Innhold

Innføring av elektroniske styringsverktøy ‐ kontroll og overvåking

Artikkel, Personvern

#205

#120 Fotograf: Næringslivets Skole

Mens bedriften har behov for å styre produksjonen og kontrollere ressursbruken, har ansatte krav på vern av sine personopplysninger. Denne veilederen tar sikte på å gi en oversikt over hvilke regler som regulerer bruk av elektroniske styringssystemer og kontrolltiltak.

De overordnede spørsmålene fra et bedriftsperspektiv vil ofte være: Kan vi innføre et nytt kontrollsystem, og hvordan skal vi gå frem? Fra arbeidstakersiden vil bedriften kunne bli møtt med spørsmål og skepsis. Derfor er det viktig å ha grunnleggende kunnskap om de juridiske problemstillingene som oppstår. Det er helt nødvendig å gjennomføre en åpen og fornuftig dialog med de ansatte/tillitsvalgte for å skape forståelse og trygghet i forhold til de systemer som ønskes innført.

Begrepet kontrolltiltak er i mange sammenhenger ikke treffende, idet bedriftene ofte innfører verktøyer av driftsmessige årsaker og ikke av kontrollhensyn. I det følgende benyttes både begrepet "styringsverktøy" og "kontroll/overvåking" om aktuelle tiltak. Det er viktig å være oppmerksom på at det er de samme vurderingene som må gjøres uansett begrepsbruk. Vi anbefaler at bedriftene følger saksbehandlingsreglene i Arbeidsmiljøloven også ved tiltak som ikke har et direkte kontrollformål.

Denne veilederen gir ingen fullstendig oversikt over dette feltet, og må benyttes som en innføring. Ethvert tilfelle må deretter vurderes konkret. 

Kan det innføres kontrolltiltak?

Om det kan iverksettes kontrolltiltak i en virksomhet reguleres for det første av Arbeidsmiljølovens kapittel 9. Disse reglene gjelder alle former for kontrolltiltak ‐ både de som utføres ved hjelp av elektroniske hjelpemidler, og mer tradisjonelle kontroller, f.eks. veskekontroll. Loven har videre særlige regler for helsekontroller som ikke omtales nærmere.

Personopplysningsloven (pol) er videre sentral. Dersom kontrolltiltak innebærer at bedriften får hånd om personopplysninger, vil reglene i Personopplysningsloven gjelde for behandlingen av disse.

I tillegg finner vi bestemmelser om kontrolltiltak i Tilleggsavtale V til Hovedavtalen LO‐NHO. Denne vil være gjeldende for tariffbundne bedrifter. Avtalen legger opp til at det skal søkes oppnådd lokal enighet om kontrolltiltak, og hver av partene kan bringe saken inn til organisasjonene om dette ikke oppnås. Arbeidsgivers plikter etter Tilleggsavtale V samsvarer for øvrig i grove trekk med lovgivningen og omtales således ikke nærmere.

Saklig og forholdsmessig

Arbeidsgiver står ikke fritt til å innføre kontrolltiltak i bedriften. Begrensningene i arbeidsgivers styringsrett i så måte fremgår avArbeidsmiljølovens kapittel 9. Vilkårene for å innføre kontrolltiltak følger av § 9‐1, og er følgende:

  • tiltaket må ha saklig grunn i virksomhetens forhold
  • tiltaket må ikke innebære en uforholdsmessig belastning for arbeidstaker

Hva som er saklig grunn, må for det første gjøres ut fra bedriftens behov. Har den et saklig behov for kontrollen? Saklige behov kan være av både økonomisk, sikkerhetsmessig eller teknologisk karakter og må knytte seg til bedriftens virksomhet.

Videre må tiltaket være saklig i forhold til den enkelte arbeidstaker/arbeidstakergruppe. Det vil eksempelvis kunne være saklig å innføre veskekontroll av personell som har tilgang til apotekvarer, mens det kanskje ikke er det samme behovet for kontroll av ansatte på lønningskontoret i samme bedrift. Her skal det understrekes at det skal foreligge gode grunner til å forskjellsbehandle ulike grupper av ansatte.

At tiltaket må være forholdsmessig, betyr at bedriften må foreta en avveining mellom egne behov og det inngrepet kontrollen innebærer for den ansatte. Jo større inngrep tiltaket innebærer for den enkeltes personvern, desto større interesse må bedriften ha i å gjennomføre det. Det skal mye til for at mer tradisjonelle kontrolltiltak i arbeidslivet som f.eks. tidsregistrering, adgangskontroll, produksjons‐ og resultatkontroll vil bli ansett som uforholdsmessig. Er det snakk om flere kontrolltiltak, må summen av disse vurderes.

Dersom det foreligger konkrete, velbegrunnede mistanker om misligheter i arbeidsforholdet, vil det være større adgang for arbeidsgiver til å iverksette kontroll.

Gjennomføring og drøfting

Dersom vilkårene for kontroll er oppfylt, vil arbeidsgiver ha rett til å gjennomføre tiltaket, og det foreligger en motsvarende plikt for den enkelte arbeidstaker til å medvirke. Dersom det er tvist om hvorvidt tiltaket er rettmessig etter Arbeidsmiljøloven, må den enkelte som hovedregel medvirke inntil saken eventuelt prøves i rettssystemet eller bringes inn for Arbeidstilsynet.

Arbeidsmiljøloven har strengere  regler for saksbehandlingen når systemer for kontroll og overvåking skal innføres eller endres, jf. § 9‐2. Reglene skal sikre at arbeidstakerne får informasjon om kontrolltiltakene, og at de tillitsvalgte gis anledning til å komme med innspill i prosessen.

Før kontrolltiltaket iverksettes/endres vesentlig skal arbeidsgiver drøfte med de tillitsvalgte:

  • behovet for tiltaket
  • utforming og gjennomføring av tiltaket

Hvis bedriften ikke har tillitsvalgte, må tiltaket drøftes med andre representanter, f.eks. verneombud eller andre som kan opptre på vegne av de ansatte.

Det fremgår av loven at drøftelsene skal foretas "så tidlig som mulig". Dette innebærer at drøftelsene må foretas på et tidspunkt før beslutningene reelt sett er tatt slik at de tillitsvalgtes innspill kan vurderes i prosessen.

Drøftingsplikten gjelder i forhold til innføringen av selve tiltaket. Det er ikke drøftelsesplikt for hvert konkrete tilfelle av kontroll under det innførte systemet. Eksempelvis vil en rutinemessig veskekontroll ikke utløse drøftelsesplikt når et system for dette har vært drøftet i forkant.

Informasjon og evaluering

Når tiltaket er innført, skal arbeidsgiver sammen med de tillitsvalgte jevnlig evaluere behovet for fortsatt kontrolltiltak. Det kan være at behovene endres slik at tiltaket ikke lenger anses som forholdsmessig selv om det opprinnelig var det. Hvor ofte en evaluering skal gjennomføres, er ikke nærmere presisert i loven. Dette vil avhenge av tiltakets karakter. Det anbefales at det i drøftelsene før innføring av tiltaket avklares hvordan og hvor hyppig den etterfølgende evalueringen skal foretas.

Før tiltaket iverksettes, skal arbeidsgiver gi de ansatte som berøres av tiltaket informasjon om formålet med kontrolltiltaket, hvor lenge det vil vare, og hvilke praktiske konsekvenser dette har og hvordan det vil bli gjennomført (f.eks. hva slags utstyr som vil bli brukt og hvor det plasseres, hvordan det virker, om bruk av eksterne medhjelpere etc.).

Manglende overholdelse av drøftelses‐ og informasjonsplikten medfører ikke automatisk at tiltaket er ulovlig, men dette vil være av betydning i en slik vurdering. Det anbefales uansett av hensynet til en god prosess at bedriftene er påpasselige med å følge reglene om informasjon og drøftelse.

Personopplysningsloven

Personopplysningsloven gjelder for det første behandling av personopplysninger med elektroniske hjelpemidler. Begrepet personopplysning er definert som enhver opplysning/vurdering som kan knyttes til en enkeltperson, jf. Personopplysningslovens § 2. Forenklet sagt omfatter dette det meste av informasjon en arbeidsgiver har om en ansatt. Informasjon som innhentes gjennom ulike kontrollmekanismer (adgangskontroller, GPS, timeregistrering, datalogging etc.) vil omfattes der informasjonen kan kobles opp mot den enkelte ansatte.

Bedriften må, for å vurdere om et aktuelt tiltak kan iverksettes, undersøke vilkårene i Arbeidsmiljøloven, mens Personopplysningsloven har regler for om informasjonen man da får kan behandles og hvordan dette skal gjøres. Behandling omfatter forenklet sagt alt en bedrift gjør med opplysninger, fra innsamling til kun oppbevaring.

Loven omfatter også manuell behandling av opplysninger der disse inngår i et register, dvs. en systematisk fortegnelse, f.eks. organisert alfabetisk etter navn, ansattnummer, fødselsdato el. Dette behandles ikke nærmere i det følgende.

Grunnvilkår for behandling av personopplysninger

For at det skal være anledning til å behandle personopplysninger med elektroniske hjelpemidler, stilles det krav i Personopplysningsloven om et behandlingsgrunnlag. Dette vil for det første kunne være et samtykke fra den registrerte, at behandlingen har en særlig hjemmel i lov, eller at den må anses nødvendig for å oppfylle nærmere bestemte formål, eksempelvis for å oppfylle en avtale med den registrerte. Dette fremgår av Personopplysningslovens § 8.

Det kan i en del tilfeller være tvilsomt om samtykke er reelt frivillig slik loven krever, idet ansatte kan oppleve å være i en pressituasjon i forhold til å samtykke til tiltaket. Dette må man se nærmere på for hvert enkelt kontrolltiltak. Som oftest er det nærliggende å vurdere hvorvidt behandlingen kan foretas ut fra en nødvendighetsvurdering. En slik skjønnsmessig hjemmel finner vi i § 8 f) som viser til at opplysninger kan behandles dersom det er nødvendig for å ivareta en berettiget interesse og hensynet til personvernet hos den registrerte ikke veier tyngre. Her må bedriften altså se på det tiltaket man vurderer å igangsette, og ta stilling til om det er så sterke behov for å gjennomføre dette at det blir avgjørende i forhold til den enkelte ansattes personvern. Det er arbeidsgiver selv som må foreta vurderingen av om det er grunnlag for behandling. Ofte vil rasjonelle tiltak for hensiktsmessig drift være hjemlet i denne bestemmelsen, f.eks. flåtestyring og adgangskontroll, men arbeidsgiver må se konkret på hvor tyngende tiltaket er for den ansatte, og om det eventuelt kan gjennomføres på en mindre inngripende måte.

Den interesseavveiningen som bedriften da må foreta, er som hovedregel tilsvarende som den  som er foretatt etter Arbeidsmiljølovens § 9‐2 – om det er et saklig behov og om tiltaket er forholdsmessig. Finner man først at innføringen av tiltaket er lovlig etter Arbeidsmiljøloven, vil grunnvilkåret for behandling av opplysningene som genereres som oftest også være oppfylt.

For hver type behandling som foretas, må det videre fastsettes et formål med behandlingen, og bedriften må opplyse om dette. Formålet med behandlingen må ha en saklig begrunnelse i den virksomheten som drives – f.eks. vil det kunne være et saklig formål å registrere et kjøretøys posisjon for å kunne disponere kjøretøy og personell på en hensiktsmessig måte. Dersom opplysningene benyttes til et annet formål enn det angitte, vil behandlingen kunne være lovstridig. Bedriften må vurdere om et nytt formål er uforenlig med det som opprinnelig ble oppgitt. F.eks. vil det kunne være uforenelig med det opprinnelige formålet om å disponere kjøretøy og personell hensiktsmessig hvis opplysningen også brukes til å kontrollere om arbeidstakeren har oppfylt arbeidsplikten. Dette formålet ligger langt fra det første, og en slik bruk utløser krav om en ny prosess etter Arbeidsmiljøloven og en ny vurdering etter Personopplysningsloven. Vær oppmerksom på at grunnvilkåret må være oppfylt når opplysningene samles inn. Dette betyr at det ikke er anledning til å gjenbruke innsamlede opplysninger for et annet formål etter en etterfølgende interesseavveining etter f.eks. § 8 f, jf. Høyesteretts dom, Norsk Retstidende (Rt.) 2013, side 143, den såkalte Avfallsservice-dommen.

Sensitive personopplysninger

Noen opplysninger er mer følsomme for den det gjelder ‐ såkalte sensitive personopplysninger. Det er presisert i loven hvilke opplysninger som kan karakteriseres som sensitive. Dette er f.eks. opplysninger om helseforhold, om politisk eller religiøs tilknytning og seksuell legning, samt medlemskap i fagforening. Det gjelder noe strengere vilkår for behandlingen av disse. Disse fremgår av Personopplysningslovens § 9 og kommer i tillegg til kravene nevnt over.

Melde‐ og konsesjonsplikt

Som hovedregel skal det gis melding til Datatilsynet før behandling av personopplysninger med elektroniske hjelpemidler igangsettes. Det samme gjelder ved manuell behandling av sensitive opplysninger.

Melding er kun en orientering til Datatilsynet om behandlingen, og det hverken kreves eller gis noen godkjenning på at behandlingen er i overensstemmelse med loven. Dette er bedriftens ansvar. Melding gis på eget skjema utarbeidet av Datatilsynet.  

Dersom det behandles sensitive personopplysninger, kreves det i utgangspunktet konsesjon fra Datatilsynet.

I forskrift til Personopplysningsloven (Forskrift 2000‐12‐15 nr. 1265) er det fastsatt en rekke unntak fra melde‐ og konsesjonsplikten. Praktisk viktig i arbeidsforhold er unntaket i § 7‐16 om personalregistre. Av denne bestemmelsen fremgår at en arbeidsgivers behandling av ikke‐sensitive personopplysninger er unntatt meldeplikt under visse forutsetninger.

Dersom det behandles sensitive personopplysninger, er disse unntatt fra konsesjonsplikten under visse forutsetninger som fremgår av bestemmelsen. Det gjelder da kun meldeplikt. Grensen for melde-/konsesjonsplikt behandles ikke nærmere her. Det vises til Datatilsynes nettsider (www.datatilsynet.no) for ytterligere informasjon.

Informasjon/innsyn/sletting/lagring

Den ansatte har krav på informasjon om hvilke data som samles inn og har som hovedregel rett til innsyn i de opplysningene som gjelder vedkommende selv. Bedriften kan kreve at begjæring om innsyn skjer skriftlig. Personopplysninger skal ikke lagres lenger enn nødvendig for å oppfylle formålet med behandlingen. Her må det utvises et skjønn. Er formålet eksempelvis flåtestyring i sanntid, vil lagringsbehovet ikke være til stede. På den annen side kan formålet også omfatte planlegging for fremtiden slik at lagring i en viss tid vil være nødvendig.

Bruk av datautstyr ‐ Internett

Alle datasystemer har automatiske loggfunksjoner. Virksomheten er forpliktet etter forskrift til Personopplysningsloven (2000‐12‐15 nr. 1265) til å logge alle bevegelser i datasystemet som har betydning for informasjonssikkerheten. Logging innebærer en behandling av personopplysninger som i utgangspunktet er meldepliktig etter personopplysningsloven. Loggingen er likevel fritatt fra meldeplikten dersom opplysningene bare skal brukes til administrasjon av datasystemet eller oppdagelse og oppklaring av brudd på sikkerheten. (Jf. forskrift til Personopplysningsloven § 7‐11.)

Ved å undersøke loggene kan det avdekkes en rekke opplysninger om brukerne, eksempelvis hvilke internettsider som er besøkt. Det følger av Personopplysningsforskriftens § 9‐2 at arbeidsgiver ikke har rett til å overvåke arbeidstakers bruk av elektronisk utstyr, herunder bruk av internett, ut over logging for administrasjonshensyn/sikkerhet. En konstant overvåkning av den ansattes PC‐bruk og internettbruk er således ikke tillatt.

Enkeltstående innsyn i den enkeltes internettbruk er noe annet enn overvåkning. Dette vil under gitte omstendigheter kunne tillates, men her må det tas som utgangspunkt at personverninteressene er sterke.

Det anbefales at virksomheten utarbeider en datadisiplininstruks for bruk av systemet. Denne må gjøres kjent blant de ansatte. 

Har man en begrunnet mistanke om at instruksen brytes, vil det kunne være lovlig å foreta en nærmere kontroll av loggene og følge opp mistanken. Dette synes å følge av Høyesteretts avgjørelse i Rt. 2005, side 518. Det må vurderes i hvert tilfelle hvorvidt innsyn er den riktige fremgangsmåten fra arbeidsgivers side. Ved mindre alvorlige forhold kan det være tilstrekkelig å gjøre kjent blant de ansatte at uberettiget bruk er avdekket og må opphøre, mens det ved mistanke om alvorlige pliktbrudd/straffbare forhold, vil være berettiget/påkrevet å avdekke hvem som står bak misbruket.

Innsyn i e‐post

Personopplysningsforskriftens kapittel 9 inneholder regler om arbeidsgivers rett til innsyn i arbeidstakernes e‐postkasse mv. Reglene omfatter innsyn i e‐postkasser den ansatte har fått av virksomheten til bruk i sitt arbeid, men også innsyn i og gjennomsøking av arbeidstakernes personlige område i virksomhetens nettverk og innsyn i annet elektronisk utstyr som telefon, Ipad el. Forutsetningen er at det er arbeidsgiver som eier utstyret og at arbeidstaker har fått tilgang til utstyret for bruk i sitt arbeid.

Arbeidsgivere har bare rett til å gjennomsøke, åpne eller lese e‐post i arbeidstakerens e‐postkasse dersom vilkår satt i Personopplysningsforskriftens § 9‐2 er oppfylt.

Bestemmelsen inneholder flere alternative vilkår, og det er tilstrekkelig at ett av dem er oppfylt. Bestemmelsene skiller ikke ut fra om innholdet er å anse som privat eller virksomhetsrelatert. Vilkårene er imidlertid utformet slik at det bare unntaksvis vil være anledning til innsyn i private e‐poster.

Innsyn kan være aktuelt i følgende situasjoner:

  • Når det er nødvendig for å ivareta den daglige driften.
  • Når det er nødvendig for å ivareta andre berettigede interesser ved virksomheten.
  • Ved begrunnet mistanke om at arbeidstakers bruk  medfører grovt brudd på de pliktene som følger av arbeidsforholdet.
  • Ved begrunnet mistanke om at arbeidstakers bruk kan gi grunnlag for oppsigelse eller avskjed.

 Hva som er nødvendig, må vurderes konkret og bero på en interesseavveining. Dersom det samme kan oppnås på annen og mindre belastende måte, kan dette tale for at innsyn ikke er nødvendig.

Det er ikke anledning til å avtale innsyn i andre situasjoner enn det som følger av denne bestemmelsen. Bestemmelsen er ikke til hinder for at arbeidstakeren selv uoppfordret gir arbeidsgiver rett til innsyn, f.eks. ved uventet sykdom.

Merk at det er forskjell på innsyn i konkrete tilfeller som kan skje dersom vilkårene er oppfylt, og kontinuerlig overvåking av den ansattes e‐postkorrespondanse. Slik kontinuerlig overvåking er ikke tillatt.

Reglene i Personopplysningsforskriften oppstiller videre konkrete regler for hvordan arbeidsgiver skal gå frem dersom arbeidsgiver ønsker innsyn.

Arbeidstaker skal så langt som mulig få varsel og anledning til å uttale seg før innsynet blir gjennomført. I tillegg sikrer reglene at arbeidstaker og tillitsvalgt eller annen representant så langt som praktisk mulig har rett til å være tilstede under innsynet.

Dersom innsyn er begrunnet i mistanke om misligheter i arbeidsforholdet, kan det være fare for at varsling om innsyn kan medføre at arbeidstakeren sletter relevante opplysninger. Arbeidsgiver kan i slike situasjoner sikre en kopi av innholdet før innsynet gjennomføres i kopien etter Personopplysningsforskriftens saksbehandlingsregler.

Elektronisk adgangskontroll ‐ tidsregistrering

Med elektronisk adgangskontroll menes tekniske løsninger som sørger for at bare de som rettmessig har adgang til et bestemt område, slipper inn. Dette gjøres f.eks. ved bruk av elektroniske nøkkelkort.

Elektronisk adgangskontroll vil innebære behandling av personopplysninger. Arbeidsgiver har derfor plikt for å sørge for at bestemmelsene i Personopplysningsloven overholdes.

Arbeidsgiveren kan kreve at de ansatte registrerer seg automatisk når de kommer på arbeid og når de forlater arbeidsplassen. Det kan også kreves at de registrerer seg ut på forskjellige koder dersom de forlater arbeidsplassen i avtalt arbeidstid, f.eks. for å gå til eksterne møter, tannlegen el. Dette følger av arbeidsgiverens styringsrett og arbeidsavtalen der de ansatte stiller sin tid til arbeidsgiverens disposisjon mot betaling. Et slikt tiltak vil regelmessig være et kontrolltiltak som også ligger innenfor Arbeidsmiljølovens kapittel 9.

 Innenfor enkelte bransjer har arbeidstakerne ikke noe fast arbeidssted. Dette gjelder typisk for sjåfører, håndverkere og for arbeidstakere innen en rekke servicevirksomheter. I disse tilfellene kan arbeidsgiveren ha et ønske eller behov for å vite hvor den enkelte ansatte befinner seg til enhver tid. Det vil på samme måte som for ansatte med fast arbeidssted være rettmessig å kreve en rapportering om arbeidsoppstart og slutt, f.eks. via SMS. Det må videre legges til grunn at arbeidsgiver har anledning til å benytte lokaliseringsdata til registrering av arbeidstid ut fra en konkret interesseavveining etter Arbeidsmiljølovens § 9‐1. I denne vurderingen blir det imidlertid av betydning at kontrollen ikke genererer mer informasjon enn det som er nødvendig, gjennomføres på den måten som er minst inngripende overfor den ansattes personvern, samt at saksbehandlingsreglene er fulgt og at de ansatte er tilstrekkelig informert.

GPS‐sporing av kjøretøy – flåtestyring – elektronisk kjørebok

Arbeidsgivere kan også av andre årsaker enn tidsregistrering (se under punkt 4.3) ønske å installere sporingsenheter i virksomhetens egne kjøretøy. Lokalisering av kjøretøy har vel så ofte det formålet effektivt å kunne styre ressurser slik at arbeidsgiver f.eks. til enhver tid vet hvilken budbil som befinner seg nærmest kunden. Slike systemer har et klart saklig formål, og det vil som hovedregel være rettmessig etter Arbeidsmiljølovens § 9-1.

Som ellers må det vurderes om hensynet kan oppnås på en mindre belastende måte, og det har i den forbindelse vært reist spørsmål ved om det er berettiget å benytte systemer som konstant lokaliserer, eller om det må kreves at enheten kan slås av slik at arbeidstaker ikke overvåkes ved private (berettigede) ærend i arbeidstiden, eksempelvis legetime.

Datatilsynet peker på at denne type løsninger vil kunne gjøre at interesseavveiningen lettere faller ut i arbeidsgivers favør. Videre vil denne type systemer kunne registrere en rekke opplysninger som ikke er nødvendige for selve lokaliseringen – eksempelvis data knyttet til kjøremønster. Flåtestyring i seg selv vil antageligvis ikke nødvendiggjøre slik registrering, mens andre saklige formål kan tilsi en annen vurdering. Det vil således bero på en konkret vurdering ut fra hvilken saklig interesse virksomheten har i registrering av slike opplysninger og hvilke inngrep i personvernet tiltaket innebærer om dette er rettmessig.

GPS benyttes videre i forbindelse med føring av såkalt elektronisk kjørebok for å oppfylle skattelovgivningens krav om dokumentasjon på at yrkeskjøretøy ikke benyttes til privat bruk. Et slikt tiltak vil som utgangspunkt være rettmessig, men igjen må det da vurderes nærmere hvilke opplysninger som registreres og hvorvidt disse er nødvendige for å oppfylle formålet. Videre kommer lagringsspørsmålet opp – hvor lenge er det ut fra formålet nødvendig å lagre disse opplysningene? En naturlig tolkning vil da være at man har gjennomført formålet når dokumentasjonsplikten opphører. Behovet vil i utgangspunktet strekke seg parallelt med skattekontorenes adgang til å foreta bokettersyn eller lignende kontroller. Datatilsynet tar dette som utgangspunkt.

Automatisk opptak av telefonsamtaler

Dagens IT‐systemer gir mulighet for automatiske opptak av telefonsamtaler. Enkelte arbeidsgivere kan ønske å gjøre dette. Det er ikke ulovlig å ta opp telefonsamtaler man selv deltar i. Det settes likhetstegn mellom arbeidsgiver og den ansatte i denne sammenhengen. Det anses dermed normalt ikke som ulovlig at arbeidsgiver foretar opptak av en samtale mellom seg selv, ansatte og eventuell tredjeperson.

Opptak gjøres eksempelvis ofte på callsenter for å ha kontroll med effektivitet og kvalitet hos den enkelte ansatte, men også for å kartlegge hensiktsmessig bemanning og kapasitet. Opptak kan også gjøres i opplæringsøyemed. Så fremt saksbehandlingsreglene er fulgt, må det antas at dette i stor grad er rettmessige tiltak i forhold til de ansatte.

Informasjon til den ansatte vil særlig være av stor betydning.

Kameraovervåking

Kamera/fjernsynsovervåking av ansatte vil falle inn under Arbeidsmiljølovens kapittel 9, og må vurderes ut fra interesseavveiningen det her legges opp til, og saksbehandlingsreglene i denne må følges. I tillegg reguleres kameraovervåking generelt (ikke bare på arbeidsplasser) av strengere regler i Personopplysningsloven. I praksis blir disse spesialreglene derfor avgjørende for når slik overvåking kan finne sted.

Med kameraovervåking menes vedvarende eller regelmessig gjentatt personovervåking ved hjelp av fjernbetjent eller automatisk virkende overvåkningskamera eller annet lignende utstyr som er fastmontert. Det er greit å merke seg at også utstyr som lett kan forveksles med en ekte kameraløsning, såkalte "dummies" også vil omfattes. Kameraovervåking av sted hvor en begrenset krets av personer ferdes jevnlig, er bare tillatt dersom det ut fra virksomheten er behov for å forebygge at farlige situasjoner oppstår og ivareta hensynet til ansattes eller andres sikkerhet eller det for øvrig er et særskilt behov for overvåkingen.

I dette ligger noe mer enn saklig grunn, og samtykke vil ikke være tilstrekkelig. Vilkåret antas å innebære at det må være en særskilt og konkret risiko enten for sikkerhetsmessige forhold, eventuelt for å avdekke kriminalitet. Typisk kan dette foreligge i produksjonsvirksomheter som medfører fare for den enkelte, oljeindustrien osv., eller på områder med stor fare for ran, slik som banker og postkontor. Datatilsynet er av den oppfatning at rutinemessig overvåking av kassen for butikkansatte, ikke uten videre er tillatt. Det må for den konkrete virksomheten foreligge et dokumentert problem eller en konkret fare for svinn eller underslag av en viss størrelse.

Kameraovervåking skal varsles ved skilting el.

Begrensninger i bruk av innhentet informasjon.

Som gjennomgangen over viser, forutsetter både Arbeidsmiljøloven og Personopplysningsloven at tiltaket/kontrollen har et uttalt formål som det skal informeres om. Når det gjelder Personopplysningsloven vil behandling av opplysninger til annet formål enn det oppgitte i utgangspunktet være behandling i strid med loven, og således ulovlig etter Personopplysningsloven. Dette innebærer eksempelvis at dersom bedriften har innført lovlig adgangskontroll av sikkerhetsmessige årsaker, vil det som utgangspunkt ligge utenfor formålet med denne å kontrollere den ansattes tilstedeværelse. Benyttes informasjonen slik, vil dette kunne innebære et brudd på Personopplysningsloven. Konsekvensene for overtredelse av Personopplysningsloven er regulert i loven og omfatter blant annet bøter, ileggelse av gebyr samt erstatningsansvar. 

En praktisk problemstilling vil være hvorvidt arbeidsgiver da også er avskåret fra å bruke informasjonen i en disiplinær prosess mot arbeidstakeren. Dette reguleres av regler om rettens adgang til å avskjære bevis, jf. Tvisteloven (17. juni 2005) § 22‐7: 

”Retten kan i særlige tilfeller nekte føring av bevis som er skaffet til veie på utilbørlig måte.”

Det må legges til grunn at opplysninger innhentet i strid med Arbeidsmiljøloven og/eller Personopplysningsloven som utgangspunkt vil være et utilbørlig innhentet bevis. Det klare utgangspunktet er imidlertid at enhver står fritt til å benytte de bevis man ønsker i en sak for domstolene, slik at dette er en innskrenkning som begrenses til de "særlige tilfeller".

Hvorvidt en informasjon innhentet i strid med reglene i Personopplysningsloven skal avskjæres (dvs. at domstolen ikke tillater at man legger dem frem i saken) eller ikke, beror på en avveining av på den ene side hensynet til sakens opplysning og hensynet til et materielt riktig resultat, mot det prinsipielt betenkelige ved å tillate bevis som er innhentet på kritikkverdig måte. I denne type saker vil det altså være avgjørende om personvernhensyn taler mot at prinsippet om fri bevisførsel skal legges til grunn. Praksis fra domstolen viser eksempler både på at informasjon ikke er tillatt ført som bevis og på det motsatte.

Høyesterett har i flere avgjørelser konkludert med at hemmelig videoovervåking innebærer en slik krenkelse at vesentlige personvernhensyn taler mot å tillate dette ført som bevis.

 I en mye omtalt kjennelse fra Hålogaland lagmannsrett 10. mars 2011 la lagmannsretten til grunn at informasjon om den ansattes timebruk og pauser innhentet fra et GPS-system innført for effektiv drift, ikke skulle avskjæres i en oppsigelsessak. Retten gikk konkret gjennom personverninteressen i dette tilfellet, og kom til at den ikke tilsa bevisavskjæring. Ved den samlede vurderingen la lagmannsretten særlig vekt på at de aktuelle bevisene som var påstått avskåret ville bidra til sakens opplysning, at de kunne være av vesentlig betydning for å oppnå en materielt riktig avgjørelse i saken, at utilbørligheten ved fremskaffelsen av beviset ikke var grov, og at krenkelsen var begrenset. Kjennelsen ble anket til Høyesterett, men ble forkastet der. Avgjørelsen viser hvorledes hvert tilfelle må vurderes for seg.