Kan man hente ut helseopplysninger i forbindelse med ansettelser?

Spørsmål: Jeg jobber i personalavdelingen i bedriften vår, og jeg har forsøkt å sette meg inn i hva arbeidsgiver kan og ikke kan gjøre, i forbindelse med ansettelser.

Jeg ser at det i arbeidsmiljøloven § 9-3 er et forbud mot innhenting av helseopplysninger ved ansettelse, utenom i visse tilfeller.

Det er imidlertid ikke helt klart for meg hvor grensene går, for hva som er en helseopplysning og hva som ikke er det. Kan dere si noe om når noe er en helseopplysning?

Svar: Vi forstår spørsmålet ditt slik at du lurer på hva som ligger i begrepet «helseopplysning», og ikke i hvilke situasjoner arbeidsgiver har anledning til å innhente helseopplysninger om arbeidstakere. Vi avgrenser derfor mot sistnevnte.

Begrepet «helseopplysning» omfatter all informasjon som kan bidra til å kartlegge en persons nåværende og mulige fremtidige helsetilstand. Både fysisk og psykisk helse omfattes av begrepet.

Også tidligere helsetilstand omfattes, hvilket vil si at begrepet også innebærer et forbud mot å spørre en arbeidssøker om eventuelt tidligere sykefravær. Det følger av EUs personvernforordning (GDPR), at også opplysninger om ytelse av helsetjenester inngår i «helseopplysning»-begrepet, eksempelvis opplysning om at en arbeidstaker går til psykolog.  

Definisjonen av «helseopplysning» er altså ganske vid, og det må vurderes konkret om en opplysning er egnet til å si noe om arbeidstakerens nåværende, tidligere eller mulige fremtidige helsetilstand.

Datatilsynet har på sine nettsider gitt veiledning knyttet til dette, når det gjelder hva som er å anse som helseopplysninger i forbindelse med koronaviruset. Her vises det til at en opplysning om at noen er smittet med koronavirus er å regne som en helseopplysning.

Derimot vil ikke en opplysning om at noen har returnert fra et «risikoområde» være en helseopplysning. Det samme gjelder en opplysning om at noen er satt i karantene, men kun dersom man ikke samtidig gir nærmere informasjon om årsaken til karantenen.

Helseopplysninger er etter GDPR å regne som en særlig kategori av personopplysninger, vanligvis omtalt som «sensitive» personopplysninger. Personvernregelverket stiller derfor særlig strenge krav til behandlingen av slike opplysninger.