Klagen på meg ble sendt til hele ledergruppen – brudd på personvern?

Torkel fikk vite om klagen fra en kollega i en helt annen avdeling

Torkel jobber som selger i et forsikringsselskap. Etter en episode med en kunde skrev en kollega en klage på ham til nærmeste leder. Torkel fikk aldri se selve klagen før en kollega fra en helt annen avdeling, som han knapt kjente, spurte hvordan det gikk med «greia med kunden». Det viste seg at klagen var videresendt på e-post til hele ledergruppen, ti personer, inkludert flere som aldri hadde noe med Torkels avdeling å gjøre.

Han spolte tilbake i hodet gjennom de siste dagene og innså at flere kolleger hadde oppført seg litt merkelig mot ham, uten at han hadde tenkt noe videre over det da. Nå fikk oppførselen en forklaring han aldri hadde bedt om.

Tjenstlig behov, ikke nysgjerrighet, avgjør hvem som skal vite

Personalsaker, klager og andre opplysninger om en enkelt ansatt skal som hovedregel bare deles med dem som faktisk trenger informasjonen for å gjøre jobben sin, som nærmeste leder, HR eller den som skal utrede saken videre. Dette kalles gjerne et krav om tjenstlig behov, og det setter en klar grense mot å sende en klage til alle som «uansett bør vite», bare fordi de sitter høyt i organisasjonen. Formålsbegrensningen som gjelder for personopplysninger generelt, gjelder like fullt for personalsaker: opplysninger samlet inn for å håndtere én konkret sak, kan ikke fritt deles videre til folk uten noen rolle i den samme saken. Tjenstlig behov er heller ikke det samme som generell interesse eller ansiennitet i organisasjonen: en avdelingsdirektør uten noen rolle i akkurat denne saken har like lite behov for å se klagen som en tilfeldig kollega i en annen etasje, selv om tittelen skulle tilsi noe annet.

Hvorfor «alle bør vite» sjelden er en god nok begrunnelse

Ledere begrunner ofte bred spredning av personalsaker med at alle uansett bør være informert, særlig i mindre organisasjoner der alt føles tett sammenvevd. Dette er sjelden en saklig grunn i seg selv. Jo mer sensitiv en opplysning er, jo strengere bør kretsen av mottakere avgrenses, og en klage på en enkelt ansatts oppførsel er nettopp den typen informasjon som bør holdes til dem som faktisk skal behandle saken. Denne typen begrunnelse er dessuten sjelden noe den ansatte selv blir spurt om på forhånd: ingen tok kontakt med Torkel for å høre om han ønsket at saken skulle deles bredt, før den allerede lå i innboksen til ti personer han for det meste bare kjente av navn. Torkels leder hadde sendt klagen videre for å være åpen om saken, uten å tenke over at åpenhet overfor ni personer uten noen rolle i saken, i realiteten bare var unødvendig spredning.

Hva du kan kreve når spredningen allerede har skjedd

Er en klage eller en personalsak om deg allerede spredt bredere enn nødvendig, kan du be om innsyn i hvem som faktisk har mottatt eller lest den, og be om en skriftlig bekreftelse på at videre spredning stanses. Be spesifikt om en liste over hvem som har mottatt eller lest saken, ikke bare en generell bekreftelse på at rutinene er gjennomgått, siden en slik generell bekreftelse sjelden gir deg noe å forholde deg til dersom noe lignende skjer igjen senere. Du kan også be om at saken behandles på nytt, denne gangen av en avgrenset krets, og at eventuelle kopier hos personer uten tjenstlig behov slettes. Torkel ba om nettopp dette, og fikk en kort beklagelse fra lederen sin, som erkjente at videresendingen hadde vært et raskt tastetrykk uten at han hadde tenkt gjennom mottakerlisten. Han fikk etter hvert også en kort samtale med to av de ni som hadde mottatt klagen uten grunn, der de bekreftet at de aldri hadde lest den nøye og heller ikke hadde noen rolle i den videre håndteringen, noe som gjorde ham roligere enn han hadde forventet.

Når spredningen er så alvorlig at du bør klage videre

Er spredningen gjentakende, svært alvorlig, eller nekter arbeidsgiver å ta tak i den internt, kan du sende en klage til Datatilsynet, som kan vurdere om behandlingen av opplysningene har vært lovlig og pålegge endringer i rutinene. En slik klage er også relevant dersom spredningen har skjedd gjentatte ganger, ikke bare denne ene gangen, siden det da kan tyde på at virksomheten mangler gode nok rutiner for hvordan personalsaker skal håndteres internt. Har virksomheten ingen skriftlig rutine for dette fra før, kan du foreslå at det lages en, med en klar oversikt over hvem som normalt har tjenstlig behov i ulike typer saker, til nytte for deg selv og for kollegene dine neste gang noe lignende skjer.

Kort oppsummert

• Spredning av personopplysninger jobben din involverer, bør begrenses til dem med et faktisk tjenstlig behov for å kjenne til saken.
• Begrunnelsen om at «alle bør vite», er sjelden god nok alene til å forsvare at en personalsak deles bredt i organisasjonen.
• Du kan be om innsyn i hvem som har mottatt eller lest en klage, og kreve at videre spredning stanses.
• Gjentar spredningen seg, eller løses den ikke internt, kan en klage til Datatilsynet være neste steg.