Fagpressenytt

I mai 2018 kommer nye personvernregler, da skal EUs forordning for personvern implementeres i norsk lov. Dette vil få konsekvenser for ivaretakelse av personvernet og håndtering av personopplysninger på en rekke samfunnsområder, også for norske virksomheters bruk av ulike kontrolltiltak rettet mot ansatte og det arbeidet som utføres. Hva de nye reglene vil bety for virksomhetens bruk av kontrolltiltak og ansattes personvern, er foreløpig et åpent spørsmål. Datatilsynet legger ut tolkninger og gir veiledning i den nye personvernloven. Når det gjelder krav til virksomhetene, sier Datatilsynet at de nye reglene legger større vekt på virksomhetenes personvernpolitikk, informasjon og rutiner. Det stilles også krav om at personvern skal bygges inn i nye løsninger. På arbeidslivsområdet er de nye personvernreglene på mange måter et svar på utfordringer knyttet til økende digitalisering, nye kontrollformer, økt overvåking av ansatte og økende press på ansattes personvern (Schartum & Bygrave, 2011). Den teknologiske utviklingen gjør det mulig å samle inn stadig større menger opplysninger om når, hvor og hvordan arbeidsoppgaver utføres. Fra 1990-tallet har det skjedd et skifte fra direkte eller byråkratisk kontroll til mer indirekte og selvdisiplinerende kontroll gjennom bruk av digitaliserte kontroll- og overvåkingsformer i store deler av arbeidslivet (Thompson, 2003; Rosengren & Ottosson, 2016). Når det gjelder virksomhetenes bruk av kontrolltiltak og ansattes personvern, er dette regulert av bestemmelser både i arbeidsmiljøloven (aml) og i personopplysningsloven (pol) med forskrift. Dette innebærer at lovreguleringen på området er kompleks og kan i mange tilfeller oppleves som vanskelig å etterleve. I løpet av de siste ti årene er det gjennomført flere undersøkelser hvor kontroll og overvåking i arbeidslivet og utfordringer for ansattes personvern og arbeidsmiljø har vært tema (Bråten, 2008; Bråten, 2010; Bråten & Tranvik, 2012; Tranvik, 2013; Bråten, 2016). Disse undersøkelsene danner bakteppet for denne artikkelen, hvor spørsmål omkring norske arbeidsgiveres bruk av digitaliserte kontroll- og styringssystemer og implikasjoner for ansattes personvern drøftes. Problemstillingen i artikkelen består av følgende to hovedspørsmål:

• Hvilke motiver, holdninger og praksis har norske arbeidsgivere når det gjelder bruk av IKT-baserte kontroll- og styringssystemer?
• Hvilke implikasjoner har dette for ansattes personvern?

OM KONTROLLTILTAK I ARBEIDSLIVET
Kort fortalt handler kontroll i arbeidslivet om ledelsens muligheter til å følge med på hva ansatte gjør på jobben, slik at de gjør det de skal, og bruker tiden fornuftig. Kontrolltiltak gir også ledelsen muligheter for å korrigere eller sanksjonere ansatte som ikke gjør som de skal. Det er vanlig å skille mellom fysiske (for eksempel veskekontroll og rusmiddeltesting) og elektroniske kontrolltiltak. Her skal vi konsentrere oss om elektroniske tiltak, som omfatter ulike teknologier slik som for eksempel: videoovervåking, overvåking av telefonsamtaler, elektronisk adgangskontroll, registrering av e-post og internettbruk, sporing gjennom GPS-baserte systemer og bruk av biometriske data for adgangskontroll og pålogging. Men mulighetene for overvåking finnes også innebygd i flere av de verktøyene mange bruker daglig i jobben, slik som PC, smarttelefon og adgangskort - som igjen kan sammenkobles i nettverk og gi detaljert informasjon om adferd. Gjennom å bruke disse legger den ansatte igjen en rekke elektroniske spor som kan brukes til å kontrollere hvor man har vært - både fysisk og på internett - og hva som er blitt gjort i løpet av en arbeidsdag.
Bruken av elektroniske kontroll- og styringstiltak i arbeidslivet er blitt mer omfattende i løpet av det siste tiåret. Arbeidsgiverne er mer opptatt av hvordan hver enkelt ansatt bidrar til virksomhetenes lønnsomhet eller måloppnåelse, og ny teknologi muliggjør økende styring og kontroll på individnivå (Tranvik & Bråten, 2015).
Det er vanskelig å anslå omfanget av kontroll- og styringstiltak i arbeidslivet. I en undersøkelse Fafo gjennomførte i 2010, svarte nærmere 60 prosent av ansatte at de var omfattet av ett eller flere elektroniske kontrolltiltak. I Statistisk sentralbyrås levekårsundersøkelse (LKU) i 2013 svarte drøyt 40 prosent av arbeidstakerne at de var omfattet av ett eller flere slike kontrolltiltak på jobben. Det er grunn til å anta at dette tallet er høyere i dag - teknologien blir stadig billigere og lettere tilgjengelig - i mange tilfeller er overvåkingsteknologien bygd inn i de verktøyene arbeidsgiver kjøper. Det er blant annet denne formen for innebygd overvåkingsteknologi den nye personvernloven vil begrense.
Generelt er det gjort få undersøkelser om arbeidsgivernes holdninger og praksis når det gjelder behovet for kontroll- og styringssystemer og ansattes rett til personvern. Et eksempel på en slik undersøkelse er imidlertid Ravlum (2005), som konkluderte med at det fantes en grunnleggende positiv holdning til personvern blant virksomhetslederne - til tross for at nærmere én av tre svarte at de ikke hadde oppfylt noen av kravene som følger av personopplysningsloven eller forskriften.

PERSPEKTIVER PÅ PERSONVERN
Arbeidsgivers kontrollinteresser vil i mange tilfeller være relativt kontrete og enkle å forstå. Det handler ofte om behov for effektivisering og rasjonalisering av driften, behov for bedre dokumentasjon av arbeidsutførelsen, økt personellsikkerhet og bedre regeletterlevelse (Tranvik, 2013). Hva ansattes interesser i personvern handler om, kan derimot være vanskeligere å konkretisere. Schartum og Bygrave (2011) framstiller tre perspektiver på personvern som også har vært sentrale i offentlige utredninger om personvern og sentrale lovforarbeider (NOU 1997:19). De tre perspektivene er integritetsperspektivet, beslutningsperspektivet og maktperspektivet. Til grunn ligger en interessemodell som tar utgangspunkt i (minst) to aktører med dels sammenfallende og dels motstridende interesser. De tre perspektivene er nærmere drøftet i Schartum og Bygrave (2011). Her nevnes kort noen hovedtrekk:
Integritetsperspektivet handler om individets interesse i å verne sitt personlige og sosiale liv mot uønskede forstyrrelser eller urettmessig inngripen utenfra, dette gjelder også i arbeidslivet. Personvernet betraktes som et grunnleggende ønske om å ha kontroll over opplysninger om seg selv, særlig over opplysninger som oppleves som personlige.
Beslutningsperspektivet forutsetter at beslutninger baseres på personopplysninger, og på grunnlag av det reises det krav om behandlingen av personopplysningene. I arbeidslivet handler beslutningsperspektivet om retten til personvern når arbeidsgiver bruker opplysninger om hver enkelt ansatt til å fatte beslutninger som har betydning for arbeidsforholdet eller innholdet i arbeidet.
Maktperspektivet handler om spørsmålet om makt og innflytelse mellom ulike grupper og/eller personer i samfunnet. Hvis kunnskap er makt, vil også kunnskap om andre mennesker gi makt, spesielt over de mennesker kunnskapen gjelder.

PERSONVERN OG PERSONOPPLYSNINGSVERN
Personvernkommisjonen skiller mellom personvern og personopplysningsvern (NOU 2009:1, s. 32). Følgende definisjon legges til grunn:

• «Personvern dreier seg om ivaretakelse av personlig integritet; ivaretakelse av enkeltindividers mulighet for privatliv, selvbestemmelse (autonomi) og selvutfoldelse. Eksempel på en personvernbestemm