Vær forsiktig med å lagre vaksineopplysninger

Etter hvert som stadig flere arbeidstakere nå blir vaksinert for korona, er det lett å forstå at enkelte arbeidsgivere ønsker å holde oversikt over hvem som er vaksinert og hvem som ikke er det. Dette kan naturlig nok være nyttig informasjon for å sikre trygghet for kunder, brukere og kolleger på arbeidsplassen.

Samtidig vet vi at myndighetene jobber med innføring av et koronapass i Norge. Mange lurer nå på i hvilke sammenhenger dette vil kunne benyttes, og om arbeidsgiver vil kunne kreve et vaksinepass fra sine ansatte i ulike sammenhenger.

Likevel advarer Simployers rådgivere mot å starte med å registrere disse opplysningene, uten først å sikre at man har hjemmelsgrunnlag for det. 

– Personvernforordningen stiller strenge krav til behandling av personopplysninger. Derfor må det gjøres grundige vurderinger før man eventuelt starter med å registrere informasjon om hvorvidt ansatte er vaksinert, sier Simployers juridiske HR- og ledelsesrådgiver Ragni Myksvoll Singh.

I utgangspunktet forbudt

Hun minner om at helseopplysninger er regnet som en særlig kategori personopplysning, det som tidligere ble kalt en sensitiv personopplysning. Slike opplysninger er det forbudt å behandle, med mindre bestemte vilkår er oppfylt.

– Det finnes vilkår i personvernforordningens artikkel 9 som kan være relevante i den situasjonen vi står oppe i nå, og som gjør at arbeidsgivere kan ha hjemmel til å oppbevare opplysninger om hvem som er vaksinert. Det er imidlertid viktig at disse vurderes konkret før man starter med å innhente slik informasjon, sier Myksvoll Singh.

Datatilsynet varsler veileder

Simployer har vært i dialog med Datatilsynet om spørsmålet. De vil trolig komme med mer veiledning og informasjon på dette området i tiden som kommer, men sier at det er for tidlig å gi konkrete råd enda.

– Opplysninger om vaksinestatus kan være en helseopplysning, men krav om å oppgi disse opplysningene kan være noe utfordrende uavhengig av om det regnes som «sensitive opplysninger» eller ikke. Vi kommer til å følge med på om deling og krav om slike opplysninger kan anses som frivillig, og dersom det ikke anses frivillig, blir det jo spørsmål om hjemmelen for krav og lovligheten av dette. Dette kan ha sider langt utover Datatilsynets myndighetsområde, for eksempel spørsmål om diskriminering ol., sier Camilla Nervik i Datatilsynet til Simployer.

Bør avvente lagring

Simployers jurister råder i første omgang virksomheter til å avvente registrering og lagring av opplysninger om hvem som er vaksinert og hvem som ikke er det.

– Det er regler i personvernforordningen om at man skal ha et behandlingsgrunnlag for å innhente, lagre og ellers behandle personopplysninger. Personopplysningene kan som hovedregel ikke brukes til andre formål enn de er innhentet for. I dette spørsmålet, som i alle andre spørsmål knyttet til personvern, er det ikke tillatt å hente inn opplysninger fordi de kanskje kan komme til nytte på et senere tidspunkt. Siden dette er helseopplysninger, skal man i tillegg være ekstra varsom, advarer Ragni Myksvoll Singh i Simployer.