Spørsmål om hva som kan ligge i en personalmappe, hvor lenge advarsler, tilrettevisninger og lignende kan lagres, hvordan opplysningene skal oppbevares og hvem som skal ha tilgang til slike dokumenter dukker opp med jevne mellomrom. Dette er ikke særregulert i annet regelverk og følger derfor reglene i personopplysningsloven med tilhørende forskrift.
Arbeidsgiveren bør stille seg følgende spørsmål:
- Hva har vi, og hva trenger vi?
- Hvorfor?
- Hvor lenge er det behov for det?
- Hvordan oppbevares det?
- Hvem har tilgang?
1. Hva lagres i personalmappen?
Det er viktig at arbeidsgiver har et bevisst forhold til hva som skal lagres i personalmappen til den ansatte. Opplysningene som lagres skal være saklige og relevante og skal kun brukes til uttrykkelige angitte formål. Relevansen vil ofte avta jo lenger tid som har gått, men noen dokumenter kan være nødvendige å oppbevare i hele ansettelsestiden.
Dokumenter som kan lagres i personalmappen er for eksempel:
- søknad på stilling(er) man har fått
- attester for utdanning/arbeidspraksis
- kompetansegivende kurs og opplæring
- ansettelsesbrev
- arbeidsavtale
- dokumenter vedrørende pensjonsforhold og lønnsplassering
- særskilte avtaler i arbeidsforholdet
- permisjoner
- eventuell korrespondanse vedrørende fratredelsen og gjenpart av sluttattest
Man bør også merke seg at arbeidstakeren som den klare hovedregel har krav på innsyn i egne opplysninger – uavhengig av om de er lagret i personalmappen eller andre steder, se også punkt 6 nedenfor. De samme bestemmelsene vil selvsagt også gjelde dersom man oppretter såkalte skyggearkiv eller har dobbelt bokføring.
Personopplysninger skal ikke lagres lenger enn det som er nødvendig for å gjennomføre formålet med behandlingen. Dette innebærer at arbeidsgiver må ha rutiner for gjennomgang av lagret informasjon. Hvor ofte det er behov for en slik gjennomgang må vurderes konkret.
Når den ansatte slutter skal personalmappen gjennomgås.
2. Advarsler – lagringstid
En advarsel er en ensidig tilbakemelding eller vurdering som ved uenighet kan prøves rettslig. Når en ansatt får en advarsel, tilrettevisning, ordensstraff eller lignende, kan det oppstå uenighet mellom arbeidstaker og arbeidsgiver med hensyn til grunnlaget for denne. Dersom arbeidstakeren mener at faktum er uriktig eller ufullstendig og ønsker å skriftliggjøre sine innsigelser bør disse lagres sammen med advarselen.
Advarsler vil som regel bli lagret i personalmappen. Arbeidsgiveren må vurdere konkret hvor lenge det er behov for å lagre advarselen. Utgangspunktet for vurderingen er at personopplysninger ikke skal lagres lenger enn det som er nødvendig for å gjennomføre formålet med behandlingen. Lagring utover dette er i strid med regelverket. Aktuelle momenter er hvilke omstendigheter som ligger til grunn for advarselen og om disse har opphørt. Det er imidlertid vanskelig å angi konkrete frister for når opplysningene skal slettes.
Det anbefales at arbeidsgiveren konkret angir hvor lenge advarselen skal lagres. Dette kan fungere som en motivasjon for arbeidstakeren.
Opplysningene kan i enkelte tilfeller lagres også etter at arbeidsforholdet er avsluttet. Dersom arbeidstakeren får nye advarsler før lagringsperioden har utløpt kan dette føre til utvidet lagringstid. Om det oppstår en tvist eller arbeidsrettssak mellom en ansatt og arbeidsgiveren, vil advarsler og andre opplysninger av betydning for saken kunne lagres til tvisten er endelig avgjort. Arbeidsgiveren må vurdere dette konkret.
Offentlige organ må følge kravene til bevaring og kassasjon i arkivloven og arkivforskriften. Dette innebærer blant annet at saker som slettes fra personalmappen ikke automatisk skal fjernes fra arkivet. Slike saker skal behandles i tråd med lov og forskrift.
3. Forholdet til arkivloven
Alle arbeidsgivere som er underlagt arkivloven må følge kravene som stilles der til arkivering og lagring. Arkiveringsplikten vil gå foran sletteplikten i personopplysningsloven. Arkivlovens krav om langtidslagring bør kompenseres med enda strengere krav til tilgangskontroll. For avklaring av hvilke plikter arkivloven pålegger offentlige arbeidsgivere kan Riksarkivaren kontaktes.
4. Informasjonssikkerhet og tilgangskontroll
Personalmapper vil kunne inneholde opplysninger som den enkelte anser som høyst personlig informasjon, og som også er sensitive opplysninger etter personopplysningsloven. Dette betyr at innholdet kun skal være tilgjengelig for en meget begrenset krets av personer, og beskyttes mot uautorisert innsyn. Uavhengig av om slike mapper lagres i et fysisk eller elektronisk format må det derfor sørges for god informasjonssikkerhet.
Tradisjonelle fysiske arkivmapper må oppbevares i låste arkivskap. Det bør videre vurderes om advarsler og lignende, samt dokumenter som inneholder følsomme helseopplysninger, skal lagres i lukkede konvolutter. Dette vil være et effektivt tiltak mot snoking.
Elektroniske registre må lagres på såkalte sikre soner og det må iverksettes tiltak som hindrer at data kan komme på avveier. Dette kan for eksempel være etablering av brannmurer, logging av oppslag eller tilgangskontroll. Tiltakene skal bidra til at opplysninger bare hentes frem når det vurderes som nødvendig og kun av de som har behov for opplysningene.
Personalmappene skal bare være tilgjengelig for ansatte som er avhengige av tilgang for å kunne utføre sine arbeidsoppgaver.
5. Internkontroll – rutiner
Det må etableres skriftlige rutiner som beskriver hvordan personopplysninger håndteres av virksomheten. Kravet om skriftlige rutiner omfatter også behandling av opplysninger om de ansatte. Rutinene må derfor si noe om håndtering av personalmapper.
Utarbeidelse av slike rutiner vil bidra til å skape økt bevissthet om personvern på arbeidsplassen. Ved å utforme klare retningslinjer blir den daglige ivaretakelse av personvernhensyn lettere for den enkelte ansatte. Dette forutsetter at rutinene er tilgjengelige og godt kjent.
6. Informasjonsplikt og innsynsrett
Den ansatte skal informeres når det legges inn nye opplysninger i personalmappen. Videre har man som hovedregel krav på å få gjøre seg kjent med innholdet i opplysninger og vurderinger som til enhver tid er registrert. Unntak fra denne regelen finner man i personopplysningsloven § 23.
Retten til informasjon og innsyn er av avgjørende betydning for at en arbeidstaker skal kunne ivareta sine øvrige rettigheter etter personvernregelverket.
Slik kan du be om innsyn i personalmappen