Private virksomheter

Ikke velbegrunnet behov - ikke utlevering

Prinsippet om dataminimalitet tilsier at dersom formålet med en behandling av personopplysninger kan nås uten at det behandles personopplysninger, er det heller ikke lov til å behandle personopplysningene. Det betyr at dersom fagforeningen ikke har et velbegrunnet behov for opplysninger om lønn knyttet til individuelle arbeidstagere, skal lønnsopplysninger bare gis på gruppenivå. Med det menes at opplysninger om lønn skal knyttes til stillingskategorier eller andre grupper ved utlevering.

Ved anonymisering fjernes navn og alle andre sentrale opplysninger slik at de aktuelle personene ikke lenger kan identifiseres. Det skal med andre ord ikke være mulig å spore tilbake til hvem opplysningene opprinnelig gjaldt. Dersom opplysningene er fullstendig anonymisert omfattes de ikke lenger av personopplysningsregelverket.

Akkurat hvor mange personer det må være i hver kategori for at opplysningene skal være anonyme, må vurderes i hvert enkelt tilfelle. Dersom gruppen er fire personer eller færre vil det være stor sannsynlighet for at enkeltpersoner kan identifiseres. Det er viktig at anonymiseringen er reel og gjøres på en slik måte at det ikke er mulig å re-identifisere de aktuelle personene.

Nødvendig for å ivareta en legitim interesse

I mange tilfeller er det ikke mulig å utlevere lønnsopplysninger til tillitsvalgte i anonymisert form. Da må det vurderes om det vil være lovlig etter personopplysningsregelverket å utlevere opplysninger knyttet til konkrete enkeltpersoner. Et grunnvilkår er da at det finnes et gyldig behandlingsgrunnlag. For innsyn i lønnsopplysninger vil det relevante behandlingsgrunnlaget være at behandlingen er nødvendig for å ivareta en legitim interesse.

Grunnvilkårene etter denne bestemmelsen er at en behandling må være nødvendig ut fra en berettiget interesse som veier tyngre enn de registrertes personvern. I interesseavveiingen vil det ha mye å si om virksomheten har gjort det de kan for å begrense virkningene behandlingen har for personvernet til den/de registrerte. Innføring av tiltak og garantier må være hensiktsmessige, tilstrekkelige og vesentlig redusere innvirkningen for den registrerte.

Bestemmelsen i personvernforordningen (GDPR) tilsvarer i stor grad det som også var gjeldende tidligere. Det har altså ikke skjedd noen vesentlig endring på dette området med innføringen av personvernforordningen.   

Datatilsynets synspunkt er her at dette behandlingsgrunnlaget kan brukes ved utlevering av lønnsopplysninger til tillitsvalgte dersom arbeidsgiver setter følgende vilkår ved utleveringen:

1. Det undertegnes en taushetserklæring der det fremgår at opplysningene bare skal brukes i forbindelse med lønnsforhandlingssituasjoner.
2. Opplysningene skal ikke utleveres til andre.
3. Den tillitsvalgte forplikter seg til å behandle opplysningene i tråd med personopplysningsregelverket.

Lønnsopplysningene kan ikke inneholde opplysninger om medlemskap i annen fagforening. Dette er en «særlig kategori» personopplysning. Da kreves det samtykke som behandlingsgrunnlag. Dette innebærer altså at det ikke må komme frem om den ansatte er fagorganisert eller ikke, og hva slags fagforening vedkommende i så fall tilhører, sammen med lønnsopplysningene som blir utlevert.

Arbeidsgiveren vil ha plikt til å informere arbeidstagerne om at lønnsopplysninger vil bli utlevert til tillitsvalgte.

Arbeidstakere som ikke ønsker at sine lønnsopplysninger skal gis til de tillitsvalgte kan benytte seg av retten til å protestere. Arbeidsgiveren må da påvise at «tvingende berettigede grunner» går foran arbeidstagerens personverninteresser for å kunne utlevere opplysningene.

Arbeidsgiveren har plikt til å informere de ansatte om retten til å protestere på utleveringen av lønnsopplysninger.

Personopplysningsregelverket gjelder utlevering av personopplysninger og gir ingen rett til å kreve at virksomheten bearbeider opplysninger om lønn på noen spesiell måte. Spørsmålet om hva slags format opplysningene skal eller kan utleveres i, løses heller ikke med utgangspunkt i dette regelverket. Dette vil derfor trolig bero på en nærmere avtale mellom partene.