Varsling i arbeidslivet

Varsling om kritikkverdige forhold på arbeidsplassen er en grunnleggende forutsetning for et fungerende og seriøst arbeidsliv. De ansatte på arbeidsplassen står ofte nærmest til å avdekke kritikkverdige forhold, og vi er avhengige av å legge til rette for at man som ansatt skal kunne si ifra når dette skjer innenfor trygge rammer. Dette var også begrunnelsen for at generelle regler om arbeidstakeres rett til å varsle om kritikkverdige forhold ble inntatt i arbeidsmiljøloven i 2007.I 2016 oppnevnte regjeringen Varslingsutvalget for å gjøre en helhetlig gjennomgang av hvordan reglene hadde virket på området. Utvalgets arbeid resulterte i endringer i arbeidsmiljøloven i 2020 som ga ytterligere rammer for varsling, herunder en definisjon av «kritikkverdige forhold» og lovens formålsbestemmelse, § 1-1, ble utvidet til å omfatte hensynet til et godt ytringsklima.^{(1)Blekastad og Holte Hirst, s. 214.}

Det er også regulert i arbeidsmiljøloven at man har rett til å varsle anonymt. Avhengig av hva det er varslet om kan anonym varsling gjøre det vanskeligere for å arbeidsgiver å gjøre nærmere undersøkelser i saken, sammenlignet med saker der arbeidsgiver får mer identifiserende informasjon. Det har derfor en stor verdi at ansatte kan varsle med fullt navn innenfor trygge og forutsigbare rammer. Varslere har i likhet med alle andre ansatte rett til et fullt forsvarlig arbeidsmiljø.

Lovgiver har imidlertid ikke tatt stilling til et viktig spørsmål: hvilken rett har den omvarslede til å få vite varslerens identitet?

Avhengig av hva det er varslet om kan anonym varsling gjøre det vanskeligere for å arbeidsgiver å gjøre nærmere undersøkelser i saken, sammenlignet med saker der arbeidsgiver får mer identifiserende informasjon.

I januar 2023 avsa EU-domstolen sin dom i sak C-154/21 Österreichische Post, som vi mener igjen aktualiserer spørsmålet om retten til innsyn etter personvernforordningen og viktigheten av at lovgiver tar stilling til dette spørsmålet i Norge. I denne artikkelen vil vi si noe om hvorfor.

Rettslige rammer for informasjon om varslers identitet

C-154/21 Österreichische Post

Saken gjaldt GW, en person i Østerrike, som ba om innsyn etter personvernforordningen artikkel 15 hos det østeriske postvesenet, Österreichische Post, herunder hvorvidt postvesenet hadde utlevert personopplysningene hans til tredjeparter, og i så fall tilø hvem. Postvesenet besvarte innsynsbegjæringen med generell informasjon om hvilke kategorier av mottakere de hadde sendt eller skulle sende opplysningene hans til:

GW tok saken inn for domstolene i Østerrike, hvor landets høyesterett ba EU-domstolen om en «preliminary ruling» i saken. En slik avgjørelse er bindende for den nasjonale domstolen.

Spørsmålet i saken var hvorvidt GW, som registrert, hadde rett til informasjon om mottakerne av personopplysningers identitet, eller om postvesenet som behandlingsansvarlig kunne velge mellom å gi GW informasjon om mottakernes identitet eller nøye seg med å informere om kategoriene av mottakere.

Personvernforordningen artikkel 15 nr. 1 bokstav c sier at man har rett til følgende informasjon:

EU-domstolen viser til fortalepunkt 39 og 63 i personvernforordningen og åpenhetsprinsippet i artikkel 5 nr. 1 bokstav a for å tolke ordlyden i artikkel 15. Domstolen viser til at bestemmelsen gir de registrerte en rettighet, i motsetning til artikkel 13 og 14 som pålegger den behandlingsansvarlige en forpliktelse. Det er derfor den registrerte som må få velge mellom informasjon om kategorier eller identiteten til mottakerne av personopplysningene deres, og ikke den behandlingsansvarlige. Dette sikrer også at hensynene bak retten til innsyn og åpenhetsprinsippet best ivaretas. Domstolen viser videre til at hensynet bak innsynsretten også er at den registrerte skal kunne utøve sine øvrige rettigheter etter regelverket, herunder retten til sletting, retting og begrensning av behandling. Å få informasjon om hvem som har mottatt opplysningene deres er avgjørende for dette. Domstolen viser også til personvernforordningen artikkel 19, som pålegger den behandlingsansvarlige å kommunisere retting eller sletting av personopplysninger til mottakerne av disse. På bakgrunn av disse kildene kommer domstolen til at den registrerte har rett til informasjon om identiteten til mottakerne av personopplysninger.

Sammenhengen mellom C-154/21 og retten til innsyn og retten til informasjon

Dommen fra EU-domstolen gjaldt artikkel 15 nr. 1 bokstav c, retten til informasjon om mottakerne av personopplysninger. Gode grunner taler for de vurderingene domstolen gjør i saken er relevante for retten til innsyn i hvor personopplysninger stammer fra og retten til informasjon om kilden til personopplysninger.

Lov­giver må benytte seg av det handlingsrommet som finnes etter personvernforordningen og i dialog med partene i arbeidslivet skape forutsigbare rammer for hvordan varsleres identitet skal håndteres. Dette er avgjørende for at arbeidstakere skal tørre å varsle og for å sikre et fungerende varslings­institutt.

Det grunnleggende hensynet bak retten til innsyn er at man skal kunne kontrollere at den behandlingsansvarlige følger personvernforordningen og ikke behandler personopplysninger ulovlig.^{(7)Fortalepunkt 63.} Innsynretten spiller derfor en viktig rolle, fordi den både ansvarliggjør den behandlingsansvarlige i tråd med ansvarlighetsprinsippet i artikkel 5 nr. 2, og det gir den registrerte en grad av kontroll over egne personopplysninger i tråd med lovgivers intensjon bak personvernforordningen.^{(8)Fortalepunkt 7.} Retten til innsyn er derfor en av de viktigste rettighetene som oppfyller formålet bak hele regelverket.

Når EU-domstolen gjennomgår rettskildene for å vurdere rekkevidden av artikkel 15 nr. 1 bokstav c, er alle disse kildene relevante for retten til innsyn i hvor personopplysninger stammer fra og retten til informasjon om kilden til personopplysninger. Fortalepunkt 39 og 63, og hensynet til at den registrerte skal kunne utøve sine øvrige rettigheter etter forordningen bidrar også til å klargjøre innholdet i bokstav g.

Når EU-domstolen har gjort retten til innsyn enda klarere, blir det også klarere at lovgiver må ta stilling til hvordan dette påvirke varslere. Datatilsynet skriver dette om veien videre:

Konklusjon

Varslingssaker er belastende for de involverte, og det er viktig at vi har et klart lovverk som letter byrdene for arbeidsgivere og arbeidstakere som står i varslingsprosesser. Lov­giver må benytte seg av det handlingsrommet som finnes etter personvernforordningen og i dialog med partene i arbeidslivet skape forutsigbare rammer for hvordan varsleres identitet skal håndteres. Dette er avgjørende for at arbeidstakere skal tørre å varsle og for å sikre et fungerende varslingsinstitutt.