Paradokset: du skal dokumentere det psykososiale arbeidsmiljøet — uten å samle helseopplysninger

Det finnes et krav og en grense som ser ut til å utelukke hverandre.

Kravet: virksomheten skal arbeide systematisk med arbeidsmiljøet, og deler av det skal foreligge skriftlig. Mål, ansvar, kartlegging med risikovurdering, planer og tiltak, avviksrutiner, og en gjennomgang av systemet selv. Psykososiale forhold er ikke unntatt. Der bærekraftsrapportering gjelder, kommer lignende forventninger i tillegg.

Grensen: opplysninger om helse er særlige kategorier personopplysninger etter GDPR artikkel 9. Utgangspunktet er forbud, med unntak som må identifiseres før behandlingen starter. Og i et arbeidsforhold regnes samtykke sjelden som fritt gitt — styrkeforholdet mellom partene gjør det vanskelig å si nei.

Sett dette sammen, og du får spørsmålet jeg får oftest: hvordan skal vi dokumentere at vi ivaretar det psykososiale arbeidsmiljøet, når vi ikke har lov til å samle inn det vi tror vi må dokumentere?

Feilen ligger i det første refleksen

Den vanligste første handlingen er å kartlegge. Vi må vite hvordan folk har det. Så sendes en undersøkelse ut, eller lederne får beskjed om å registrere behov, eller det opprettes et skjema med et fritekstfelt.

Da har tre ting skjedd samtidig. Virksomheten har begynt å behandle opplysninger som kan være særlige kategorier. Tiltakene som følger blir individuell oppfølging, ikke endring i arbeidet. Og dokumentasjonen som skapes er den typen dokumentasjon virksomheten helst ikke skulle hatt.

Det er ikke vond vilje. Det er at fysiske farer har lært oss en metode som ikke overføres: luftkvalitet måles, verneutstyr kontrolleres, avvik loggføres. Psykososiale forhold har ingen tilsvarende måler, så vi forsøker å måle mennesker i stedet for arbeid.

Skillet som løser det

Det finnes to nivåer, og de har helt ulike personvernkonsekvenser.

Systemnivå er forhold i arbeidet. Arbeidsmengde og tempo. Rolleklarhet og motstridende krav. Innflytelse og medvirkning. Skiftordninger, pauser, tilgang til hvile og fleksibilitet. Informasjon og støtte fra ledelsen. Ordningene er tilgjengelige for alle, og ingen må oppgi noe om seg selv for å bruke dem. Her behandles ingen særlige kategorier.

Individnivå er det som faktisk krever en enkeltvurdering. Det finnes, og det skal finnes. Men der må behandlingsgrunnlaget identifiseres — i praksis i arbeidsrettslig nødvendighet framfor samtykke — med klare grenser for hva som skrives ned, hvem som ser det, og hvor lenge det lagres.

Poenget er hvor dokumentasjonen legges. Legg den på systemnivå. Det som skal kunne vises fram, er hva virksomheten har bestemt, hvordan det utløses, hvem som eier det, og hva som ble endret sist. Alt dette kan skrives uten en eneste opplysning om en navngitt person.

Individnivået dokumenteres også, men i et annet spor, med annen tilgang og annen lagringstid — ikke i styringsdokumentet som deles med revisor, tillitsvalgte eller kunder.

Fire tegn på at dokumentet ligger på feil nivå

1. Ordningen utløses først når den ansatte tar initiativ og forklarer hvorfor.
2. Kartleggingen spør hvordan folk har det, uten at det er avklart hva svarene brukes til.
3. Sykefraværstall brukes som indikator på psykososialt arbeidsmiljø.
4. Oppfølgingsskjemaet har et åpent fritekstfelt uten grense for hva en leder kan skrive.

Det fjerde er det som oftest skaper problemet i ettertid. Et notat skrevet i god tro blir et dokument noen må forsvare.

Pseudonymisering er ikke en utvei

En vanlig løsning er å anonymisere. Det hjelper mindre enn man tror. Pseudonymiserte opplysninger er fortsatt personopplysninger så lenge det finnes en vei tilbake til personen — og i en avdeling med fire personer er «én ansatt har fått tilpasset arbeidstid» ofte identifiserende i seg selv.

Derfor er nedre grenser en del av rutinen, ikke en teknisk detalj: hva rapporteres per enhet, og hva rapporteres ikke.

Der veiledningen hjelper, og der den ikke gjør det

ISO 45003 gir veiledning om psykososial risiko. ISO 45010:2026 gir veiledning om menstruasjon og overgangsalder i arbeidslivet. Ingen av dem er kravdokumenter, og ingen av dem erstatter en vurdering av behandlingsgrunnlag etter personvernreglene.

Behandlet som veiledning ved siden av relevante lovkrav er de nyttige. Behandlet som fasit blir de en kilde til dokumentasjon virksomheten ikke har lov til å ha. Det er en reell risiko når temaet er helse og metoden er dokumentasjon.

ISO 45001 er under revisjon nå. Hva den ferdige teksten kommer til å inneholde, er ikke bestemt, og jeg gjengir ikke innhold fra utkast. Men uansett utfall er dette arbeidet verdt å gjøre: ansvar skrevet til navngitte roller, avvik som lukkes, gjennomgang med dato og notat om hva som ble endret, og psykososiale tiltak flyttet fra individuell oppfølging til ordninger som gjelder alle.

Øvelsen som tar tjue minutter

Ta én rutine. Ikke hele håndboken.

Les den med to spørsmål. Utløses noe av seg selv, eller først når en person forklarer seg? Og krever teksten at noen registrerer noe om en persons helse for at rutinen skal virke?

Der svaret på det andre er ja, kan tiltaket nesten alltid flyttes ett nivå opp. Da får du to ting samtidig: en ordning flere faktisk bruker, og en dokumentasjon som beskriver noe uten å beskrive noen.

Det er hele poenget. Dokumentasjonen skal vise at arbeidet skjer — ikke hvem det skjedde med.

Sydera.io Technologies AS er et heleid datterselskap av STÖ GROUP AS og medlem av SN/K 551, Standard Norges speilkomité for ledelsessystemer for arbeidsmiljø. Nicolai Bjerknes Slinning er arbeidsgruppeekspert i ISO/TC 283/WG 6 og WG 10, oppnevnt av Standard Norge. Deltakelsen skjer i personlig kapasitet og representerer ikke ISO eller ISO/TC 283. Vi leser styringsdokumenter, aldri ansatte. Du kan få [én rutine lest gjennom gratis](https://sydera.io/hms-scan).