Hvem skal ha tilgang til personalmapper?

Hvem har tjenstlig behov for innsyn?

Det er avgjørende å vite hvem skal ha tilgang til personalmapper for å beskytte sensitive personopplysninger og overholde gjeldende personvernregler. Korrekt styring av hvem som kan se dokumentene forhindrer uautorisert innsyn og sikrer at kun autoriserte medarbeidere med tjenstlig behov får adgang til konfidensiell informasjon.

Hvem har rett til innsyn og tilgang til personalmapper?

Tilgang til personalmapper er strengt regulert, og det er kun ansatte med et tjenstlig behov i lønn, personal (HR) og arkivtjenesten som har generell tilgang til disse mappene. Denne tilgangen er begrenset til virksomhetens elektroniske arkiv for å ivareta personvernet og hindre uautorisert innsyn. Hverken ledere eller den ansatte selv har en automatisk eller ubegrenset tilgang uten at det foreligger særskilte tjenstlige hensyn eller formelle forespørsler.

Når det gjelder administrasjon av sensitive personopplysninger, er det avgjørende å skille mellom operativ personalledelse og den overordnede arkivforvaltningen. Regelverket krever at ingen skal ha mer tilgang enn det som er strengt nødvendig for å utføre arbeidsoppgavene sine.

Tjenstlig behov og rollestyring i det elektroniske arkivet

Prinsippet om tjenstlig behov betyr at tilgangen styres basert på hvilken rolle du har i organisasjonen. I de fleste virksomheter betyr dette at HR-medarbeidere og arkivpersonale har systemtilgang fordi de forvalter dokumentene som en del av sine daglige oppgaver. Nærmeste leder med delegert personalansvar vil normalt kun ha tilgang til mapper for ansatte i sin egen avdeling, ikke for hele bedriften.

Det elektroniske arkivet må settes opp med strenge tilgangskoder og rollestyring. Rundt 80-90% av alle sikkerhetsbrudd knyttet til personaldata skyldes feilkonfigurerte tilganger eller menneskelig svikt, noe som understreker viktigheten av tekniske begrensninger i systemet. Hvis en leder bytter avdeling, skal tilgangen til de tidligere ansattes mapper sperres umiddelbart.

Den ansattes rett til innsyn i egen mappe

Som ansatt har du i utgangspunktet rett til fullt innsyn i alle personopplysninger som virksomheten behandler om deg. Dette er forankret i personvernforordningen (GDPR), som gir deg rett til å vite hva som lagres, og kreve retting hvis noe er feil. Du kan imidlertid ikke logge deg rett inn i arkivet og snoke fritt; innsynet må skje etter forespørsel til HR eller arkivtjenesten personalmapper.

Nylig opplevde en kollega i bransjen at en ansatt krevde å se interne drøftingsnotater fra en ansettelsesprosess. Det tok HR tre dager med intens juss-vurdering avklare hva som kunne frigis. Husk at selv om du har rett til å se egne opplysninger, kan dokumenter som berører andre ansattes personlige forhold holdes unna innsyn.

Lovverk og retningslinjer for offentlig og privat sektor

Behandlingen av personopplysninger i en personalmappe styres av flere parallelle lover, avhengig av om du jobber i privat eller offentlig sektor. Forvaltningen må forholde seg til både offentleglova, forvaltningsloven og arkivloven. I offentlig sektor kan faktisk hvem som helst kreve innsyn i en personalmappe etter offentleglova, men sensitive opplysninger som er underlagt taushetsplikt skal alltid skjermes og unntas offentlighet.

Det er en utbredt misforståelse at dokumenter i en personalmappe kan lagres evig. For eksempel slår statsansatteloven fast at ordensstraff som hovedregel skal slettes eller fjernes fra mappen etter maksimalt 5 år. Mange ledere synder mot dette - de lar gamle advarsler ligge i tiår, noe som er et direkte brudd på personvernreglene.

Oversikt over tilgangsnivåer for personalopplysninger

Lønn og HR-personale ⭐

- Daglig forvaltning, lønnskjøring, ansettelsesavtaler og oppfølging

- Full tilgang til alle personalmapper på tvers av hele organisasjonen

- Underlagt streng taushetsplikt og loggføring av all systemaktivitet

Arkivtjenesten

- Kvalitetssikring, journalføring, arkivering og avslutning av saker

- Systemtilgang til alle mapper og journalposter i det elektroniske arkivet

- Skal kun behandle dokumenter ut fra arkivtekniske hensyn

Nærmeste leder

- Gjennomføring av medarbeidersamtaler, sykefraværsoppfølging og personaloppfølging

- Begrenset tilgang til ansatte innenfor eget ansvarsområde eller avdeling

- Mister tilgang automatisk ved organisatoriske endringer eller avdelingsbytte

Håndtering av tilgangskontroll i Bergen: Fra kaos til kontroll

Trine, HR-ansvarlig i et mellomstort logistikkfirma med base utenfor Bergen, oppdaget at flere avdelingsledere hadde fullt innsyn i mappene til ansatte på tvers av hele organisasjonen. Dette skapte stor usikkerhet og frykt for brudd på taushetsplikten blant de ansatte.

Første forsøk på å løse problemet var å sende ut en e-post med formell instruks om at ledere ikke skulle åpne mapper de ikke eide. Resultatet var skuffende - stikkprøver viste at nysgjerrigheten tok overhånd, og uautoriserte oppslag fortsatte i det skjulte.

Vendepunktet kom da Trine innså at administrative påbud ikke var nok for å stanse digitale sikkerhetshull. Hun stanset den manuelle ordningen og tok kontakt med systemleverandøren for å innføre streng rollestyring direkte i det elektroniske arkivsystemet.

Etter to uker med tekniske justeringer ble tilgangene låst slik at ledere kun ser egne ansatte. Uautoriserte oppslag falt til null i løpet av en måned, og selskapet unngikk avviksmelding til Datatilsynet.