Publisert 29. august 2023 kl. 13:50
– Jeg mangler ord. Det er sjokkerende, sier Malgorzata Agnieszka Cyndecka, førsteamanuensis og ekspert på personvern ved Universitetet i Bergen (UiB).
Havforskningsinstituttet (HI) har installert sensorer under pultene til de ansatte ved Flødevigen forskningsstasjon i Arendal. Sensorene reagerer på varme og registrerer om en ansatt er på kontoret eller ikke. Forskningsinstituttet skal ha nye kontorbygg, og hensikten er å kartlegge behovet for kontorer. Flere ansatte oppfatter tiltaket som overvåkende.
Ledelsen ved Havforskningsinstituttet har tidligere opplyst til Forskerforum at de har vurdert sensoren som lovlig. Nå har de snudd og funnet ut at det ikke er mulig å få helt anonyme data.
Cyndecka reagerer på at Havforskningsinstituttet vurderer personvernet først etter at de har innført tiltaket.
– Jeg vet ikke hva de sikter til når de sier at de har vurdert lovligheten, men de nevner at de skal ta det opp med personvernombudet. Kanskje de ikke har skjønt hvorfor man har et personvernombud? Hvis de har skjønt det, så lurer jeg på hvorfor ombudet ikke har blitt involvert fra begynnelsen, sier hun.
Avdelingsdirektør for teknisk infrastruktur i HI, Øystein Brun, er enig i at rekkefølgen burde vært annerledes.
– Vi vurderte personvernet på forhånd, men vi vurderte det på en annen måte enn det viste seg at systemet fungerte. Vi trodde vi kunne få helt anonyme data, men en ny og oppdatert vurdering fra vårt personvernombud, viste at det ikke var mulig, sier Brun og fortsetter:
– Nå tar vi et steg tilbake og kjører prosessen på nytt.
Først trodde de at sensorene samler inn helt anonyme data, som kun registrerer til stede eller ikke til stede og som ikke kan kobles til person. Nå forteller Brun at det viser seg at sensoren er merket med en unik id som kan kobles til den fysiske kontorpulten. Han sier de skal ha et møte med leverandøren tirsdag, og at de regner med å avslutte registreringen i løpet av dagen.
– Da må vi behandle dataen som personopplysninger og ikke anonyme data. Det tar vi alvorlig.
– Hvorfor sjekket dere ikke dette med en gang?
– Vi sjekket grundig, men et sånt system er komplisert. Det var mange muligheter vi ikke så, basert på informasjonen vi fikk. Vi involverte personvernombudet i første omgang også, men tilbakemeldingen var at systemet ikke logger personvernopplysninger, men det var basert på informasjon fra leverandøren, sier Brun.
– Det høres ut som noen har vært slurvete. Hvor glapp det?
– Informasjonen har enten vært misforstått eller ufullstendig. Vi har ikke evaluert det enda, sier han og fortsetter:
– Men vi kommer til å se på om vår interesse av å måle kontorbruk kan veie opp for inngripenen i den private sfæren. Og så må vi gjøre det så lite inngripende som mulig.
– Hva hvis dere finner ut at nytten ikke kan veie opp for den personlige belastningen?
– Da må vi finne en annen måte å samle dataen på. Men det sitter langt inne å gå til det skrittet å spørre de ansatte. En spørreundersøkelse vil også bli personopplysninger og ha stor feilmargin, sier Brun, som her viser til at flere har foreslått spørreundersøkelse som en alternativ måte å måle kontorbruk på.
Datatilsynet sier til Forskerforum at de ikke kan vurdere lovligheten til den konkrete saken i Flødevigen i media. Men helt generelt krever all behandling av personopplysninger et rettslig grunnlag i personopplysningsregelverket for å være lovlig, forteller seksjonssjef i seksjonen for private tjenester, Ylva Marrable.
«Dersom opplysningene som samles inn fra sensorene kan knyttes til en enkeltperson, for eksempel ved at man ser eller kan få informasjon om hvilken pult eller kontor sensorene er montert på, eller det er mulig å knytte opp mot annen data som kan si noe om hvem det er som har vært tilstede eller ikke på kontoret, så behandles det personopplysninger» skriver Marrable i en e-post.
– I hvilken grad kan man være sikker på at innsamlet data er anonymt?
«Dersom man kan knytte de innsamlede dataene til enkeltpersoner indirekte, er det ikke anonymt selv om man ikke samler inn og registrerer navn» skriver Marrable.
For at et slikt verktøy skal være lovlig å bruke, må interessene til arbeidsgiver være sterkere enn personvernhensynet, tilføyer Malgorzata Agnieszka Cyndecka ved UiB. Det forutsetter at det er gjennomført grundig vurdering på forhånd, der blant annet fagforeningene er involvert, forteller hun.
– Man må høre hva de ansatte synes. Hvis de føler et stort ubehag, skal det tas hensyn til, sier Cyndecka.
Det er også viktig at sensoren fungerer som den skal, understreker hun.
– Noen har påpekt at sensoren kanskje ikke fungerer hvis man har ståpult. Har man egentlig vurdert dette? Hvis man overvåker folk på denne måten, og det viser seg at det ikke fungerer, kan det ikke forsvares på noen som helt måte.
Det kommer også an på hva slags arbeidsplass det er, og hva som er formålet, forteller Cyndecka.
– Det finnes flere lignende kontrolltiltak. På visse arbeidsplasser er det viktig med sikkerhet, og da kontrollerer man hvem som kommer og går på bestemte tidspunkter. Men det må være begrunnet ut fra interessene som finnes, sier hun og fortsetter:
– Det samme gjelder mengde personvernopplysninger som samles. Det er forskjell på ansatte. Man trenger ikke like mye informasjon om en butikkansatt som en som jobber i bank.
– Hva med forskningsinstitusjoner?
– Da må man kartlegge hva som er behovet, og om man oppnår samme formål med mindre inngripende tiltak. Hvis det ikke er mulig, må man se konkret på hva folk synes, og vurdere om arbeidsgivers interesser faktisk er viktigere.
– Bør arbeidsgiver be om samtykke for slik datainnsamling?
– Nei, samtykket ville ikke vært gyldig. Forholdet mellom arbeidstaker og arbeidsgiver er skjevt. Den ansatte er i en svakere posisjon enn arbeidsgiveren, sier Cyndecka.
Cyndecka viser til at Datatilsynet nylig kom med en rapport om overvåking på arbeidsplassen.
– Der minner de om arbeidstakeres rett til personvern og forklarer nøye hva som er lov og ikke. Allikevel finner en seriøs offentlig institusjon ut at de skal vurdere personvernet først etter at de har iverksatt et kontrolltiltak. Det er virkelig ikke til å tro, sier Cyndecka.
Mange har fortsatt med hjemmekontor etter pandemien. Ifølge rapporten fra Datatilsynet, har kontrolltiltak overfor ansatte på hjemmekontor skutt fart etter dette.
– Vi har snakket mye om personvern i forbindelse med koronaviruset. Det er mange ettervirkninger, sikkert fordi flere jobber hjemmefra. Men det er ingen grunn til å glemme personvernet, sier Cyndecka.
Les også:
