Personuppgifter används i många olika sammanhang på arbetsplatsen, allt från rekryteringsinformation och löneuppgifter till tidrapporter och behörighetssystem. Vad får en arbetsgivare göra när det kommer till kontroll och övervakning av anställda? Förhållandet mellan en arbetsgivarens behov och den anställdas integritet och rättigheter kräver en rimlig balans.
Tyska H&M sanktionerades för brott mot GDPR med 35,3 miljoner euro för otillåten kartläggning av anställdas privatliv. H&M hade gjort en omfattande kartläggning av deras anställdas privatliv där samtal dokumenterats med detaljerad information om sjukdomssymptom, familjesituation och sexliv. Information som uppmärksammats om bland annat familjeproblem, trosbekännelser och menscykler kartlades, lagrades digitalt och var tillgängligt för 50 chefer på företaget. Informationen blev även tillgänglig för hela personalstyrkan på grund av ett konfigurationsfel i en nätverksenhet. Enligt H&M så gjordes kartläggningen i syfte att utvärdera de anställdas prestationer och för att fatta anställningsbeslut.
Tillsynsmyndigheten konstaterade att kartläggningen utgjorde en överträdelse mot artiklarna 5 och 6 i GDPR. Det fanns ingen rättslig grund för behandlingen och ändamålen var inte bestämda från början. Behandlingen genomfördes på ett kränkande sätt och utan att de anställda hade informerats. Kan det här även ha varit att betrakta som en profilering eller systematisk övervakning av de anställda?
En annan händelse från Tyskland där artiklarna 5 och 6 överträdes var när Notebooksbillinger.de sanktionerades med 10,4 miljoner euro. Företaget hade installerat övervakningskameror på hela arbetsplatsen, bland annat över försäljningsområden, lager och gemensamma utrymmen. Notebooksbillinger.de hävdade att syftet med kamerorna var att förebygga och lösa brott, samt att spåra varor. Övervakningen pågick i minst 2 år och inspelningarna lagrades i många fall i 60 dagar.
Kontroll med hjälp av kamerabevakning för att förebygga brott får bara användas vid misstanke mot en eller flera specifika personer och under en begränsad period. Vidare krävs starka skäl och de anställda måste informeras. Inte heller är det tillåtet att kamerabevaka för att kontrollera hur de anställda utför sitt arbete eller när exempelvis raster tas, då det är väldigt känsligt och lätt kan leda till inkräktande på den anställdes integritet. Tillsynsmyndigheten menade att allmän misstänksamhet inte gav Notebooksbillinger.de någon rättslig grund för en så omfattande och långvarig övervakning av de anställda.
Arbetsgivaren har rätt att kontrollera sina anställda, men det får inte vara mer omfattande än nödvändigt. Ändamålet ska vara sakligt motiverat och tydligt informerat. De anställda ska lätt kunna förstå under vilka förutsättningar kontrollen eller övervakningen kommer att genomföras.
Båda fallen från Tyskland var av kränkande karaktär. Som anställd ska man inte behöva känna sig konstant övervakad eller kontrollerad, en känsla som kan vara svår att komma ifrån med ett övervakningssystem som filmar dygnets alla timmar. Om arbetsgivaren samlar in högst privat information om sina anställda för att på något vis utvärdera prestationer så går arbetsgivaren för långt och inkräktar på den anställdes privatliv.
Skriven av Therese Eriksson och Sofia Pinheiro Chipelo, paralegals
