Kontroll og overvåking i arbeidslivet
Sett i lys av nye elektroniske former for kontroll og overvåking på
«fremtidens arbeidsplass»
Kandidatnummer: 575 og 606 Leveringsfrist: 25.04.1019 Antall ord: 26700
i Innholdsfortegnelse
1 INNLEDNING ... 1
1.1 Tema og aktualitet ... 1
1.2 Problemstilling ... 4
1.2.1 Smarte arbeidsplasser og WiFi-sporingsteknologi ... 4
1.3 Avgrensning ... 7
1.4 Rettskildebildet ... 7
1.4.1 Personvern som en menneskerettighet på arbeidsplassen ... 7
1.4.2 Arbeidsrettens rettskilder ... 8
1.4.3 Personvernrettens rettskilder ... 9
1.5 Veien videre ... 11
2 LOVENES ANVENDELSESOMRÅDE - BEGREPSAVKLARINGER ... 11
2.1 «Arbeidsgiver» og «behandlingsansvarlig» ... 12
2.2 «Arbeidstaker» og «den registrerte» ... 13
2.3 Hva anses som en «behandling av personopplysninger»? ... 14
2.3.1 «Personopplysning» ... 14
2.3.2 «Behandling» ... 15
2.3.3 Vil WiFi-sporing innebære en behandling av personopplysninger? ... 16
2.4 Hva er et «kontrolltiltak»? ... 16
2.4.1 Nærmere om begrepets «nedre grense» ... 17
3 FORHOLDET MELLOM ARBEIDSMILJØLOVEN OG PERSONOPPLYSNINGSLOVEN ... 22
3.1 I utgangspunktet separate regelverk som gjelder to ulike spørsmål ... 22
3.2 Arbeidsmiljølovens §9-1(1) som lex specialis? ... 22
3.2.1 Er vurderingene sammenfallende? ... 23
4 NÅR KAN ARBEIDSGIVER IVERKSETTE KONTROLLTILTAK? ... 26
4.1 Arbeidsgivers styringsrett ... 26
4.1.1 Lojalitetsplikten ... 27
4.2 Vilkår for å iverksette kontrolltiltak – aml. §9-1(1) ... 28
4.2.1 Kravet om saklig grunn i virksomhetens forhold ... 28
4.2.2 Kravet om forholdsmessighet ... 30
4.2.3 Kravet om fullt forsvarlig arbeidsmiljø ... 31
4.2.4 Hvordan stiller dette seg ved WiFi-sporing? ... 32
4.3 Drøfting, informasjon og evaluering – aml. §9-2 ... 35
ii
4.3.1 Drøftelsesplikten ... 36
4.3.2 Informasjonsplikten ... 36
4.3.3 Evalueringsplikten ... 37
5 NÅR KAN ARBEIDSGIVER BEHANDLE PERSONOPPLYSNINGER FREMKOMMET AV KONTROLLTILTAK ... 38
5.1 Behandlingsgrunnlag – art. 6 nr. 1 ... 38
5.1.1 Samtykke – art. 6 nr. 1 bokstav a ... 39
5.1.2 Berettiget interesse – art. 6 nr. 1 bokstav f ... 42
5.1.3 Generelt forholdsmessighetskrav? ... 49
5.1.4 Spørsmålet om gjenbruk– art. 6 nr.4 ... 49
6 VURDERING AV REGELVERKENE – HVOR REELT ER DE ANSATTES VERN? ... 55
6.1 Et vanskelig og lite forutsigbart regelverk ... 56
6.1.1 Forholdet mellom regelsettene ... 56
6.1.2 Regelverkenes skjønnsmessige og uoversiktlige karakter ... 57
6.1.3 En utilsiktet favorisering av den sterke part? ... 60
6.2 Hvordan skal bøte på disse utfordringene? ... 65
6.2.1 Aml. §9-2 som tilleggsvilkår? ... 65
6.2.2 En samling av regelverkene? ... 67
LITTERATURLISTE ... 70
1 1 Innledning
1.1 Tema og aktualitet
Tema for oppgaven er elektronisk kontroll og overvåkning av ansatte i arbeidslivet. Temaet reiser to hovedspørsmål. Det første spørsmålet gjelder rekkevidden av arbeidsgivers adgang til å iverksette kontrolltiltak ovenfor de ansatte, mens det andre spørsmålet gjelder arbeidsgi- vers adgang til å behandle personopplysningene som fremkommer av tiltaket.
Kontroll og overvåkning i arbeidslivet er ikke noe nytt. Når arbeidsgiver ansetter noen i sin virksomhet, er det naturlig at det kan oppstå et behov eller ønske om å kontrollere hvorvidt de ansatte overholder sine arbeidsplikter. Dette kan illustreres av en undersøkelse gjort av Fafo fra 2010, hvor nærmere 60 prosent av de ansatte svarte at de hadde vært omfattet av ett eller flere elektroniske tiltak på arbeidsplassen.1 Det er derfor ikke overraskende at temaet har blitt viet stor oppmerksomhet over lengre tid. Den tidligere oppmerksomheten har imidlertid i stor grad vært knyttet til mer tradisjonelle former for kontroll og overvåkning, som for eksempel kameraovervåkning og innsyn i e-post.
I dag kan spørsmålene sies å ha fått ny aktualitet, noe som i særlig grad skyldes den teknolo- giske utviklingen på området. «Snart kan sjefen «se» alt du gjør. Ny teknologi gjør det mulig å effektivisere arbeidsprosesser, men samtidig også å overvåke ansatte på nye og mer invade- rende måter».2 Fremveksten av ny teknologi muliggjør i dag en mer systematisk og detaljert kontrollmulighet. Arbeidsgiveren kan nærmest registrere arbeidshverdagen til den ansatte ned til hver minste detalj, for eksempel når det gjelder deres tidsbruk, lokalisering og arbeidsutfø- relse mer generelt.3 Kontrollmuligheten forsterkes ytterligere ved at arbeidsgiver i større grad kan sammenkoble personopplysninger om de ansatte fra ulike kilder, nettverk og plattformer.4 Det er en utfordring at teknologien kan effektivisere arbeidet på den ene siden, og samtidig føre til en mer invaderende kontrollmulighet på den andre siden. Et par eksempler fra USA er egnet for å illustrere dette. Et mye omtalt eksempel er hva journalisten James Bloodworth oppdaget da han gikk undercover som såkalt «plukker» i selskapet Amazon. Som ansatt i sel- skapet skulle han finne og hente bestilte produkter, og han ble derfor utstyrt med en håndholdt skanner som sporet og evaluerte hans bevegelser og tidsbruk.5 Enheten ville gi beskjed om at tempoet måtte opp6, dersom de ansatte ikke rakk å pakke to produkter i minuttet.7 De ansatte
1 Fafo (2010) s. 36
2 Nes (2018)
3 Bråten (2017) s. 2
4 Ibid s. 6
5 Nes (2018)
6 Ibid.
2
ble også på forhånd utdelt ruter for hvor de skulle skanne varer, og selskapet kontrollere hvor lang tid de brukte mellom hver skanning. Dersom arbeidstakerne ikke overholdt tidskjemaet for hvor mange skanninger de skulle rekke i løpet av en time, ville det komme en fra ledelsen for å kontrollere årsaken. Nådde de ikke Amazon sine målsettinger, fikk de straffepoeng som i ytterste konsekvens kunne føre til oppsigelse.8
Det er også grunn til å tro at arbeidsgiver vil komme til å benytte kontrollmulighetene i en større utstrekning enn tidligere. Hovedgrunnen til det er at slike elektroniske kontroll- og sty- ringssystemer nå kan implementeres for en mye lavere kostnad enn tidligere. Teknologien har dessuten blitt lettere tilgjengelig for arbeidsgiver, og i mange tilfeller er overvåkningsteknolo- gien innbygd i de verktøyene som arbeidsgiveren kjøper.9 Dette er særlig bekymringsverdig hvis man ser det i sammenheng med den utviklingen som skjer i arbeidslivet. For i dag går utviklingen klart i retning av at stadig flere arbeidstakere befinner seg utenfor den tradisjonel- le arbeidstakerrollen, og arbeidsforholdet er ikke nødvendigvis knyttet til arbeidsplassen på samme måte lenger.10 Denne utviklingen har resultert i en større grad av frihet for arbeidsta- kerne, og samtidig gitt arbeidsgiver et voksende kontrollbehov for å påse at denne friheten ikke går på bekostning av virksomhetens effektivitets- og produktivitetsmålsettinger. I USA benytter for eksempel mange arbeidsgivere programvaren utviklet av selskapet Crossover, for å kontrollere tidsbruken til ansatte som jobber utenfor arbeidsplassen.11 Dette gjøres ved at programmet kontrollerer arbeidstakernes programvarebruk, antall tastetrykk og webkamera.12 Disse opplysningene lagres hvert tiende minutt, og på den måten vil arbeidsgiveren få en oversikt over hvordan de har brukt tiden i løpet av dagen.13
Det er imidlertid tilstandene i Kina som oftest blir trukket frem som skrekkeksempelet på hvor invaderende overvåkningen kan bli. Da Erna Solberg besøkte Alibaba-gruppen i 2017, uttalte Jack Ma14 at «privatlivets tid er forbi. Unnskyld, statsminister, for at jeg sier det. Men hvis noen vil vite noe om noen i dag, så får de vite det»15. I tråd med dette er det heller ikke ukjent med uttalelser om at vi i dag lever i eller er på vei mot et «overvåkingssamfunn», når det gjelder den offentlige debatten om personvern i Norge.16 De tilstandene som har utviklet
7 Business Insider (2018)
8 Bloodworth (2018)
9 Bråten (2017) s. 2
10 Opinion 2/2017 s. 4
11 Crossover (2019)
12 Ibid.
13 Ibid.
14 Grunnleggeren og styreformann i Alibaba-gruppen, et av Kinas største IT-selskaper
15 NRK (2017)
16 Teknologirådet (2005) s. 83
3
seg i USA og Kina foreligger heldigvis ikke på samme måte i Norge, men det er likevel ikke utenkelig at vi beveger oss i en lignende retning. Vi ser i hvert fall tendenser til at slik ny tek- nologi har fått større innpass også på norske arbeidsplasser. I 2012 ble det for eksempel opp- daget at DNB hadde et spesialutviklet datasystem som målte kundebehandlernes effektivitet ned på individnivå.17 De ansattes innsats ble målt minutt for minutt, hvor de ansatte kun fikk
«åtte minutter på seg til tilfeldige gjøremål utenom faste pauser».18 Datatilsynet gikk hardt ut mot denne praksisen, noe DNB rettet seg etter. Eksempelet illustrerer dermed arbeidsgivers ønske om å benytte mer invaderende former for kontroll på den ene siden, samtidig som at slike tendenser ikke er ønskelig i Norge på den andre siden.
De nye formene for elektronisk kontroll og overvåkning er også mindre synlig for arbeidsta- kerne enn de mer tradisjonelle formene for kontrolltiltak, samtidig som de samler inn en rekke personopplysninger om de ansatte.19 Metaforen «panoptikon» er illustrerende i denne sam- menheng. Betegnelsen knytter seg til fengselsmodellen foreslått av Jeremy Bentham, som beskriver en sirkelformet bygning med et vakttårn i midten og med fengselsceller rundt.
Konstruksjonen gjorde det således mulig for vaktene å observere fangene til enhver tid, uten at fangene visste når eller hvorvidt de var under observasjon. Denne metaforen har en viss overføringsverdi når det gjelder utfordringene ny teknologi og det økte kontrollbehovet kan medføre. Arbeidsgiveren kan nemlig på lignende vis bruke personopplysningene til å avdekke forhold om de ansatte, uten at de nødvendigvis er klar over når eller hvorvidt det skjer.20 Det reiser særlig utfordringer for de ansattes mulighet til å ivareta sine rettigheter, og for hvordan de generelt vil oppleve kontrollen. Til tross for dette, har spørsmålet om arbeidsmiljøkonse- kvenser og personvernutfordringer ved slike teknologier fått overraskende lite oppmerksom- het.21 Er arbeidsforholdet på vei inn i et slags digitalt panoptikon? Eller vil dagens regelverk bøte på de utfordringene slike nye former for kontroll og overvåkning medfører?
17 Dagens næringsliv (2012)
18 Ibid.
19 Bråten (2017) s. 2
20 Rt. 2013 s. 143 (Avfallservicessaken)
21 Bråten (2017) s 10
4 1.2 Problemstilling
Problemstillingen for oppgaven er hvordan spørsmålene om arbeidsgivers adgang til å iverk- sette kontrolltiltak ovenfor de ansatte og til å behandle personopplysningene som fremkom- mer av tiltaket, stiller seg ved slike nye former for elektronisk kontroll og overvåkning på arbeidsplassen. Disse spørsmålene vil vi vurdere i lys av at «fremtidens arbeidsplass» blir smarte bygg. Grunnen til at vi ønsker å gjøre det er at funksjonene i slike bygg i stor grad vil være avhengig av slik ny teknologi. Vi vil også bruke WiFi-sporingsteknologi som et konkret eksempel, for å illustrere hvilke særlige utfordringer teknologien kan medføre i forhold til regelverkene og de ansattes personvern.
1.2.1 Smarte arbeidsplasser og WiFi-sporingsteknologi
Siden vi skal vurdere problemstillingen under forutsetning av at «fremtidens arbeidsplass» er uformet som et smartbygg, er det nødvendig å klargjøre hva som gjør et bygg smart. Vi skal også redegjøre for hvordan WiFi-sporingsteknologien fungerer, for å lette forståelsen av opp- gavens eksempler om dette. I disse eksemplene, om hvordan WiFi-sporing stiller seg til regel- verkene, vil vi hovedsakelig trekke paralleller til to smarte arbeidsplasser. Derfor vil vi også knytte noen bemerkninger til disse byggene. En slik gjennomgang er nødvendig, siden det vil utgjøre rammen for oppgaven.
1.2.1.1 Hva er et «smartbygg»?
Det er enighet om at fremtidens bygg kommer til å bli smarte22, men til tross for dette finnes det ingen enhetlig eller allment anerkjent definisjon av begrepet «smartbygg».23 Et smartbygg kan likevel sies å kjennetegnes av helhetlige teknologiske løsninger, hvor ulike målsettinger er forsøkt balansert for å oppnå et bygg som er fremtidsrettet, miljøriktig, kostnadseffektivt i både anskaffelse og drift og som ivaretar brukernes forventinger og behov.24 Det kreves imid- lertid ganske inngående teknisk kompetanse for å forstå hvordan et smartbygg fungerer, og vi vil derfor kun trekke frem de mest grunnleggende funksjonene.
For selv om det ikke er noe nytt at bygg kalles «smart», bør et smartbygg i dag ha tre grunn- leggende funksjoner.25 For det første vil bygget i stor grad basere seg på en innsamling og behandling av en «overflod» av opplysninger, som samles inn fra en rekke ulike teknologiske systemer, ofte i form av «sensorer». Videre vil bygget for det andre legge opp til en interak- sjon mellom brukerne av bygget, slik at det gjennom for eksempel apper og programvarer på
22 Stene (2019)
23 Walløe (2017) s. 25 og Røstvik (2017)
24 Powerhouse (2019) s. 8
25 Nicolaisen (2019)
5
ulike smartenheter kan samles inn informasjon fra brukerne.26 Disse to funksjonene gjør at bygget blant annet kan gi informasjon til brukeren, bli påvirket av, lære av eller endre og til- passe seg brukeren.27 Det muliggjør altså den tredje funksjonen, om at bygget bør være tilpas- ningsdyktig og kognitivt.28 På den måten vil bygget være i stand til å ta automatiske beslut- ninger basert på erfaringsdata samlet over tid.
«Smarte arbeidsplasser» er således unike sammenlignet med tradisjonelle arbeidsplasser, ved at bygget kan utnytte den enorme mengden data som samles inn om og fra brukeren til noe nyttig. Opplysningene kan blant annet brukes til å analysere og hente ut statistikker, mønstre og sammenhenger om hvordan bygget benyttes. Det vil gjøre det mulig å kartlegge byggets arealutnyttelse mer effektivt, ved at man for eksempel vet hvor stor pågang det er i kantinen, hvor det er ledige arbeidsplasser, parkeringsplasser og møterom, samt hvilke områder som trenger rengjøring. Videre vil interaksjonen med brukeren av bygget også gjøre det mulig å tildele for eksempel arbeidsplasser og møterom basert på de ansattes timeplan og behov.29 Bygget kan på den måten også ha tilgang til de ansattes preferanser, som kan omhandle alt fra foretrukket temperatur og lyssetting til hvilken kaffe man ønsker å bli møtt med på morgningen.30 Utover dette vil byggets tilpasningsmulighet gjøre det i stand til å kunne forut- se hvilke dager det er få ansatte på jobb, og dermed kunne stille inn ventilasjonsanlegg, varme og lys uten menneskelig innblanding. Smarte arbeidsplasser vil med andre ord kunne «leve med brukerne, og lære seg deres vaner og mønster»31.
1.2.1.2 To smarte arbeidsplasser – The Edge og Atea-bygget
Deloitte sitt hovedkontor «The Edge» i Amsterdam stod ferdigstilt i 2014 og blir ofte omtalt som «verdens smarteste arbeidsbygning» eller «verdens grønneste arbeidsbygg».32 Etter at bygget stod ferdig, har Deloitte opplevd en økt søknadsmengde fra folk som ønsker å jobbe i nettopp dette bygget.33 Men hvordan er det egentlig å jobbe her?
Bygget vil blant annet vite hvor du bor, hvilken bil du kjører, hvilke møter du skal i for dagen og hvor mye sukker du foretrekker i kaffen din. Denne informasjonen vil bygget ha tilgang på gjennom en app34 på smarttelefonen din, slik at bygget blant annet kan gjenkjenne bilen din
26 Walløe (2017) s. 59-60
27 Ibid.
28 Aardal (2016) og Nicolaisen (2019)
29 Bloomberg Business (2015a)
30 Ibid.
31 Aardal (2016)
32 OVG Real Estate (2019) og Bloomberg Business (2015)
33 Deloitte (2015)
34 Mapiq (2019b)
6
og dermed navigere deg til en ledig parkeringsplass. I The Edge er det rundt 2500 ansatte, samtidig som det kun foreligger rundt 1000 arbeidsplasser.35 Denne måten å organisere ar- beidsplassen på omtales som som «hot-desking».36 Når du kommer inn i bygget vil appen derfor hjelpe deg med å finne en ledig arbeidsplass, for det er nemlig ingen som har en fast arbeidsplass. Appen vil også ha kontroll på blant annet dine hvilke lys og temperaturpreferan- ser, dersom du beveger deg i bygget eller bytter arbeidsplass. Smarttelefonen blir dermed på mange måter «adgangskortet» ditt til bygget og dets funksjoner. De ansatte bruker telefonen til å for eksempel finne andre kollegaer, regulere varmen, bestille med mat hjem og lignende.
Slike smarte arbeidsplasser inntar også snart det norske arbeidsmarkedet, for allerede i januar 2020 skal Norges «smarteste kontorlokale», så ferdigstilt på Hasle i Oslo. Dette blir Atea sitt nye hovedkontor, som også har ambisjoner om at det skal bli «verdens smarteste bygg».37
«Atea-bygget» er imidlertid forutsatt under konstruksjon og det er ikke helt bestemt hvilke teknologiske løsninger som faktisk kommer til å bli benyttet i bygget. Noe av bakgrunnen for dette er at de ønsker å danne seg et klarere bilde av hvordan informasjonen som teknologien samles inn skal brukes.38 Bygget vil likevel ha mange av de samme funksjonene og teknologi- ene som The Edge eller lignende bygg, noe vi vil forløpende ta for oss i oppgaven.
1.2.1.3 WiFi-sporingsteknologi
For at arbeidshverdagen skal kunne bli som beskrevet ved «The Edge» eller slik tanken er for
«Atea-bygget», kan det være ønskelig eller nødvendig å benytte WiFi-sporingsteknologi. Wi- Fi er i utgangspunktet en trådløs teknologi som gjør det mulig for elektroniske enheter som mobiltelefoner og datamaskiner å koble seg til internett. Mange av aktørene som bruker WiFi- sporingsteknologi er i mange til interesserte i posisjonsdataen som fremkommer gjennom oppkoblingen til WiFi-sonen. Denne teknologien fungerer ved at de ansattes mobiltelefon, så lenge WiFi er aktivert, kontinuerlig vil søke etter WiFi-soner i nærheten. En slik WiFi-sone vil ha en rekkevidde på rundt 50 til 100 meter fra et WiFi-punkt, og den kan plukke opp et unikt identifikasjonsnummer som kan identifisere den enkeltes mobiltelefon – en MAC- adresse. Dersom arbeidstakerne beveger seg innenfor områder med flere WiFi-punkter, vil denne MAC-adressen kunne bli registrert på hvert av disse punktene. På den måten kan man fastsette lokasjonsdataen på en mer presis måte, og det er mulig å avgjøre hvor lenge de ansat- te har oppholdt seg et sted eller i hvilken retning de går. Ved å benytte WiFi- sporingstekno- logi på denne måten vil altså bygget gi arbeidsgiver tilgang til posisjonsdata som er egnet til å
35 Bloomberg Business (2015a)
36 Bloomberg Business (2015b)
37 HasleLinje (2018a), HasleLinje (2018b) og Flaa (2019)
38 Oslo Business Forum (2019)
7
si noe om «hvor eierne av mobiltelefonene er, for slik å kunne telle, analysere og sammenlig- ne informasjonen om mobileierens bevegelser til ulike formål».39
1.3 Avgrensning
I det følgende vil vi derfor kun behandle elektroniske former for kontroll og overvåkning, som innebærer en behandling av personopplysninger. Det avgrenses dermed mot fysiske former for kontrolltiltak, som for eksempel veskekontroll og rusmiddeltesting. Det avgrenses også mot arbeidsmiljølovens særbestemmelser om kontroll i aml. §§9-3 til 9-6, og vi vil derfor heller ikke for oss forskrifter som særlige former for kontrolltiltak. Oppgaven vil heller ikke behandle tariffavtalens særreguleringer om arbeidsgivers kontrolladgang.
Vi skal således bare ta for oss de generelle vilkårene i aml. §§9-1 og 9-2, og behandlings- grunnlagene i art. 6 i personopplysningsloven. Oppgaven vil derfor ikke ta for seg personopp- lysningslovens øvrige prinsipper og krav, men vi vil belyse disse der det er relevant for for- ståelsen av art. 6.
1.4 Rettskildebildet
Temaet for oppgaven er preget av et fragmentarisk rettskildebilde spredt over flere regelverk.
Vi har både nasjonal og internasjonal lovgivning som er av betydning for spørsmålene som oppgaven reiser. Spørsmålene om arbeidsgivers adgang til å iverksette kontrolltiltak ovenfor de ansatte og til å behandle personopplysningene som fremkommer av tiltaket, reguleres like- vel i hovedsak av arbeidsmiljøloven og personopplysningsloven. I det følgende vi derfor kort fremheve personvernets stilling som en menneskerettighet på arbeidsplassen, deretter vil vi redegjøre for de mest sentrale rettskildene for vår problemstilling innenfor arbeidsretten og personvernretten.
1.4.1 Personvern som en menneskerettighet på arbeidsplassen
Norge er bundet av flere internasjonale instrumenter som anerkjenner personvernet som en grunnleggende menneskerettighet40, og som kan være relevante ved tolkningen og anvendel- sen av arbeidsmiljøloven og personopplysningsloven. Det er likevel Den europeiske mennes- kerettighetskonvensjonen («EMK») og Grunnloven («grl»), som har hatt størst betydning for personvernets stilling i norsk rett. Grl. §102 ble utformet etter mønster av EMK art. 8, og har i første ledd nærmest en identisk ordlyd som artikkelen om at «enhver har rett til respekt for sitt privatliv og familieliv, sitt hjem og sin korrespondanse». Grunnlovsbestemmelsen inne- holder imidlertid ingen anvisning på om det kan gjøres lovlige begrensninger i privatlivet slik
39 Datatilsynet (2016) s. 4
40 Eks. FNs verdenserklæring art. 12 og SP. art. 17,
8
som EMK art. 8 annet ledd. Høyesterett har likevel fremhevet at grunnlovsvernet ikke er ab- solutt, og at det må innfortolkes en tilsvarende begrensningshjemmel i grl.§ 102.41 Inngrep i retten til privatliv er dermed tillatt dersom det er hjemmel i lov, det foreligger et legitimt for- mål og inngrepet er forholdsmessig.
Når det gjelder rekkevidden av vernet etter art. 8, har Den europeiske menneskerettighets- domstolen («EMD»)42 imidlertid uttalt at vernet ikke lar seg definere på en uttømmende måte.
Det er likevel klart at den verner den enkelte mot å få sitt privatliv, sin personlige integritet, sin ære og sitt omdømme krenket – herunder også behandling av personopplysninger.43 Ver- netgjelder også på arbeidsplassen, og slik sett oppstiller art. 8 også et vern som inkluderer ansattes aktiviteter på arbeidsplassen, jf. Niemietz mot Tyskland.44 Det er i denne sammen- heng antatt at reglene i arbeidsmiljølovens kapittel 9 er et uttrykk for de samme prinsippene som er nedfelt i EMK art. 8.45 Det samme gjelder personopplysningsloven hvor det er frem- holdt at kravene etter personopplysningsloven ivaretar retten til privatliv etter EMK art. 8.46 1.4.2 Arbeidsrettens rettskilder
Det første spørsmålet om hvorvidt arbeidsgiver kan iverksette kontrolltiltak reguleres av ar- beidsmiljøloven av 2005 («aml») kapittel 9 om «kontrolltiltak i virksomheten». Kapittelet oppstiller både materielle (§9-1) og prosessuelle (§9-2) vilkår for adgangen til å iverksette kontrolltiltak, og er en kodifisering av tidligere ulovfestet rett utviklet gjennom rettspraksis og tariffavtalepraksis på området. Bakgrunnen for lovfestingen var å gjøre rettskildesituasjonen lettere tilgjengelig for partene i arbeidslivet, ved å samle reglene som tidligere var uoversikt- lige og spredt. Det er derfor på det rene at også rettspraksis fra før arbeidsmiljøloven av 2005 kan være av relevans ved tolkningen og anvendelsen av reglene i kapittel 9.
Aml. kapittel 9 er i denne sammenheng også relativt skjønnsmessig og vagt formulert, noe som innebærer at lovgiver i stor grad har overlatt til domstolene å definere det nærmere inn- holdet av reglene. Rettspraksis er dermed en sentral rettskilde når grensene for arbeidsgivers kontrolladgang skal klargjøres. Det finnes imidlertid sparsomt med høyesterettspraksis knyttet til disse reglene. Arbeidsmiljølovens forarbeider47 får dermed særlig betydning for forståelsen av reglene i kapittel 9 og arbeidsmiljøloven i sin helhet. Forarbeidene redegjør grundig for
41 Rt. 2015 s. 93
42 Den europeiske menneskerettighetsdomstolen behandler tvister om forståelsen og anvendelsen av EMK.
43 S. and Marper v. The United Kingdom avs. 66-67
44 Niemitz vs. Germany avs. 30
45 Ot.prp. nr. 49 (2004-2005) s. 140
46 Fortalepunkt 1 og 4
47 Ot.prp. nr. 49 (2004-2005) og NOU. 2004:5
9
spørsmålet om arbeidsgivers kontrolladgang etter aml. §9-1 og for saksbehandlingsreglene etter aml. §9-2, og vi vil derfor gjennomgående bruke forarbeidene for å klargjøre forståelsen av disse bestemmelsene. Vår problemstilling reiser særlig vanskelige spørsmål i forhold til om regelverket passer ved slike nye former for kontroll og for spørsmålet om hvordan forholdet til personopplysningsloven48 skal forstås, hvor forarbeidene til arbeidsmiljøloven er mindre grundig og klar. På dette punktet er forarbeidene likevel av særlig viktighet, som et utgangs- punkt for vår forståelse av hvordan dette skal løses.
1.4.3 Personvernrettens rettskilder
Det andre spørsmålet om adgangen til å behandle personopplysninger reguleres av personopp- lysningsloven av 2018. Denne loven gjelder for all behandling av personopplysninger, inklu- dert de som fremkommer ved kontrolltiltak på arbeidsplassen.49 Loven er et resultat av EUs generelle personvernforordning (forordning 2016/679, «GDPR»), som erstattet personopplys- ningsloven av 2000 og personverndirektivet (direktiv 95/46/EF) i norsk rett. Bakgrunnen for reformen av direktivet og vedtagelsen av GDPR var kort sagt et ønske om å harmonisere re- gelverkene i EU om behandling av personopplysninger, hvor blant annet den teknologiske utviklingen satt personvernet under stadig mer press.
Inkorporasjonen av GDPR i personopplysningsloven har imidlertid ført til at rettskildebildet her er annerledes enn etter alminnelig norske lover, for forordningens tekst er hverken endret eller tilpasset norsk lovgivningsteknikk.50 Det er heller ingen tradisjon for å utarbeide forar- beider ved ny EU-lovgivning, og det eksisterer dermed ingen autoritative uttalelser om hvor- dan forordningen skal forstås. Det foreligger derimot hele 173 fortalepunkter som er ment å klargjøre hva de nærmere bestemmelsene innebærer, selv om disse sier egentlig ikke så mye utover det som allerede følger av bestemmelsene.51 Utover dette inneholder personopplys- ningsloven en rekke nasjonale lovbestemmelser i lovens kapittel 1 til 9, som supplerer forord- ningen. De norske forarbeidene til personopplysningsloven er i denne sammenheng stort sett begrenset til slik innføring av nasjonal lovgivning.52 Det eksisterer med andre ord ingen for- arbeider i tradisjonell forstand, som sier noe om selve forståelsen av forordningen.
EU-domstolens og nasjonal rettspraksis vil dermed få særlig betydning for tolkningen og an- vendelsen av forordningens bestemmelser. Tidligere praksis vil imidlertid også kunne være relevant for forståelsen av regelverket, siden GDPR viderefører mange av bestemmelser fra
48 Jf. aml. §9-1(2)
49 Ibid.
50 Personopplysningsl. §1
51 Skullerud (2018) s. 39
52 Prop. 56 LS.
10
det tidligere direktivet. Det foreligger imidlertid ingen avgjørelser fra EU-domstolen om vår problemstilling, hverken knyttet til det nye regelverket eller det tidligere. Derfor vil under- rettspraksis og forvaltningspraksis tillegges noe større vekt enn tradisjonelt. I denne sammen- heng er praksis fra de sentrale personopplysningsorganene av særlig betydning.
1.4.3.1 Datatilsynet og Personvernnemda
Datatilsynet og Personvernnemnda er de nasjonale forvaltningsorganene på personvernrettens område. Datatilsynet hovedoppgave er å føre kontroll med at personvernregelverket etterle- ves, og medvirke til at enkeltpersoner ikke bli krenket gjennom bruk av opplysninger som kan knyttes til dem.53 Personvernnemnda er klageinstans og behandler og avgjør klager over Data- tilsynets vedtak. Organene har avsagt en rekke saker knyttet til det tidligere og dagens regel- verk, men det er viktig med et noe kritisk blikk ved anvendelsen av disse avgjørelsene.54 Datatilsynet og personvernnemnda består likevel av eksperter på området og deres avgjørelser er ofte godt begrunnet, og avgjørelsene vil på den måten kunne påvirke hvordan domstolene stiller seg til tvilsspørsmål ved tolkningen personopplysningsloven.55 Dermed vil deres avgjø- relser være gode retningslinjer for hvordan de konkrete vurderingene skal foretas i praksis. Vi kommer derfor til å tillegge datatilsynets vedtak og avgjørelser fra Personvernnemnda, relativt stor rettskildemessig vekt og vise til disse i den videre drøftelsen.
1.4.3.2 Det europeiske personvernrådet (Artikkel 29-gruppen)
European Data Protection Board («EDPB») er EUs rådgivende organ når det kommer til per- sonvernspørsmål. Organet har et særlig ansvar for å rådføre kommisjonen i personvernspørs- mål og sørge for at personvernforordningen etterleves. De også følge med på utviklingen av personvernregelverket i EU og EØS-området, og har i denne sammenheng vedtatt ulike utta- lelser og anbefalinger om hvordan det tidligere direktivet og de nye reglene i GDPR bør etter- leves og håndheves. Disse uttalelsene og anbefalingene er imidlertid ikke rettslig bindende, men blir i praksis tillagt stor vekt. Bakgrunnen for et er at organet består av hvert medlems- lands tilsynsorgan, og dermed blir ansett som en ekspertgruppe.56 Vi kommer derfor til å bru- ke disse anbefalingene og uttalelsene som en viktig rettskilde for vår oppgave. De veiledning- ene som er mest relevant for vår problemstilling57 er imidlertid fra tiden før ekspertgruppen byttet navn, og vi vil derfor presisere at vi gjennomgående kommer til å vise til Artikkel 29- gruppen («Article 29 Working Party») når vi henviser til organet i vår oppgave.
53 Datatilsynet (2019)
54 F.eks Rt. 2013 s. 143 avs. 44-46
55 Se f.eks. Rt. 2002 s.1500 s. 1503
56 Artikkel 51 nr. 2 og art. 64
57 Opinion 2/2017
11 1.5 Veien videre
Oppgaven reiser som nevnt to hovedproblemstillinger; spørsmålet om arbeidsgivers adgang til å iverksette nye former for elektroniske kontrolltiltak på arbeidsplassen, og spørsmålet om arbeidsgivers adgang til å behandle personopplysninger som fremkommer av slike tiltak. I del 2 skal vi derfor se nærmere på arbeidsmiljølovens og personopplysningslovens anvendelses- område, for deretter å ta stilling til om WiFi-sporingsteknologi omfattes av disse regelsettene.
Oppgavens problemstilling reiser videre spørsmål om hva som er forholdet mellom regelset- tene, mer presist om lovene gjelder kumulativt eller om arbeidsgivers oppfyllelse av arbeids- miljølovens regler i aml. §§9-1 og 9-2, også innebærer at han har behandlingsadgang etter personopplysningsloven. Dette spørsmålet skal vi se nærmere på i del 3.
Dernest skal vi i del 4 se nærmere på hva som ligger i de ulike vilkårene etter arbeidsmiljølo- vens §§9-1 og 9-2. På bakgrunn av denne redegjørelsen, skal vi så vurdere hvordan WiFi- sporingsteknologi stiller seg til vilkårene. I del 5 skal vi gjøre tilsvarende vurderinger etter personopplysningsloven. Først skal vi redegjøre for hva som ligger i de relevante behand- lingsgrunnlagene, og deretter vurdere hvilket grunnlag arbeidsgiver kan basere behandlingen på når det kommer til teknologi som WiFi-sporing. I denne forbindelse reiser det seg også spørsmål om, og i hvilken utstrekning, arbeidsgiver har adgang til å bruke allerede innsamlede opplysninger til nye formål.
På bakgrunn av de overnevnte redegjørelsene og vurderingene, skal vi i del 6 se på noen sær- lige utfordringer vi har sett ved regelverkene og dermed hvor reelt vernet til de ansatte kan sies å være. Denne drøftelsen vil derfor være av mer overordnet karakter, selv om vurderingen foretas i lys av ny teknologi og fremtidens arbeidsplass.
2 Lovenes anvendelsesområde - begrepsavklaringer
Arbeidsmiljølovens bestemmelser knytter seg til begrepene «arbeidstaker» og «arbeidsgiver», og kommer bare til anvendelse i den utstrekning tiltaket kan anses som et «kontrolltiltak».58 Når det gjelder personopplysningsloven knytter bestemmelsene seg på samme måte til begre- pene «den registrerte» og «behandlingsansvarlig, og kommer til anvendelse ved «behandling av personopplysninger».59 Det er derfor nødvendig å klargjøre hva som nærmere ligger i disse begrepene, før vi går inn på vilkårene for å iverksette lovlige kontrolltiltak ovenfor de ansatte og for behandlingen av personopplysningene som fremkommer av tiltaket.
58 Jf. §§9-1(1) og 9-2
59 Jf. art. 2 nr. 1, jf. art. 4 nr. 1 og 7
12
2.1 «Arbeidsgiver» og «behandlingsansvarlig»
Det å være arbeidsgiver utløser et omfattende rettslig, og arbeidsgiver er det sentrale pliktsub- jektet som er ansvarlig for å etterleve både arbeidsmiljøloven og annen arbeidsrettslig verne- lovgivning.60 Arbeidsgiverbegrepet er definert i aml. §1-8(2) som «enhver som har ansatt arbeidstaker for å utføre arbeid i sin tjeneste». Begrepet er dermed definert ut fra selve anset- telsesforholdet. Siden ansettelsesforholdet er forutsatt å bygge på en avtale61, er det selve inn- gåelsen av arbeidsavtalen som i hovedsak gjør noen til arbeidsgiver. Som regel vil det ikke by på problemer å slå fast hvem som er arbeidsgiver, for dette er normalt den som har inngått avtaleforholdet med arbeidstaker. I visse situasjoner kan det derimot bli vanskeligere å plasse- re arbeidsgiveransvaret, blant annet hvor ansvaret i utgangspunktet kan plasseres hos flere.62 Det avgjørende i slike tilfeller blir hvem som reelt har opptrådt som arbeidsgiver og utøvet arbeidsgiverfunksjonene, slik at utfordringen om at arbeidsgiveransvaret kan omgås motvir- kes. I slike tilfeller bør det også legges vekt hvilket resultat som gir det sterkeste vernet for arbeidstakeren.63
Etter personopplysningsloven er det den behandlingsansvarlige som har det rettslige ansvaret for å overholde loven, og begrepet er definert i art. 4 nr. 7 som «en fysisk eller juridisk person, en offentlig myndighet, en institusjon eller ethvert organ som alene eller sammen med andre bestemmer formålet med behandlingen av personopplysninger og hvilke midler som skal be- nyttes». Formålet med definisjonen er å plassere ansvaret hos den eller de personer som har den faktiske innflytelsen over hvordan behandlingen skal foregå.64 Dette har også blitt lagt til grunn av personvernnemda, men da omtalt som at det er den som har bestemmelsesrett over personopplysningene som er den behandlingsansvarlige.65 Det er med andre ord realiteten av forholdet som er avgjørende, i likhet med arbeidsgiverbegrepet.
Når det gjelder oppgavens hovedspørsmål om adgangen til å iverksette kontrolltiltak ovenfor arbeidstakerne og til å behandle personopplysningene som fremkommer av tiltaket, vil ar- beidsgiveren og den behandlingsansvarlige som regel være den samme. Dette fordi det er ar- beidsgiver som bestemmer formålet med kontrolltiltaket og hvilke midler som skal benyttes, samt hvordan behandlingen skal gjennomføres. Det er med andre ord arbeidsgiver som har
60 Skjønberg (2017) s. 58
61 Jf. aml. 14-5(1), jf. aml. §14-6
62 Storeng (2016) s. 59-60
63 Rt. 1993 s. 490 (Reksten)
64 Opinion 1/2010, s. 1 og 9.
65 PVN-2014-19
13
den faktiske innflytelsen over hvordan personopplysningene skal behandles.66 For den videre drøftelsen legger vi derfor til grunn at arbeidsgiveren og den behandlingsansvarlige er den samme.
2.2 «Arbeidstaker» og «den registrerte»
I utgangspunktet gjelder arbeidsmiljøloven bare for personer som er definert som arbeidstake- re, og begrepet er definert i aml. §1-8 som «enhver som utfører arbeid i annens tjeneste». De- finisjonen forutsetter altså at det foreligger et avhengighetsforhold mellom arbeidstaker og arbeidsgiver, hvor arbeidstakeren blir underordnet arbeidsgiver som den «svake part». Dette avhengighetsforholdet etableres i utgangspunktet gjennom inngåelsen av arbeidsavtalen, og det vil derfor som regel ikke være et problem å fastsette hvem som er arbeidstaker i lovens forstand. Arbeidstakerbegrepet må derfor tradisjonelt avgrenses mot de tilfeller hvor den som påtar seg et arbeid utfører dette for egen regning, altså selvstendige oppdragstakere. I noen tilfeller kan det imidlertid være utfordrende å fastslå om en person omfattes av arbeidstaker- begrepet. I forarbeidene fremkommer det i denne sammenheng at en person skal regnes som arbeidstaker i lovens forstand, dersom tilknytningen til arbeidsgiver reelt sett kan karakterise- res som et ansettelsesforhold.67 Det er med andre ord realiteten i forholdet og om personen har et aktuelt vernebehov, som er det avgjørende for vurderingen.68 I tråd med dette legger vi en vid forståelse av begrepet til grunn for den videre drøftelsen.
Etter personopplysningsloven er det «den registrerte» som har krav på vern av sine rettigheter, men forordningen inneholder ingen særskilt legaldefinisjon av begrepet. Hvem som er å anse som den registrerte henger imidlertid sammen med selve definisjonen av «personopplysning- er» i art. 4 nr. 1, hvor det fremkommer at det er «en identifisert eller identifiserbar fysisk per- son». Hvilke krav som oppstilles i forhold til denne ordlyden, vil dermed bli redegjort for un- der personopplysningsbegrepet. Siden personopplysningsloven gjelder all behandling av per- sonopplysninger generelt, vil rettighetssubjektet i utgangspunktet være uavhengig av om per- sonen er arbeidstaker eller ikke.
Oppgavens hovedspørsmål knytter seg imidlertid til behandling av personopplysninger om de ansatte som fremkommer av kontrolltiltaket, og den registrerte vil derfor være sammenfallen- de med arbeidstakerbegrepet ovenfor. I det følgende vil vi derfor bruke begrepet «arbeidsta- ker» også i relasjon til personopplysningslovens bestemmelser.
66 Wessel-Aas (2018) s. 183 og PVN-2013-21
67 Ot.prp.nr. 49 (2004-2005) s. 74
68 Hotvedt (2016) s. 392-395, Rt. 1929 s. 640 og Rt. 2010 s. 93
14
2.3 Hva anses som en «behandling av personopplysninger»?
2.3.1 «Personopplysning»
For å kunne si noe om hva som utgjør en «behandling av personopplysninger» etter art. 2 nr.
1, er det først nødvendig å klargjøre hva som anses som «personopplysninger». Begrepet er definert i art. 4 nr. 1 som «enhver opplysning om en identifisert eller identifiserbar fysisk per- son». Ut fra ordlyden kan man si at begrepet består av tre hoveddeler: det omfatter «enhver opplysning» knyttet til en «fysisk person» som enten er «identifisert eller identifiserbar».
Ordlyden «enhver opplysning» viser at bestemmelsen favner vidt og vil i utgangspunktet kunne omfatte all tenkelig informasjon, som for eksempel skrift, tall, fotografier eller lyd.
Definisjonen vil således være uavhengig av informasjonens innhold, men også hvor den hen- tes fra, dens art og uttrykksform.69 Det vil heller ikke ha noe å si om opplysningene direkte angår forhold som tradisjonelt forbindes med privatlivets fred, derfor vil også opplysninger fra arbeidsplassen omfattes av begrepet.70 Disse opplysningene må imidlertid kunne knyttes til en «fysisk person». Dette såkalte tilknytningskravet kan utledes av definisjonens ordlyd, hvor det fremkommer at informasjonen må være «om» en fysisk person. Det vil med andre ord si at opplysningene må omhandle eller angå et enkeltindivid, og loven regulerer dermed ikke opplysninger om juridiske personer. Som regel vil tilknytningen fremstå som ganske åpenbar, mens det andre ganger er mindre opplagt. Det er i denne sammenheng tilstrekkelig at tilknytningen mellom informasjonen og individet er indirekte.71
Avslutningsvis må opplysningene om den fysiske personen kunne identifisere enkeltpersonen, det oppstilles altså et krav om at man må kunne skille ut ett individ fra en gruppe av individer.
Det at en person er «identifisert» innebærer at han eller hun er skilt ut og dette vil normalt være enkelt å fastslå. I praksis er det derimot spørsmålet om en person er «identifiserbar» som er mest interessant, i og med at det er dette som oppstiller de ytre grensene for personopplys- ningsvernet. Det avgjørende for lovens anvendelse er dermed muligheten for å skille ett indi- vid fra et annet. Hva som ligger i dette er forsøkt klargjort i definisjonen, hvor det fremkom- mer at en person er «identifiserbar» dersom vedkommende «direkte eller indirekte kan identi- fiseres, særlig ved hjelp av en identifikator» som for eksempel et navn, et identifikasjons- nummer, en nettidentifikator (IP-adresse) eller lokaliseringsopplysninger. Dette innebærer at opplysninger som i utgangspunktet fremstår som anonyme kan være personopplysninger i lovens forstand. Bestemmelsen oppstiller imidlertid ikke noe krav om at identifiseringen må ha skjedd. Dette innebærer at loven kommer til anvendelse dersom identifiseringen kan skje på et tidspunkt i fremtiden. Det er heller ikke et krav at det er den behandlingsansvarlige selv
69 Skullerud (2018) s. 58
70 ibid. 56
71 ibid.
15
som må foreta identifiseringen.72 En opplysning er med andre ord en personopplysning der- som det er mulig for enhver å identifisere en enkeltperson, enten direkte eller indirekte.
2.3.2 «Behandling»
Arbeidsgiver kan altså besitte en rekke personopplysninger om sine ansatte, men det er likevel først når han ønsker å behandle informasjonen det foreligger en «behandling av personopp- lysninger» etter art. 2 nr. 1. Begrepet «behandling» er definert i art. 4 nr. 2 som «enhver ope- rasjon eller rekke av operasjoner som gjøres med personopplysninger, enten automatisert eller ikke(...). Begrepet har sentral betydning både ved vurderingen av om regelverket kom- mer til anvendelse, når ansvaret for behandlingen skal avklares, og i forhold til de øvrige be- stemmelsene.73 Bestemmelsen inneholder en rekke eksempler på slike operasjoner, blant an- net «innsamling, registrering, organisering, strukturering, lagring, tilpasning eller endring og gjenfinning». Eksemplene fungerer som retningslinjer og har således en avklarende funksjon, men er ikke ment å være uttømmende, jf. ordlyden «f.eks.». Etter en normal språklig forståel- se kan «behandling» tyde på at man må bearbeide personopplysningen på en eller annen måte, men dette er ikke et krav siden selve innsamlingen, registreringen og lagringen også omfattes av begrepet.74 Det skal altså gjennomgående lite til før en aktivitet omfattes av definisjonen, og det vil derfor være nærmest umulig å definere seg ut av behandlingsbegrepet når arbeids- takere på en eller annen måte er i befatning med personopplysninger.75
Lovens øvrige bestemmelser knytter seg til en enkelt behandling av personopplysninger, og ikke den konkrete operasjonen eller aktivitet. Det er derfor viktig og ha klart for seg hvilke operasjoner som utgjør en og samme behandling. Det følger av definisjonen at en behandling kan bestå av en rekke operasjoner, f.eks. kan lagring og overføring til register utgjøre en og samme behandling, samtidig som en rekke operasjoner også kan bestå av en rekke behand- linger av personopplysninger. 76 Hvordan skillet mellom ulike behandlinger skal trekkes, sier loven ingenting om. Det er imidlertid lang tradisjon for å knytte behandlingsbegrepet til form- ålet med behandlingen.77 Det vil med andre ord si at man må vurdere om operasjonene gjen- nomføres for det samme formålet, for i slike tilfeller skal man anse operasjonene som én be- handling. Formålsbegrepet er imidlertid ikke klart definert i regelverket, men den behand- lingsansvarlige er pålagt å definere hva som er formålet med behandlingen etter art. 5 nr. 1
72 Skullerud (2018) s. 57
73 ibid.
74 Se f.eks. PVN-2014-13.
75 Skullerud (2018) s. 58
76 ibid.
77 ibid.
16
bokstav b. Hva som er det eller de angitte behandlingsformålet vil med andre ord være avgjø- rende for hvor mange behandlinger som foreligger.78
2.3.3 Vil WiFi-sporing innebære en behandling av personopplysninger?
WiFi-sporingsteknologien går ut på å registrere og lagre MAC-adresser som mobiltelefoner sender ut.79 Siden MAC-adressene har et unikt identifikasjonsnummer, gjør teknologien det mulig å identifisere den enkeltes mobiltelefon innenfor WiFi-sonen.80 En MAC-adresse kan med andre ord knyttes til en bestemt arbeidstaker, og gjør det mulig å identifisere personen på flere måter både direkte og indirekte.81 Arbeidsgiveren kan for eksempel lagre informasjon om hvilke MAC-adresser en telefon har. Det kan også tenkes at arbeidstakeren må oppgi iden- tifiserende opplysninger som blant annet e-postadresse for å få tilgang til arbeidsplassens Wi- Fi-nettverk, og disse opplysningene kan kobles sammen med MAC-adressen.82 Arbeidstake- ren kan også identifiseres indirekte gjennom posisjonsdata, vaner og bevegelsesmønstre som WiFi-sporingen avdekker.83 Dette er bakgrunnen for at MAC-adresser og lokasjonsdataen er ansett som personopplysninger84, og det er klart at en innsamling, registrering og lagring av slike opplysninger utgjør en «behandling av personopplysninger».
2.4 Hva er et «kontrolltiltak»?
Det er aml. §9-1(1) som regulerer arbeidsgivers adgang til å iverksette kontrolltiltak i virk- somheten, men hva som omfattes av begrepet «kontrolltiltak» er ikke definert i loven. Etter en alminnelig språklig forståelse vil det likevel omfatter undersøkelser som har til hensikt å av- dekke et nærmere bestemt faktisk forhold, og hvor en eller flere arbeidstakere gjøres til gjen- stand for en slik undersøkelse. Dermed omfatter begrepet blant annet undersøkelser av hvor- vidt de ansatte overholder sine arbeidsplikter i tråd med arbeidsforholdet, for eksempel til produktivitet eller effektivitet.85
Det finnes mange ulike typer kontrolltiltak, og begrepet omfatter «alt fra vanlig tidsregistre- ring(stempling) til inngripende undersøkelser av de ansattes helse og drikkevaner»86. Problemstillingen for oppgaven gjelder imidlertid nye former for elektroniske kontrolltiltak,
78 Jf. art. 5 nr. 1 bokstav b
79 Datatilsynet (2016), pkt 1.2.1.3
80 ibid.
81 ibid.
82 ibid.
83 ibid.
84 ibid.
85 Storeng (2016) s. 401 Jakhelln (2007) s. 391
86 Ot.prp.nr. 49 (2004-2005) s. 135
17
som for eksempel ansiktsgjenkjenning, følelsesregistrering og systemer for tidsregistrering.87 Arbeidsgivers behov for å iverksette slike kontrolltiltak kan begrunnes i en rekke forhold, som blant annet «teknologiske, økonomiske, sikkerhets- og helsemessige omstendigheter, samt andre sosiale og organisatoriske forhold i bedriften».88 Denne opplistingen er imidlertid ikke uttømmende.89 Det eksisterer altså en rekke ulike former for kontrolltiltak, og arbeidsgivers adgang til å iverksette tiltaket kan variere ut fra tiltakets art, det konkrete behovet og begrun- nelsen for tiltaket.90 Kontrolltiltaksbegrepet er dermed forutsatt å være vidtrekkende.91
Spørsmålet om hvor den nedre grensen for begrepet skal trekkes, er fremhevet i forarbeidene som mindre viktig.92 Det begrunnes i at arbeidsgivers styringsrett uansett begrenses av almin- nelige saklighetsnormer, og at tiltaket i tvilstilfellene vil være så lite inngripende ovenfor ar- beidstakeren at en interesseavveining uansett vil gå i arbeidsgivers favør.93 Det er altså ikke meningen at arbeidsmiljølovens bestemmelser om kontrolltiltak skal føre til et unødvendig byråkrati for virksomhetene i deres daglige virke.94 Lovgiver finner det derfor ikke hensikts- messig å lovfeste eller på annen måte angi generelle retningslinjer for hvor denne grensen skal trekkes, og den nærmere avgrensningen av begrepet er dermed forutsatt å skulle skje gjennom administrativ praksis og rettspraksis.95 Forarbeidene trekker likevel opp noen «rammer» for hvordan denne avgrensningen nærmere bestemt skal skje, ved at «tiltakets formål» og «hvor inngripende de virker for arbeidstakerne» skal være de sentrale vurderingstemaene.96
2.4.1 Nærmere om begrepets «nedre grense»
Etter at forarbeidene ble vedtatt har det imidlertid oppstått nye former for teknologi som mu- liggjør en mer omfattende og systematisk kontrollmulighet av de ansatte, selv om de ikke inn- rettes med dette som sitt formål. Det er derfor uklart om slik teknologi omfattes av lovens kontrolltiltaksbegrep, selv om teknologien kan være inngripende ovenfor arbeidstakeren. Etter vår mening har den teknologiske utviklingen derfor ført til at forarbeidenes uttalelse om at det er mindre viktig å trekke den nedre grensen for begrepet97, ikke lenger kan stå seg på samme måte i dag. Det er imidlertid vanskelig å vite hvordan denne grensen nærmere skal trekkes,
87 Crossover (2019)
88 Ot.prp.nr. 49 (2004-2005) s. 135
89 ibid. s. 147
90 ibid. s. 140
91 Ot.prp.nr. 49 (2004-2005) s. 147
92 Ot.prp.nr. 49 (2004-2005) s. 147
93 ibid.
94 ibid.
95 ibid.
96 ibid.
97 ibid.
18
spesielt ved slik ny teknologi, for spørsmålet har vært viet lite oppmerksomhet i administrativ praksis og rettspraksis. Grunnen til at grensespørsmålet har vært gitt lite oppmerksomhet, skyldes antagelig at sakene som har vært oppe for retten har knyttet seg til tradisjonelle for- mer for kontroll som for eksempel innsyn i e-post eller kameraovervåkning. I slike tilfeller er det som regel klart at man står ovenfor et kontrolltiltak, og det har derfor ikke vært nødvendig å problematisere begrepet. Inntoget av nye teknologiske former for kontroll og overvåkning i arbeidslivet, gjør det imidlertid nå nødvendig med en nærmere avklaring av kontrolltiltaksbe- grepet. Vi vil derfor redegjøre for hva som nærmere kan utledes av de vurderingsmomentene som forarbeidene har stilt opp.
Det første vurderingsmomentet som oppstilles er «tiltakets formål».98 Hva forarbeidene sikter til med dette, fremkommer imidlertid ikke klart. Det kan derfor stilles spørsmål ved om det ved «tiltakets formål» kun sikter til tiltak som har kontroll av de ansatte som formål, eller om begrepet også omfatter tiltak som i utgangspunktet er begrunnet i andre formål.
Det at forarbeidene bruker betegnelsen «tiltakets formål» og ikke «kontrollformål» kan på den ene siden trekke i retning av at forarbeidene har åpnet for at tiltak begrunnet i andre formål enn kontroll, kan være omfattet. På den andre siden foreligger det en rekke forhold som taler for at tiltaket må ha kontroll av de ansatte som formål. Ordlyden i begrepet «kontrolltiltak»
trekker i retning av at tiltaket må ha kontroll av de ansatte som formål. Dette kan underbygges av at lovens kapittel 9 nettopp var ment å kodifisere de ulovfestede reglene som gjaldt for området kontroll og overvåkning i arbeidslivet. Et ytterligere moment i denne retning er det forhold at forarbeidene selv bruker uttrykket «kontrollformål» i uttalelsen «tilleggsavtale V til Hovedavtalen mellom LO og NHO (2002–2005) om kontrolltiltak i bedriften er illustrerende for det vide spekter av kontrollformål og tiltak dette temaet omfatter(...)».99 De tradisjonelle formene for kontrolltiltak, som for eksempel innsyn i e-post, adgangskontroller og kamera- overvåkning, vil også ha et klart formål om å kontrollere de ansatte. Det er dermed mest nær- liggende å tolke momentet slik at det må foreligge et kontrollformål, for at tiltaket skal være et kontrolltiltak i lovens forstand. Dermed vil tiltak som innføres med andre formål, som for eksempel arealutnyttelse eller energibesparelse, i utgangspunktet falle utenfor begrepet.
Det andre vurderingsmomentet forarbeidene oppstiller er «hvor inngripende tiltaket virker for arbeidstakerne».100 Vurderingstemaet foreskriver på mange måter den vurderingen som skal foretas etter aml. § 9-1(1). Dette kan utledes av forarbeidene, der det i relasjon til begrepets nedre grense som nevnt uttales at arbeidsgivers styringsrett uansett begrenses av alminnelige
98 ibid.
99 Ot.prp.nr. 49 (2004-2005) s. 147
100 ibid.
19
saklighetsnormer og tiltaket ved tvil uansett vil være så lite inngripende at interesseavveining- en vil gå i arbeidsgivers favør.101 Denne uttalelsen kan tolkes i retning av at det i slike tilfeller, ikke vil være nødvendig å vurdere saklighets- og forholdsmessighetskravet i aml. § 9-1(1).
Vurderingstemaet setter på den måten nærmest en overordnet grense for hvilke tiltak som er inngripende nok til å fortjene regelverkets vern. Poenget er altså at tiltak som ikke innebærer noe integritetsproblem for arbeidstakerne, faller utenfor lovens anvendelsesområde. Dette samsvarer med uttalelsen i forarbeidene om at reglene ikke er ment å skulle innebære et unødvendig byråkrati for virksomheten.102
2.4.1.1 Begrenset til kontrollformål, eller bør begrepet også omfatte tiltak som er egnet til kontroll?
Som vi har sett beror vurderingen av om det foreligger et kontrolltiltak altså i utgangspunktet på om tiltaket har et kontrollformål, og om det er såpass integritetskrenkende ovenfor arbeids- takeren at lovens verneregler bør komme til anvendelse. Spørsmålet blir imidlertid hvordan dette stiller seg ved nye former for elektroniske tiltak som blant annet benyttes i smartbygg.
Slike tiltak vil ofte være begrunnet i andre formål enn å kontrollere de ansatte, og faller der- med i utgangspunktet utenfor vernereglene i arbeidsmiljølovens kapittel 9. Problemet i denne sammenheng er at slike former for tiltak likevel kan ha et stort kontrollpotensial, eller med andre ord være egnet til kontroll.
Iverksettelse av WiFi-sporingsteknologi er illustrerende i denne sammenheng. Dersom denne teknologien for eksempel blir innført på arbeidsplassen for å spore og kontrollere hvor de an- satte befinner seg til enhver tid, vil tiltaket klart være et kontrolltiltak i lovens forstand. I slike tilfeller er innføringen begrunnet i kontroll av de ansatte, og WiFi-sporingen vil oppleves som så inngripende at lovens vernebestemmelser bør komme til anvendelse. Innføring av WiFi- sporingsteknologi i smartbygg, er derimot ofte begrunnet i formål som effektiv arealutnyttelse eller bedret brukeropplevelse for de som jobber der103 og ikke i kontroll av de ansatte. Slike tiltak er derfor i utgangspunktet ikke kontrolltiltak i lovens forstand. I disse tilfellene vil ar- beidsgiver likevel kunne innhente og behandle samme type informasjon som om tiltaket had- de vært begrunnet i kontrollformål, og tiltaket vil dermed ha et stort kontrollpotensial. Det kan derfor argumenteres for at slike tiltak vil kunne oppleves som like inngripende og integritets- krenkende for den ansatte som tradisjonelle kontrolltiltak, slik at de bør fortjene regelverkets vern etter §§9-1 og 9-2. På den bakgrunn kan det stilles spørsmål ved om begrepet «kontroll-
101 ibid,
102 ibid.
103 Se punkt 1.2.1.1.1
20
tiltak» også bør omfatte tiltak som er egnet til å kontrollere og overvåke de ansatte, og ikke bare de tiltak som har kontroll som formål.
Et argument for en slik forståelse er at dersom kontrolltiltaksbegrepet skulle vært begrenset til tiltak som har kontrollformål, åpner dette for at arbeidsgiver i utgangspunktet kan formålsre- gulere seg bort fra lovens regler. På den måten ville det i praksis blitt opp til arbeidsgiver om reglene skal komme til anvendelse eller ikke, beroende på hva han angir som det konkrete formålet med tiltaket. Dette samsvarer svært dårlig med det som var bakgrunnen for kodifise- ringen av reglene, hvor intensjonen med lovfestingen var å balansere arbeidsgivers behov for å iverksette kontrolltiltak, opp mot arbeidstakers behov for vern av den personlige integritet (personverninteresser).104 På den måten skulle kodifiseringen av reglene i aml. kapittel 9 klar- gjøre det vernet arbeidstaker har krav på ved kontroll og overvåkning fra arbeidsgivers side.105
Forarbeidene er imidlertid relativt vage når det gjelder kontrolltiltaksbegrepet106, som kan ha sammenheng med at det var første gangen man lovregulerte området for kontroll og overvåk- ning i arbeidslivet. Lovgiver klarte muligens ikke å se for seg hva fremtiden ville bringe i form av nye teknologiske kontroll- og overvåkningsmuligheter. Dette støttes opp av uttalelsen om at «den faktiske tilstand er preget av en teknologisk utvikling som raskt øker arbeidsgivers mulighet til å kontrollere og samle informasjon om arbeidstakere».107 Uttalelsen kan tas til inntekt for at lovgiver muligens ville ta høyede for at slike nye former for teknologi, kunne omfattes av begrepet kontrolltiltak. På den bakgrunn kan det argumenteres for at begrepet er av dynamisk karakter, slik at det skal utvikles i tråd med den teknologiske utviklingen på om- rådet.
Et argument som trekker i samme retning er at teknologien som benyttes i et smartbygg gir store muligheter for å sammenstille opplysninger om den ansatte. Ved å benytte teknologi som blant annet WiFi-sporing, sensorer, interaktive kameraer o.l., kan arbeidsgiver gjennom sammenstilling av informasjon finne ut så og si hva han vil om den ansattes arbeidsdag.
Iverksettelsen av WiFi-sporingsteknologi kan i denne sammenheng sammenlignes med bru- ken av flåtestyringssystemer basert på GPS-sporing, som ofte har som formål å effektivisere og forbedre driften av virksomheten. Til tross for dette formålet har vi flere eksempler fra rettspraksis på at arbeidsgiver har sammenstilt informasjonen fra systemet med andre opplys-
104 Ot.prp nr. 49 (2004-2005) s. 143
105 ibid. s. 143
106 ibid. s. 147
107 ibid s. 143
21
ninger, for nettopp å kontrollere den ansatte.108 På den bakgrunn er det derfor sannsynlig at arbeidsgiver kan komme til å gjøre det samme ved bruk av WiFi-sporingsteknologien. Den samlede mengden tiltak på smarte arbeidsplassen og den sammenstillingsmuligheten det gir, kan også føre til at et tiltak som isolert sett ikke virker inngripende likevel kan overstige gren- sen. I slike tilfeller vil tiltakene altså ikke «være så lite inngripende overfor arbeidstakerne at en interesseavveining uansett vil gå i arbeidsgivers favør».109 Det er med andre ord nødvendig at det foretas en interesseavveining etter §9-1(1) i disse tilfellene, hvor det nettopp skal foretas en vurdering av om den totale summen av tiltak utgjør en uforholdsmessig belastning for ar- beidstakeren.
Siden problemstillingen for oppgaven omhandler arbeidsgivers adgang til å iverksette nye former elektroniske tiltak som samler inn personopplysninger, vil formålsbegrensningsprin- sippet og forbudet mot uforenlig viderebehandling110 i personopplysningsloven imidlertid være et moment i motsatt retning. Reglene innebærer kort sagt at arbeidsgiver bare kan samle inn personopplysninger for spesifikke, uttrykkelig angitte og berettigede formål, og at en eventuell viderebehandling av opplysningene ikke kan skje på en måte som anses uforenlig med disse formålene.111 Dermed vil reglene kunne sette en stopper for arbeidsgiver adgang til å behandle opplysninger med andre formål til å kontrollere den ansatte, og således bøte på mange av de integritetsproblemene som er trukket frem i drøftelsen. Reglene er derfor et ar- gument som taler mot at det er nødvendig å utvide kontrolltiltaksbegrepet til å omfatte tiltak som er egnet til kontroll. Etter vår oppfatning er dette likevel ikke et tungtveiende argument mot at vernebestemmelsene i aml. §§ 9-1 og 9-2 bør komme til anvendelse isolert sett. Disse bestemmelsene involverer arbeidstakerne på et tidlig tidspunkt i prosessen gjennom drøftel- ses- og informasjonsplikten112 og gjennom arbeidsmiljøloven får dermed arbeidstakerne en ytterligere beskyttelse.
Samlet tilsier redegjørelsen at formålet med tiltaket ikke nødvendigvis er det avgjørende for lovens anvendelse, men at det avgjørende bør være om det innebærer et integritetsproblem for arbeidstakerne. Som vi allerede har sett vil tiltak som er egnet til å kontrollere eller som har et stort kontrollpotensial kunne oppleves som like integritetskrenkende, som tiltak begrunnet i kontrollformål. Etter vår oppfatning vil derfor et skifte av fokus over på hvorvidt tiltaket er egnet til å kontrollere arbeidstakeren, være i samsvar med begrepets dynamiske karakter, samt gi arbeidstakeren et mer reelt vern ved kontroll og overvåkning fra arbeidsgiver side. Vi leg-
108 Jf. eks. Rt. 2013 s. 143 og RG. 2011 s. 321
109 Ot.prp nr. 49 (2004-2005) s. 147
110 Se pkt. Feil! Fant ikke referansekilden.
111 GDPR art. 5 nr. 1 bokstav b.
112 Se pkt. Feil! Fant ikke referansekilden.
22
ger derfor til grunn at tiltak som er egnet til å kontrollere og overvåke den ansatte, som WiFi- sporing, er et kontrolltiltak i lovens forstand og at reglene i kapittel 9 dermed får anvendelse også for disse tilfeller.
3 Forholdet mellom arbeidsmiljøloven og personopplysningsloven
3.1 I utgangspunktet separate regelverk som gjelder to ulike spørsmål Det er arbeidsmiljølovens bestemmelser som regulerer det første spørsmålet om hvorvidt ar- beidsgiver kan iverksette de kontrolltiltakene han ønsker, og oppstiller således grensene for arbeidsgivers kontrolladgang som sådan. Personopplysningsloven regulerer derimot det andre spørsmålet om hvordan personopplysninger som fremkommer av slike tiltak skal behandles, noe som aml. §9-1(2) også konkret viser til. Dette er i utgangspunktet to helt forskjellige spørsmål, som også reguleres av to forskjellige regelverk. Det er likevel en nær indre sam- menheng mellom spørsmålene og regelverkene, fordi iverksettelsen av kontrolltiltak nærmest utelukkende vil innebære en behandling av de ansattes personopplysninger.
Det er derfor ganske åpenbart at det vil være så og si formålsløst å iverksette elektroniske kontrolltiltak, dersom arbeidsgiver ikke skulle hatt mulighet til å behandle personopplysning- ene som fremkommer av tiltaket.113 Det ville vært liten sammenheng i lovverket om det var adgang til å iverksette et kontrolltiltak, men ikke adgang til å behandle personopplysningene som fremkommer av tiltaket. Til tross for dette er det ikke rettslig avklart hvordan sammen- hengen mellom regelverkene faktisk skal forstås.
3.2 Arbeidsmiljølovens §9-1(1) som lex specialis?
Forarbeidene til arbeidsmiljøloven forsøker imidlertid å klargjøre hvordan forholdet til per- sonopplysningsloven skal forstås114, selv om det kan være vanskelig å forstå hva de faktisk har ment. Departementet sluttet seg for eksempel til Justisdepartementets høringsuttalelse om at «det er mest nærliggende å tolke forslaget som lex specialis i forhold til reglene om hjem- mel til behandling, men slik at de øvrige reglene i personopplysningsloven gjelder fullt ut».115 Det fremkommer imidlertid ikke klart hva de har ment med at aml. §9-1(1) skal tolkes som lex specialis.116 Uttalelsen kan trekke i retning av at aml. §9-1(1) vil kunne være et selvsten- dig og særskilt behandlingsgrunnlag for å behandle personopplysninger, som ved motstrid går foran behandlingsgrunnlagene etter personopplysningsloven. Uttalelsen har nok sammenheng
113 Ot.prp. nr 49 (2004-2005) s. 135
114 ibid. s. 145
115 ibid.
116 ibid.
