Vad gäller för personuppgifter när ni inför ett HR-system?

Utgångspunkten: arbetsgivaren ansvarar även när HR-systemet sköts av en leverantör

Arbetsgivaren är personuppgiftsansvarig när ett HR-system införs – även om en leverantör sköter driften. Enligt Integritetsskyddsmyndigheten (IMY) är det arbetsgivaren som självständigt ansvarar och beslutar vilka personuppgifter som får samlas in och hur de får användas. Det gäller även när någon annan anlitas för att behandla uppgifterna, till exempel en leverantör av ett IT-system. Ansvaret innebär dessutom en bevisbörda: arbetsgivaren ska kunna visa att behandlingen av de anställdas personuppgifter sker lagligt.

Dataskyddsförordningen kräver normalt inget tillstånd från IMY för att behandla personuppgifter. Undantag kan gälla vid kamerabevakning i vissa fall eller vid behandling av brottsuppgifter. IMY är i stället tillsynsmyndighet och övervakar tillämpningen. Förordningen gäller när personuppgifter behandlas helt eller delvis automatiserat, eller på papper i manuella register – alltså omfattas både HR-systemet och personalakter i pärmform.

Samtycke är sällan en framkomlig väg i ett anställningsförhållande. IMY påpekar att arbetstagaren står i beroendeställning till arbetsgivaren, och att ett samtycke därför inte kan tillmätas samma betydelse som i andra sammanhang. Utöver dataskyddsreglerna kan annat styra samma behandling: arbetsrättslig lagstiftning, Arbetsmiljöverkets föreskrifter och allmänna råd, domstolspraxis och kollektivavtal. Kontrollera därför vilka avtal och regelverk som gäller på er arbetsplats innan uppgifterna börjar samlas in.

Kartlägg uppgifterna och bestäm varför de behövs

Börja med att inventera vilka personuppgifter HR-systemet ska hantera. Typiska kategorier i HR-arbete är anställningsuppgifter, lönedata, sjukfrånvaro, rehabiliteringsärenden, CV, referenser och personliga kontaktuppgifter. IMY lyfter fram löneregister, adresslistor, behörighetssystem och kompetensdatabaser som exempel på personuppgiftsbehandling i arbetslivet.

TrustViews översikt över vanliga HR-misstag listar anställningsuppgifter, sjukfrånvaro, lönedata, rehabiliteringsärenden och kontaktuppgifter som det som samlas in dagligen. Begreppet personuppgift är brett. Enligt Arbetsmiljöverket är det all slags information som direkt eller indirekt kan hänföras till en levande fysisk person, till exempel namn, adress, personnummer, fotografi, e-postadress eller diarienummer.

För varje uppgiftstyp behöver ni kunna svara på tre frågor: vilket ändamål uppgiften tjänar, om den verkligen är nödvändig för det ändamålet, och hur länge den ska finnas kvar. Grundprincipen är att bara nödvändiga personuppgifter får samlas in, och att de får lagras så länge de behövs. Sätt en lagringstid per uppgiftstyp redan i kravspecifikationen i stället för att låta systemets standardinställning bestämma.

Flagga särskilt integritetskänsliga behandlingar. Enligt IMY är en behandling integritetskänslig om informationen är mycket detaljerad eller rör hälsa eller sexualliv, vilket i praktiken omfattar sjukfrånvaro och rehabiliteringsärenden. Kartlägg samtidigt var uppgifterna finns i dag, utanför det nya systemet: mejlkorgar, chattar, lokala filer, delade servrar och pärmar.

Känsliga vs. vanliga personuppgifter i HR-arbete

Rättslig grund, information och anställdas rättigheter

Varje behandling i HR-systemet kräver en giltig rättslig grund. I anställningsförhållanden är de vanligaste grunderna att behandlingen är nödvändig för att fullgöra anställningsavtalet eller följer av en rättslig förpliktelse, som lagstadgad löne- och arbetsgivarrapportering. En annan grund är att arbetsgivaren har ett berättigat intresse som väger tyngre än den anställdes integritet. För uppgifter om hälsa krävs dessutom ett särskilt undantag enligt dataskyddsförordningen.

De anställda ska informeras om behandlingen och har rättigheter som ni måste hantera praktiskt. Arbetstagare har rätt till information om i princip alla typer av personuppgifter som samlas in och lagras. De har också rätt att få uppgifter uppdaterade om de är inaktuella eller felaktiga och, under vissa förutsättningar, rätt att få dem borttagna.

Dataskyddsförordningen gör det dessutom lättare att få uppgifter korrigerade, överflyttade eller raderade. Bestäm därför i förväg vem som tar emot en begäran, hur den loggas och inom vilken tid den ska besvaras.

Konsekvenserna av att inte ha ordning är kännbara: sanktionsavgifterna kan uppgå till 20 miljoner euro eller fyra procent av organisationens omsättning.

Viktiga statistik och konsekvenser enligt svenska myndigheter

Roller, leverantörskedja och dataskyddsombud

I förhållandet till systemleverantören är arbetsgivaren personuppgiftsansvarig och leverantören personuppgiftsbiträde. Rollfördelningen ska framgå av ett skriftligt biträdesavtal. Avtalet reglerar typiskt behandlingens art och syfte.

Biträdesavtalet ska slå fast att leverantören bara får behandla uppgifterna enligt arbetsgivarens instruktioner. Det ska också ange vilka säkerhetsåtgärder som gäller och hur underbiträden får anlitas samt på vilka villkor. Dessutom ska det omfatta incidenthantering, gallring eller återlämnande av uppgifter vid avtalets slut och rätt till insyn och revision. Gå igenom hela kedjan av underleverantörer, inte bara den part ni skriver avtal med.

Arbetsgivaren kan utse ett dataskyddsombud, och i vissa fall är det ett krav. Ombudet ska hjälpa arbetsgivaren att följa dataskyddsförordningen, bland annat genom att ge råd och utföra vissa kontroller. Större organisationer, till exempel inom offentlig sektor, kan behöva ett formellt dataskyddsombud.

Arbetsmiljöverket har som exempel utsett ett dataskyddsombud vars primära uppgift är att granska att myndigheten följer de lagar och interna riktlinjer som gäller. Finns ett ombud redan ska de som arbetar i HR-systemet veta hur de kommer i kontakt med det.

Molntjänster och överföringar utanför EU/EES

Ett HR-system som marknadsförs som GDPR-säkert kan ändå innebära en juridisk risk, beroende på vilken infrastruktur det bygger på. HR-avdelningen hanterar mer känslig persondata än nästan någon annan funktion i ett företag. Ett system som uppges följa GDPR är inte automatiskt fritt från risk om uppgifterna lagras eller hanteras av amerikanska molntjänster.

Dataskyddsförordningen gäller dessutom för alla organisationer som hanterar personuppgifter om personer inom EU, oavsett var företaget är baserat. Medarbetarinfo, sjukfrånvaro och kontraktsinformation är personuppgifter.

Den amerikanska lagen CLOUD Act (Clarifying Lawful Overseas Use of Data Act) infördes 2018. Den ger stöd för amerikanska justitiedepartementet att få tillgång till bland annat kunduppgifter utan godkännande eller medgivande från dataexportörer och dataimportörer. Syftet var att ge amerikanska myndigheter möjlighet att kräva ut data från amerikanska företag. Det skedde efter rättsprocesser där myndigheterna nekats tillgång till data som lagrades utanför USA.

I målet Schrems II ogiltigförklarade Europadomstolen Privacy Shield och gjorde även avtalsmekanismerna SCC obrukbara. Domen hänvisade till utformningen av amerikansk lagstiftning och primärt FISA (Foreign Intelligence Surveillance Act). FISA gör det möjligt för amerikansk underrättelsetjänst att ta del av information från andra länder via kommunikationsleverantörer utan att röja att inhämtningen pågår.

Det beskrivs av Rakeel Khawar, Data Protection Officer på Iver. Han pekar också på att CLOUD Act bidrar till att organisationer inom EU behöver ha koll på sina leverantörers huvudsakliga verksamhetsställe.

För offentlig sektor är frågan särskilt känslig. Svenska regioner, kommuner och myndigheter kan använda molntjänster, men det handlar om att förstå vilka molntjänster de kan använda – och till vad.

I praktiken behöver ni veta i vilket land uppgifterna lagras och behandlas. Ni behöver också veta vilken juridisk person som är leverantör och var den har sitt säte. Dessutom vilka mekanismer som styr en eventuell överföring utanför EU/EES.

Fördelar och risker med molntjänster i offentlig sektor

Känsliga uppgifter i HR:s vardagsflöden

De flesta problem uppstår inte i systemet utan runt det. TrustViews genomgång av vanliga GDPR-misstag inom HR visar ett återkommande mönster.

CV sparas i mejlinkorgen eller på lokala enheter utan att någon vet hur länge de ska ligga kvar eller vem som har tillgång till dem. Personalakter saknar gallringsrutiner, så dokument från anställda som slutade för tio år sedan finns fortfarande kvar i systemet. Chattar och e-posttrådar innehåller känslig information om sjukfrånvaro, konflikter eller löner utan att kanalerna är avsedda för det.

Referenstagning sker utan dokumentation, vilket gör det omöjligt att visa vad som sades, av vem och med vilket samtycke. Sjukfrånvaro och rehabärenden hanteras informellt, ofta i mejl eller anteckningsblock.

Sjukfrånvaro och rehabilitering rör hälsa och räknas därför som integritetskänsliga behandlingar. Se till att dessa ärenden går i en avsedd, strukturerad process i HR-systemet i stället för i mejl, chattar eller lösa anteckningar. Bestäm var uppgifterna får finnas, vem som får se dem och när de ska gallras.

Detsamma gäller referenstagning: dokumentera vad som sagts, av vem och med vilket samtycke, så att ni kan visa det i efterhand. Undvik att samla in mer än ändamålet kräver – uppgifter som inte behövs blir bara en belastning den dag någon begär insyn eller radering.

Säkerhet, åtkomst och gallring i systemet

Säkerheten vid behandling av personuppgifter regleras bland annat i artikel 32.2 i EU:s dataskyddsförordning. Loggning i automatiserade system behandlas i Skatteverkets rättsliga vägledning.

För ett HR-system betyder det i praktiken att behörigheter ska styras efter roll och arbetsuppgift. Åtkomst till känsliga uppgifter ska loggas så att det går att se vem som öppnat vad. Uppgifterna ska skyddas både i systemet och vid överföring. Granska särskilt vilka standardbehörigheter som följer med vid installationen – en bred åtkomst som ingen aktivt valt är fortfarande er åtkomst.

Gallring är den del som oftast fallerar. Utan tydliga regler för hur länge data sparas är det lätt att bryta mot reglerna utan att veta om det. Sätt därför gallringsfrister per uppgiftstyp, verkställ dem i systemet och kontrollera att de också omfattar säkerhetskopior, mejl och lokala filer. Risken är konkret: uppgifter kan ligga kvar efter att ändamålet upphört om gallringsfristerna inte verkställs.

Riskbedömning och dokumentation före införandet

Behandling av HR-uppgifter kräver att ni i förväg bedömer vilka integritetsrisker den medför. En konsekvensbedömning ska göras när en behandling sannolikt medför hög risk för de registrerades rättigheter och friheter. Det är ofta fallet när känsliga uppgifter som sjukfrånvaro och rehabilitering behandlas i ett automatiserat system.

Redan inför förordningens ikraftträdande rekommenderade Datainspektionen att företag och organisationer ser över sina IT- och HR-system. Översynen gäller vilka personuppgifter som hanteras, vilken information som lämnas till de registrerade, hur de registrerades rättigheter tillgodoses och vilka integritetsrisker hanteringen medför.

Riskbedömningen är inte en engångsinsats. Enligt TrustView måste HR dokumentera och uppdatera riskbedömningar för sin personuppgiftsbehandling regelbundet. Koppla den till konkreta artefakter: behandlingsregister, gallringsplan, biträdesavtal, incidentrutin och en informationsrutin till de anställda.

Se också till att kunskapen finns kvar i organisationen – en policy som ingen följer ger inget skydd, och utbildning ses i sammanhanget som ett krav snarare än ett val. Bestäm vem i HR som äger frågan, vem som kontaktar leverantören och vem som informerar de anställda.

Praktisk checklista inför införandet