Får man GPS-spåra anställda?

Ja, men bara när det finns ett konkret verksamhetsbehov. Integritetsskyddsmyndigheten skriver att det är tillåtet att använda positioneringsteknik på ett sätt som är motiverat av konkreta behov i verksamheten — och nämner digital körjournal enligt Skatteverkets krav, säkerhet och möjligheten att återfå stulna eller förlorade föremål som exempel. Tekniken får däremot inte användas för att övervaka medarbetare i realtid på ett sätt som inte motiveras av ett sådant behov. Ni måste också kunna visa att nyttan väger tyngre än medarbetarens intresse av att inte bli övervakad.

Nej. Det här är den vanligaste missuppfattningen. IMY är tydlig med att samtycke från medarbetare inte gör övervakning tillåten, eftersom de står i beroendeställning till arbetsgivaren — ett samtycke som lämnas av någon som riskerar sin anställning är inte frivilligt på riktigt. IMY anser inte att en arbetsgivare kan använda samtycke som rättslig grund för att behandla uppgifter för kontroll av anställda. Den grund som är aktuell är i stället en intresseavvägning, och den ska dokumenteras innan ni slår på funktionen.

Vår bedömning är att det är svårt att motivera. Positionering måste stå i proportion till syftet, och behandlingen får inte vara mer omfattande eller närgången än ändamålet kräver. När syftet är att veta hur många timmar någon arbetat löser tidrapporten i sig den uppgiften med betydligt mindre intrång — och då blir positionsdata svår att försvara i en intresseavvägning. Har ni ett annat och konkret behov, exempelvis att styra vilken arbetsplats en registrering hör till, är läget ett annat. Det här är allmän information, inte juridisk rådgivning.

Oftast ja. IMY skriver att du som arbetsgivare oftast behöver förhandla med facket innan du aktiverar platstjänster i medarbetarnas jobbmobiler. Utöver det kan en konsekvensbedömning krävas innan behandlingen påbörjas. Räkna alltså med tre steg innan funktionen aktiveras: fastställ och dokumentera ändamålet, gör intresseavvägningen och eventuell konsekvensbedömning, och förhandla. Att klicka i en inställning i systemet är det sista steget, inte det första.

Informationen ska lämnas i förväg och som regel senast när uppgifterna samlas in. Den ska omfatta vilka kontroller ni gör, varför ni gör dem, hur ni kommer att använda informationen, var uppgifterna sparas, hur länge de sparas och vem som har tillgång till dem. Anställda har också rätt att klaga på arbetsgivarens personuppgiftsbehandling till IMY, vilket kan leda till tillsyn.

Inte riktigt, men samma regler gäller. GPS-registrering innebär att en position sparas vid en händelse, exempelvis vid in- och utstämpling. Geofencing innebär att systemet reagerar på att någon passerar en geografisk gräns — till exempel automatisk incheckning när personen kommer till arbetsplatsen. Geofencing kan upplevas som mer ingripande eftersom den förutsätter att positionen följs löpande för att gränsen ska kunna upptäckas. Bedöm den därför minst lika noga som ren positionsregistrering.

Det är en helt annan och strängare fråga. Ansiktsigenkänning innebär behandling av biometriska uppgifter, som har ett särskilt skydd i dataskyddsförordningen och som huvudregel inte får behandlas. Flera internationella tidrapporteringsappar erbjuder funktionen som ett sätt att hindra att kollegor stämplar in åt varandra. Slå inte på den utan juridisk genomgång — och fundera på om ett enklare alternativ, som en NFC-tagg eller en kod, löser samma problem.

I vår jämförelse av tidrapporteringssystem redovisar vi position och geofencing som separata funktioner per system, och vi skiljer på verifierat nej och ej verifierat. Vi ger däremot inte extrapoäng för att ett system har GPS — funktionen är bara värdefull om ni har ett lagligt syfte med den. Det vi väger in är i stället om leverantören hjälper er använda funktionen rätt, och där finns i dag stor förbättringspotential i hela branschen.