Starfsfólk á skýr og afmörkuð réttindi samkvæmt reglum um persónuvernd, þar á meðal rétt til upplýsinga, aðgangs, leiðréttingar, eyðingar, takmörkunar vinnslu og andmæla. Þessi réttindi eru grundvöllur þess að einstaklingar geti haft raunverulegt eftirlit með eigin persónuupplýsingum og að friðhelgi þeirra sé virt í hvívetna.
Þessi réttindi geta átt við á öllum stigum vinnusambandsins og við lok þess.
Réttindi starfsfólks haldast í hendur við skyldur vinnuveitanda. Alla vinnslu persónuupplýsinga verður að byggja á skýrum lagaheimildum og fara fram í samræmi við meginreglur persónuverndar, svo sem lögmæti, gagnsæi, meðalhóf og öryggi.
Réttindi launafólks byggja á lögum um persónuvernd og vinnslu persónuupplýsinga (pvl.) og almennu persónuverndarreglugerðinni (ESB) 2016/679 (GDPR).
Réttur til upplýsinga
Starfsfólk á rétt á að fá skýrar upplýsingar um vinnslu persónuupplýsinga sinna. Vinnuveitandi skal m.a. upplýsa um:
- hvaða gögn eru unnin,
- í hvaða tilgangi vinnslan fer fram,
- á hvaða lagagrundvelli vinnslan byggir,
- hverjir fá aðgang að gögnunum,
- varðveislutíma þeirra og réttindi viðkomandi.
Upplýsingaskylda er oft uppfyllt með persónuverndarstefnu vinnuveitanda, upplýsingum í starfsmannahandbók eða sérstakri tilkynningu.
Réttur til aðgangs
Starfsfólk á rétt á að fá staðfestingu á því hvort vinnuveitandi vinni með persónuupplýsingar þess og, ef svo er, aðgang að þeim upplýsingum. Með aðgangsrétti fylgir réttur til að fá upplýsingar um:
- tilgang vinnslunnar,
- viðkomandi flokka persónuupplýsinga,
- viðtakendur eða flokka viðtakenda,
- uppruna gagna (ef þau eru ekki frá viðkomandi sjálfum),
- áætlaðan varðveislutíma.
Rétturinn auðveldar starfsfólki að meta hvort vinnslan sé lögmæt og hvort tilefni sé til að nýta önnur réttindi, svo sem leiðréttingu eða eyðingu.
Dæmi um tilvik þar sem aðgangsréttur nýtist:
- þegar starfsfólk vill fá aðgang að frammistöðumati, áminningum eða skráðum samskiptum
- þegar grunur leikur á rangfærslum eða ólögmætri vinnslu gagna.
Vinnuveitanda ber að svara beiðni innan eins mánaðar. Ef frestur er framlengdur skal upplýsa um ástæður tafa.
Réttur til leiðréttingar
Starfsfólk á rétt á að fá leiðréttar rangar, óáreiðanlegar eða ófullnægjandi persónuupplýsingar án óhæfilegs dráttar. Þetta getur t.d. átt við um:
- rangar kennitölur, nöfn eða heimilisföng
- ófullkomnar launaupplýsingar,
- gögn sem hafa verið misrituð eða misskilin í frammistöðumati.
Ef upplýsingar eru ófullnægjandi með hliðsjón af tilgangi vinnslu skal vinnuveitandi annaðhvort leiðrétta eða eyða þeim.
Réttur til eyðingar – „rétturinn til að gleymast“
Starfsfólk getur farið fram á að vinnuveitandi eyði persónuupplýsingum sínum þegar:
- gagna er ekki lengur þörf í þeim tilgangi sem þeim var safnað,
- vinnslan byggist á samþykki sem er dregið til baka,
- vinnslan er ólögmæt,
- lagaskylda krefst eyðingar.
Skylda til eyðingar gildir þó ekki ef vinnslan er nauðsynleg, t.d. vegna lagaskyldu, réttarkrafna eða í þágu almannahagsmuna.
Réttur til gagnaflutnings
Starfsfólk á rétt á að fá persónuupplýsingar sínar afhentar á skipulegu, algengu og tölvulesanlegu sniði og, þegar tæknilega gerlegt er, að gagnaflutningur til annars ábyrgðaraðila fari fram beint.
Rétturinn á einkum við þegar vinnslan byggir á:
- samþykki eða
- samningi,
og fer fram með rafrænum hætti.
Andmælaréttur
Starfsfólk getur mótmælt vinnslu persónuupplýsinga sinna á grundvelli lögmætra hagsmuna vinnuveitanda. Þá verður vinnuveitandi að sýna fram á yfirstandandi lögmæta hagsmuni sem vega þyngra en hagsmunir, réttindi og frelsi einstaklingsins, ella skal vinnslu hætt.
Andmælaréttur er algjör þegar vinnsla fer fram í tengslum við beina markaðssetningu; vinnslu í þeim tilgangi skal þá hætt strax.
Réttur til takmörkunar á vinnslu
Starfsfólk getur farið fram á að vinnsla gagna sé takmörkuð, t.d. ef:
- gögn eru talin röng og beðið er um leiðréttingu.
- vinnslan er ólögmæt en óskað er eftir takmörkun í stað eyðingar,
- vinnuveitandi þarf gögn ekki lengur en starfsfólk telur þau nauðsynleg fyrir réttarkröfu,
- andmælt er vinnslu sem byggir á hagsmunamati.
Við takmörkun má vinnuveitandi að jafnaði aðeins varðveita gögnin, ekki vinna frekar með þau.
Réttur til að sæta ekki sjálfvirkri gagnavinnslu
Starfsfólk á rétt á að sæta ekki ákvörðun sem byggist eingöngu á sjálfvirkri vinnslu, þar með talið gerð persónusniðs, ef ákvörðunin hefur lagaleg áhrif eða samsvarandi mikil áhrif á það.
Dæmi:
- sjálfvirkt mat á hæfi umsækjanda um starf
- sjálfvirkt frammistöðumat,
- ákvörðun um starfsskilyrði eingöngu byggð á reikniritum.
Starfsfólk á í slíkum tilvikum rétt á mannlegri rýni og að koma á framfæri sjónarmiðum sínum.
Hvernig starfsfólk nýtir réttindin
Starfsfólk getur sent skriflega beiðni til vinnuveitanda eða persónuverndarfulltrúa. Vinnuveitanda ber að svara erindi innan eins mánaðar og grípa til viðeigandi ráðstafana.