GDPR - hvordan skal du som tillitsvalgt håndtere personopplysninger om medlemmene?

Personvern beskrives som menneskets rett og ønske om å ha kontroll på informasjon om seg selv. Det vil si:

• Hvem vet hva om meg?
• Hva brukes informasjonen til?
• Hvordan brukes informasjonen?

Personopplysninger er opplysninger som kan knyttes til en fysisk identifiserbar person. Det kan for eksempel være navn, fødselsnummer, adresse og lokasjon.

NITO og våre tillitsvalgte behandler ulike personopplysninger om medlemmene: 

• Navn, fødsels- og personnummer
• Kontaktinformasjon
• Medlemsstatus (student, yrkesaktiv, arbeidssøker, pensjonist)
• Arbeidsgiver
• Avtaleområde
• Utdannelse/kompetanse
• Kurs og arrangementer

I tillegg innhentes lønnsopplysninger for NITOs lønnsstatistikk.

Behandling av denne typen informasjon utgjør vanligvis ingen spesiell personverntrussel. I og med at fagforeningstilhørighet er regulert som en sensitiv opplysning, er det strengere krav til hvordan NITO behandler disse opplysningene.

Når en personopplysning brukes, endres eller på en eller annen måte deles, er det en behandlingsaktivitet. Dette gjelder både manuell og automatisert behandling.

Eksempel: Innsamling, registrering, organisering, strukturering, lagring, tilpasning, endring, gjenfinning, konsultering, bruk, utlevering, overføring, sammenstilling, sletting eller annen tilintetgjøring.

Den som bestemmer formålet med behandlingen av personopplysninger og hvilke hjelpemidler som skal brukes er behandlingansvarlig. Dette følger av Personopplysningloven.

NITO-sekretariatet har behandlingsansvaret for hvordan  personopplysninger brukes i hele organisasjonen, også lokalt. Det betyr at tillitsvalgte må forholde seg til hvordan sekretariatet bestemmer at opplysningene skal behandles og oppbevares.

Har du spørsmål om GDPR og personopplysninger, send e-post til .

I medlemsbasen har den enkelte bedriftsgruppeleder og styremedlem tilgang til opplysninger om medlemmer i sin bedrift. Denne informasjonen skal som hovedregel ikke deles med andre.

Styremedlemmer har fått tilgang til medlemsopplysningene fordi det er nødvendig for oppgavene de skal ivareta gjennom sin rolle i bedriftsgruppestyret. For eksempel å kalle inn til møter eller oppdatering av disse opplysningene. Det er imidlertid kun leder av bedriftsgruppen som har tilgang til lønnsdatabasen.

Hvorfor de ulike i bedriftsgruppestyret skal ha tilgang til databasen, må dokumenteres. NITO utarbeider maler til slik dokumentasjon.

Personopplysningsloven krever at lagrede opplysninger til enhver tid er korrekte. Vår erfaring er at ikke alle opplysningene om medlemmene alltid er like oppdatert. Leder av bedriftsgruppene har ansvar at medlemsopplysningene oppdateres med jevne mellomrom.

I forkant av de årlige lønnsforhandlingene er et godt tidspunkt for å oppfordre medlemmene til å oppdatere via Min Side.

I enkelte situasjoner vil du som tillitsvalgte motta opplysninger fra arbeidsgiver. Det er arbeidsgiver som er behandlingsansvarlige for de personopplysningene han eller hun har ansvaret for. Skal disse opplysningene utleveres til deg som tillitsvalgt, må arbeidsgiver ha et behandlingsgrunnlag.

Vår er faring er at en del arbeidsgivere er tilbakeholdne med å gi ut opplysninger om sine ansatte til de tillitsvalgte. Da kan det være hensiktsmessig å opplyse om de behandlingsgrunnlagene NITO mener er dekkende, og be arbeidsgiver begrunne sitt standpunkt. Nærmere om hvilke behandlingsgrunnlag som kan være aktuelle, finner du i avsnittet NITOs behandlingsgrunnlag nedenfor.

Når den tillitsvalgte mottar opplysningene fra arbeidsgiver, blir NITO og den tillitsvalgte behandlingsansvarlig. Opplysningene har du fått i kraft av å være tillitsvalgt. De skal derfor behandles konfidensielt og slettes så snart det ikke er grunnlag for oppbevaring av opplysningene.

Som tillitsvalgt gir du råd og bistand til medlemmer. Husk at personlige opplysninger behandles konfidensielt. Pass på at slike opplysninger oppbevares slik at det ikke tilflyter andre. Opplysninger bør slettes/ makuleres når saken er løst. Se også avsnittet om oppbevaring og sletting.

Forutsetninger for behandling av medlemmenes personopplysninger:

• Samtykke
• At opplysningene er nødvendig for å oppfylle en avtale eller en rettslig forpliktelse
• At behandlingen ivaretar en berettiget interesse, som ikke krenker medlemmets personvern.

NITO oppfyller de skjerpede kravene knyttet til fagforeningstilhørigheten gjennom at:

• Vi har et uttrykkelig samtykke
• Behandlingen er nødvendig innenfor arbeidsretten
• Behovet er hjemlet i lov eller tariffavtale

NITO trenger disse opplysningene for å kunne ivareta sine medlemmers interesser. Det kan være lønns- og arbeidsforhold, medlemsfordeler og andre interesser.

NITO og våre tillitsvalgte må definere hvilke formål personopplysningene skal brukes til. Formålene må være knyttet til en konkret hensikt innenfor NITOs fagforeningsvirksomhet.

Eksempler på konkrete formål kan være lønnsforhandlinger, bistand i enkeltsaker eller medlemskommunikasjon.

NITOs personvernerklæring

Opplysninger som er samlet inn, skal som hovedregel ikke brukes til andre formål enn opplysningene er ment for. Det finnes unntak, men de må vurderes nøye.

Personopplysningene skal ikke distribueres videre uten at det er nødvendig for utøvelsen av rollen som tillitsvalgt. Her er det viktig å vise til formål og behandlingsgrunnlaget.

Et viktig prinsipp for godt personvern er at vi skal kunne gi informasjon om hvilke opplysninger som blir benyttet og hvordan de brukes. NITOs sekretariat vil bistå tillitsvalgte, og kommer med ytterligere rutiner og retningslinjer.  

Dokumentasjonen må fortelle:

• Hvilke personopplysninger som brukes
• Hvordan vi bruker dem
• Hvem som har tilgang
• Hvordan opplysningene oppbevares

Hvis opplysningene deles med noen utenfor NITO, skal det kunne gis informasjon om hvem som mottar opplysningene. 

 er tilgjengelig for spørsmål om dette.

NITO og du som tillitsvalgt kan ikke samle inn og bruke flere opplysninger enn det som er nødvendig for formålet.

1. Hva er formålet?
2. Hvilke opplysninger trenger jeg til dette formålet?
3. Hvorfor trenger jeg disse opplysningene til dette formålet?

Skriv ned svarene. Slik dokumenterer du behovet, og lovens krav er oppfylt.

Personopplysningsloven krever at lagrede opplysninger til enhver tid er korrekte. Det er bedriftsgruppelederens ansvar å følge opp dette for sine medlemmer.

Personopplysningsloven stiller krav til at personopplysningene behandles med integritet og fortrolighet. Pass på at opplysningene om medlemmene ikke «flyter rundt», men oppbevares trygt. Du kan gjerne oppbevare dem i en perm på kontoret ditt, eller i et skap som ikke er tilgjengelig for andre. Hvor utilgjengelig opplysningene skal være kommer an på innholdet i opplysningene. Informasjon om personalsaker må låses inn.

Personopplysninger som oppbevares elektronisk må også også sikres. Avklar med din IT-avdeling hvordan gjøre dette på en forsvarlig måte, for eksempel med passord.

Arbeidsgiver skal sørge for at forholdene legges til rette for utøvelse av tillitsvervet. Arbeid som tillitsvalgt skal holdes strengt atskilt fra ditt ordinære arbeid. Datasystemet er arbeidsgivers eiendom, og arbeidsgiver vil i kraft av styringsretten kunne bestemme at sikring av slike opplysninger er en risiko de ikke er villig til å ta. Da må dere finne en annen forsvarlig løsning for sikker lagring utenfor arbeidsgivers datasystem.

Tillitsvalgte må aktivt ta stilling til hvor lenge opplysninger skal oppbevares. Opplysningene skal ikke lagres lenger enn strengt nødvendig for utøvelse av oppgaven. For eksempel skal opplysninger i en personalsak som hovedregel slettes når saken er løst.

Ved bytte av tillitsvalgt er det viktig å ha et bevisst forhold til hvilke opplysninger og dokumenter som skal gis videre. Den nye tillitsvalgte skal i utgangspunktet ikke ha innsyn i avsluttede personalsaker. Dokumenter fra tidligere tariffoppgjør vil det derimot være hensiktsmessig å gi til ny tillitsvalgt da dette kan være viktig i kommende oppgjør.

Relevante spørsmål:

• Hvorfor trenger jeg disse opplysningene?
• Hvor lenge trenger jeg dem?
• Kan jeg ha samme nytten om jeg anonymiserer?

Skriv ned svarene. Slik dokumenterer du behovet, og lovens krav er oppfylt.

Som tillitsvalgt i NITO skal du behandle medlemmenes personopplysninger i henhold til NITOs personvernpolicy. Kontakt NITOs personvernombud hvis du har spørsmål knyttet til dette: .

1. Velg Fil > Informasjon
2. Velg boksen Beskytt arbeidsbok, og velg Krypter med passord.
3. Skriv inn et passord i Passord-boksen, og velg deretter OK.
4. Bekreft passordet i boksen Skriv inn passordet på nytt, og velg deretter OK.