Når kan arbeidsgiver kreve at arbeidstaker melder seg på sosiale medier eller andre tjenester som samler inn og behandler personopplysninger?
Arbeidstaker må gi fra seg en rekke personopplysninger til arbeidsgiver, og arbeidsgiver vil, blant annet i kraft av arbeidsavtalen, ha behandlingsgrunnlag for å behandle disse. Behandling av personopplysninger i arbeidsforhold er mye diskutert, og Datatilsynet har mye veiledningsmateriale om ulike aspekter av dette.
En problemstilling som i mindre grad har vært diskutert, er i hvilken utstrekning arbeidstaker – som ledd i sitt arbeid – plikter å utlevere personopplysninger om seg selv til andre. Disse andre kan være alt fra reisebyrå eller utenlandske immigrasjonsmyndigheter, til ulike nettjenester som brukes i arbeidet.
Rettslig kan spørsmålet formuleres som i hvilken grad arbeidskontrakten, arbeidets art og arbeidsgivers styringsrett gir arbeidstaker en plikt til å la seg registrere hos andre enn arbeidsgiver, og når arbeidstaker kan nekte dette uten at det får konsekvenser for arbeidsforholdet.
Et aktuelt eksempel er bruk av private konti på sosiale medier i arbeidssammenheng. En bedrift vil gjerne ønske å ha et stort fotavtrykk i sosiale medier, hvor det naturlig nok er ansatte som produserer og legger ut innhold.
Brukeravtalene og personvernerklæringene til sosiale medietjenester er ofte utformet for private brukere, og det er tilsynelatende arbeidstaker selv som blir avtalepart i disse. Kan arbeidsgiver forvente at arbeidstaker, som ledd i sitt arbeid, godtar for eksempel Facebooks brukervilkår og behandling av personopplysninger og personlig blir bundet av dem?
STYRINGSRETTEN
Norsk rett gir få klare svar på slike spørsmål. En mulig parallell er til spørsmålet om hvor langt arbeidsgiver kan gå i å pålegge arbeidstaker å forplikte seg selv økonomisk som del av jobben.
Dette kom på spissen i Borgarting lagmannsretts dom 30. april 2018, mellom Norsk Tjenestemannslag og Utenriksdepartementet (UD). Høyesterett avviste senere å behandle UDs anke.
Saken gjaldt UDs reisepolicy, som i stor grad påla de ansatte å legge ut for (til dels betydelige) reisekostnader på egne kredittkort. Arbeidstaker fikk kostnadene, også til kredittkortets årsgebyr, refundert, men var selv ansvarlig for utestående. Arbeidstaker kunne søke om forskudd fra UD på utlegget, men denne ordningen var komplisert og ikke fullt ut dekkende.
UD anførte blant annet at det i praksis ikke er mulig å gjennomføre tjenestereiser i utlandet uten at den som reiser inngår avtaler direkte med tredjemenn, og at ingen verneregler forhindrer at arbeidstakere kan pålegges å dekke utgifter i forbindelse med tjenestereiser, mot senere refusjon.
Lagmannsretten skriver i sine premisser:
«Et pålegg fra arbeidsgiver som innebærer at en ansatt plikter å påta seg et personlig ansvar overfor tredjemenn for utgifter til flyreiser og hotell i forbindelse med tjenestereiser, forutsetter et rettslig grunnlag. Staten har anført at ansatte i UD har plikt til å foreta tjenestereiser i utlandet og at ansatte ved inngåelsen av arbeidsavtalen har akseptert å inngå de personlige avtalene med leverandører av tjenester som er nødvendig for å overholde reiseplikten.
Det er ingen tvil om at ansatte i UD har plikt til å foreta tjenestereiser i utlandet. Det er heller ikke bestridt. UD benytter statens standard ansettelsesavtale. Dette avtaledokumentet har ingen bestemmelser om hvordan avtaler med tjenesteleverandører skal inngås. Spørsmålet er om plikten til å stå ansvarlig overfor tredjemenn for utgifter til flybilletter og hotell for ansatte i UD kan innfortolkes.»
Lagmannsretten viser videre til at andre statlige virksomheter har valgt andre ordninger (faktura og avtaler om utsatt betaling), som ikke på samme måte forplikter arbeidstaker personlig. I UD er reiseaktiviteten for enkelte så høy at utleggene kan være en stor privatøkonomisk belastning. Retten avfeide med det UDs argument om at ordningen var vanlig praksis. Lagmannsretten var også «enig med NTL i at vernehensyn taler mot å innfortolke en plikt for den enkelte ansatte til å inngå personlige avtaler med tredjemenn med en økonomisk forpliktelse av det omfang som det her er tale om».
Ordningen var heller ikke spesifikt angitt i arbeidsavtalen, jf. arbeidsmiljøloven § 14-6.
Det kan utledes av dommen at det gjelder en grense for hva arbeidsgiver kan kreve, også når det gjelder utlevering av personopplysninger til tredjeparter. Vernehensyn, som var sentralt i dommen, gjør seg gjeldende også når det gjelder personopplysninger. Hva som er vanlig, eventuelt i den enkelte bransje, vil nok spille en rolle her også.
MOMENTER I VURDERINGEN
Frem til vi får lovgivning eller oppklarende saker for retten, må grensen gås opp konkret. Vi antar at de følgende momentene kan være gode utgangspunkter i en slik vurdering:
1. Er tjenesten i samsvar med norsk/europeisk personvernrett?
Mange av de aktuelle tjenestene og tjenestetilbyderne vil være utenlandske, og lovligheten må i utgangspunktet vurderes ut fra rettsreglene i landet de tilbys fra. Etter personvernforordningen artikkel 3 annet ledd gjelder forordningen også for tjenestetilbydere utenfor EU/EØS som tilbyr varer og tjenester til registrerte i EU/EØS. Dersom den aktuelle tjenesten ikke er i tråd med personvernforordningen, skal det etter vårt syn mye til for at arbeidsgiver kan kreve at arbeidstaker registrerer seg og bruker tjenesten. Forordningen er imidlertid komplisert og en del av reglene er skjønnsmessige, slik at det kan være vanskelig å svare entydig på dette spørsmålet.
2. Kan tjenestetilbyderen endre avtalevilkår og personvernerklæring ensidig, og uten varsel?
Brukervilkår og personvernerklæringer er typiske standardvilkår, hvor tjenestetilbyderen selv fastsetter vilkårene. Det kan da være fristende å gi seg selv en ubestridt rett til å endre vilkårene når som helst, noe som også er en utbredt praksis. Et minstemål må etter vårt syn være at det gis varsel på forhånd om endringer, og at arbeidstaker har en reell mulighet til å avslutte bruken dersom vilkårene skulle endres i urimelig retning.
3. Hvor vanlig er tjenesten, og hvor vanlig er det at den brukes i arbeidslivet?
Som dommen fra Borgarting lagmannsrett viser, vil spørsmålet om hva som er vanlig i arbeidslivet, eventuelt i den enkelte bransje, være viktig. Domstolene bør likevel ikke bifalle en utbredt praksis som går for langt på bekostning av andre viktige hensyn som arbeidstakers personvern.
4. Arbeidsforholdets art og den enkelte stilling
Hvis arbeidstaker er ansatt for å promotere bedriften i sosiale medier vil arbeidsgiver kunne gå lenger i å pålegge at den ansatte har konti der. Den ansatte er klar over dette ved arbeidsforholdets start, og dersom arbeidstaker nekter vil dette gjøre arbeidsoppgavene umulige eller svært vanskelige å gjennomføre. Også her vil det likevel være grenser, også disse arbeidstakere har rett på et godt personvern.
