Personvernnemnda har i sak (PVN-2024-46) kommet til at en tidligere arbeidsgiver brøt den ansattes rett til innsyn da personalmappen ble slettet før innsyn var gitt.
Bakgrunnen er at den ansatte sa opp stillingen sin og ba to dager før arbeidsforholdet opphørte om å få se personalmappen, få mappen oversendt og deretter få bekreftet at alt var slettet. Arbeidsgiveren svarte at han skulle få innsyn, men slettet mappen etter at arbeidsforholdet var avsluttet, med unntak av arbeidsavtale, arbeidsattest og taushetserklæring. Dette var i tråd med arbeidsgiverens interne rutiner og HR Norges veileder om sletting. Datatilsynet mente arbeidsgiveren hadde handlet riktig, fordi den ansatte etter tilsynets syn senere hadde bedt om umiddelbar sletting. E-posten som den ansatte hadde sendt, gjaldt imidlertid sletting av innhold på vedkommendes PC, og ikke personalmappen.
Personvernnemda mente det gikk klart fram av den ansattes e-post at kravet om sletting var betinget av at innsyn først ble gitt, noe som også ble understøttet av at kravene var nummerert. Er det krevd innsyn i personalmappen ved avslutningen av et arbeidsforhold, har arbeidsgiveren plikt til å oppfylle innsynskravet før opplysningene slettes. Arbeidsgiveren mente at det ikke lenger var hjemmel for å behandle opplysningene etter at arbeidsforholdet var avsluttet, men nemnda mente at det var nødvendig å behandle opplysningene så lenge innsynskravet ikke var besvart. Nemnda konkluderte med brudd på GDPR artikkel 15, jf. GDPR artikkel 12(3), og sendte saken tilbake til Datatilsynet for ny vurdering.
Saken gir en påminnelse om at sletterutinene ved opphør av arbeidsforhold bør ha et unntak for tilfeller der det er fremsatt innsynskrav (eller andre krav), slik at mappen ikke slettes før kravet er håndtert. Det er også verdt å merke seg at arbeidsgiveren ikke førte logg over slettingen og derfor ikke kunne si sikkert når mappen ble slettet. Det siste hadde ikke betydning i saken, men verdt å merke seg.