Í lögum um persónuvernd og meðferð persónuupplýsinga er kveðið á um þær heimildir sem þeir aðildar, t.d. atvinnurekendur, hafa til að skrá og vinna með persónuupplýsingar, þ.m.t. með upplýsingar um starfsmenn sína.

Meginregla laganna er sú að skráning og vinnsla persónuupplýsinga er því aðeins heimil að viðkomandi einstaklingur hafi ótvírætt veitt samþykki sitt fyrir henni.

Vegna hins sérstaka eðlis ráðningarsambandsins eru starfsmenn í erfiðri aðstöðu til að hafna, draga til baka eða breyta, fyrri yfirlýsingu um samþykki. Því er ekki víst að litið verði svo á að yfirlýsing um samþykki veiti atvinnurekanda skilyrðislausa heimild til vinnslu viðkvæmra persónuupplýsinga. Hann verður a.m.k. ávallt að gæta sérstaklega að þeim 5 meginreglum sem fjallað verður um hér á eftir.

Vinnsla persónuupplýsinga getur einnig verið heimil í öðrum tilvikum, s.s. ef vinnslan er nauðsynleg til að fullnægja lagaskyldu sem hvílir á atvinnurekanda eða til að vernda brýna hagsmuni viðkomandi einstaklinga, s.s. ef um brýna öryggishagsmuni er að ræða.

Sérstakar viðbótarkröfur eru gerðar vegna skráningar og vinnslu viðkvæmra persónuupplýsinga, s.s. upplýsinga um heilsuhagi, þar á meðal um erfðaeiginleika, lyfja- áfengis- og vímuefnanotkun.

Fimm meginreglur

Þó að atvinnurekandi hafi eftir atvikum heimild til að skrá upplýsingar um starfsmenn sína þá verður hann ávallt við skráningu og meðferð slíkra persónuupplýsinga að virða eftirfarandi fimm meginreglur. Nánar tiltekið að upplýsingar um starfsmenn séu:

• Unnar með sanngjörnum, málefnalegum og lögmætum hætti og að öll meðferð þeirra sé í samræmi við vandaða vinnsluhætti persónuupplýsinga.
• Fengnar í skýrum og málefnalegum tilgangi og ekki unnar frekar í öðrum og ósamrýmanlegum tilgangi.
• Ekki umfram það sem nauðsynlegt er miðað við tilgang vinnslunnar.
• Áreiðanlegar og uppfærðar eftir þörfum. Persónuupplýsingar sem eru óáreiðanlegar eða ófullkomnar, miðað við tilgang vinnslu þeirra, ber að afmá eða leiðrétta.
• Varðveittar í því formi að ekki sé unnt að bera kennsl á viðkomandi einstakling lengur en þörf krefur miðað við tilgang vinnslu.

Skylda atvinnurekenda til að upplýsa starfsmenn um vinnslu persónuupplýsinga

Lögin leggja sérstaka skyldu á atvinnurekendur að þeir upplýsi starfsmenn um það eftirlit sem þeir hafa með þeim. Tilgangurinn er m.a. sá að starfsmenn geti gætt hagsmuna sinna, t.d. mótmælt upplýsingasöfnun sem fer í bága við ákvæði laganna eða mótmælt röngum upplýsingum sem skráðar hafa verið um þá. Atvinnurekanda ber nánar tiltekið að fræða starfsmenn um eftirfarandi atriði:

• Hvaða upplýsingar um þá er eða hefur verið unnið með.
• Tilgang vinnslunnar
• Hver fær, hefur fengið eða mun fá upplýsingar um hann
• Hvaðan upplýsingarnar koma
• Hvaða öryggisráðstafanir séu viðhafðar við vinnslu upplýsinganna