Bruk av samtykke i ansettelsesforhold

Artikkel

Bruk av samtykke i ansettelsesforhold

Alle virksomheter som håndterer personopplysninger må dokumentere hvordan informasjonen behandles. Din virksomhet bør derfor sørge for rutiner for håndtering av personopplysningene.

Behandling av ansattopplysninger for administrering av ansettelsesforholdet er en behandling av personopplysninger som krever et juridisk behandlingsgrunnlag. Et behandlingsgrunnlag kan eksempelvis være samtykke, hjemmel i lov eller at behandlingen er nødvendig for oppfyllelse (eller inngåelse) av en kontrakt. Datatilsynets praksis tilsier at samtykke er det beste behandlingsgrunnlaget. Det er flere grunner til dette, men først og fremst vil den data subjektet (eksempelvis den ansatte) ved bruk av samtykke som behandlingsgrunnlag ha best kontroll over egne opplysninger.

La oss se nærmere på hovedregelen om samtykke. Hvordan passer samtykke som behandlingsgrunnlag inn i et ansettelsesforhold?

Den ansattes samtykke må være «frivillig»

Både dagens personvernlovgivning og den nye EU-rettslige personvernforordningen (GDPR), som trer i kraft i Norge 25. mai 2018, stiller krav til avgivelsen av og innholdet i et samtykke, for at et samtykke anses som gyldig og dermed gi arbeidsgiver grunnlag for å behandle de aktuelle personopplysningene. For at et samtykke vil regnes som gyldig må det være uttrykkelig, spesifikt, informert, utvetydig og frivillig avgitt (GDPR artikkel 4).

Frivillighetsvilkåret innebærer at samtykke i liten grad egner seg som behandlingsgrunnlag i ansettelsesforhold. I en arbeidstaker-arbeidsgiverrelasjon skal det mye til for at et samtykke vil regnes som «frivillig» grunnet skjevheten i styrkeforholdet mellom arbeidstaker og arbeidsgiver. I fortalen til GDPR fastslås det at et samtykke ikke bør utgjøre et gyldig rettsgrunnlag for behandling av personopplysninger dersom det er en klar skjevhet mellom den registrerte (den ansatte) og den behandlingsansvarlige (arbeidsgiver) (fortalens artikkel 43).

Bakgrunnen for dette er å sikre at samtykket er avgitt frivillig. Ethvert individ har rett til et privatliv og til å bestemme over sine egne personopplysninger, og frivillighetsvilkåret er et utslag av dette prinsippet. 

Arbeidsgivers styringsrett, det vil si arbeidsgivers kompetanse til å lede, organisere og pålegge arbeidstaker arbeidsoppgaver, innebærer at arbeidsgiver har en maktposisjon overfor arbeidstaker. Det er en skjevhet i styrkeforholdet og arbeidstaker er naturlig underlagt arbeidsgivers beslutninger. Ubalansen medfører at arbeidstakers handlinger ikke nødvendigvis kan regnes som arbeidstakers frie vilje, selv om handlingen er gjennomført på arbeidstakers eget initiativ eller uten protest. Dersom avståelse fra å avgi samtykke vil ha negative konsekvenser for den ansatte, vil ikke samtykket kunne regnes som frivillig ettersom samtykket med sannsynlighet ikke ville vært avgitt dersom avståelse ikke ville fått negative konsekvenser.

Hva skjer om utkast til ansettelseskontrakt har en regulering om at den ansatte samtykker til at arbeidsgiver til enhver tid skal ha innsyn i den ansattes e-postkasse? Om kandidaten til stillingen ikke samtykker vil kandidaten mest sannsynlig ikke få stillingen. Den ansatte blir satt under press og frivillighetskravet vil ikke oppfylles.

Arbeidsavtalen som behandlingsgrunnlag

Hva gjelder behandling av personopplysninger i ansettelsesforhold for det formål å administrere ansettelsesforholdet vil kontrakt (ansettelsesavtalen) være et naturlig behandlingsgrunnlag. Arbeidsgiver vil i kraft av ansettelsesavtalen ha et juridisk grunnlag til å behandle den ansattes personopplysninger. Registrering og behandling av personopplysninger begrenser seg imidlertid til det som er nødvendig for å administrere ansettelsesforholdet, som for eksempel å foreta lønnsutbetalinger, føre timelister også videre, vil anses som «nødvendig for å oppfylle ansettelsesavtalen».

Dersom arbeidsgiver ønsker å gjennomføre behandlingsaktiviteter som går utover disse formål må det foreligge annet behandlingsgrunnlag, og samtykke vil derfor i enkelte tilfeller fremstå som et praktisk behandlingsgrunnlag for arbeidsgiver.

Når kan samtykke tenkes å være et aktuelt behandlingsgrunnlag?

For at samtykke skal være aktuelt som behandlingsgrunnlag må den ansatte, i tillegg til å oppfylle de øvrige som nevnt over, ha en reell valgfrihet i tilknytning vurderingen av om samtykke skal avgis. Den ansatte vil eksempelvis ikke ha reell valgfrihet dersom avståelse fra å gi samtykke innebærer at den ansatte ikke får muligheten til å delta på et kurs eller ikke får benyttet seg av et viktig arbeidsverktøy.

Det må foretas en konkret vurdering av hvorvidt frivillighetsvilkåret vil være oppfylt i det enkelte tilfellet.

Et eksempel på et frivillig samtykke kan være at den ansatte samtykker til å delta i et fordelsprogram arbeidsgiver tilbyr i samarbeid med en tredjepart. Dette vil formodentlig være en behandlingsaktivitet med utelukkende positive konsekvenser for den ansatte, som den ansatte selv på frivillig basis avgjør om den vil benytte seg av. Et annet eksempel kan være samtykke til behandling av personopplysninger i tilknytning sosiale tilbud og aktiviteter arbeidsgiver tilbyr de ansatte.

Merk at et samtykke skal kunne trekkes tilbake like lett som det det er å avgi et samtykke. Når et samtykke trekkes tilbake foreligger det ikke lenger et behandlingsgrunnlag og behandlingen må stanse og innsamlet data må i utgangspunktet slettes.

Konsekvenser av ugyldig behandlingsgrunnlag

Dersom vilkårene for gyldig samtykke ikke er oppfylt foreligger det ikke et rettslig behandlingsgrunnlag og virksomheten har ikke lov til å behandle opplysningene og behandlingene må opphøre. Dersom behandlingen likevel fortsetter risikerer virksomheten bøter og omdømme tap. Selv om det etter GDPR kan gis bøter opp mot 4 prosent av virksomhetens omsetning ser vi at et omdømmetap kan være vel så kostbart

Enhver virksomhet som behandler personopplysninger, eksempelvis ansattes opplysninger, har en plikt til å kunne dokumentere hvordan opplysningene behandles. Virksomheten må derfor sørge for rutiner for håndtering av sine personopplysninger.

GDPR: Slik gjør du deg klar til ny personvern-forordning

Last ned oversikt
Var denne siden nyttig?