Persónuvernd á vinnustaðnum

Hvaða persónuupplýsingar má vinnuveitandi vinna með? 

Skráning vinnuveitanda á persónuupplýsingum um starfsmenn getur talist eðlilegur þáttur í starfsemi hans og mæla ýmis rekstrarleg sjónarmið með slíku. Vinnuveitandi hefur því alla jafna lögmæta hagsmuni af skráningu upplýsinga um starfsmenn, t.a.m. vegna launavinnslu, veikindaréttar o.s.frv., en þarf þó meðal annars að gæta að því að fyrir liggi í hvaða tilgangi slíkt sé gert og að skrá ekki víðtækari upplýsingar en þörf er á miðað við þann tilgang, auk þess sem að veita verður starfsmönnum fræðslu um vinnsluna.

Má vinnuveitandi óska eftir sakavottorði umsækjenda um starf?

Hafa ber í huga að upplýsingar á sakavottorði teljast til upplýsinga um refsiverðan verknað og um það gilda sérstakar reglur í persónuverndarlöggjöfinni. Þannig getur talist málefnalegt að óska eftir sakavottorði þeirra sem gegna tilteknum störfum, en slíkt er þó alls ekki sjálfsagt.

Sem dæmi um það hvenær starf er þess eðlis að réttlætanlegt væri að óska eftir sakavottorði væri t.d. starf þar sem unnið er með börnum. Samkvæmt persónuverndarlöggjöfinni mega einkaaðilar ekki vinna með upplýsingar um refsiverða háttsemi nema starfsmaðurinn hafi veitt til þess afdráttarlaust samþykki sitt eða vinnslan sé nauðsynleg í þágu lögmætra hagsmuna sem auðsjáanlega vega þyngra en grundvallarréttindi og frelsi starfsmannsins.

Upplýsingunum má ekki miðla nema einstaklingurinn veiti til þess afdráttarlaust samþykki sitt. Þó má miðla upplýsingum án samþykkis sé það nauðsynlegt í þágu lögmætra hagsmuna hins opinbera eða einkaaðila sem vega þyngra en þeir hagsmunir sem eru af leynd um upplýsingarnar, þar á meðal hagsmunir einstaklingsins. 

Vinnslan þarf síðan alltaf að styðjast við einhverja af þeim heimildum sem standa til vinnslu almennra persónuupplýsinga, s.s. vegna samningsgerðar, lagaskyldu, lögmætra hagsmuna o.fl. 

Má vinnuveitandi/yfirmaður vakta starfsmenn með myndavélum? 

Já, ef hann fylgir öllum reglum sem gilda um slíka vöktun. Slík vöktun er háð því skilyrði að hennar sé sérstök þörf t.d. vegna þess að:

1. ekki sé unnt að koma við verkstjórn með öðrum hætti;

2. hún sé nauðsynleg vegna ákvæða kjarasamnings eða annars konar samkomulags um launakjör, einkum þegar laun eru byggð á afkastatengdu, tímamældu launakerfi.

3. án vöktunarinnar sé ekki unnt að tryggja öryggi á viðkomandi svæði, svo sem í ljósi laga og sjónarmiða um hollustuhætti og mengunarvarnir.

Þá þarf að veita einstaklingunum sem sæta vöktuninni viðeigandi fræðslu um hana og gera glögglega viðvart um hana með merkjum eða á annan sambærilegan hátt.

Vinnuveitandi þarf fyrst að meta hvort hægt sé að ná sama tilgangi með öðrum og vægari aðgerðum, t.d. með því að hafa vaktstjóra á staðnum, sem hefur það hlutverk að fylgjast með starfseminni. Almennt eiga starfsmenn ekki að þurfa sæta því að vera ávallt undir vökulu auga vinnuveitanda í gegnum eftirlitsmyndavélar, þó svo að vissulega geti aðstæður krafist slíks í afmörkuðum tilvikum. Það getur til dæmis átt við á ákveðnum tegundum vinnustaða, svo sem þar sem finna má hættulegar vélar eða efni eða þegar unnið er með matvæli.

Óheimilt er að hefja vöktun með vinnuskilum nema að undangengnu mati á áhrifum á persónuvernd, sbr. 7. tölul. 3. gr. auglýsingar nr. 828/2019 um skrá yfir vinnsluaðgerðir sem krefjast ávallt mats á áhrifum á persónuvernd.

Má vinnuveitandi/yfirmaður skoða tölvupóst starfsmanna?

Vinnuveitanda er heimilt að setja upp eftirlitskerfi með tölvupósti með hliðsjón af netöryggissjónarmiðum, t.d. vírusvarnir sem koma í veg fyrir að óæskilegur tölvupóstur berist inn á starfsstöð. Tilvikabundin skoðun vinnuveitanda á tölvupósti er hins vegar óheimil nema þegar hann hefur til hennar heimild samkvæmt persónuverndarlögunum, s.s. ef uppi er grunur um brot starfsmanns gegn trúnaðar- eða vinnuskyldum. Þá þarf vinnuveitandi ávallt að gæta að meginreglum persónuverndarlaganna, m.a. um sanngirni, gagnsæi og meðalhóf. Í því felst m.a. að hann þarf að veita starfsmönnum fræðslu um hvaða vöktun fer fram.

Vinnuveitanda er almennt óheimilt að skoða einkatölvupóst nema brýna nauðsyn beri til, s.s. vegna tölvuveiru eða sambærilegs tæknilegs atviks. Hið sama gildir um skoðun á einkagögnum á skráasvæði starfsmanns.

Persónuvernd hefur gefið út leiðbeiningar um meðferð tölvupósts, skráasvæða og eftirlit með netnotkun. Þar er einnig að finna dæmi um aðstæður sem geta komið upp þar sem tölvupóstur er skoðaður.

Má vinnuveitandi framkvæma vímuefnapróf án þess að láta mig vita áður?

Persónuverndarlögin taka eingöngu til þess þegar persónuupplýsingar eru skráðar eða unnar með skipulögðum hætti. Persónuverndarlögin taka því ekki til framkvæmdar líkamsrannsókna á borð við vímuefnaprófanir. Ef vinnuveitandi skráir niður persónuupplýsingar um niðurstöður slíkra prófana eða önnur atriði því tengdu þá fellur sú vinnsla undir lögin. Persónuvernd hefur gefið út álit í tengslum við vinnslu persónuupplýsinga við framkvæmd vímuefnaprófana þar sem farið er yfir helstu álitaefni þessu tengdu. 

Má vinnuveitandi leita í töskum og starfsmannaskápum?

Leit á fólki og í fórum þeirra fellur ekki undir persónuverndarlögin nema haldin sé skrá um leitina. Heimild til að halda slíka skrá mundi ráðast af lögmæti þess að framkvæma fyrrgreinda leit.

Þá segir í stjórnarskrá að allir njóti friðhelgi einkalífs og að óheimilt sé að gera líkamsrannsókn eða leit á manni eða í munum hans nema samkvæmt dómsúrskurði eða sérstakri lagaheimild. Sérstök lagaheimild í þessu sambandi er t.d. heimild í lögreglulögum sem heimilar lögreglu að leita á einstaklingum sem teknir hafa verið höndum.

Vinnuveitendum er ekki að lögum heimilt að láta framkvæma leit á starfsfólki sínu og verður því starfsmaðurinn sjálfur að veita frjálst og óháð samþykki sitt fyrir leitinni. Að öðrum kosti þarf vinnuveitandi að kalla til lögreglu gruni hann starfsmann um þjófnað eða aðra refsiverða háttsemi.