Adgangskontroll og personvernregelverket
Spør om arbeidsrett
Håkon Andreassen vil i denne spalten svare på spørsmål knyttet til arbeidsrett. Bidraget i denne utgaven av tidsskriftet er skrevet i samarbeid med kollega advokatfullmektig Maja Elgaaen. Andreassen er advokat og partner i Advokatfirmaet Helmr. Han rådgir norske og utenlandske virksomheter, offentlige organer og kommuner, arbeidsgiver- og arbeidstakerorganisasjoner, på individuell og kollektiv arbeidsrett, og prosederer saker for alminnelige domstoler og Arbeidsretten. Han er ofte benyttet som foreleser. Ev. spørsmål kan sendes: hakon.andreassen@helmr.no
Advokatfirmaet Helmr
Advokatfirmaet Helmr
Spørsmål:
Jeg er HR-ansvarlig på en produksjonsfabrikk. Alle medarbeidere har et adgangskort som må benyttes for å komme seg inn og ut av bygget. Bruk av adgangskort loggføres i adgangskontrollsystemet vårt. Det loggføres kun hvilket kort som er brukt, og tidspunktet for dette. Jeg har imidlertid oversikt over hvilke kort som tilhører den enkelte ansatte, og har da mulighet til å innhente opplysninger om når de ansatte kommer og går fra jobb.
I våres stusset jeg over at en av de ansatte hadde ført veldig mange timer som ikke sto i forhold til det arbeidet vedkommende faktisk utførte. Jeg begynte derfor å lure på om medarbeideren kunne ha ført flere timer enn det han faktisk jobbet. Denne mistanken ble bekreftet etter at jeg sammenlignet timene medarbeideren har ført, med den tiden adgangskortet hans viste at han har vært på jobb. I perioden mars til mai har han ført over tjue timer mer enn det adgangskortet hans viser at han har vært på jobb.
Jeg må selvfølgelig ta opp dette med vedkommende, og vil i utgangspunktet vise til tidspunktene adgangskortet hans er brukt. Jeg snakket imidlertid kort med en bekjent av meg som er jurist, som nevnte at personvernreglene kunne være til hinder for at jeg kan benytte denne informasjonen. Er dette riktig?
Svar:
Det stemmer. Adgangskontroll er et kontrolltiltak etter arbeidsmiljølovens regler. Personopplysningsloven gjelder for arbeidsgivers behandling av opplysninger om arbeidstakere i forbindelse med kontrolltiltak. Ved loggføring av opplysninger om når arbeidstaker kommer og går fra jobben behandler arbeidsgiver personopplysninger. Dere må derfor forholde dere til personvernregelverket.
Før en virksomhet samler inn personopplysninger, skal det angis et spesifikt formål for innsamlingen. Formålet vil være styrende for hva virksomheten kan bruke personopplysningene til – det er ikke tillatt å bruke personopplysningene som samles inn til noe annet enn det på forhånd angitte formålet, eller noe som er uforenlig med formålet.
Arbeidsgiver må med andre ord utarbeide en beskrivelse av hvorfor personopplysningene samles inn, og hva de skal brukes til. Dette må kommuniseres til de ansatte.
Formålet med bruk av adgangskort vil normalt være begrunnet i sikkerhetshensyn, for å sikre virksomhetens lokaler og å sørge for at uvedkommende ikke får tilgang. Vi antar at det er tilfellet også her. Å sjekke hvorvidt den ansatte fører korrekte timer, ligger utenfor dette formålet. Dette betyr at dere ikke kan bruke informasjonen dere får fra loggføringen til å vurdere om den ansatte fører korrekte timer. Dere må i stedet benytte annen informasjon dere har om hvorfor den ansattes førte tid ikke samsvarer med utført arbeid.
Vær også oppmerksom på at Datatilsynet legger til grunn at passeringsopplysninger, under normale omstendigheter, skal slettes etter 90 dager.