Hvilke opplysninger kan arbeidsgiver lagre?

Hvilke opplysninger kan arbeidsgiver lagre: 5 års lagringstid

Regler for hvilke opplysninger kan arbeidsgiver lagre sikrer rettferdig behandling på arbeidsplassen og hindrer unødvendig lagring av sensitive personopplysninger. Korrekt håndtering av personalmapper styrker tilliten mellom partene. Forstå regelverket grundig for å ivareta rettigheter og unngå juridiske konflikter.

Hvilke opplysninger kan arbeidsgiver lagre?

Arbeidsgiver kan kun lagre opplysninger om ansatte som har et tydelig og relevant formål i virksomheten, i henhold til personopplysningsloven arbeidsgiver. Dette må være begrunnet og samsvare med virksomhetens behov. Behandlingen kan være knyttet to mange ulike faktorer i et ansettelsesforhold.

Det er fort gjort for ledere å samle inn mer informasjon enn nødvendig. Men i et ansettelsesforhold er personvernet strengt beskyttet. Forholdet mellom arbeidsgiver og ansatt krever en kontinuerlig vurdering av hva har arbeidsgiver lov til å lagre for å oppfylle arbeidskontrakten. Men det finnes en klar grense for når lagringen bikker over til å bli ulovlig snoking eller unødvendig oppsamling av data.

Krav til saklig formål og nødvendighet i personalmappen

Hovedregelen er at en virksomhet bare kan registrere og oppbevare personopplysninger dersom det foreligger et spesifikt angitt og saklig begrunnet formål. Informasjonen må være direkte nødvendig for å administrere ansettelsesforholdet, utbetale lønn eller oppfylle andre lovpålagte plikter. Dette kalles gjerne for behandlingsgrunnlag.

Typiske opplysninger som en arbeidsgiver har full rett til å lagre i ansettelsestiden inkluderer: Grunnleggende personalia: Navn, adresse, fødselsnummer, kjønn og sivilstand. Kontraktsdokumenter: Arbeidsavtalen, stillingssøknad, CV, attester og referanser fra rekrutteringsprosessen. Økonomiske data: Lønnshistorikk, skatteopplysninger, kontonummer og eventuelle trekk til fagforeningskontingent. Arbeidsprestasjoner og oppfølging: Dokumentasjon på fravær, fraværsårsaker, skriftlige advarsler, og referater fra medarbeidersamtaler.

Jeg husker min første jobb som HR-koordinator for noen år siden. Da fant jeg en gammel personalmappe som inneholdt detaljerte private notater om en ansatts skilsmisse fra 1990-tallet. Lederen den gang mente det var kjekt å vite for å forstå hvorfor personen var sliten. Men slike sensitive private forhold har overhodet ingenting i en personalmappe å gjøre. Det var en skikkelig vekker for meg om hvor lett grenser tråkkes over hvis man ikke har strenge rutiner.

Sensitive personopplysninger og sykefravær

Når det gjelder helseopplysninger og sykefravær, settes det ekstra strenge restriksjoner under personvernforordningen. Arbeidsgiver har behov for å registrere selve fraværet for å administrere sykepenger og oppfylle oppfølgingsplikten etter folketrygdloven. De har derimot som hovedregel ikke lov til å kreve eller lagre spesifikke diagnoser.

Selve sykemeldingen som sendes til arbeidsgiver skal holdes fri for diagnosekoder. Dersom en ansatt frivillig deler detaljer om sin helsetilstand i en samtale, må lederen være ekstremt forsiktig med å protokollere dette skriftlig i personalsystemet. Kun opplysninger som har direkte betydning for tilrettelegging av arbeidet skal registreres.

Helseopplysninger krever lagring av personopplysninger ansatte med streng tilgangsstyring. Det betyr at kun personer med et reelt og tjenstlig behov - som nærmeste leder eller HR - skal ha tilgang til disse filene. Kollegaer skal aldri ha innsyn i fraværsgrunner.

Hvor lenge kan opplysningene oppbevares?

Det finnes sjelden én universell tidsfrist for sletting av ansattdata. Regelen er at dataene skal slettes eller anonymiseres så snart formålet med lagringen ikke lenger er til stede. Likevel må arbeidsgiver ofte balansere personopplysningsloven mot andre særlover som krever oppbevaring over lengre tid.

Bokføringsloven krever for eksempel at primærdokumentasjon knyttet til lønn og regnskap må oppbevares i minst 5 år etter utløpet av regnskapsåret. En skriftlig advarsel i privat sektor har ingen lovfestet lagringstid ansatte opplysninger, men må fjernes fra mappen så snart den ikke lenger har saklig betydning for ansettelsesforholdet. For statlig sektor gjelder en fast slettefrist på maksimalt 5 år for ordensstraff.

Når en ansatt slutter i jobben, opphører de fleste lagringsformål. Virksomheten kan likevel beholde selve arbeidsavtalen og dokumentasjon på ansettelsesperioden i lengre tid. Dette gjøres av administrative og historiske årsaker, samt for å kunne utstede sluttattest eller håndtere eventuelle etterfølgende rettskrav.

Lagringstid for ulike dokumenttyper

Lønns- og regnskapsopplysninger

- Bokføringsloven har forrang over ordinære sletteregler i GDPR.

- Må beholdes i systemet ut den lovpålagte perioden selv om den ansatte slutter.

- Minst 5 år etter utløpet av regnskapsåret i henhold til bokføringsloven.

Skriftlige advarsler (Privat sektor)

- Vurderes løpende ut fra formål, nødvendighet og interesseavveining.

- Skal som hovedregel slettes ved opphør da formålet normalt faller bort.

- Ingen lovfestet frist, men skal slettes når den ikke lenger har betydning.

Søknader og CV (Kandidater som ikke fikk jobb)

- Nødvendighetsvurdering under personopplysningsloven.

- Kan kun oppbevares videre dersom kandidaten gir et aktivt, skriftlig samtykke.

- Skal slettes umiddelbart etter at rekrutteringsprosessen er avsluttet.

Håndtering av gamle personalmapper i en lokal bedrift

Lars, daglig leder i en familiebedrift i Bergen med 25 ansatte, skulle flytte over alle gamle personalmapper fra fysiske arkivskap til et digitalt HR-system. Han oppdaget raskt at mappene inneholdt alt fra gamle sykemeldinger med sensitive detaljer til skriftlige advarsler fra ti år tilbake.

Først forsøkte Lars å skanne absolutt alt rett inn i det nye systemet for å være på den sikre siden. Men underveis innså han at dette var en grov feilvurdering som brøt med personvernreglene om overflødig lagring.

Det tok tre kvelder med manuelt sorteringsarbeid. Han måtte gjøre en konkret vurdering av hvert dokument og innså at gamle helseopplysninger og utdaterte tilrettevisninger måtte makuleres umiddelbart.

Etter opprydningen ble over halvparten av papirene makulert. Lars etablerte en fast årlig sletterutine i bedriften, og de ansatte uttrykte stor letthet over at personvernet deres nå ble profesjonelt ivaretatt.