PlusOffice har fått flere henvendelser, spesielt i det siste, fra våre kunder som lurer på om de må slette absolutt all informasjon om en arbeidstaker etter han eller hun slutter. Hva med arkiveringsplikt o.l.?

Informasjon og opplysningene som lagre må være saklige og relevante, og skal kun brukes til uttrykkelige angitte formål. Noen typer informasjon vil ofte miste relevansen etter hvert som tiden går, men noe kan være relevant å oppbevare hele ansettelsestiden.

Arbeidsgiver og andre som arbeider med personalarbeid bør stille seg følgende spørsmål:

  1. Hva har vi, og hva trenger vi?
  2. Hvorfor?
  3. Hvor lenge er det behov for det?
  4. Hvordan oppbevares det?
  5. Hvem har tilgang?

Personopplysningslovgivningen og forordning (EU) 2016/679 av 27. april 2016 (GDPR) setter rammene. Arbeidsmiljøloven har også bestemmelser rundt innhenting av personopplysninger. Dette kan i noen tilfeller være et litt komplekst tema. Mer om dette finnes i artikkelen «Arbeidsgiver har bevisbyrden».

Mange opplever det som utfordrende å kunne tolke lovverket på enkelte punkter, spesielt når flere bestemmelser og noen ganger også ulike lover må ses i sammenheng med hverandre. De fleste er kjent med at de er pålagt å ha system/rutine for registrering og statistikk over blant annet egenmeldinger, sykmeldinger, fravær ved sykdom barn. Men blir litt usikre når de kommer over informasjon de tolker slik at det som hovedregel ikke er tillatt å oppbevare opplysninger om den ansattes helse.

Virksomheter som benytter ledelsessystem fra PlusOffice har også faghjelp inkludert i sitt kundeforhold. Da kan arbeidsgiver få klarhet i at fraværsdato, type fravær og varighet kan registreres. Diagnose kan derimot ikke registreres.
Personalhåndbok til støtte for arbeidsgiver og de ansatte i slike situasjoner er også integrert i systemet. Systemet har også funksjoner som ivaretar registrering og håndtering av fravær.


Hvor lange kan informasjon lagres?

Det skal ikke lagres personopplysninger lengre enn det som er nødvendig for å gjennomføre formålet opplysningene skal benyttes til. Dette innebærer at arbeidsgiver må ha rutiner for gjennomgang av lagret informasjon. Arbeidsgiver må vurdere hvor ofte det er behov for en slik gjennomgang. Ta gjerne kontakt med PlusOffice sin fagavdeling for råd og veiledning.

Sletting av informasjon

Den ansatte har krav på å få vite hvilke personopplysninger som er lagret. Dersom de mener opplysningene er uriktige, ufullstendige eller unødvendige, kan du kreve at disse rettes eller slettes.

Som arbeidsgiver må men kunne vise til saklig begrunnelse for hvorfor opplysningen er lagret, finnes ikke en slik grunn skal de slettes.

Når en ansatt slutter i en virksomhet skal arbeidsgiveren gjennomgå personalmappen og slette unødvendig informasjon.

Her er vi inne på et svært sentralt spørsmål nå om dagen. Hva så med «Retten til å bli glemt»? Vi ser at noen leverandører av personalsystemer fremhever funksjonalitet som ivaretar «retten til å bli glemt».

Men det er ikke nødvendigvis slik at man automatisk skal slette alle spor av et ansettelsesforhold når en ansatt slutter. Arbeidsgiver kan fortsatt lagre opplysninger for eksempel om hvem som har jobbet i virksomheten, hvor lenge og hva de gjorde.

Sletteplikten gjelder ikke dersom videre behandling er nødvendig for:

  • å utøve retten til ytrings- og informasjonsfrihet
  • at den behandlingsansvarlige skal oppfylle en rettslig forpliktelse
  • allmenhetens interesse knyttet til folkehelse
  • arkivformål i allmennhetens interesse, vitenskapelig eller historisk forskning eller statistiske formål forutsatt at sletting vil gjøre det umulig eller i alvorlig grad hindre at formålene med behandlingen her oppnås
  • at et rettskrav kan fastlegges, gjøres gjeldende eller forsvares

Krav til arkivering

Alle arbeidsgivere som er underlagt arkivloven må følge kravene som stilles der til arkivering og lagring. Arkiveringsplikten vil gå foran sletteplikten i personopplysningsloven. Arkivlovens krav om langtidslagring bør kompenseres med enda strengere krav til tilgangskontroll.

Informasjonssikkerhet og tilgangskontroll

Arbeidsgiver skal påse at personopplysninger virksomheten og/eller den ansatte anser som høyst personlige kun er tilgengelig for personer med tjenstlig behov for opplysningene, og at de beskyttes mot uautorisert innsyn. Det er her ofte nødvendig med flere «tilgangsnivåer».

Tradisjonelle arkivskap, med lås, der snoking forebygges med å legge enkelte opplysninger i konvolutter og mye er overlatt til blind tillit ser vi mindre og mindre til. Årsaken er nok at oversikt og etterlevelse av krav blir svært tidkrevende. Nå som de finnes elektroniske registrere som håndtere dette enklere er det naturlig at arkivmapper dør ut.

Men i den elektroniske verden er det andre risikoer. Man bør benytte ledelsessystemer som er utviklet til formålet. Og påse at systemet er bygget opp slik at nødvendig tilgangskontroll lar seg gjennomføre uten fare for at opplysninger kommer på avveie.

PlusOffice sitt ledelsessystem er utviklet for å tilby blant annet god informasjonssikkerhet og tilgangskontroll. PlusOffice AS som ansvarlig databehandler inngår databehandleravtale med alle kunder etter de vilkår som regelverket krever.