Kan bedriften jeg jobbe for legge inn et generelt samtykke til at arbeidsgiver kan behandle personopplysninger om den ansatte?

Spørsmål: I forbindelse med GDPR og økt fokus på personopplysningssikkerhet har bedriften jeg jobber i startet en kartleggingsprosess angående hvilke personopplysninger vi som bedrift behandler. Vi fokuserer for tiden på behandling av de ansattes personopplysninger. Lederen vår mener at dette enkelt kan løses ved å innta i arbeidskontrakten et generelt samtykke til at arbeidsgiver kan behandle personopplysninger om den ansatte. Er dette greit? 

HR-rådgiver

Svar: Det er kjempebra at bedriften har fokus på dette, men løsningen du presenterer er dessverre ikke riktig. Først og fremst bør ikke samtykke brukes som grunnlag for behandling av personopplysninger dersom det er en klar skjevhet mellom den registrerte og den behandlingsansvarlige. En slik skjevhet vil typisk foreligge i et ansettelsesforhold. Videre er det en rekke krav for at et samtykke skal være gyldig, herunder at samtykket er frivillig og spesifikt. Frivillighetskravet vil sjeldent være oppfylt når samtykket er inntatt i ansettelseskontrakten. Spesifikt betyr at det må konkretiseres hvilket formål samtykket er innhentet for – det kan med andre ord ikke innhentes et generelt samtykke. Den registrerte kan til enhver tid også tilbakekalle sitt samtykke, og behandlingen må da avbrytes fra tilbakekallingstidspunktet og fremover. Den behandlingsansvarlige er da avskåret fra å finne et nytt behandlingsgrunnlag hvis samtykket blir trukket tilbake. Behandlingen må altså stoppe og opplysningene slettes. Mitt råd er derfor at dere i stor grad bør unngå å bruke samtykke som behandlingsgrunnlag.

SBDL v/advokatfullmektig Helene Larsen Brustad