Korona og personvern

Datatilsynets veileder om personvern

Datatilsynet har publisert en veileder om korona og personvern, se her.

Hvilke opplysninger vil arbeidsgiver kunne ha behov for å behandle?

Arbeidsgiver har en plikt til å sikre et forsvarlig arbeidsmiljø. I disse dager innebærer dette et særskilt ansvar for å sikre de ansatte og andre mot koronasmitte. Arbeidsgiver må også sørge for at myndighetenes pålegg og anbefalinger blir overholdt. I mange tilfeller vil arbeidsgiver ha behov for å behandle (innhente og bruke) flere personopplysninger enn vanlig, for å ha best mulig kontroll og oversikt over ansatte og deres situasjon.

Arbeidsgiver vil kunne ha gode grunner for å innhente og bruke opplysninger om ansattes reiser, karantene, smittefare og også at noen er smittet.

Personvernregelverkets krav til formålsbegrensning og rettslig grunnlag (behandlingsgrunnlag)

Personopplysningsloven, som har inntatt EUs regler om personvern (GDPR), stiller tydelige krav til hvordan personopplysninger skal behandles. Det er blant annet ikke tillatt å behandle flere personopplysninger enn det som er nødvendig for det enkelte formål. Virksomheten må definere og dokumentere disse formålene, altså hvorfor innhenting og bruk av personopplysningene er nødvendig. Innhentede opplysninger skal ikke brukes til andre formål enn de er ment for.

All behandling av personopplysninger må videre ha et rettslig grunnlag for å være lovlig. Det betyr at en virksomhet på forhånd må ha identifisert om det finnes et såkalt behandlingsgrunnlag. Samtykke kan være et slikt grunnlag, men lovgivningen angir flere alternative grunnlag som ofte bør brukes, særlig i arbeidsforhold.

Helseopplysninger defineres som en særlig kategori av personopplysninger, som også omtales som sensitive personopplysninger. I utgangspunktet er det forbudt å behandle slike opplysninger. Det kan likevel gjøres unntak, men det kreves et særskilt grunnlag for at de lovlig skal kunne behandles.

Kan arbeidsgiver innhente og dele informasjon om at ansatte er syke eller sitter i karantene?

Datatilsynet har slått fast at:

• opplysninger om at noen er smittet med koronavirus er å regne som en helseopplysning
• opplysninger om at en ansatt har returnert fra et såkalt «risikoområde» og opplysninger om at noen er satt i karantene (uten å gi nærmere informasjon om årsaken) er ikke å regne som en helseopplysning

I dagens situasjon vil bedriften som hovedregel kunne behandle opplysninger om ansattes karantene og reiser etter en avveining av sine berettigede interesser veid mot personvernulemper for den enkelte (lovlig behandlingsgrunnlag).

Opplysninger om helse, herunder ansattes sykdom (at en ansatt er smittet), krever imidlertid et særskilt behandlingsgrunnlag. Et slikt grunnlag kan være at opplysningene er nødvendig for at arbeidsgiver skal kunne gjennomføre arbeidsrettslige plikter eller rettigheter.

Arbeidsgiver kan som følge av dette innhente og dele informasjon om at noen er smittet med henvisning til plikten til å sikre et forsvarlig arbeidsmiljø. Intern deling av informasjon om en smittet ansatt bør bare skje når dette er helt nødvendig for å sikre kollegaers helse eller deres potensielle viderespredning av smitte. Datatilsynet anbefaler dessuten at dette bare skal skje i samråd med den smittede ansatte.

GDPR tillater ikke at arbeidsgiver sprer informasjon om at identifisert ansatt er smittet til samarbeidspartnere og kunder. Datatilsynet mener dessuten at opplysninger om at ansatt er i karantene heller ikke skal spres, selv om dette altså ikke er en helseopplysning. Beskjed til utenforstående som ønsker kontakt med den som er syk eller i karantene bør derfor begrenses til å opplyse om at vedkommende er fraværende eller ikke tilgjengelig.

Kan arbeidsgiver kreve at ansatte opplyser om reiser på fritiden?

Slik situasjonen er nå, også som følge av de strenge reiserestriksjonene og karantenereglene som myndighetene har pålagt, må arbeidsgiver som hovedregel kunne be om at den ansatte opplyser om reiser. Arbeidsgiver må ha mulighet til å kunne vurdere om det er behov for tiltak i forhold til den ansatte, slik at en kan unngå spredning av smitte på arbeidsplassen. Dette vil også kunne få betydning for virksomhetens organisering og drift.

Se for øvrig artikkelen «Ferieavvikling og reiser».

Les om Ledernes medlemsfordeler her

Meld deg inn i Lederne