra sin förhandlingsskyldighet. Uppgifter som behandlas med det stödet får lämnas ut till tredje part bara om det finns en skyldighet inom arbetsrätten att göra det, eller om den anställde uttryckligen har samtyckt.

Undantaget är ingen fullmakt att samla in allt. Uppgifterna ska vara adekvata, relevanta och inte för omfattande, och IMY påpekar att en arbetsgivare när det gäller sjukdom normalt inte behöver behandla diagnoser. Registrera därför frånvarons omfattning och datum, och i rehabiliteringsärenden det som behövs för att bedöma arbetsförmåga och åtgärder, inte medicinska detaljer. Uppgifterna får inte heller samlas slentrianmässigt eller sparas utan att behovet finns kvar. För facklig tillhörighet varnar IMY för att en permanent förteckning kan vara problematisk, och föreslår att arbetsgivaren i stället överväger hur uppgiften samlas in när den faktiskt behövs, till exempel inför en lönerevision. Begränsa behörigheten så att bara närmaste chef och den som sköter lön och rehabilitering kommer åt uppgifterna, och håll dem utanför gemensamma mappar och e-posttrådar.

Personalakten och gallringen

En personalakt är tillåten, men varje notering ska ha betydelse för tjänsten, vara saklig och inte kränkande eller nedvärderande. Det är värt att läsa som ett krav på språket: skriv vad som hände och vad som sades, inte omdömen om personen. Uppgifter som bara kan vara bra att ha längre fram får inte samlas in. En rimlig personalakt innehåller anställningsavtal, lönebeslut, uppgifter som krävs för skatt och pension, dokumenterade samtal om arbetsrättsliga åtgärder, rehabiliteringsplaner och kopior av handlingar som lag kräver, som arbetstillstånd för den som behöver det. Håll isär det som gäller hälsa från den övriga akten. Arbetsgivaren ska kunna visa att reglerna följs, så dokumentera också vilka bedömningar som gjorts när ett personalsystem införs. För personal som hyrs in från Talea Work ligger personalakten hos oss som arbetsgivare, och du som kund behöver bara hantera det uppdraget kräver, som namn, behörigheter och tidrapporter.

Hur länge uppgifter får sparas bestäms av ändamålet. När det är uppfyllt ska uppgifterna normalt raderas eller avidentifieras. Ibland kräver annan lag att de sparas längre, till exempel bokföringslagen för löneunderlag, och då ska åtkomsten begränsas under den tiden. Kopior av uppehålls- och arbetstillstånd ska enligt Migrationsverket sparas minst tolv månader efter att anställningen upphört. IMY skriver att det som regel inte finns stöd för att behålla en tidigare anställds e-postkonto eller låta uppgifter om hen ligga kvar på webbplatsen, och att de ska tas bort så snart som möjligt, normalt inom en månad. Gör en gallringsplan med en rad per typ av uppgift, ändamål och lagringstid, och gå igenom den minst en gång om året. Brister kan leda till tillsyn från IMY och sanktionsavgift enligt dataskyddsförordningen, och den anställde kan kräva skadestånd.