ESRS S1 og personvern: rapportering uten helseopplysninger
Skrevet av Nicolai Bjerknes Slinning, Grunnlegger, Sydera.io Technologies AS · arbeidsgruppeekspert i ISO/TC 283/WG 6 og WG 10, oppnevnt av Standard Norge · medlem av SN/K 551. Sist faglig gjennomgått .
ESRS S1 handler om egen arbeidsstyrke i bærekraftsrapporteringen, der den gjelder. Kravet om å beskrive hva virksomheten gjør for arbeidsforholdene møter samme grense som HMS-dokumentasjonen: opplysninger om helse er særlige kategorier etter personvernreglene. Løsningen er den samme — rapporter på ordningene, ikke på personene.
Hva rapporteringen etterspør, der den gjelder
Rapporteringen etterspør styring: hva virksomheten har bestemt om arbeidsforhold, hvilke ordninger som finnes, hvordan medvirkning skjer, hvordan bekymringer meldes og følges opp, og hva som er resultatet. Hvilke virksomheter som omfattes og fra når, følger av det gjeldende regelverket — sjekk hva som gjelder for dere før dere bygger et rapporteringsløp.
Der rapportering og personvern kolliderer
Fristelsen er å rapportere på helse: hvor mange som har fått tilpasninger, hvor mange som har diagnoser, fraværstall brutt ned på årsak. Da beveger dokumentasjonen seg inn i særlige kategorier, og dataminimeringsprinsippet gjelder. Rapporten er dessuten et dokument som skal ut av huset. Det gjør feilen dyrere enn i et internt notat.
Det som kan rapporteres uten særlige kategorier
Beskriv ordninger, ikke personer: hvilke ordninger er tilgjengelige for alle, hvordan de utløses, hvilke roller eier dem, hvordan de ansatte medvirker, hvor mange rolleavklaringer og gjennomganger er gjennomført, hvor mange meldte forhold er lukket, hva ble endret siste år. Det er styringsopplysninger, ikke helseopplysninger.
Aggregering er ikke automatisk trygt
Tall på gruppenivå kan fortsatt være personopplysninger når gruppen er liten nok. I en avdeling med fire personer er «én ansatt har fått tilpasset arbeidstid» ofte identifiserende. Sett en nedre grense for hva som rapporteres per enhet, og skriv grensen inn i rutinen.
Én dokumentasjon, flere formål
Beskrivelsene som brukes i internkontrollen kan gjenbrukes i rapporteringen, der begge gjelder. Det sparer arbeid og gir noe viktigere: samme historie i to dokumenter. Der HMS-dokumentet og bærekraftsrapporten sier ulike ting om samme ordning, er det den forskjellen en revisor legger merke til først.
Slik kommer du i gang
Ta ett dokument som beskriver en arbeidsmiljøordning, og les det som om det skulle inn i en rapport. Står det hva ordningen er, hvem den gjelder for, hvordan den utløses og hva som ble endret sist? Der svaret mangler, mangler også rapporteringsgrunnlaget. Vi leser gjerne det ene dokumentet gratis.
Gratis gjennomgang av ett styringsdokument. Vi leser dokumentet, aldri ansatte. Dokumentet skal ikke inneholde personopplysninger.
Kilder
Ofte stilte spørsmål
- Gjelder ESRS S1 for oss?
- Det følger av det gjeldende rapporteringsregelverket og av virksomhetens størrelse og forhold. Sjekk hva som gjelder for dere før dere bygger et rapporteringsløp.
- Kan vi rapportere sykefravær brutt ned på årsak?
- Vær varsom. Fraværsårsak kan avdekke helseopplysninger, særlig i små enheter. Rapporter på ordninger og styring, og hold årsaksdata utenfor det som skal ut av huset.
- Er tall på gruppenivå trygge?
- Ikke automatisk. Er gruppen liten nok, kan tallet identifisere en person. Sett en nedre grense per enhet, og skriv den inn i rutinen.
- Kan HMS-dokumentasjonen gjenbrukes i rapporteringen?
- Ja, og det bør den. Samme beskrivelse av samme ordning i begge dokumentene sparer arbeid og hindrer at de to sier ulike ting.
- Hva ser dere etter i et dokument med rapportering i tankene?
- Om ordningen er beskrevet slik at en utenforstående kan lese hva som gjelder, for hvem, hvordan det utløses, hvem som eier det og hva som ble endret sist.