Tidsregistrering og GDPR:
Det skal du være opmærksom på

Tidsregistrering behandler personoplysninger

Så snart du registrerer arbejdstider, behandler du personoplysninger i GDPR's forstand. Det omfatter ikke kun begyndelse, afslutning og varighed af den daglige arbejdstid, men også pauser, overarbejde og fravær som ferie eller sygdom. Disse data kan henføres til den enkelte medarbejder - og er dermed underlagt databeskyttelsesreglerne.

Det betyder ikke, at tidsregistrering er problematisk. Det betyder kun: Den, der benytter den, skal overholde nogle grundlæggende databeskyttelsesforpligtelser.

Retsgrundlag

Til databehandlingen kræves der altid et retsgrundlag. Ved tidsregistrering er det som regel ukompliceret: Behandlingen er til opfyldelse af den lovbestemte registreringspligt nødvendig og sker inden for rammerne af ansættelsesforholdet.

Afgørende er Art. 6 GDPR (lovlig behandling, bl.a. til opfyldelse af retlige forpligtelser og til gennemførelse af ansættelseskontrakten) samt § 26 BDSG om databehandling i ansættelsessammenhæng. Et særskilt samtykke fra medarbejderne er derfor som regel ikke nødvendigt for den pligtmæssige registrering.

Dataminimering & formålsbegrænsning

Du må kun indsamle det, der reelt er nødvendigt til tidsregistrering - ikke mere. Lokationssporing i realtid, hemmelig overvågning eller skjult adfærdssporing hører ikke hjemme her og er ikke tilladt efter databeskyttelsesretten.

Desuden gælder formålsbegrænsningen: data, du indsamler til arbejdstidsregistrering, må også kun bruges til det - ikke f.eks. til samtidig at kontrollere præstation eller pauseadfærd. Gennemsigtighed over for medarbejderne hører med til dette: de bør vide, hvilke data der registreres, og til hvilket formål.

Opbevaring & sletning

Arbejdstidsdata må kun opbevares, så længe det er nødvendigt eller lovpligtigt. For registreringerne efter § 2a Schwarzarbeitsbekämpfungsgesetz gælder f.eks. en opbevaringsfrist på mindst to år; af løn- og skattebilag kan der følge længere frister. Efter udløbet af den pågældende frist skal dataene slettes.

En praktisk hjælpsom løsning er én, hvor data kan eksporteres rent og slettes målrettet efter fristens udløb - så bevarer du kontrollen over, hvad der opbevares, og hvor længe.

Databehandling (databehandleraftale)

Bruger du en udbyders software til tidsregistreringen, behandler denne udbyder personaledataene på dine vegne. I dette tilfælde kræver Art. 28 GDPR en Databehandleraftale mellem dig som dataansvarlig arbejdsgiver og udbyderen.

Databehandleraftalen regulerer blandt andet, hvilke data der behandles til hvilket formål, hvilke tekniske og organisatoriske sikkerhedsforanstaltninger der gælder, og at udbyderen ikke bruger data til egne formål. En seriøs udbyder stiller databehandleraftalen til rådighed for dig - hos Presio finder du den på siden Sikkerhed.

Medarbejdernes rettigheder

GDPR giver medarbejderne konkrete rettigheder. Dertil hører især retten til indsigt: medarbejdere kan få at vide, hvilke data der er gemt om dem, og kræve indsigt i deres egne registrerede tider. Hertil kommer retten til berigtigelse af urigtige data og - inden for de lovbestemte frister - til sletning.

En tidsregistrering, hvor medarbejdere til enhver tid selv kan se deres egne timer, opfylder indsigtsbehovet stort set af sig selv.