Varsling og GDPR – hva må arbeidsgiver tenke på?

Hvorfor GDPR er relevant for varsling

Personopplysningsloven med forordningen, populært kalt GDPR, gjelder all behandling av personopplysninger i virksomheter. En varslingskanal vil nødvendigvis behandle personopplysninger, enten det er navn, e-post, stilling, eller opplysninger om en hendelse. Dersom varselet inneholder opplysninger om straffbare forhold, helse, etnisk opprinnelse, religion, seksuell legning eller fagforeningsmedlemskap, regnes opplysningene som særlige kategorier av personopplysninger, og kravene til behandling er strengere.

Virksomheten må derfor ha et klart rettslig grunnlag for å behandle disse opplysningene, og må kunne dokumentere at behandlingen er nødvendig, proporsjonal og begrenset til det formålet som loven krever. God personvernpraksis i varslingsarbeidet er dermed ikke en hindring for å varsle, men en forutsetning for at ordningen skal være lovlig og tillitsvekkende.

Rettslig grunnlag for behandling

For de fleste varslingsopplysninger vil rettslig grunnlag være en kombinasjon av at behandlingen er nødvendig for å oppfylle en rettslig forpliktelse som påhviler arbeidsgiveren, jf. GDPR artikkel 6 nr. 1 bokstav c, og at det er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet, jf. bokstav e. Dersom varselet gjelder en arbeidstaker, kan det også være aktuelt å bruke arbeidsavtalen og arbeidsgivers styringsrett som del av grunnlaget, gjerne innenfor rammen av nødvendighet.

Særlige kategorier av personopplysninger, inkludert opplysninger om straffbare forhold, krever et supplerende grunnlag i GDPR artikkel 9 og 10. For arbeidsmiljølovens varslingssaker vil behandling som regel være nødvendig for å oppfylle arbeidsmiljøloven og annet arbeidsrettslig regelverk, og for å ivareta arbeidstakernes rettigheter. Det er viktig at virksomheten dokumenterer hvilket grunnlag som benyttes, og at dette gjenspeiles i rutinene.

Dataminimering og formålsbegrensning

Et grunnleggende prinsipp i GDPR er dataminimering. Virksomheten skal ikke samle inn flere opplysninger enn det som er nødvendig for formålet. I praksis betyr dette at varsleren bør oppfordres til å forklare saken uten å oppgi unødvendige detaljer om tredjepersoner, og at mottakeren ikke skal hente inn mer informasjon enn nødvendig for å undersøke varselet.

Formålsbegrensning betyr at opplysningene som samles inn i varslingssaken, kun skal brukes til å håndtere varslet, og ikke til andre formål som personaløkonomi, markedsføring eller generell overvåking. Rutinene bør derfor klargjøre hva opplysningene kan brukes til, og hvem som har tilgang.

Rettigheter for den registrerte

Den registrerte, det vil si personen opplysningene gjelder, har rett til innsyn, retting, sletting, begrenset behandling, dataportabilitet og å protestere. I varslingssaker er dette særlig komplisert, fordi varsel ofte gjelder flere personer samtidig, og fordi anonymiteten til varsleren skal beskyttes.

Arbeidsgiver må balansere de ulike rettighetene. Den som det varsles om, har rett til å kjenne anklagene og få uttale seg, men behøver ikke nødvendigvis å vite hvem varsleren er. Varsleren kan ha rett til innsyn i egne opplysninger, men dersom identiteten er ukjent, kan dette være vanskelig. Rutinene bør beskrive hvordan slike hensyn vurderes, gjerne i samråd med juridisk rådgiver ved behov.

Tilgangsstyring og taushetsplikt

Bare de som faktisk trenger det, skal ha tilgang til opplysninger i en varslingssak. Dette gjelder både internt i virksomheten og eventuelt eksterne rådgivere. Tilgang bør gis på et 'need-to-know'-prinsipp, og det bør føres logg over hvem som har sett eller behandlet saken.

De som mottar og behandler varsler, er underlagt taushetsplikt. Dette gjelder uavhengig av GDPR, men forsterkes av personvernregelverket. Taushetsplikten betyr at informasjon om saken ikke skal deles med personer som ikke har en tjenestlig behov, heller ikke i uformelle samtaler. Rutinene bør gjøre det klart at brudd på taushetsplikten kan føre til disiplinære reaksjoner.

Sikker lagring og overføring

Personopplysninger i varslingssaker skal behandles på en måte som sikrer tilstrekkelig konfidensialitet, integritet og tilgjengelighet. Dette betyr at systemene som brukes, skal ha tilgangsstyring, kryptering, sikker autentisering og evne til å gjenopprette data ved behov.

Dersom opplysninger overføres utenfor EØS, for eksempel til en leverandør med servere i USA, må det finnes et gyldig overføringsgrunnlag. Dette er en viktig vurdering ved valg av varslingsleverandør. Internvarsling.no lagrer data innenfor EØS, og tilbyr krypterte lagringsbøtter, kortvarige signerte nedlastingslenker for vedlegg, og full revisjonslogg.

Oppbevaringsbegrensning og slettefrister

Et sentralt prinsipp i GDPR er at personopplysninger ikke skal lagres lenger enn nødvendig. For varslingssaker betyr dette at saken skal avsluttes og opplysningene slettes når formålet med saken er oppfylt. Det er imidlertid ikke alltid enkelt å definere nøyaktig når dette tidspunktet er inntruffet.

Lovgivningen, for eksempel arbeidsmiljøloven og bokføringsloven, kan sette minimumskrav til oppbevaring. Enkelte dokumenter knyttet til varsling, for eksempel anonymisert statistikk eller dokumentasjon på rutineendringer, kan ha lengre oppbevaringstid. Sensitive detaljer om personer i selve saken bør derimot slettes så snart det er forsvarlig. Det er vanlig å sette en frist på for eksempel fem år etter sakens avslutning, med mulighet for legal hold eller forlenget oppbevaring dersom det er nødvendig.

Dokumentasjon av slette- og oppbevaringsrutiner

Virksomheten må dokumentere sine slette- og oppbevaringsrutiner. Dette kan gjøres i varslingsrutinen, i personvernerklæringen, eller i en egen intern policy. Dokumentasjonen bør angi hvilke typer opplysninger som lagres, hvor lenge, hvor, hvem som er ansvarlig, og hvordan sletting gjennomføres.

Det er også viktig å kunne dokumentere at sletting faktisk har funnet sted, uten å gjenopprette selve innholdet. Dette kan gjøres gjennom en logg som viser tidspunkt for sletting, type opplysninger og ansvarlig person. En slik logg er nyttig både internt, ved tilsyn og ved eventuelle krav fra registrerte.

Personvernerklæring og informasjon

Den registrerte har rett til å bli informert om hvordan personopplysninger behandles. For varslingssaker betyr dette at varslingskanalen bør ha en kort, lett tilgjengelig personvernerklæring eller informasjonstekst som forklarer hvem som mottar varselet, hvordan det behandles, hvem som har tilgang, og hvor lenge opplysningene oppbevares.

Informasjonen må være kortfattet, forståelig og tilgjengelig på et språk varsleren forstår. For anonyme varsler kan det være spesielt viktig å forklare hva som logges og hva som ikke logges, slik at varsleren kan ta en informert beslutning. Internvarsling.no tilbyr standardtekst som kan tilpasses virksomhetens rutiner.

Databehandleravtale og leverandørvurdering

Dersom virksomheten bruker en ekstern leverandør for varslingskanalen, må det inngås en databehandleravtale i henhold til GDPR artikkel 28. Avtalen skal regulere formålet med behandlingen, hvilke opplysningstyper som behandles, hvilke sikkerhetstiltak som gjelder, hvordan underleverandører håndteres, og hvordan avtalen kan sies opp.

Før en leverandør velges, bør virksomheten gjennomføre en vurdering av leverandørens sikkerhet og personvernnivå. Dette inkluderer spørsmål om lagringssted, kryptering, tilgangsstyring, logging, håndtering av dataangrep, og rutiner for sletting. Dersom leverandøren behandler opplysninger på vegne av arbeidsgiver, er arbeidsgiver fortsatt behandlingsansvarlig og må kunne dokumentere at leverandøren oppfyller kravene.

Konkrete tiltak for å overholde GDPR

For å sikre at varslingssystemet er i tråd med GDPR, bør virksomheten gjennomføre en rekke konkrete tiltak. Dette inkluderer å kartlegge hvilke opplysninger som behandles, å vurdere om det er nødvendig å behandle alle opplysningene, å begrense tilgangen, å sikre lagring, å sette opp slettefrister, å informere ansatte, å inngå databehandleravtale, og å dokumentere vurderingene.

For mange virksomheter vil det være hensiktsmessig å gjennomføre en konsekvensanalyse for personvern, særlig dersom varslingssystemet behandler særlige kategorier av personopplysninger eller systematisk overvåker ansatte. En slik analyse hjelper virksomheten å identifisere risiko og sette inn riktige tiltak før det oppstår problemer.

Ofte stilte spørsmål