Sletteanmodning arbeidsgiver Norge

Sletteanmodning arbeidsgiver i Norge er et formelt dokument der en ansatt eller tidligere ansatt utøver retten til sletting («retten til å bli glemt») etter personvernforordningen (GDPR) artikkel 17 overfor arbeidsgiveren som behandlingsansvarlig. Personvernforordningen (GDPR) gjelder i Norge gjennom EØS-avtalen og er gjennomført i norsk rett ved personopplysningsloven (2018).

Retten til sletting etter personvernforordningen (GDPR) artikkel 17 er en av de registrertes sentrale rettigheter. Den gir den registrerte rett til å kreve at behandlingsansvarlig uten ugrunnet opphold sletter personopplysningene om vedkommende der ett av følgende vilkår er oppfylt: personopplysningene er ikke lenger nødvendige for de formålene de ble innsamlet til (bokstav a); den registrerte trekker tilbake samtykket og det ikke finnes annet behandlingsgrunnlag (bokstav b); den registrerte gjør innvending etter artikkel 21 og det ikke foreligger berettigede grunner som veier tyngre (bokstav c); opplysningene er behandlet ulovlig (bokstav d); eller sletting er nødvendig for å oppfylle en rettslig forpliktelse etter unionsretten eller norsk rett (bokstav e).

I et arbeidsforhold er det særlig vilkår (a) — at formålet er oppfylt — som er aktuelt etter at ansettelsesforholdet er avsluttet. Arbeidsgiveren innsamler og behandler personopplysninger om ansatte gjennom hele ansettelsesforholdet: personalia, lønns- og skatteopplysninger, medarbeidersamtalereferat, sykefraværsopplysninger, evalueringsrapporter, og opplærings- og kompetanseregistre. Etter at ansettelsesforholdet er avsluttet, har arbeidsgiver i utgangspunktet ikke lenger et behandlingsgrunnlag for å beholde alle disse opplysningene.

Retten til sletting er imidlertid ikke absolutt. Personvernforordningen (GDPR) artikkel 17 nr. 3 fastsetter at sletteplikten ikke gjelder der behandlingen er nødvendig for å overholde en rettslig forpliktelse eller for å utøve eller forsvare rettskrav. I norsk arbeids- og regnskapsrettlig kontekst innebærer dette at arbeidsgiver er forpliktet til å beholde visse kategorier opplysninger: lønnsopplysninger i fem år etter bokføringsloven (2004) § 13; opplysninger knyttet til fratreden og attest etter arbeidsmiljøloven (2005) § 15-15 i inntil fem år etter siste lønnsutbetaling; og skattemessige opplysninger etter ligningsloven (2016) og skatteforvaltningsloven (2016).

Forskjellen mellom sletteanmodning arbeidsgiver og de generelle GDPR-rettighetsdokumentene er viktig. Den generelle sletteanmodningen etter GDPR er rettet mot enhver behandlingsansvarlig; sletteanmodningen arbeidsgiver er spesialisert for arbeidsgiver-arbeidstaker-forholdet og tar hensyn til den særskilte norske arbeids- og regnskapsrettslige oppbevaringsplikten. forms-legal.com bibliotekets generelle slettings- og innsynsmaler supplerer dette dokumentet.

Sletteanmodning arbeidsgiver i Norge er nødvendig i alle situasjoner der en ansatt eller tidligere ansatt ønsker å utøve retten til sletting etter personvernforordningen (GDPR) artikkel 17 overfor arbeidsgiveren.

Etter avsluttet ansettelsesforhold. Den mest typiske situasjonen er at en ansatt har avsluttet arbeidsforholdet — gjennom oppsigelse, avskjedigelse, pensjonering eller frivillig fratreden — og ønsker at arbeidsgiver sletter personopplysningene som ikke lenger er nødvendige for arbeidsforholdet. Etter fratreden har arbeidsgiver i utgangspunktet ikke lenger behandlingsgrunnlag for å beholde opplysninger som utelukkende ble behandlet fordi vedkommende var ansatt.

Sletting av opplysninger fra rekrutteringsprosessen. Søkere som ikke ble ansatt, kan be om sletting av CV, søknadsbrev, referanselister og annen dokumentasjon fra rekrutteringsprosessen. Arbeidsmiljøloven (2005) og personvernforordningen (GDPR) setter grenser for hvor lenge en arbeidsgiver kan beholde rekrutteringsopplysninger uten samtykke fra søkeren.

Sletting av digitale spor og kommunikasjonshistorikk. Ansatte kan be om sletting av e-posthistorikk, chat-historikk og andre digitale kommunikasjonsregistre der disse er lagret etter ansettelsesforholdets opphør. Arbeidsgivers rett til å beholde slik kommunikasjon begrenses av den ansattes personvern, men kan begrunnes i rettslig forsvarlighet der kommunikasjonen er relevant for potensielle tvister.

Sletting fra tredjepartssystemer. Den ansatte kan be om at arbeidsgiver instruerer tredjeparter (for eksempel skyplattformer, HR-systemer, lønnsleverandører) om å slette den ansattes personopplysninger. Arbeidsgiver er ansvarlig for å videresende slettekravet til databehandlere i henhold til databehandleravtalen etter personvernforordningen (GDPR) artikkel 28.

Sletting av sensitive opplysninger. Sykefraværsopplysninger, medisinske opplysninger og opplysninger om fagforeningsmedlemskap er særlige kategorier etter personvernforordningen (GDPR) artikkel 9 og fortjener særlig oppmerksomhet. Der arbeidsgiveren ikke lenger har et behandlingsgrunnlag for disse opplysningene etter ansettelsesforholdets opphør, er sletting særlig begrunnet.

Når arbeidsgiver nekter å etterkomme anmodningen. Dersom arbeidsgiver avslår sletteanmodningen eller ikke svarer innen fristen på én måned etter personvernforordningen (GDPR) artikkel 12 nr. 3, kan arbeidstakeren klage til Datatilsynet etter artikkel 77 eller gå til domstolene etter artikkel 79. En skriftlig sletteanmodning er et nødvendig første steg i en slik klage- eller søksmålsprosess.

En komplett Sletteanmodning arbeidsgiver Norge inneholder følgende nøkkelelementer for å oppfylle kravene i personvernforordningen (GDPR) artikkel 17 og gi arbeidsgiver tilstrekkelig informasjon til å behandle anmodningen.

Klar identifikasjon av begge parter. Anmodningen skal identifisere den ansatte (navn, adresse, e-post, ansattnummer og ansettelsesperiode) og arbeidsgiver (navn, organisasjonsnummer og mottaker). Klar identifikasjon er nødvendig for at arbeidsgiver skal kunne identifisere den ansattes personopplysninger i HR-systemer, lønnssystem og arkiver.

Konkret angivelse av opplysninger som kreves slettet. Anmodningen skal angi hvilke kategorier av personopplysninger den ansatte ønsker slettet. Jo mer konkret angivelsen er, desto lettere er det for arbeidsgiver å behandle anmodningen. En generell forespørsel om «alle personopplysninger» kan være problematisk dersom arbeidsgiver er underlagt oppbevaringsplikt for mange av kategoriene.

Begrunnelse for slettekravet. Anmodningen skal angi grunnlaget for slettekravet etter personvernforordningen (GDPR) artikkel 17 nr. 1: formålet er oppfylt (bokstav a), samtykke er trukket tilbake (bokstav b), behandlingen er ulovlig (bokstav d), eller innvending etter artikkel 21 er tatt til følge (bokstav c). Begrunnelsen setter arbeidsgiver i stand til å vurdere om sletteplikt faktisk foreligger.

Forholdet til lovpålagt oppbevaringsplikt. Anmodningen bør anerkjenne at visse kategorier av opplysninger kan beholdes på grunnlag av lovpålagt oppbevaringsplikt, herunder bokføringsloven (2004) § 13 for lønnsopplysninger (fem år) og arbeidsmiljøloven (2005) § 15-15 for attester og fratredelsesdokumentasjon. Den ansatte bør likevel be om at arbeidsgiver angir konkret hvilke opplysninger beholdes og hjemmelen for dette.

Frist for svar. Anmodningen skal angi fristen for arbeidsgivers svar — én måned etter personvernforordningen (GDPR) artikkel 12 nr. 3. Fristen gir arbeidsgiver en konkret tidsfrist og gjør det enklere å eskalere til Datatilsynet dersom fristen ikke overholdes.

Klageadgang. Anmodningen bør informere om klageretten til Datatilsynet etter personvernforordningen (GDPR) artikkel 77 og retten til domstolsbehandling etter artikkel 79. Denne informasjonen signaliserer at den ansatte er kjent med sine rettigheter og er klar til å bruke dem dersom anmodningen ikke etterkommes. forms-legal.com bibliotekets maler for innsynsbegjæring og retting supplerer sletteanmodningen.

Å fylle ut en Sletteanmodning arbeidsgiver Norge korrekt krever at man følger trinnene nedenfor for å sikre at anmodningen oppfyller kravene i personvernforordningen (GDPR) artikkel 17.

Trinn 1 — Identifiser deg tydelig. Angi fullt navn, postadresse og e-postadresse. Inkluder ansattnummeret/personalnummeret dersom du kjenner det, da dette gjør det enklere for arbeidsgiver å finne dine personopplysninger i HR-systemene. Angi ansettelsesperioden nøyaktig.

Trinn 2 — Adresser anmodningen til riktig mottaker. Anmodningen bør adresseres til virksomhetens personvernombud, personvernavdeling eller HR-avdeling. Dersom du ikke vet hvem som håndterer personvernhenvendelser, send til daglig leder med kopi til HR-avdelingen. Bruk organisasjonsnummeret for å identifisere virksomheten entydig.

Trinn 3 — Spesifiser hvilke opplysninger du ønsker slettet. Vær så konkret som mulig: angi systemene (HR-system, lønnssystem, e-postarkiv), kategoriene av opplysninger (evalueringsrapporter, medarbeidersamtalereferat, opplæringsregistre, sykefraværsopplysninger) og eventuelle spesifikke dokumenter. En for generell forespørsel kan medføre at arbeidsgiver har vanskeligheter med å behandle den, og at virksomheten svarer at alt beholdes på grunnlag av oppbevaringsplikt.

Trinn 4 — Velg riktig grunnlag for slettekravet. Det vanligste grunnlaget etter avsluttet ansettelsesforhold er at «formålet med behandlingen er oppfylt», det vil si at behandlingen av opplysningene var knyttet til ansettelsesforholdet og dette ikke lenger eksisterer. Dersom du har gitt samtykke til bestemte behandlinger (for eksempel publisering av bilde på hjemmeside), velg «samtykke er trukket tilbake».

Trinn 5 — Anerkjenn lovpålagt oppbevaringsplikt. Å anerkjenne at arbeidsgiver har lovpålagt plikt til å beholde visse opplysninger (lønnsdata i fem år etter bokføringsloven (2004) § 13, attester og fratredelsesdokumentasjon etter arbeidsmiljøloven (2005) § 15-15) viser at du er realistisk og kan styrke troverdigheten til anmodningen. Be likevel om at arbeidsgiver angir konkret hvilke opplysninger beholdes og på hvilket grunnlag.

Trinn 6 — Angi svarfristen. Sett inn fristen én måned fra anmodningens dato. Arbeidsgiver skal etter personvernforordningen (GDPR) artikkel 12 nr. 3 svare innen én måned.

Trinn 7 — Send anmodningen på en dokumenterbar måte. Send anmodningen via e-post med lesebekreftelse, eller via vanlig post med mottaksbekreftelse, slik at du har dokumentasjon på at anmodningen er sendt og mottatt. Fristen begynner å løpe fra arbeidsgivers mottak av anmodningen.

Trinn 8 — Følg opp dersom du ikke får svar. Dersom arbeidsgiver ikke svarer innen én måned, eller dersom du mener svaret er utilfredsstillende, kan du klage til Datatilsynet (datatilsynet.no) etter personvernforordningen (GDPR) artikkel 77. Datatilsynet vil behandle klagen og kan pålegge arbeidsgiver å etterkomme anmodningen.

Sletteanmodning arbeidsgiver Norge er underlagt kravene i personvernforordningen (GDPR) artikkel 17, personopplysningsloven (2018), arbeidsmiljøloven (2005) og bokføringsloven (2004).

Retten til sletting etter GDPR artikkel 17. Den registrerte har rett til å kreve sletting der: (a) personopplysningene ikke lenger er nødvendige for de formålene de ble innsamlet til; (b) samtykke trekkes tilbake og det finnes ikke annet behandlingsgrunnlag; (c) innvending etter artikkel 21 tas til følge; (d) opplysningene er behandlet ulovlig; eller (e) sletting er nødvendig for å overholde en rettslig forpliktelse. Behandlingsansvarlig (arbeidsgiver) er forpliktet til uten ugrunnet opphold å etterkomme slettekravet der vilkårene er oppfylt.

Unntak fra sletteretten etter GDPR artikkel 17 nr. 3. Sletteplikten gjelder ikke der behandlingen er nødvendig for: (a) å utøve ytrings- og informasjonsfriheten; (b) å overholde en rettslig forpliktelse etter unionsretten eller norsk rett som krever behandling; (c) formål knyttet til folkehelse; (d) arkivformål i allmennhetens interesse, vitenskapelige eller historiske forskningsformål; eller (e) å reise, gjøre gjeldende eller forsvare rettskrav. I arbeidsforhold er det særlig (b) — rettslig forpliktelse til oppbevaring — som er relevant.

Arbeidsmiljøloven (2005) § 15-15 og oppbevaringsplikt. Arbeidsmiljøloven (2005) § 15-15 regulerer utstedelse og innhold av attester. Arbeidsgiver er forpliktet til å utstede attest og beholde visse opplysninger om ansettelsesforholdet. Tilsvarende kan arbeidsgiver ha behov for å beholde opplysninger knyttet til mulige tvister om arbeidsmiljø, oppsigelsessaker eller andre krav som kan gjøres gjeldende innen foreldelsesfrister etter foreldelsesloven (1979).

Bokføringsloven (2004) § 13 — fem års oppbevaringsplikt for regnskapsopplysninger. Lønnsopplysninger, skatte- og avgiftsopplysninger er primærregnskapsdata som skal oppbevares i fem år etter regnskapsårets slutt etter bokføringsloven (2004) § 13. Arbeidsgiver kan ikke slette lønnsopplysninger på anmodning fra arbeidstaker der opplysningene er nødvendige for å dokumentere skatter og avgifter.

Svarfristen og kravene til behandlingen av anmodninger etter GDPR artikkel 12. Arbeidsgiver skal etter personvernforordningen (GDPR) artikkel 12 nr. 3 innen én måned etter mottak av anmodningen informere den registrerte om tiltak som er truffet. Fristen kan forlenges med inntil to måneder der anmodningen er særlig kompleks, men den registrerte skal informeres om forlengelsen innen én måned. Dersom arbeidsgiver nekter å etterkomme anmodningen, skal begrunnelse og klageadgang oppgis.

Klageadgang til Datatilsynet og domstolene. Den ansatte kan klage til Datatilsynet etter personvernforordningen (GDPR) artikkel 77 og til Personvernnemnda etter personopplysningsloven (2018). Klagefristen er normalt ett år. Den ansatte kan videre gå til domstolene etter artikkel 79 og kreve erstatning etter artikkel 82 der ulovlig behandling har medført skade.

Sanksjoner mot arbeidsgiver. Arbeidsgiver som ulovlig nekter å etterkomme en sletteanmodning, risikerer overtredelsesgebyr fra Datatilsynet på inntil 20 millioner euro eller 4 prosent av global omsetning for brudd på artikkel 17 (etter det høyeste beløpet, jf. personvernforordningen (GDPR) artikkel 83 nr. 5), samt erstatningskrav fra arbeidstaker etter artikkel 82.

Vanlige feil ved utforming og oversendelse av sletteanmodning til arbeidsgiver kan svekke anmodningens gjennomslagskraft og forsinke prosessen.

Feil 1 — Anmodningen er for generell. En anmodning om sletting av «alle personopplysninger» uten å spesifisere kategorier, systemer eller tidsperioder gir arbeidsgiver lite konkret å forholde seg til, og arbeidsgiver kan legitimt svare at alt beholdes på grunnlag av oppbevaringsplikt. Løsning: spesifiser hvilke kategorier og systemer du ønsker slettet — for eksempel «alle referater fra medarbeidersamtaler, evalueringsrapporter og opplæringsregistre, men ikke lønnsdata».

Feil 2 — Anmodningen tar ikke hensyn til lovpålagt oppbevaringsplikt. En anmodning om sletting av lønnsdata, skatteopplysninger og regnskapsrelevante opplysninger etter bokføringsloven (2004) § 13 vil normalt avslås av arbeidsgiver med rette. Løsning: fokuser anmodningen på opplysninger som åpenbart ikke er underlagt lovpålagt oppbevaringsplikt, og be om at arbeidsgiver angir konkret hvilke opplysninger beholdes og på hvilket grunnlag.

Feil 3 — Manglende dokumentasjon på at anmodningen er sendt. Uten dokumentasjon på at anmodningen er mottatt av arbeidsgiver, er det vanskelig å holde arbeidsgiver til fristen på én måned etter personvernforordningen (GDPR) artikkel 12 nr. 3. Løsning: send anmodningen via e-post med lesebekreftelse eller via vanlig post med mottaksbekreftelse.

Feil 4 — Anmodningen sendes til feil mottaker. En anmodning sendt til nåværende leder i stedet for personvernombudet eller HR-avdelingen kan forsinke behandlingen. Løsning: kontroller hvem som håndterer personvernhenvendelser i virksomheten — dette er typisk personvernombudet, HR-avdelingen eller daglig leder. Virksomheter som er forpliktet til å ha personvernombud etter personvernforordningen (GDPR) artikkel 37, skal ha ombudets kontaktopplysninger lett tilgjengelige.

Feil 5 — Den ansatte klager for tidlig til Datatilsynet. Å klage til Datatilsynet uten å ha sendt en formell skriftlig sletteanmodning til arbeidsgiver og ventet på svar innen fristen, er normalt ikke hensiktsmessig. Datatilsynet vil typisk spørre om arbeidsgiver er kontaktet og om svar er mottatt. Løsning: send sletteanmodningen skriftlig, vent på svar innen én måned, og klag deretter til Datatilsynet dersom svaret er utilfredsstillende.

Feil 6 — Anmodningen blander sletting og innsyn. Å be om innsyn i alle opplysninger og sletting av alle opplysninger i samme dokument kan forvirre arbeidsgiver og forsinke behandlingen. Rettigheten til innsyn etter personvernforordningen (GDPR) artikkel 15 og retten til sletting etter artikkel 17 er separate rettigheter med separate prosesser. Løsning: send separate anmodninger for innsyn og sletting, eventuelt start med innsyn for å få oversikt over hvilke opplysninger som behandles, og deretter be om sletting av de aktuelle kategoriene.

Feil 7 — Manglende angivelse av kontaktopplysninger. En anmodning uten e-postadresse eller postadresse gjør det vanskelig for arbeidsgiver å svare. Arbeidsgivers svarplikt etter personvernforordningen (GDPR) artikkel 12 innebærer å gi svar til den registrerte. Løsning: oppgi alltid e-postadresse og eventuelt postadresse i anmodningen.