Personalmappa på ville veier?

Våren er tiden for medarbeidersamtaler – for noen en inspirerende «kick-off» på arbeidsåret, for andre et kleint pliktløp. Uansett hvordan du opplever det, skal du som arbeidstaker føle deg trygg på at det som blir sagt i medarbeidersamtalen sies i fortrolighet og forvaltes deretter.

Likevel svarer så mange som 1 av 4 norske ledere med personalansvar at de er usikre på om opplysninger fra medarbeidersamtalene lagres i tråd med retningslinjene i personvernforordningen, også kalt GDPR.  Og 4 prosent svarer nei til om bedriften lagrer i henhold til GDPR.

Det viser en undersøkelse utarbeidet av Perceptor og Norstat på oppdrag for selskapet Simployer i Sarpsborg, gjennomført blant bedrifter med 50 eller flere ansatte. Det er problematisk av flere grunner.

– Ikke mangel på vilje

Jurist og sjef for rådgiveravdelingen hos Simployer, Therese Gram, sier at hennes inntrykk er at norske ledere flest ønsker å ivareta de ansattes rettigheter.

– Det høye tallet i rapporten reflekterer nok ikke manglende vilje, men heller mye usikkerhet knyttet til GDPR, forklarer hun.

Hun presiserer at det likevel er uheldig om notater og referater fra medarbeidersamtaler kommer på avveie eller at ansatte føler seg utrygge på om de kan være åpne og ærlige i samtale med sin leder.

– Det finnes flere måter å håndtere dette på, men det viktige er at bedriften har kontroll på både lagringen og hvem som har tilgang til opplysningene knyttet til den enkelte arbeidstaker, sier hun.

Therese Gram er jurist og sjef for rådgiveravdelingen hos Simployer. Hun råder enhver virksomhet til å ta en runde med sine ledere for å sikre at alle i bedriften vet hvordan man skal håndtere referater fra medarbeidersamtalen i henhold til GDPR. Foto: Simployer

Skummel usikkerhet

– Når ledere som gjennomfører medarbeidersamtaler er usikre på om opplysningene fra medarbeidersamtalen håndteres riktig, kan det for det første legge en demper på hvor aktivt de følger opp arbeidstakerne. Når folk er usikre på hva som er lov, kan de blir for forsiktige, av frykt å gjøre feil, sier seniorrådgiver Kaja Breivik Furuseth i Datatilsynet.

– Dessuten kan usikkerheten være et uttrykk for at bedriften mangler rutiner for å sikre og dokumentere at de ansattes personopplysninger blir ivaretatt i tråd med personvernreglene. Det er jo også mulig at for eksempel HR-avdelingen har rutiner for å ta vare på opplysningene fra medarbeidersamtalen, men at dette ikke er godt nok kjent for de enkelte lederne og mellomlederne, utdyper hun.

Klager på manglende rutiner

Arbeidsliv er et av fagområdene Datatilsynet årlig mottar mange henvendelser om – fra både arbeidsgivere, arbeidstakere og tillitsvalgte. Av de over 7000 henvendelsene Datatilsynet mottok i 2019, dreide hele 21 prosent seg om personvern i arbeidslivet.

– Ved siden av veiledning er en sentral oppgave for oss å behandle klager fra personer som mener at deres personvernrettigheter er brutt. Også innenfor klagesaker, får vi mange henvendelser som gjelder håndtering av personopplysninger på arbeidsplassen, sier Kaja Breivik Furuseth.

I fjor mottok Datatilsynet rundt 70 nye klagesaker relatert til arbeidsliv.

– Vi har ikke statistikk over medarbeidersamtaler spesielt, men mange av sakene dreier seg om manglende rutiner for hvordan personopplysninger behandles og brukes, forteller hun.

Skal bare være én versjon

Som ansatt har vi alle innsynsrett og skal ha tilgang til referatet fra vår egen medarbeidersamtale. Nærmeste leder – den andre parten i samtalen – har selvsagt også tilgang. Utover det er det en veldig begrenset gruppe som kan og bør få innsyn i disse detaljene.

– Kanskje bare leders leder og i noen tilfeller den HR-ansvarlige, mener Simployer-jurist, Therese Gram.

– Det er viktig å huske på at i en medarbeidersamtale kan for eksempel helseutfordringer bli et tema, og da er det plutselig snakk om sensitive opplysninger. Dersom lederen så sender et referat av samtalen i en e-post som ikke er kryptert, kan andre ganske enkelt få tilgang til denne informasjonen, sier Gram.

Hun fremhever også viktigheten av å låse dokumentene slik at et referat ikke kan endres i ettertid.

– Gode rutiner for signering, lagring og låsing av dokumenter er viktig for å unngå at man havner i en situasjon der det plutselig finnes to versjoner av samtalen.

Retten til innsyn

Arbeidsgiveren skal sørge for at opplysningene om de ansatte er korrekt. Det er gjerne i saker der det har oppstått en konflikt at arbeidstakere tar kontakt med Datatilsynet, forteller Breivik Furuseth.

– Vi har mange saker hvor ansatte henvender seg til oss for å få hjelp til å få innsyn i de personopplysningene arbeidsgiveren har lagret om dem, sier hun, og presisere:

– Innsyn er en forutsetning for at arbeidstakeren kan be om retting av opplysninger, eller sletting av opplysninger som arbeidstakeren mener ikke lenger er nødvendig å lagre. Personopplysningsloven gir likevel visse unntak for arbeidstakernes rett til innsyn, for eksempel der det er nødvendig å nekte innsyn for å sikre forsvarlige interne avgjørelsesprosesser.

Les også: Pass på deg selv!