Behandlingsgrunnlag for bakgrunnssjekk ved ansettelser

Av Stig Eidissen, Master i rettsvitenskap fra 2010 og PhD i rettsvitenskap fra 2020, arbeider i det daglige som advokat i KS Kommunesektorens organisasjon og som Førsteamanuensis II ved UiT Norges arktiske universitet.

Arbeidsgivere må behandle en rekke personopplysninger ved rekruttering av nye ansatte. I de senere år er det blitt mer vanlig med såkalte bakgrunnsundersøkelser ved ansettelser. Et sentralt spørsmål er hvilke(t) behandlingsgrunnlag etter personvernforordningen arbeidsgivere kan benytte for bakgrunnsundersøkelser.

En person som står med en stor kikkert og speider ut, digital illustrasjon. — Illustrasjon: Colourbox.com

1. Sentrale utgangspunkter

Det finnes ingen klar definisjon av bakgrunnsundersøkelser ved ansettelser. Normalt kan slike undersøkelser bestå av en bekreftelse av utdanning og yrkeserfaring, sjekk av sosiale medier, kredittvurdering eller andre forhold. Arbeidsgiver kan hente inn opplysninger utover det søker selv fremlegger, enten for å bekrefte at opplysninger i søknaden er korrekt, eller for å avdekke forhold som ikke er nevnt i søknaden. Bakgrunnsundersøkelser kan ha nokså ulikt omfang og formål. Det kan for eksempel være tale om å ivareta sikkerhetshensyn, eller arbeidsgivers omdømme.

Det er et krav til at behandling av personopplysninger må ha hjemmel i personvernforordningens artikkel 6 nr. 1 bokstav a–f. Bestemmelsen gir seks mulige hjemler for behandling av personopplysninger, men det er tilstrekkelig å ha behandlingsgrunnlag i ett av alternativene.

De mest relevante behandlingsgrunnlagene for alminnelige bakgrunnsundersøkelser i artikkel 6 nr. 1 må antas å være samtykke (bokstav a), avtalegjennomføring (bokstav b) eller berettigede interesser (bokstav f).

Bakgrunnsundersøkelser kan ha nokså ulikt omfang og formål. Det kan for eksempel være tale om å ivareta sikkerhetshensyn, eller arbeidsgivers omdømme.

Behandlingsgrunnlagene i artikkel 6 er kun tilstrekkelige dersom det er snakk om alminnelige personopplysninger. For sensitive personopplysninger (såkalte «særlige kategorier av personopplysninger») må behandlingen ha grunnlag i ett av alternativene i artikkel 9 nr. 2 bokstav a–j. Definisjonen av sensitive personopplysninger i artikkel 9 nr. 1 er vid. Den omfatter blant annet personopplysninger om rasemessig eller etnisk opprinnelse, politisk oppfatning, religion, fagforeningsmedlemskap, helseopplysninger og opplysninger om en persons seksuelle forhold eller seksuelle orientering.

Når en bakgrunnssjekk omfatter sensitive personopplysninger, må både alminnelig behandlingsgrunnlag og særskilt grunnlag for å behandle sensitive personopplysninger være oppfylt. Dersom grunnlag for å behandle sensitive personopplysninger mangler, må bakgrunnssjekken begrenses til kun å gjelde ordinære personopplysninger.

Bakgrunnsundersøkelser kan være nærmere regulert i enkelte særlover som for eksempel sikkerhetsloven. Denne artikkelen er begrenset til arbeidsgivers alminnelige adgang til å foreta bakgrunnsundersøkelser. Disse vil normalt være vesentlig mindre omfattende og inngripende enn bakgrunnsundersøkelser som eksempelvis foretas etter sikkerhetsloven.

2. Hvilke rettsspørsmål som er uavklarte knyttet til behandlingsgrunnlag ved bakgrunnsundersøkelser

Det er nokså lite offentlig tilgjengelig veiledning å hente for norske arbeidsgivere som skal vurdere lovligheten av bakgrunnsundersøkelser. Datatilsynets veiledning omfatter per dags dato kun innhenting av kredittvurdering og politiattest.^{(1)https://www.datatilsynet.no/personvern-pa-ulike-omrader/personvern-pa-arbeidsplassen/for-ansettelse---bakgrunnsundersokelser/ , sist sjekket 10. februar 2025.} Datatilsynet har ingen veiledning for eventuelle undersøkelser utover dette.

Helse- og omsorgsdepartementet har nylig gjennomført en høring av forslag til lovendring for å foreta bakgrunnssjekk til personell i kritiske stillinger i helse- og omsorgssektoren. Høringsnotatet utreder ikke behandlingsgrunnlag i nevneverdig grad, men legger til grunn at det uten særskilt lovhjemmel, er «begrenset anledning til bakgrunnssjekk av den enkelte som innehar eller søker en kritisk stilling».^{(2)Se Helse- og omsorgsdepartementets «Høringsnotat – Krav om bakgrunnssjekk av personell i kritiske stillinger og funksjoner …), tilgjengelig her: https://www.regjeringen.no/contentassets/218f9c7d87f74d7eb2f8db3cdacc37f8/horingsnotat-krav-om-bakgrunnssjekk.pdf, sist sjekket 10. februar 2025)} Dette er i så fall en urovekkende rettstilstand i en tid med sterkt behov for å unngå unødvendig risiko ved ansettelser i kritiske stillinger. Som jeg skal gjennomgå i det videre kan både private og offentliges arbeidsgiveres handlingsrom være en del større enn det Helse- og omsorgsdepartementet synes å ha forutsatt i høringsnotatet.

I litteraturen er spørsmålet om behandlingsgrunnlag ved bakgrunnssjekker blant annet omtalt av Blekastad og Hirst i Personvern og kontroll i arbeidslivet (Oslo 2021) på side 145–147. Blekastad og Hirst oppfatter at samtykke er det mest brukte behandlingsgrunnlaget. Et samtykke må være frivillig avgitt for å være gyldig, og det stilles spørsmål ved om dette vil være tilfelle ved en mulig ansettelse. Videre peker de på artikkel 6 nr. 1 bokstav b (avtalegjennomføring) som et mulig grunnlag, og bokstav f (berettigede interesser) som det mest passende grunnlag. Samtidig mener forfatterne at berettigede interesser ikke kan tjene som grunnlag for behandling av sensitive personopplysninger etter artikkel 9 nr. 2, og at grunnlaget for sensitive personopplysninger i så fall må være samtykke. jf. artikkel 9 nr. 2 bokstav a.

Når det gjelder samtykke, har EU-domstolen klargjort at kravet om frivillighet ikke er oppfylt dersom en person kan nekte samtykke uten at det er til skade for vedkommende. I tillegg heter det i fortalen at samtykke ikke bør brukes i tilfeller med klar maktskjevhet, spesielt dersom den behandlingsansvarlige er en offentlig myndighet (se blant annet sak C-200/23 avsnitt 100 med videre henvisninger til personvernforordningens fortale). Det foreligger ofte en maktskjevhet mellom en arbeidsgiver og en arbeidstaker.

Hvor grensen for frivillig samtykke går, er uklart, og gjør samtykke som behandlingsgrunnlag til dels uforutsigbart. Det europeiske personvernrådets retningslinjer indikerer at både arbeidsgivere og offentlige myndigheter har et visst handlingsrom til å benytte samtykke som behandlingsgrunnlag.^{(3)Se European Data Protection Board – Guidelines 05/2020 on consent under Regulation 2016/679 Version 1.1 av 4. mai 2020 på s. 8–9 (tilgjengelig her: https://www.edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_en.pdf)} Dette på tross av at det foreligger maktskjevhet for slike behandlingsansvarlige. Retningslinjenes poeng knyttet til frivillighet kan forstås slik at det i en del tilfeller ikke er noen reell grunn til å frykte negative konsekvenser ved å nekte samtykke. I andre tilfeller er de negative konsekvensene under enhver omstendighet begrenset til saklige følger av at den behandlingsansvarlige ikke får behandlet personopplysninger. Uten at jeg går i dybden på dette her, er jeg selv enig med Blekastad og Hirst i at samtykke kan være et gyldig behandlingsgrunnlag for bakgrunnsundersøkelser. Samtidig fremstår samtykke rettslig sett som noe usikkert, og arbeidsgivere kan derfor foretrekke å benytte et annet behandlingsgrunnlag.

Samtykke er imidlertid ikke det eneste grunnlaget for å behandle sensitive personopplysninger. Artikkel 9 nr. 2 bokstav b om gjennomføring av særlige rettigheter på området arbeidsrett kan også være aktuelt.

Jeg er enig i at berettigede interesser er et passende behandlingsgrunnlag for bakgrunnsundersøkelser så lenge arbeidsgiver har et saklig behov for å gjennomføre slike undersøkelser, jf. også Blekastad og Hirst. Et spørsmål er likevel om arbeidsgivere kan bruke behandlingsgrunnlaget som umiddelbart fremstår naturlig i både ansettelsesforhold og i ansettelsesprosesser generelt, nemlig bokstav b om avtalegjennomføring.

Jeg vil i denne artikkelen først se nærmere på artikkel 6 nr. 1 bokstav b om avtalegjennomføring som alminnelig behandlingsgrunnlag for bakgrunnsundersøkelser. Deretter vil jeg se på artikkel 9 nr. 2 bokstav b om gjennomføring av arbeidsrettslige rettigheter eller forpliktelser som grunnlag for behandling av sensitive personopplysninger.

I den grad en bakgrunnssjekk omfatter opplysninger om straffedommer og lovovertredelser gjelder også kravene etter personvernforordningen artikkel 10. Jeg går ikke nærmere inn i dette her.

3. Generelt om nødvendighetskravet knyttet til behandlingsgrunnlag

Personvernforordningen stiller et grunnleggende krav til at behandlingen skal være nødvendig for å oppnå de aktuelle og lovlige formålene, jf. artikkel 5 nr. 1 bokstav c. Samtlige behandlingsgrunnlag inneholder, i en eller annen form, et krav til at behandlingen er nødvendig. Dette gjelder også de grunnlag jeg her skal se nærmere på – artikkel 6 nr. 1 bokstav b, og artikkel 9 nr. 2 bokstav b. Det å tolke nødvendighetskravet riktig, er derfor avgjørende for å forstå rekkevidden av de ulike behandlingsgrunnlagene. Dette er også et område hvor handlingsrommet for behandlingsansvarlige tidvis fremstilles uriktig snevert.

EU-domstolen har uttalt om nødvendighetskravet i ulike sammenhenger at det innebærer et krav til at behandlingen må være strengt nødvendig. Tross dette utgangspunktet, har EU-domstolen samtidig klargjort at nødvendighetskravet i ulike behandlingsgrunnlag er oppfylt dersom et tiltak bidrar til å oppfylle et bestemt formål, og dette med rimelighet ikke kan oppnås like godt gjennom mindre inngripende tiltak (se blant annet sak C-439/19 Penalty Points avsnitt 109–110). Synspunktet har støtte i forordningens fortalepunkt 39. Det er ellers i tråd med hvordan nødvendighetskrav ofte tolkes som forholdsmessighetskrav i EU/EØS-retten generelt. Det er for øvrig korrekt lagt til grunn av Høyesterett i dommen HR-2021-2403-A Legelisten (se avsnitt 54–55, som gjaldt artikkel 6 nr. 1 bokstav f).

En slik tolkning innebærer at nødvendighetskravet ikke skal forstås i retning av at behandlingen må være uunnværlig knyttet til de ulike behandlingsgrunnlagene. Eksempelvis vil det være behandlingsgrunnlag for å utøve offentlig myndighet etter artikkel 6 nr. 1 bokstav e dersom en behandling bidrar til bedre eller mer effektiv utøvelse av offentlig myndighet, og dette samtidig ikke med rimelighet kan oppnås like godt gjennom mindre inngripende tiltak.

Begrepet nødvendig stiller som utgangspunkt krav til at behandlingen skal være forholdsmessig, men heller ikke mer. Så er et slikt forholdsmessighetskrav skjønnsmessig, og må anvendes strengere jo mer inngripende bruk av personopplysninger det er tale om.

4. Avtalegjennomføring som alminnelig behandlingsgrunnlag

Behandling som er nødvendig for å oppfylle en avtale har et eget behandlingsgrunnlag i personvernforordningen artikkel 6 nr. 1 bokstav b. Behandlingsgrunnlaget kan også dekke en viss behandling forut for avtaleinngåelse. Behandlingsgrunnlaget er formulert slik:

«[…] behandlingen er nødvendig for å oppfylle en avtale som den registrerte er part i, eller for å gjennomføre tiltak på den registrertes anmodning før en avtaleinngåelse.»

Det følger av ordlyden at den for det første dekker behandling som er nødvendig for å oppfylle en avtale som den registrerte er part i. Bestemmelsen dekker også tiltak på den registrertes anmodning før en avtaleinngåelse. Generelt er artikkel 6 nr. 1 bokstav b det mest praktiske behandlingsgrunnlaget i arbeidsforhold.

Det er ingen holdepunkter i forordningen for at nødvendighetskravet skal forstås annerledes enn etter de øvrige behandlingsgrunnlagene, og slik det er utdypet i fortalepunkt 39.

Når det gjelder bokstav b, har EU-domstolen likevel uttalt at behandlingen må være objektivt uunnværlig for et formål som er en integrert del av ytelsen til den registrerte. Dette er samtidig presisert slik at behandlingen må være vesentligfor å kunne oppfylle kontrakten, og dermed at det ikke finnes andre praktiske løsninger som er mindre inngripende (storkammersak C-252/21 Meta Platforms Inc avsnitt 98–99).

Det er uklart hvorfor EU-domstolen legger til grunn et strengere nødvendighetskrav akkurat knyttet til bokstav b. Til dels kan grunnen være at saken gjaldt nettopp Facebook-eier Meta, som er blant selskapene som skaper størst personvernutfordringer i Europa. Metas anførsler knyttet til behandlingsgrunnlag i saken, fremstår delvis som et forsøk på en omgåelse av personvernreglene. Samme tolkning er imidlertid også lagt til grunn i senere saker.^{(4) Se sak C-17/22 HTB Neunteavsnitt 44 og sak C-394/23 Mousseavsnitt 34.} Det må derfor antas at EU-domstolen fremover vil tolke nødvendighetskravet strengere for bokstav b, enn de øvrige behandlingsgrunnlag.

For øvrige behandlingsgrunnlag er det tilstrekkelig at et tiltak gir et reelt bidrag knyttet til enten oppfyllelse av rettslig plikt eller noe annet, men for avtalegjennomføring må det være tale om et vesentlig bidrag. Akkurat hvor strengt dette kravet skal forstås, er uklart. Men det er uansett neppe særlig tvilsomt at det å vurdere og undersøke søkere til en stilling er vesentlig i forkant av en ansettelse.

Spørsmålet om hva som er vesentlig for den enkelte stilling, må vurderes konkret. I den utstrekning en bakgrunnsundersøkelse er nødvendig for at arbeidsgiver på et riktig, dekkende og tilstrekkelig sikkert grunnlag skal kunne ta stilling til avtaleinngåelsen, bør den normalt anses nødvendig. Samtidig må ikke bakgrunnsundersøkelsen være uforholdsmessig inngripende overfor arbeidssøkerne.

Vilkåret om at arbeidsgivers undersøkelser er et tiltak som skjer etter anmodning fra den registrerte selv bør også normalt være kurant å oppfylle: Gjennom å søke en stilling, ber man samtidig arbeidsgiver om og vurderes som en kandidat. Arbeidsgivers undersøkelser er da et tiltak som skjer etter anmodning fra den registrerte selv.

Arbeidsgiver må i alle tilfeller sørge for å oppfylle det grunnleggende kravet om en åpen og rettferdig behandling av personopplysninger, jf. artikkel 5 nr. 1 bokstav a. Dersom bakgrunnsundersøkelser går lengre enn det som er påregnelig for en arbeidssøker, bør arbeidsgiver på en egnet form gi tilstrekkelig informasjon om undersøkelsene som skal foretas. I motsatt fall vil kravet i bokstav b om at tiltak skal skje etter anmodning fra den registrerte neppe være oppfylt.

Etter mitt syn bør bakgrunnsundersøkelser derfor som utgangspunkt kunne foretas med artikkel 6 nr. 1 bokstav b (avtalegjennomføring) som behandlingsgrunnlag. Det må i den utstrekning arbeidsgiver er avhengig av bakgrunnsundersøkelser for å være tilstrekkelig trygg på at man velger riktig søker til stillingen.

Åpenhets- og rettferdighetskravet tilsier for også at arbeidsgiver må sørge for tilstrekkelig kontradiksjon om forhold som bakgrunnsundersøkelsen avdekker. Jeg går ikke nærmere inn i dette her.

5. Kvalifikasjonsprinsippet som hjemmel for sensitive opplysninger etter artikkel 9 nr. 2 bokstav b

5.1 Generelt om hjemmel for sensitive personopplysninger i artikkel 9 nr. 2 bokstav b

Personvernforordningen artikkel 9 nr. 2 gir ti ulike grunnlag for å behandle sensitive personopplysninger. Alternativet i bokstav b lyder som følger:

«Behandlingen er nødvendig for at den behandlingsansvarlige eller den registrerte skal kunne oppfylle sine forpliktelser og utøve sine særlige rettigheter på området arbeidsrett, trygderett og sosialrett i den grad dette er tillatt i henhold til unionsretten eller medlemsstatenes nasjonale rett, eller en tariffavtale i henhold til medlemsstatenes nasjonale rett som gir nødvendige garantier for den registrertes grunnleggende rettigheter og interesser.»

Bestemmelsen gir arbeidsgivere grunnlag for å behandle personopplysninger både for å oppfylle forpliktelser og utøve rettigheter innenfor området arbeidsrett. Ordlyden er vid. At bestemmelsen må tolkes i tråd med ordlyden er også i samsvar med fortalepunkt 52. Av fortalepunktet fremgår det at unntaket fra forbudet om å behandle sensitive personopplysninger bør tillates når det er fastsatt i unionsretten eller medlemsstatenes nasjonale rett, og det omfattes av nødvendige garantier som sikrer vern av personopplysninger (…), særlig behandling av personopplysninger på området arbeidsrett …». Det å ansette arbeidstakere faller innenfor ordlyden i «området arbeidsrett». En slik forståelse underbygges også av begrepsbruken ellers i forordningen. Artikkel 88 gir hjemmel til nasjonale særbestemmelser knyttet til ansettelsesforhold. Bestemmelsen nevner spesifikt rekruttering som en av mange behandlingssituasjoner i tilknytning til ansettelsesforhold.

Dette innebærer at artikkel 9 nr. 2 bokstav b må forstås slik at den åpner for at behandlingsansvarlige kan behandle sensitive personopplysninger ved ansettelser, så lenge dette er tillatt enten etter EØS-retten eller medlemsstatenes nasjonale rett.

5.2 Personopplysningsloven § 6 som nasjonalt rettsgrunnlag for behandling av sensitive personopplysninger

Personopplysningsloven § 6 gir en generell hjemmel for behandling av sensitive personopplysninger i arbeidsforhold. Bestemmelsen lyder som følger:

«Personopplysninger som nevnt i personvernforordningen artikkel 9 nr. 1 kan behandles når det er nødvendig for å gjennomføre arbeidsrettslige plikter eller rettigheter.»

Det er i lovforarbeidene til bestemmelsen forklart at bestemmelsen åpner for behandling av sensitive personopplysninger på grunnlag av personvernforordningen artikkel 9 nr. 2 bokstav b. Samtidig er det presisert at bestemmelsen kun gjelder for behandling av opplysninger «på arbeidsrettens område, ikke for trygderettslige eller sosialrettslige formål». Det er videre understreket at bestemmelsen viderefører gjeldende rett etter den forrige personopplysningsloven (se Prop. 56 LS (2017-2018) s. 212). I den forrige personopplysningsloven ble det presisert at uttrykket arbeidsrettslige plikter eller rettigheter «omfatter alle plikter og rettigheter som hviler på et arbeidsrettslig grunnlag, uansett om grunnlaget er lovgivning, avtale mellom partene i arbeidslivet, eller individuelle arbeidsavtaler» (se Ot. Prp. nr. 92 (1998-1999) s. 110–111. Departementet understreket også i forarbeidene at de hadde valgt en ordlyd som lå tettere på den daværende direktivteksten enn det aktuelle lovutvalget hadde foreslått.

Det er nærliggende å forstå lovforarbeidene slik at personopplysningsloven § 6 er ment å gi nasjonal hjemmel for å behandle sensitive personopplysninger så langt personvernforordningen artikkel 9 nr. 2 tillater. En slik tolkning er også i tråd med ordlyden i bestemmelsen. Dette innebærer at kravet i artikkel 9 nr. 2 til behandlingsadgangen må fremgå av nasjonal rett, må anses oppfylt. Det avgjørende er derfor i hvilken utstrekning en bakgrunnssjekk kan anses for å være nødvendig for at den behandlingsansvarlige enten kan oppfylle sine forpliktelser, eller utøve sine særlige rettigheter, på området for arbeidsrett.

5.3 I hvilken utstrekning bakgrunnssjekk oppfyller forpliktelser eller utøver rettigheter innenfor området arbeidsrett

Vurderingen om en bakgrunnssjekk kan anses å oppfylle forpliktelser eller utøve rettigheter innenfor området arbeidsrett, må ta utgangspunkt i at formuleringen er meget vid. Etter ordlyden omfattes all form for oppfyllelse av forpliktelse eller utøvelse av rettigheter, så lenge dette skjer innenfor området arbeidsrett.

Innenfor området arbeidsrett er retten til å velge sine egne ansatte generelt sett på som en rettighet for arbeidsgiver. I forbindelse med innføring av forbudet mot etnisk diskriminering ved ansettelser i 1997, tok flere høringsinstanser opp spørsmålet om innføring av et generelt saklighetskrav ved ansettelser i privat sektor. Arbeidsdepartementet uttalte da at arbeidsgivers «rett til å velge sine ansatte er tradisjonelt en viktig del av arbeidsgivers styringsrett».^{(5)Se Ot. prp. nr. 67 (1996-1997) Om lov om endringer i lov av 4 februar 1977 om arbeidervern og arbeidsmiljø m.v. s. 46).} Selv om diskrimineringsvernet er bygd ut siden den gang, er utgangspunktet i privat sektor fremdeles at arbeidsgiver selv velger sine egne ansatte. Høyesterett har konkret slått fast at arbeidsgiveren i kraft av sin styringsrett bestemmer hvilke kvalifikasjoner som skal kreves for ansettelse, og hvordan ulike kvalifikasjonskrav skal veies mot hverandre. Domstolene kan kun prøve om det foreligger misbruk av styringsretten, og foreta en saklighets- og forsvarlighetskontroll av kvalifikasjonskravene^{(6)HR-2014-831-A avsnitt 69. Se også Jan Fougner, Norsk arbeidsrett. Styringsrett, samarbeid og arbeidstakervern (Universitetsforlaget, 2019) s. 107.}.

I utgangspunktet er det derfor grunnlag for å si at det å undersøke og å velge den best kvalifiserte søkeren er en rettighet for arbeidsgivere innenfor området arbeidsrett. Et motargument mot dette er at retten til å velge egne ansatte egentlig bare er et uttrykk for den generelle avtale- og handlefriheten til virksomheter. I den forstand kan det argumenteres med at det ikke er tale om noen særskilt rettighet innenfor området arbeidsrett.

Tradisjonelt er imidlertid det å fastsette kvalifikasjonskrav, vurdere søkere, og å ansette den best kvalifiserte, sett på som en arbeidsrettslig rettighet for arbeidsgivere. Det er derfor innenfor ordlyden i personopplysningsloven § 6, og sannsynligvis tilstrekkelig for å være dekket av personopplysningsloven § 6 generelle hjemmel til å gjennomføre arbeidsrettslige forpliktelser eller rettigheter. Etter personvernforordningen artikkel 9 nr. 2 bokstav b er det uansett et krav at nasjonal rett skal gi tilstrekkelige personverngarantier for berørte privatpersoner. Dette kommer jeg tilbake til nedenfor.

Dersom man forholder seg til offentlig sektor, er kvalifikasjonsprinsippet på sin side et sentralt rettslig prinsipp ved ansettelser.^{(7)Se blant annet Prop. 94 L (2016-2017) Lov om statens ansatte mv. (statsansatteloven) punkt 9.1.} Det fungerer både som en rettighet, men også som en forpliktelse for offentlige arbeidsgivere. Sivilombudet behandler ofte klager mot offentlige arbeidsgivere på bakgrunn av angivelige brudd på kvalifikasjonsprinsippet. For offentlig sektor er det derfor på det rene at det å velge ut kvalifiserte og den best kvalifiserte søkeren til en stilling, også er tale om å oppfylle forpliktelser på området arbeidsrett. Det er derfor enda mindre tvilsomt at kvalifikasjonsprinsippet er dekket av personopplysningsloven § 6 for offentlige arbeidsgivere.

5.4 Ivaretakelse av nødvendige garantier for personvernet

En forutsetning for å behandle sensitive personopplysninger etter artikkel 9 nr. 2 bokstav b, er at nasjonal rett gir «nødvendige garantier for den registrertes grunnleggende rettigheter og interesser». Det er lite veiledende praksis om hva som ligger i dette kravet.

Norsk rett har på sin side en del sentrale begrensninger for å verne om arbeidstakeres personvern i rekrutteringssituasjoner.

For det første er det mulig at bakgrunnsundersøkelser må anses som kontrolltiltak etter arbeidsmiljøloven § 9-1, og derfor må oppfylle krav til saklighet og forholdsmessighet. Det som gjør rekkevidden av bestemmelsen noe usikker, er at den etter ordlyden kun gjelder for kontrolltiltak mellom arbeidsgiver og arbeidstaker. I utgangspunktet omfattes ikke arbeidssøkere. At arbeidssøkere kan være omfattet, støttes imidlertid blant annet av den konkrete bestemmelsen i aml. § 9-3, som setter begrensninger for innhenting av helseopplysninger ved ansettelse. Jeg går ikke nærmere inn i dette spørsmålet her. Spørsmålet har uansett begrenset betydning for søkernes personvern, fordi personvernforordningen uansett stiller nokså sammenlignbare krav til saklig grunn og forholdsmessighet.

Uavhengig av om bakgrunnsundersøkelser generelt faller innenfor arbeidsmiljølovens generelle krav til kontrolltiltak, gir arbeidsmiljøloven § 9-3 uansett arbeidssøkere et vern mot innhenting av uforholdsmessige helseopplysninger ved ansettelse. Videre setter aml. § 13-4 begrensninger for innhenting av opplysninger om politiske standpunkt. Hva som anses som nødvendige garantier må vurderes i lys av de rettigheter personer allerede har etter personvernforordningen. Personvernforordningens generelle begrensninger i artikkel 5, kombinert med blant annet regler om innsyn, retting og sletting, er også viktige. Reglene sperrer blant annet for at arbeidsgivere kan gjennomføre uforholdsmessige bakgrunnsundersøkelser ved ansettelser.

Samlet sett tilsier dette at norsk rett generelt har nødvendige garantier for den registrertes grunnleggende rettigheter og interesser knyttet til ansettelsesprosesser for at personopplysningsloven § 6 sammenholdt med kvalifikasjonsprinsippet er gyldig som nasjonalt rettsgrunnlag etter personvernforordningen artikkel 9 nr. 2 bokstav b.

6. Oppsummering

Arbeidsgivere har behandlingsgrunnlag til å gjennomføre nødvendige bakgrunnssjekker ved ansettelse etter personvernforordningen artikkel 6 nr. 1 bokstav b. For sensitive personopplysninger gjelder personvernforordningen artikkel 9 nr. 2 bokstav b, jf. personopplysningsloven § 6 og kvalifikasjonsprinsippet som nasjonalt rettsgrunnlag. Dette innebærer at arbeidsgivere kan gjennomføre bakgrunnsundersøkelser også for sensitive personopplysninger uten den rettslige usikkerheten som knytter seg til samtykke som behandlingsgrunnlag.

Noter

https://www.datatilsynet.no/personvern-pa-ulike-omrader/personvern-pa-arbeidsplassen/for-ansettelse---bakgrunnsundersokelser/ , sist sjekket 10. februar 2025.
Se Helse- og omsorgsdepartementets «Høringsnotat – Krav om bakgrunnssjekk av personell i kritiske stillinger og funksjoner …), tilgjengelig her: https://www.regjeringen.no/contentassets/218f9c7d87f74d7eb2f8db3cdacc37f8/horingsnotat-krav-om-bakgrunnssjekk.pdf, sist sjekket 10. februar 2025)
Se European Data Protection Board – Guidelines 05/2020 on consent under Regulation 2016/679 Version 1.1 av 4. mai 2020 på s. 8–9 (tilgjengelig her: https://www.edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_en.pdf)
Se sak C-17/22 HTB Neunteavsnitt 44 og sak C-394/23 Mousseavsnitt 34.
Se Ot. prp. nr. 67 (1996-1997) Om lov om endringer i lov av 4 februar 1977 om arbeidervern og arbeidsmiljø m.v. s. 46).
HR-2014-831-A avsnitt 69. Se også Jan Fougner, Norsk arbeidsrett. Styringsrett, samarbeid og arbeidstakervern (Universitetsforlaget, 2019) s. 107.
Se blant annet Prop. 94 L (2016-2017) Lov om statens ansatte mv. (statsansatteloven) punkt 9.1.