"At du får greie på at ektemannen i nabohuset har kjøpt en kostbar minkpels i størrelse small, er ikke en personopplysning. Men det blir det raskt dersom du fra før vet at hans frue ville ha brukt medium."
Jeg skrev i går om en bacheloravhandling fra Markedshøyskolen som nylig avdekket at det er svært vanlig at rekrutteringsbyråene "screener" jobbsøkeres liv og opptreden i sosiale medier og på internett.
Både familiestatus på Facebook og politiske ytringer på "shady-nettforum" ble nevnt som konkrete eksempler på hva rekrutteringsbyråenes reseachere fant nyttig å kartlegge. Kanskje noe å tenke på neste gang du poster en saftig melding i kommentarfeltet.
Men er det så "nøye" om rekrutteringsbyråene innhenter slik informasjon som allerede er offentlig tilgjengelig på nettet? Svaret avhenger av hvem du spør, men det er ingen tvil om at rekrutteringsbyråenes praksis reiser betydelige problemstillinger knyttet til vern av privatliv og generelt personvern.
Tidligere leder av Datatilsynet gjennom mange år, Georg Apenes, hadde i sin tid et eksempel han gjerne fremførte for å illustrere forskjellen på personopplysninger og andre opplysninger. Det gjengis her fritt etter hukommelsen:
At du får greie på at ektemannen i nabohuset har kjøpt en kostbar minkpels i størrelse small, er ikke en personopplysning. Men det blir det raskt dersom du fra før vet at hans frue ville ha brukt medium.
Eksempelet illustrerer betydningen av sammenstilling av informasjon, - for da kan 1+1 raskt bli 3 eller mer.
Bacheloravhandlingen viser at rekrutteringsbyråene ”screener” jobbsøkeres profil på sosiale medier. Da avhandlingen ble omtalt i DN 4. august uttalte et av rekrutteringsbyråene at kundene (altså de potensielle arbeidsgiverne) satte pris på en "totalrapport" om hva man hadde funnet på nettet om jobbsøkerne. Rekrutteringsbyråene sammenstiller dermed trolig store mengder personopplysninger.
Det er videre grunn til å anta at slike "totalrapporter" lages i et elektronisk format. - Hvor mange får tilgang til disse rapportene? Flyter de rundt som vedlegg i mailutvekslinger både hos rekrutteringsbyråene og arbeidsgiverne? Og hva skjer med ”totalrapporten” når oppdraget er avsluttet og stillingen er besatt? Slettes "totalrapporten" både hos rekrutteringsbyrået og hos arbeidsgiveren - eller praktiserer man "gjenbruk" og lagring over tid?
Personopplysningsloven stiller krav til både lagringstid, og internkontroll knyttet blant annet til konfidensialitet, integritet og tilgjengelighet. Studentavhandlingen kan tyde på at rekrutteringsbyråene her har en jobb å gjøre: Ingen av de intervjuede byråene hadde retningslinjer for bruk av sosiale medier som informasjonskilde!
Studentavhandlingen reiser også spørsmålet om den som tilfeldigvis fant å søke på stillingen har samtykket til innhenting, og ikke minst samtykket til sammenstillingen, av slik informasjon. Etter personopplysningsloven er samtykke et absolutt vilkår for sensitive personopplysninger, og kan også være det for alminnelige personopplysninger.
I følge avhandlingen svarte imidlertid samtlige av de intervjuede rekrutteringsbyråene at de ”aldri eller bare svært sjelden ” informerer jobbsøkerne om at de screener deres liv på sosiale medier.
Å behandle personopplysninger krever også melding til Datatilsynet. Er det snakk om sensitive personopplysninger (f.eks. informasjon om jobbsøkernes politiske syn) kreves også konsesjon fra tilsynet.
Basert på funnene i den ferske studentavhandlingen er det all grunn for arbeidsgivere til heretter å etterspørre dokumentasjon for at rekrutteringsbyråene overholder sine forpliktelser etter personopplysningsloven.