Arbetstagarens personuppgifter: vad får samlas in och hur länge förvaras de

Arbetsgivaren får behandla endast personuppgifter som är direkt nödvändiga för anställningen. Uppgifterna behöver ett ändamål, behörigheter och en lagringstid. Vissa uppgifter, som arbetstidsbokföring, ska sparas även efter att anställningen har upphört.

Relevanskravet avgränsar samlingen

Enligt 3 § i lagen är sådana uppgifter relevanta som har samband med skötseln av rättigheterna och skyldigheterna för parterna i anställningsförhållandet eller med de förmåner arbetsgivaren erbjuder arbetstagarna eller som beror på arbetsuppgifternas särskilda natur. En uppgift ska alltså motiveras med en arbetsuppgift eller en skyldighet, inte med att den finns tillgänglig eller att den någon gång kunde vara till nytta.

Det praktiska testet görs fält för fält. Bredvid varje fält antecknas den rättighet eller skyldighet för arbetsgivaren som fältet tjänar: löneutbetalning, arbetsskiftsplanering, arbetstidsbokföring, arbetarskydd eller påvisande av behörighet för en myndighet. Ett fält som ingenting kan skrivas bredvid hör inte hemma på blanketten, och det ska bort innan det hinner in i registret.

Samtycke tillåter inte onödiga uppgifter. Nödvändighetskravet i 3 § i lagen om integritetsskydd i arbetslivet kan inte kringgås genom arbetstagarens samtycke. Bedöm också den rättsliga grunden enligt dataskyddsförordningen och kraven i 4 och 5 § på insamling och behandling av hälsouppgifter.

Uppgifterna samlas in hos arbetstagaren själv

Arbetsgivaren ska samla in personuppgifter om arbetstagaren i första hand hos arbetstagaren själv (4 §). För att hämta dem någon annanstans ifrån behövs arbetstagarens samtycke; undantag är en myndighets lagstadgade utlämnande och situationer där insamlingen särskilt föreskrivits i lag.

Samma paragraf ställer två informationsskyldigheter som infaller vid olika tidpunkter. Innan uppgifter hämtas för att utreda arbetstagarens tillförlitlighet ska arbetsgivaren meddela arbetstagaren om det på förhand. Om uppgifter däremot har samlats in någon annanstans än hos arbetstagaren själv, ska arbetsgivaren berätta för arbetstagaren om de uppgifter som fåtts innan de används i beslutsfattande som gäller hen. Det senare gäller också muntliga källor, till exempel en bedömning som en tidigare arbetsgivare gett per telefon.

Vid anställning betyder detta att uppgifterna först begärs av personen själv och att bakgrundskällor används först med hens vetskap. Under anställningen betyder det att en chefs anteckning om vad någon annan berättat är en personuppgift lika mycket som ett fält på en blankett, om den hamnar i registret och påverkar ett beslut.

Uppgifter om hälsotillstånd har ett eget förfarande

Behandlingen av uppgifter om hälsotillstånd avviker enligt 5 § från övrig behandling av personuppgifter på fyra sätt.

Grund. Lagens 5 § tillåter behandling av hälsouppgifter under vissa förutsättningar, exempelvis för sjuklön eller för att utreda grunden för frånvaro. Uppgifterna hämtas från arbetstagaren eller från annat håll med skriftligt samtycke. Behovet bedöms utifrån ändamålet: enbart frånvarotidpunkten räcker inte alltid för att bedöma sjuklön, men en diagnos samlas inte heller in för säkerhets skull.

Namngivna behandlare. Uppgifter om hälsotillstånd får behandlas endast av de personer som utifrån dessa uppgifter bereder eller fattar beslut som gäller anställningen eller verkställer dem. Arbetsgivaren ska namnge dessa personer eller definiera de arbetsuppgifter som behandlingen hör till. Namngivningen ska antecknas, eftersom den ska kunna visas i efterhand.

Förvaring åtskilt. De uppgifter om hälsotillstånd som arbetsgivaren innehar ska förvaras åtskilda från övriga insamlade personuppgifter. Åtskillnaden genomförs antingen som ett eget register eller genom en åtkomsthantering som begränsar uppgifterna till de namngivna behandlarna också när de ligger i samma system som övriga personaluppgifter.

Radering och periodisk bedömning. Uppgifter om hälsotillstånd ska raderas omedelbart efter att det inte längre finns en sådan grund för behandlingen som avses i 5 §. Grunden för och behovet av behandlingen ska dessutom bedömas minst vart femte år. Bedömningen är en egen åtgärd vars tidpunkt och resultat det lönar sig att anteckna: om fem år minns ingen vems uppgifter om sjukfrånvaro som blev kvar i systemet och på vilken grund.

Teknisk övervakning är ett separat förfarande

Om personuppgifter uppstår genom övervakning som genomförts med tekniska metoder, såsom passerkontroll, kameraövervakning eller en stämplingsapparat, hör övervakningens syfte, ibruktagande och metoder enligt 21 § till den dialog som avses i samarbetslagen. Efter förfarandet definierar arbetsgivaren användningsändamålet och metoderna för övervakningen och informerar arbetstagarna om dem. Ordningsföljden och vad som skrivs i informationen gås igenom i guiden Införande av arbetstidsuppföljning.

Dataskyddsförordningen ger arbetstagaren rättigheter till de egna uppgifterna

Arbetsgivaren är personuppgiftsansvarig för personalregistret, och dataskyddsförordningens allmänna principer gäller det fullt ut. Fyra av dem syns direkt i personaladministrationens vardag.

Arbetstagaren ska få veta vilka uppgifter som behandlas om hen, för vilket ändamål och hur länge. Arbetstagaren har rätt att få tillgång till sina egna uppgifter, det vill säga på begäran ska de uppgifter som lagrats om hen lämnas ut; begäran besvaras också under en pågående anställning. En felaktig uppgift ska rättas, och det lönar sig att göra rättelsen i det system som uppgiften kopieras vidare från. Lagringsminimering betyder att uppgifter i identifierbar form förvaras bara så länge som användningsändamålet kräver – därför ska förvaringstiden definieras per uppgiftsgrupp och inte för registret som helhet.

Lagstadgade förvaringstider håller kvar en del av materialet

En del av personalmaterialet har en egen förvaringsskyldighet som är oberoende av arbetsgivarens egen praxis. Dessa tider är minimitider: uppgiften ska förvaras minst så länge, och därefter förvaras den bara om det finns en grund för förvaringen.

Arbetstidsbokföringens anteckningar, sätten att registrera och förvaringen gås igenom i en egen guide, Arbetstidsbokföring. Av semesterbokföringen ska enligt 29 § framgå semestrarnas längd och tidpunkter, antalet extra lediga dagar och deras tidpunkter samt lönernas och ersättningarnas storlek och grunderna för hur de bestäms, och den ska på begäran visas för den som utför arbetarskyddsinspektionen samt för förtroendemannen, förtroendeombudet eller arbetarskyddsfullmäktigen. I fråga om rapporterna i rapporteringskanalen kräver 29 § dessutom att personuppgifter som uppenbart saknar betydelse för handläggningen av rapporten raderas utan obefogat dröjsmål.

Samarbete och information

Insamlingen av personuppgifter vid anställning och under anställningen ska behandlas i den dialog som avses i samarbetslagen (4 §). Dialogen gäller förfarandet, inte en enskild arbetstagare: vilka uppgifter som samlas in, från vilka källor och för vilket ändamål. När registrets innehåll ändras – ett nytt blankettfält, en ny uppgiftskälla, ett nytt system – hör saken till dialogen innan det tas i bruk.

Samarbetslagens dialog gäller företag med regelbundet minst 20 arbetstagare; i företag med 20–49 arbetstagare förs den i den lättare form som avses i 7 a § i samarbetslagen. I mindre företag än så finns ingen dialogskyldighet, men i fråga om övervakning som genomförts med tekniska metoder ska arbetsgivaren enligt 21 § ge arbetstagarna eller deras representanter tillfälle att bli hörda före beslutsfattandet. Skyldigheten att informera om övervakningens syfte, ibruktagande och metoder gäller båda.

Lagen om integritetsskydd i arbetslivet ska enligt 23 § hållas framlagd för arbetstagarna på arbetsplatserna. Samma plats där arbetstidslagen och arbetsskiftsförteckningen finns tillgängliga duger också för detta.

När anställningen upphör delas materialet i två

Sista dagen är ett bra tillfälle att gå igenom registret, eftersom en del av behandlingsgrunderna upphör samma dag och en del fortsätter i flera år. Tre grupper skiljer sig från varandra.

1. Försvinner när grunden upphör. Användarrättigheter och identifikatorer, passerkort, kontaktuppgifter på larmlistor, uppgifter om nära anhöriga, kopplingar till fordon och utrustning samt uppgifter om hälsotillstånd vars grund upphörde redan före anställningens slut. För dessa finns inte längre något ändamål, och 5 § kräver att uppgifterna om hälsotillstånd raderas omedelbart.
2. Bevaras en viss tid som lagstadgat material. Arbetstidsbokföringen, semesterbokföringen, löneräkningens verifikat och övrigt bokföringsmaterial samt rapporterna i den interna rapporteringskanalen enligt tabellen ovan. Dessa raderas inte på begäran mitt under förvaringstiden, eftersom de är just det material med vilket arbetstagarens egen fordran utreds.
3. Bevaras för ett motiverat ändamål. Arbetsavtal, arbetsvillkor och avslutsdokument kan behövas för att visa rättigheter även efter anställningen. Bestäm ändamål, rättslig grund och lagringstid separat.

När grunden för lagring upphör raderas personuppgifterna eller materialet anonymiseras. Anonymisering kräver att personen inte längre kan identifieras med rimligen tillgängliga medel. Utöver namnet måste därför fritext, bilagor, unika identifierare och möjligheten att kombinera uppgifter kontrolleras. Om identifiering fortfarande är möjlig är materialet personuppgifter och kräver en behandlingsgrund.

En begäran om radering upphäver inte förvaringsskyldigheten. När en arbetstagare begär att uppgifterna om hen raderas blir det material som omfattas av en lagstadgad förvaringsskyldighet kvar till förvaringstidens slut. I svaret lönar det sig att berätta vilka uppgifter som raderas genast, vilka som bevaras och till vilket datum.

Exempel: personalregistrets uppgiftsgrupper

Nedan är en arbetsgivares register grupperat så att varje rad har en grund, en behandlare, en förvaringstid och ett svar på vad som händer efter att anställningen har upphört. Samma tabell fungerar som stomme för registret över behandling.

Radernas ordning berättar också om behandlarkretsens form. Basuppgifterna och arbetstidsanteckningarna används av flest, uppgifterna om hälsotillstånd av minst. Om användarrättigheterna är byggda som en enda nivå av typen “HR ser allt” uppfylls inte den femte raden, även om förvaringstiderna vore i skick.

Checklista

• Varje uppgiftsfält har ett namngivet användningsändamål. Ett fält som ingen rättighet eller skyldighet för arbetsgivaren kan skrivas bredvid tas bort från blanketten och registret.
• Nödvändighet och rättslig grund enligt dataskyddsförordningen är dokumenterade separat. Samtyckeskraven för insamlingen är kontrollerade.
• Uppgifterna samlas i första hand in hos arbetstagaren själv. För att hämta dem från en annan källa krävs samtycke eller en grund som föreskrivs i lag.
• Utredningen av tillförlitligheten meddelas på förhand och uppgifter som fåtts någon annanstans ifrån berättas för arbetstagaren innan de används i beslutsfattandet.
• Behandlarna av uppgifter om hälsotillstånd är namngivna eller arbetsuppgifterna definierade, och uppgifterna förvaras åtskilda från övriga personuppgifter.
• Grunden för och behovet av behandlingen av uppgifter om hälsotillstånd har bedömts under de senaste fem åren, och bedömningens datum är antecknat.
• Den tekniska övervakningens användningsändamål och metoder är definierade och arbetstagarna har informerats om dem.
• Insamlingen av personuppgifter har behandlats i samarbetslagens dialog, eller i ett företag med under 20 arbetstagare har arbetstagarna getts tillfälle att bli hörda om den tekniska övervakningen före beslutet.
• Förvaringstiden är definierad per uppgiftsgrupp och den lagstadgade minimitiden antecknad för de grupper som den gäller.
• Det finns en lista för anställningens upphörande: vad som försvinner genast, vad som bevaras en viss tid och till vilket datum.
• Anonymiseringen täcker fria texter, bilagor och kortnummer, inte bara namn- och kontaktuppgiftsfälten.
• Arbetstagaren får sina egna uppgifter på begäran, en felaktig uppgift rättas i källsystemet, och lagen om integritetsskydd i arbetslivet finns framlagd på arbetsplatsen (23 §).