Tidrapportering & GDPR:
Vad du behöver tänka på

Tidsregistrering behandlar personuppgifter

Så snart du registrerar arbetstid behandlar du personuppgifter i GDPR:s mening. Det gäller inte bara start, slut och längd på den dagliga arbetstiden, utan även raster, övertid och frånvaro som semester eller sjukdom. Dessa data kan kopplas till enskilda anställda - och omfattas därmed av dataskyddsreglerna.

Det betyder inte att tidsregistrering är problematisk. Det betyder bara: den som bedriver den måste uppfylla några grundläggande dataskyddsplikter.

Rättslig grund

För databehandlingen krävs alltid en rättslig grund. Vid tidsregistrering är det i regel okomplicerat: behandlingen är för att uppfylla de lagstadgade Dokumentationsplikt nödvändig och sker inom ramen för anställningsförhållandet.

Avgörande är art. 6 GDPR (laglig behandling, bl.a. för att uppfylla rättsliga skyldigheter och fullgöra anställningsavtalet) samt § 26 BDSG om databehandling i anställningskontexten. Ett särskilt samtycke från medarbetarna krävs därför i regel inte för den obligatoriska registreringen.

Dataminimering & ändamålsbegränsning

Du får bara samla in det som faktiskt behövs för tidrapporteringen - inte mer. Realtidsspårning av plats, hemlig övervakning eller dold beteendespårning hör inte hemma här och är dataskyddsrättsligt otillåtet.

Dessutom gäller principen om ändamålsbegränsning: data du samlar in för tidrapportering får bara användas för just det syftet - inte för att i smyg kontrollera prestation eller rastvanor. Transparens gentemot de anställda hör också till: de bör veta vilka data som samlas in och för vilket syfte.

Lagring & radering

Arbetstidsdata får endast lagras så länge det är nödvändigt eller lagstadgat. För dokumentationen enligt § 2a Schwarzarbeitsbekämpfungsgesetz gäller exempelvis en lagringstid på minst två år; av löne- och skatteunderlag kan längre frister följa. Efter respektive frists utgång ska data raderas.

Praktiskt användbart är en lösning där data enkelt kan exporteras och raderas riktat efter att fristen löpt ut - så behåller du kontrollen över vad som sparas hur länge.

Personuppgiftsbiträdesavtal

Använder du för tidsregistreringen en programvara från en leverantör, behandlar denna leverantör personaluppgifterna på ditt uppdrag. I detta fall kräver art. 28 GDPR ett Personuppgiftsbiträdesavtal mellan dig som personuppgiftsansvarig arbetsgivare och leverantören.

PuB-avtalet reglerar bland annat vilka data som behandlas för vilket syfte, vilka tekniska och organisatoriska skyddsåtgärder som gäller och att leverantören inte använder data för egna syften. En seriös leverantör tillhandahåller PuB-avtalet - hos Presio hittar du det på sidan Säkerhet.

Medarbetarnas rättigheter

GDPR ger de anställda konkreta rättigheter. Framför allt rätten till information: anställda kan få veta vilka data som sparas om dem och begära insyn i sina egna registrerade tider. Dessutom finns rätten att rätta felaktiga uppgifter och - inom de lagstadgade fristerna - rätten till radering.

En tidsregistrering där medarbetare själva kan se sina egna timmar när som helst uppfyller behovet av tillgång praktiskt taget av sig själv.