Arbeidsrett & GDPR | Ny dom fra EU-domstolen om «særlige kategorier» av personopplysninger

BAHR mener

I saken som var til behandling ble personopplysningene offentliggjort på internett og utgjorde av den grunn et alvorlig inngrep i de ansattes grunnleggende rett til respekt for privatlivet og til beskyttelse av sine personopplysninger. Til sammenligning er registrering av ansattes pårørende i et tilgangsbegrenset personalsystem vesentlig mindre inngripende. Det kan etter vår oppfatning gi en annen konklusjon.

I lys av EU-domstolens uttalelse kan det etter BAHRs oppfatning være fornuftig å forholde seg til denne type indirekte informasjon som særlige kategorier av personopplysninger og blant annet unngå å bruke arbeidsgivers berettigede interesse som behandlingsgrunnlag. Det aktuelle behandlingsgrunnlaget vil som hovedregel være samtykke. I praksis kan utfordringen etter vår vurdering løses ved for eksempel å la registrering av pårørende og eventuelt relasjonen mellom den ansatte og pårørende være frivillig for de ansatte.

Arbeidsgivere kan også ha nytte av å gjennomgå behandlingsprotokollen sin og vurdere om noen av behandlingene indirekte kan si noe om særlige kategorier av personopplysninger, og å vurdere om man opererer med riktig behandlingsgrunnlag.

For helhetens skyld nevner vi at EU-domstolen for tiden har en ny sak til behandling som tar opp spørsmål knyttet til hva som er personopplysninger, som vil kunne kaste ytterligere lys over vurderingen av når man står overfor særlige kategorier av personopplysninger.

Generelt om kategorisering av personopplysninger

Det har lenge vært diskutert om behandling av opplysninger som indirekte kan gi informasjon om særlige kategorier av personopplysninger skal regnes som dette, selv der formålet med behandlingen ikke tilsier det.

Arbeidsgivere behandler flere særlige kategorier av personopplysninger om sine ansatte. Særlige kategorier av personopplysninger er personopplysninger om rasemessig eller etnisk opprinnelse, politisk oppfatning, religion, filosofisk overbevisning eller fagforeningsmedlemskap, helseopplysninger eller opplysninger om en fysisk persons seksuelle forhold eller seksuelle orienteringen samt behandling av genetiske opplysninger og biometriske opplysninger med det formål å entydig identifisere en fysisk person.

Arbeidsgiveres behandling av særlige kategorier av personopplysninger er ofte lovregulert og derfor tillatt, men mange arbeidsgivere behandler også personopplysninger om ansatte som indirekte kan si noe om for eksempel seksuell orientering, religion eller etnisitet. Slik behandling er sjelden lovpålagt. Praktiske eksempler er registrering av pårørende eller nødkontakter i personalsystemet, bilder av ansatte eller bakgrunnssjekk.

Kort om faktum i saken

Søkere og ansatte i offentlige stillinger i Litauen måtte inngi en erklæring om sine private forhold dersom stillingen innebar forvaltning av offentlige midler. Formålet med ordningen var blant annet å hindre korrupsjon. Deler av erklæringen ble publisert på internett. Dette omfattet informasjon om den ansattes eget navn og navn på ektefelle eller samboer. Ett av spørsmålene for domstolen var som nevnt om dette var å regne som særlige kategorier av personopplysninger, siden informasjonen indirekte sier noe om den ansattes seksuelle orientering og tilsvarende om ektefellen/samboeren.

Nærmere om EU-domstolens vurdering

I dommen uttalte EU-domstolen tilsynelatende generelt, at personopplysninger som indirekte avslører særlige kategorier av personopplysninger, nettopp er å anse som det. I den konkrete saken var spørsmålet om det innebar behandling av særlige kategorier av personopplysninger når det var krav om å publisere informasjon på internett om blant annet familiesituasjonen til en bestemt gruppe offentlige ansatte. Informasjonen om ektefellens navn ga indirekte informasjon om den ansattes seksuelle orientering. Domstolen svarte bekreftende på spørsmålet.

Domstolen la for øvrig vekt på at formålet med personvernregelverket er å sikre et høyt beskyttelsesnivå av personers grunnleggende rettigheter og friheter, særlig når det kommer til deres privatliv. Dersom man skulle unnta opplysninger som er egnet til å avsløre særlige kategorier av personopplysninger fra definisjonen, ville det virke mot formålet og bringe i fare den effektive virkningen av de beskyttelsesordninger som er etablert for å beskytte rettighetene for særlige personopplysninger.