Kontroll av arbeidstaker og bruk av personopplysninger

Av Eirik Utstumo, Advoktatfirmaet Storeng, Beck og Due Lund

Arbeidsmiljøloven og personopplysningsloven regulerer arbeidsgivers adgang til å iverksette kontrolltiltak, og om opplysningene kan brukes i stillingsvernssaker.

Når kan kontroll gjennomføres?
Arbeidsgivers styringsrett defineres som arbeidsgivers adgang til å organisere, lede, kontrollere og fordele arbeidet. Arbeidsgivers adgang til å iverksette kontroll av arbeidstaker er begrenset som følge av kravet til personvern. Undersøkelser rettet mot ansatte kalles kontrolltiltak og reguleres av arbeidsmiljølovens kapittel 9. Eksempler på kontrolltiltak vil være adgangskontroll til arbeidsplassen som samtidig registrerer tilstedeværelse på arbeidsplassen, videoovervåkning, kontroll av logg ved bruk av pc, GPS-sporing av kjøretøy, kontroll av butikkansatte og serveringspersonale, samt veskekontroll og spaning på ansatte med innleide etterforskere. Undersøkelser av ansattes e-post er særlig regulert i forskrift til personopplysningsloven (pol.) kapittel 9.

Etter arbeidsmiljøloven (aml.) § 9-1 kan arbeidsgiver iverksette kontrolltiltak mot arbeidstaker når tiltaket har saklig grunn i virksomhetens forhold, og dette ikke innebærer en uforholdsmessig belastning for arbeidstaker. Tiltak vil være saklige, dersom arbeidsgiver har et forsvarlig behov for å foreta kontroll av arbeidstakere. Begrensningen ligger først og fremst i at tiltaket må være forholdsmessig. Ved denne vurderingen må arbeidsgivers behov veies opp mot det inngrep i personvernet som tiltaket medfører. Dette blir en konkret vurdering.

Virksomheten må før de innfører kontrolltiltak drøfte behovet, utformingen og gjennomføringen med de tillitsvalgte. I tillegg skal de ansatte informeres om formålet med kontrolltiltaket, praktiske konsekvenser og hvordan tiltaket vil bli gjennomført, samt den antatte varigheten av kontrolltiltaket. Saksbehandlingsreglene i § 9-2 verner arbeidstakerne mot å utsettes for ukjente kontrolltiltak. For eksempel vil fjernsynsovervåkning som er kjent, vil være mindre inngripende enn hemmelig overvåkning. Virksomheten må ha på plass kontrollordningene når det konkrete behovet for kontroll oppstår. Dette innebærer at virksomheten må gjennomføre en risikoanalyse av virksomhetens behov for kontrolltiltak. Når situasjonen med behov for kontroll først oppstår, er det i utgangspunktet for sent å innføre kontrollordninger på den måte lovens saksbehandlingsbestemmelser forutsetter.

Adgang til kontroll av arbeidstaker, når det ikke foreligger kontrollordninger ved virksomheten?
Er arbeidsgiver avskåret fra å kontrollere arbeidstaker når de ikke har etablert kontrollrutiner ved arbeidsplassen?
I Billakkererdommen[1] hadde arbeidsgiver konkret mistanke om at en ansatt hadde utbetalt lønn til seg selv for perioder med ulovlig fravær. Arbeidsgiver innhentet opplysninger om når arbeidstakers pc hadde vært logget på og logget av. Arbeidsgiver hadde ikke etablert kontrollrutiner for slik kontroll. Retten mente arbeidsgiver hadde et saklig grunnlag for kontrolltiltaket. Opp mot arbeidsgivers kontrollbehov, hvor det ikke var alternative kontrollmetoder, konkluderte retten at undersøkelse av logginformasjon ikke innebar en uforholdsmessig belastning for arbeidstaker.

Rettspraksis viser at det ved behov for kontroll av arbeidstaker som følge av konkret mistanke, og når kontrolltiltaket ikke er uforholdsmessig belastende, så kan kontrollen gjennomføres uten at saksbehandlingsreglene i loven er fulgt. Det vil si at det ikke nødvendigvis er avgjørende at tiltaket er drøftet med tillitsvalgte eller de ansatte er informert om tiltaket og dets formål.

Behandling av personopplysninger fra kontrolltiltak
Om arbeidsgiver kan behandle/bruke personopplysninger som fremkommer ved kontroll må vurderes konkret ut fra pol. § 8 bokstav f): når behandlingen er nødvendig ved

f)	at den behandlingsansvarlige eller tredjepersoner som opplysningene utleveres til kan vareta en berettiget interesse, og hensynet til den registrertes personvern ikke overstiger denne interessen.

Av forarbeidene til arbeidsmiljøloven § 9-1 fremkommer det at vurdingen er nær sammenfallende med vurderingen etter pol. § 8 bokstav f).

Den nye GPS-kjennelsen[2] illustrerer arbeidsgivers adgang til kontroll av arbeidstaker uten at tiltaket er drøftet med tillitsvalgte eller informert til de ansatte. Avgjørelsen viser også hvilken adgang arbeidsgiver har til å bruke opplysninger fra kontrolltiltaket. Virksomheten foretok lagring og registrering av opplysninger om renovasjonsbilens rute, tidspunkt for tømming etc, med effektiv administrasjon og drift som formål. Dette innebar behandling av personopplysninger. Ut fra formålet var denne behandlingen forholdsmessig etter pol. (pol.) § 8 bokstav f). Behandlingen av opplysningene fra kontrolltiltaket er bare rettmessig så langt som formålet tilsier. Dersom slik informasjon skal benyttes til et annet formål, krever det uttrykkelig og informert samtykke fra den ansatte, jf pol. § 11 bokstav c). Arbeidsgiver brukte denne informasjonen opp mot en ansatts timelister for å dokumentere saklig grunnlag for oppsigelse. Denne bruken var utenfor det opprinnelige kontrolltiltakets formål og samtykke forelå ikke.  En interesseavveining tilsa at opplysningene ikke kunne brukes av arbeidsgiver, jf pol § 8 bokstav f). Bruken av GPS-informasjonen utover det opprinnelige formålet var ikke drøftet med de tillitsvalgte og det ikke var gitt informasjon til de ansatte om denne bruken, slik saksbehandlingsregelen for kontrolltiltak forutsetter, aml. § 9-2. Retten konkluderte med at beviset var fremskaffet på utilbørlig måte i strid med loven. Kontrolltiltaket og bruken av personopplysningene ved stillingsvernssak var således utenfor arbeidsgivers styringsrett.

Hadde arbeidsgiver fulgt saksbehandlingsreglene for kontrolltiltak ville nok arbeidsgiver fått aksept for at tiltaket var berettiget.

Forholdet mellom adgangen til kontroll og bruk av opplysninger fra kontrollen
Forarbeidene til arbeidsmiljøloven gir uttrykk for at forholdsmessighetsvurderingen etter aml. § 9-1 og pol. § 8 f) er langt på vei sammenfallende. Likevel er det forskjell. I Billakkererdommen[3] var innhenting av logginformasjon ved mistanke om ulovlig fravær forholdsmessig etter aml. 9-1. Opplysningene ble brukt til å underbygge oppsigelsen. Pol. § 8 bokstav f) ga ikke grunnlag for å bruke opplysningene på den måten de ble brukt på. Dette var fordi opplysningene ikke var egnet til å trekke konklusjoner om når arbeidstaker hadde vært på jobb. Overdrevne påstander fra arbeidsgiver om fravær var urimelig belastende for arbeidstaker, som ble tilkjent oppreisningserstatning for brudd på pol..

Aksept av hemmelig spaning og etterforskning
Mens undersøkelse av logginformasjon fra bruk av IT-verktøy, og sporingsinformasjon fra GPS vurderes som mindre belastende for arbeidstaker, vil hemmelig videoovervåkning generelt være en alvorlig integritetskrenkelse [4].  

Høyesterett har akseptert at hemmelig spaning med fotografering av arbeidstaker i fritiden var saklig og forholdsmessig etter aml. § 9-1[5]. Domstolen differensierte mot hemmelig videoovervåkning, ved at spaningen ikke var vedvarende, og dermed en mindre krenkelse. Rammene for å akseptere spaning som kontrolltiltak vil være snevre. I dette tilfellet der det var konkret mistanke om underslag og det ikke var alternative eksisterende kontrollmetoder, så kunne det aksepteres.

Et kontrolltiltak som ikke ble akseptert finnes i Nettbusskjennelsen [6]. En kontrollør fra et innleid selskap fikk utført reparasjoner hjemme hos en arbeidstaker i perioder den var sykmeldt og hadde fri. Betalingen skjedde kontant og uten kvittering. Kontrollen ble utført i forbindelse med mistanke om forhold som ga grunnlag for oppsigelse. Retten vurderte at kontrollen hadde et saklig formål, men at tiltaket var uforholdsmessig da det hadde provokasjonslignende preg og det eksisterte mindre inngripende alternative metoder. Vilkårene for kontrolltiltaket var således ikke oppfylt, jf aml. § 9-1, og beviset ble her nektet ført for retten[7].

Retten tillater bevis fra utilbørlige kontroll
Til tross for at det foreligger utilbørlig kontroll av arbeidstakere har domstolene akseptert at opplysninger og dokument fra kontrollen legges frem som bevis i stillingsvernssaker.

Hovedregelen i norsk sivilprosess er fri bevisførsel. Retten kan i særlige tilfeller nekte føring av bevis som er skaffet til veie på utilbørlig måte, jf tvisteloven § 22-7. Ved vurderingen skal retten på den ene side legge vekt på utilbørligheten ved fremskaffelsen av beviset og krenkelsens alvorlighet. På den annen side vektlegges betydningen beviset har for sakens opplysning for å få en materielt riktig dom. I GPS-kjennelsen la retten stor vekt på at graden av krenkelse var liten, og tillot bevis fra det utilbørlige kontrolltiltaket.

En kan da stille seg spørsmål hvilken betydning det har at arbeidsgiver følger loven ved gjennomføring av kontrolltiltak og behandling av personopplysninger. Det har en egenverdi at arbeidsgiver opptrer i henhold til lov. Arbeidsgiver kan dessuten bli erstatningsansvarlig og strafferettslig ansvarlig for brudd på både arbeidsmiljøloven og personopplysningsloven. Arbeidstilsynet og Datatilsynet fører tilsyn og har sanksjonsmuligheter. Ved stillingsvernssaker kan saksbehandlingen vektlegges ved saklighetsvurderingen. Det vil si at en dårlig eller ulovlig saksbehandling kan få som konsekvens at en oppsigelse eller avskjed blir kjent ugyldig.

Sammenfatning
Rettspraksis knyttet til kontrolltiltak og bruk av personopplysninger fra kontrollen gir ikke tilstrekkelig god forutsigbarhet for arbeidsgivers kontrolladgang. Enhver virksomhet må vurdere hvilket behov de har for å foreta kontroll av sine arbeidstakere. Det må deretter etableres kontrolltiltak ved drøfting med de tillitsvalgte og informasjon om tiltakene til de ansatte. Kontrolltiltakene bør inn i personalreglementet til virksomheten. Dersom virksomheten har fulgt saksbehandlingsreglene skal det mye til før kontrollen blir vurdert som uforholdsmessig. Har det ikke blitt utarbeidet kontrolltiltak i virksomheten er kontroll av arbeidstaker likevel ikke utelukket. Dersom det foreligger konkret mistanke om alvorlige forhold, og arbeidsgiver velger et fornuftig tiltak for å bekrefte eller avkrefte mistanken vil også det kunne aksepteres. Arbeidsgiver må konkret vurdere om tiltaket er forholdsmessig, tatt i betraktning arbeidsgivers behov mot den integritetskrenkelse kontrollen medfører. Dersom det foreligger mindre inngripende tiltak skal dette velges. Det må deretter vurderes om opplysningene som innhentes er egnet til å avkrefte eller bekrefte mislighold av arbeidsavtalen.

Du kan lære mer om dette på HR Norges kurs: Arbeidsgivers håndtering av personopplysninger

---

[1] LB 2007-121782,

[2] HR-2011-1019-U og LB 2007-121782

[3]LB 2007 121782

[4] Gatekjøkkenkjennelsen Rt. 1991 s. 616.

[5] HR-2007-540-U og RG 2007 s. 855

[6] RG 2007 s. 56

[7] jf tvisteloven § 22-7