Ansatteopplysninger

Ansatteopplysninger er personopplysninger som relaterer seg til ansatte og blir behandlet av arbeidsgiver i forbindelse med ansettelse og oppfølging av arbeidsforhold. Dette inkluderer navn, adresse og kontaktopplysninger, fødselsnummer, stilling og avdeling, lønn og skattetrekk, fravær, permisjoner, sykefravær, helseopplysninger og fagforeningsmedlemskap. Behandlingen skjer ofte i HR- og lønnssystemer samt i kommunikasjon mellom arbeidstaker og arbeidsgiver.

Behandling av ansatteopplysninger følger personvernregelverket i Norge og EU, særlig personopplysningsloven og GDPR. Behandlingen må ha et rettslig grunnlag, som oppfyllelse av arbeidskontrakten, juridisk forpliktelse eller samtykke i begrensede tilfeller. Særlige kategorier opplysninger, som helseopplysninger, har strengere krav til hjemmel og sikkerhet. Formålet med behandlingen må være klart definert og begrenset til det som er nødvendig.

Arbeidsgiver er behandlingsansvarlig og kan bruke databehandlere (for eksempel lønnspartner eller HR-systemleverandører) under databehandleravtaler. Behandlingen bør dokumenteres, og det bør etterstrebes dataminimering. Risikovurdering (DPIA) kan være nødvendig ved omfattende behandling eller ny teknologi. Sikkerhetstiltak som tilgangskontroller, kryptering og sikker arkivering bør være på plass. Oppbevaringsfrister må fastsettes i samsvar med lovverk og interne policyer, og opplysninger som ikke er nødvendige lenger, bør slettes forsvarlig.

Ansatte har rett til innsyn, korrigering, begrensing, sletting og dataportabilitet, og til å få opplysninger om hvordan behandlingen foregår. De kan også gjøre innsigelser mot behandling basert på berettiget interesse. Ved personopplysningsbrudd må arbeidsgiver varsle Datatilsynet og de berørte innen 72 timer hvis en risiko foreligger.

Overføring av ansatteopplysninger til eksterne leverandører eller til land utenfor EØS krever databehandleravtaler og passende sikkerhetstiltak, som standardkontrakter eller andre tilstrekkelige garantier. Regelmessig vurdering av praksis og opplæring i personvern anbefales for å sikre etterlevelse.