Samarbejdsudvalg, GDPR og medarbejderundersøgelser

Ja, samarbejdsudvalget skal inddrages, men det skal ikke godkende undersøgelsen. Samarbejdsaftalerne giver SU ret til information i så god tid, at medarbejdernes synspunkter kan indgå, før ledelsen beslutter, og SU skal være med til at fastlægge principperne for brug af persondata. Efter GDPR er behandlingsgrundlaget typisk en interesseafvejning for private arbejdsgivere og myndighedsopgaven for offentlige. Samtykke er sjældent gyldigt i et ansættelsesforhold, og leverandøren skal have en skriftlig databehandleraftale.

Indlægget er generel information og ikke juridisk rådgivning. Tjek jeres egen situation med jeres jurist eller databeskyttelsesrådgiver.

Skal samarbejdsudvalget inddrages i en medarbejderundersøgelse?

Det afhænger af, hvilken samarbejdsaftale I er omfattet af. De to mest udbredte siger nogenlunde det samme.

Private virksomheder: Samarbejdsaftalen mellem DA og FH

Samarbejdsaftalen blev indgået mellem DA og LO, i dag FH, og blev senest revideret i 2006, ifølge Dansk Industri. I virksomheder med 35 ansatte eller flere inden for samme geografiske enhed oprettes et SU, når enten arbejdsgiveren eller et flertal af de ansatte foreslår det. Tre steder i aftalen rammer en medarbejderundersøgelse direkte:

• Information skal gives så tidligt, at medarbejdernes synspunkter, idéer og forslag kan indgå i beslutningsgrundlaget, og den skal indeholde ledelsens vurdering af konsekvenserne.
• Blandt SU’s overordnede opgaver er at øge de ansattes trivsel og tryghed.
• SU skal inddrages i at fastlægge principper for virksomhedens interne indsamling, opbevaring og brug af persondata, og i at vurdere konsekvenserne af ny teknologi, når indførelsen er af væsentligt omfang.

Aftalen siger også, at der ikke kan kræves oplysninger om personlige forhold. SU skal altså se rammerne og resultaterne på gruppeniveau, ikke den enkeltes svar. Aftalen indeholder ikke en godkendelsesret over et konkret værktøj.

Staten: samarbejdsaftalen for statens institutioner

I staten siger samarbejdsaftalens § 3, stk. 2, at information skal gives så tidligt og med et så passende indhold, at der kan gennemføres en grundig drøftelse, så medarbejdernes synspunkter kan indgå i ledelsens beslutning. Det fremgår af Samarbejdssekretariatets vejledning. Blandt SU’s opgaver står desuden, at medarbejdernes tilfredshed og trivsel skal måles mindst hvert tredje år, eventuelt i tilknytning til APV’en. I kommuner og regioner er det jeres MED-aftale, der gælder.

Hvis undersøgelsen også er APV

Kører I den psykiske del af arbejdspladsvurderingen i samme runde, skal arbejdsmiljøorganisationen deltage i hele processen og skrive under på handlingsplanen. Det følger af § 3 i bekendtgørelsen om systematisk arbejdsmiljøarbejde. Så skal både SU og AMO med, og det er nemmest at planlægge dem sammen. Vores indlæg om APV med interviews gennemgår kravene.

Hvad skal SU se, før undersøgelsen går i gang?

En tidsplan, der giver SU reel mulighed for at påvirke undersøgelsen:

Spørgsmålene, SU næsten altid stiller, og som I bør have svar på skriftligt:

1. Hvad er formålet, og hvilken beslutning skal resultaterne bruges til?
2. Hvilke spørgsmål stilles, og må SU se dem på forhånd?
3. Hvem ser resultater, og hvad er den mindste gruppe, der vises?
4. Kan nogen se, hvad en bestemt medarbejder har svaret?
5. Bruges resultaterne til at vurdere enkeltpersoner eller ledere?
6. Hvor ligger data, hvilke firmaer behandler dem, og hvornår slettes de?
7. Hvordan og hvornår får medarbejderne resultaterne at se?

Hvilket behandlingsgrundlag gælder efter GDPR?

Datatilsynet gennemgår det i vejledningen Databeskyttelse i ansættelsesforhold fra marts 2023, side 17:

• Ved en APV, hvor en bestemt medarbejder kan identificeres, kan arbejdsgiveren behandle oplysningerne efter forordningens artikel 6, stk. 1, litra c eller e, og databeskyttelseslovens § 12, stk. 1.
• For medarbejdertilfredshedsundersøgelser og lederevalueringer, der ikke er lovpligtige og ikke følger af overenskomst, kan hjemlen findes i artikel 6, stk. 1, litra e for offentlige arbejdsgivere og litra f, interesseafvejningen, for private.

Og samtykke? Samme vejledning siger, at samtykke i ansættelsesforhold sjældent opfylder kravet om at være afgivet frivilligt, fordi forholdet mellem arbejdsgiver og ansat er ulige. Byg derfor ikke undersøgelsen på samtykke. Gør i stedet deltagelsen frivillig og sig det tydeligt i invitationen. Det er god skik, og det gør svarene bedre.

Følsomme oplysninger i åbne svar

Åbne spørgsmål og interviews giver plads til, at folk fortæller om stress, sygdom eller en diagnose. Datatilsynet regner oplysninger om både fysisk og mentalt helbred som helbredsoplysninger, altså følsomme oplysninger efter artikel 9. Stil ikke spørgsmål om helbred, begræns adgangen til de rå svar, og fjern den slags detaljer, før citater deles.

Er en medarbejderundersøgelse anonym i GDPR’s forstand?

Ofte ikke, mens den kører. Datatilsynet skriver, at oplysninger, der er gjort anonyme, så de registrerede ikke længere kan identificeres, ikke er personoplysninger, og at databeskyttelsesreglerne ikke gælder. Men et system, der sender personlige links ud og ved, hvem der har svaret, kan koble svar og person. Indtil den kobling er brudt, er svarene personoplysninger, selv om lederne aldrig ser et navn. Det kaldes ofte pseudonyme data.

Skeln derfor mellem to ting, når I taler med SU:

• Rapporten kan være anonym, hvis den kun viser grupper på mindst fem og citaterne er renset for navne og detaljer.
• De rå svar hos leverandøren er personoplysninger og skal behandles som sådan, med adgangsstyring og en slettefrist.

Skriv ikke »100 procent anonymt« i invitationen, hvis det kun gælder rapporten.

Skal I have en databehandleraftale med leverandøren?

Ja, når leverandøren behandler data på jeres vegne. Datatilsynets vejledning om dataansvarlige og databehandlere siger, at aftalen skal være skriftlig, og det kan godt være elektronisk, og indeholde blandt andet genstand, varighed, karakter og formål, typen af personoplysninger og kategorierne af registrerede. Leverandøren må kun bruge underdatabehandlere med jeres skriftlige godkendelse og skal ved en generel godkendelse orientere jer om ændringer, så I kan gøre indsigelse.

Bed derfor om listen over underdatabehandlere og læs den, før I svarer SU på spørgsmålet om, hvor data ligger. »Hostet i EU« dækker ofte databasen, men ikke nødvendigvis mail eller stemme.

For Spradley ser det sådan ud: databasen ligger i Frankfurt, og den AI, der kører interviewene og analysen, kører i Google Clouds EU-regioner. Nogle få tjenester er amerikanske, blandt andet afsendelse af mails og stemmen i stemmeinterviews, og de er dækket af EU’s standardkontraktbestemmelser. Hver af dem står på vores side over underdatabehandlere, og vores datapolitik beskriver resten. Beskyttelsen sidder også i selve agenten: lederens Personal Agent ser aldrig den enkeltes svar, frigiver intet for grupper under fem, fjerner sætninger, der nævner en medarbejder, og nægter at identificere nogen eller at overvåge loyalitet og opsigelsesplaner. Det er værd at vise SU, når I fastlægger principperne for brug af persondata. Vores side for HR og personale viser, hvordan interviewene passer ind ved siden af jeres målinger.

Hvad er anderledes i Tyskland?

I Tyskland har Betriebsrat medbestemmelse over tekniske systemer, der kan overvåge adfærd eller præstation, og en spørgeskemaplatform falder ofte ind under det. Det er en anden og stærkere ret end den danske information og drøftelse. Har I medarbejdere i begge lande, så læs vores engelske gennemgang af works council og GDPR i Danmark og Tyskland. Overvejer I at bruge interviews i stedet for et skema i jeres trivselsmåling, så se MTU med interviews.

Ofte stillede spørgsmål

Nøglebegreber

Samarbejdsudvalg (SU)

Et udvalg med repræsentanter for ledelse og medarbejdere, oprettet efter en samarbejdsaftale. Har ret til information og drøftelse, ikke til at godkende konkrete værktøjer.

Behandlingsgrundlag

Den bestemmelse i GDPR artikel 6, der gør en behandling af personoplysninger lovlig, for eksempel interesseafvejning eller myndighedsopgave.

Pseudonyme data

Oplysninger uden navn, som stadig kan kobles til en person med ekstra oplysninger. De er fortsat personoplysninger.

Databehandleraftale

Den skriftlige aftale mellem den dataansvarlige og en leverandør, der behandler personoplysninger på dennes vegne.

Underdatabehandler

Et firma, som databehandleren bruger til en del af behandlingen, for eksempel mail eller hosting.