Tyskland lager egne regler for personvern i arbeidslivet. Det må Norge også gjøre, mener ekspert

Har arbeidstakersiden hendene tett nok på rattet når det kommer til innføring av nye digitale løsninger på arbeidsplassen?

Forskning tyder på at det ikke nødvendigvis er helt slik.

En Fafo-rapport fra tidligere i år viser at ansattes medvirkning ikke fungerer godt. Nær halvparten av virksomhetene har verken involvert tillitsvalgte eller verneombud i prosessen med innføring av nye digitale løsninger.

Litt under halvparten av bedriftene har drøftet konsekvenser for personvern med verneombud eller tillitsvalgte.

Lover finnes

Professor Dag Wiese Schartum fra Senter for rettsinformatikk ved Universitetet i Oslo oppsummerer status med at det pågår et stort digitaliseringstrykk, at stadig mer inngripende teknologi blir tilgjengelig og at dagens medvirkningsordninger ikke fungerer godt nok.

Det finnes regler nedfelt i lov, minner han om. Blant annet vil mange av personvernlovens bestemmelser om datalagring også gjelde for arbeidsplassen.

Og arbeidsmiljøloven sier at ansattes representanter skal ha informasjon og medvirke ved innføring og evaluering av kontrollsystemer.

– I utgangspunktet er det arbeidsgiver som skal ta initiativet. Det kan godt være arbeidstakersiden kan gjøre mer for å «minne om» den retten og kreve medvirkning, men det ligger primært på arbeidsgiver, sier han.

En jobb å gjøre

Esben Smistad, leder av IKT-bransjens Fagforening, bemerker at FAFO-undersøkelsen hovedsakelig er gjennomført hos organiserte bedrifter med tariff­avtale og tillitsvalgte.

– Det sier meg at vi har en jobb å gjøre med bevisstgjøring av avtaleverket som eksisterer i dag overfor de tillitsvalgte, og sette de tillitsvalgte i stand til å håndtere det på en god måte, sier Smistad.

Han tror bedre skolering av tillitsvalgte må til. Om personvern generelt, om personvernloven fra 2018 og om personvernforordningen i EU som lovendringen er basert på.

Det er viktig både for klubbarbeid, for fagforbund og for tillitsvalgte som skal i møte med arbeidsgivere som vil innføre nye systemer, mener Smistad.

– Nå må vi komme i gang. Tillitsvalgte skal for eksempel være med i konsekvens­analysen for personvernet ved innføring av alle nye systemer. Det er kravet i personvernloven. Jeg er ikke sikker på om alle tillitsvalgte er klar over det, eller at alle bedrifter har en tilfredsstillende behandling av dette. Regelverket er der, men vi må følge opp at det faktisk gjøres, sier Smistad.

KI-regler på vei

Professor Schartum tror bedriftsledelsen ofte tar grep på egen hånd ved innføring av ny teknologi og at mange ansatte tar det som en slags selvfølge at det er vanskelig å stå opp mot innføringen fordi slike innføringer ser ut til å skje overalt ellers i samfunnet.

Han er særlig urolig for hvordan kunstig intelligens-teknologi (KI) er en økende trussel for arbeidstakers integritet og menneskeverd.

Dagens personvernregler og arbeidsmiljølov gir god nok beskyttelse opp mot konvensjonell teknologi, men strekker ikke til for å regulere KI-teknologi, ifølge Schartum.

EU jobber med et lovforslag om KI, men erfaringsmessig kan disse lovene bli noe ulne i løpet av lovbehandlingen fordi medlemslandene må inngå kompromisser, ifølge Schartum.

Men han minner om at EU på noen områder åpner for egne lokale regler nasjonalt. Blant annet i EUs personvernregelverk, «personvernsforordningen» (GDPR), der det åpnes for at medlemsstatene kan fastsette nærmere regler for å sikre vern av rettigheter og friheter ved behandling av arbeidstakeres personopplysninger i ansettelsesforhold, gjennom lov eller tariffavtaler.

Tyskland lager egne regler

Schartum bemerker at nettopp Tyskland jobber med dette akkurat nå.

– Tyske myndigheter arbeider nå med en lov om personvern i det tyske arbeidslivet, innenfor rammene av forordningen. Der vil de, så vidt jeg forstår, blant annet foreslå regler som har med KI å gjøre i sin nasjonale lov, sier han.

Det er lurt å se til hva de sterke statene i EU synes de kan gjøre innenfor reglene, mener Schartum, og så henge seg på.

– Når tyskerne gjør det, burde vi også gjøre det. Jeg tror noe av farene er at norske myndigheter blir tilbaketrukne og defensive og ikke tør å utfordre de grensene. Det er ikke bra nok. Usikkerhetssonen er så brei, så hvis du skal unngå den, så er det veldig lite du kan få til.

Ikke som bilmotor og veiregler

– Så er vel ikke akkurat politikerne eksperter på KI heller?

– Ja, det er noe av problemet med KI. Maskinlæringsteknologi er så vanskelig at det blir en stor utfordring for beslutningstakere som politikere, byråkrater og departementer, som skal forberede saker og ta initiativ, å forstå teknologien, sier Schartum.

Han tror det skorter på kunnskap hvordan KI egentlig fungerer, annet enn på et helt overordnet plan. Mens du kan lage veiregler uten å forstå hvordan en bilmotor fungerer, er det noe helt annet med KI, bemerker Schartum.

Han mener KI ikke engang kan sammenlignes med teknologien vi typisk er vant til, fordi maskinlæring fungerer på en helt annet måte.

– Det er en av grunnene til at jeg ofte understreker at det er to ganske grunnleggende forskjellige typer digital teknologier vi har i samfunnet vårt, regelstyrt, konvensjonell teknologi og maskinlæring. Det er nesten ingen som framhever det, men det er vesentlig, sier Schartum.

Esben Smistad mener et godt eksempel på at teknologien kanskje ikke nødvendigvis har blitt drøftet tilstrekkelig på arbeidsplasser er Office 365 – en av de mest benyttede kontorpakkene med programmer som Word, PowerPoint og Excel.

Boss-ware er der allerede

Hvilke data den skal kunne samle kan konfigureres, men Smistad stiller spørsmål ved hvor mange tillitsvalgte som har vært med på diskusjon om detaljer om det på arbeidsplassen.

Analyse-plattformen for administratorer gir avanserte muligheter for å se detaljert informasjon om enkeltbrukere, forteller Smistad. Slik som hvor mange e-poster du har sendt – og til hvem, når på døgnet, hvor mange uleste e-poster du har i innboksen din, samt hvilke programmer du bruker og når.

Han legger til at Microsoft har sluttet å koble på dette brukerstatistikksystemet, såkalte dashbord, på alle, som han tror handler om at det oppleves som mer inngripende overvåking som vi er mer opptatte av i Europa enn USA.

– Men dataene samles fortsatt inn, og kan hentes ut om man ikke har trukket opp grenser gjennom et klart definert formål, sier Smistad.

Det kan sjefer urettmessig misbruke til å rangere ansatte, potensielt på feil grunnlag. For eksempel betyr ikke uleste e-poster i innboksen nødvendigvis ineffektiv, det kan også skyldes at man er så effektiv på annet at man ikke rekker å lese alle e-poster.

Slike programmer og funksjoner kalles gjerne «boss-ware», et ordspill på «software» og «boss».

– Det man frykter som «Boss-ware» er der allerede med at vi alle bruker Office 365. Jeg tror kanskje det ikke er veldig mange som har diskutert de problemstillingene som ligger der. Det mener jeg man burde innenfor avtaleverket som finnes i dag, sier Smistad.

Han ønsker seg også en egen tvisteløsning for uenigheter innenfor personvernspørsmål, da arbeidsgiver i dag til syvende og sist kan påberope seg styringsrett.

– Det jeg ser som den største konflikten er når man kommer til balansekunsten mellom behovet virksomhetene har for å behandle opplysninger opp mot personvernet til dem det blir behandlet opplysninger om, sier Smistad.