Er psykososial dokumentasjon personopplysninger?

Ikke nødvendigvis. Beskrivelser av forhold i arbeidet — arbeidsmengde, roller, pauser, medvirkning — er ikke personopplysninger. Det blir det først når teksten kan knyttes til en person, direkte eller indirekte.

Kan vi bruke samtykke som grunnlag når en ansatt selv forteller om helsen sin?

Vær varsom. I et arbeidsforhold regnes samtykke sjelden som fritt gitt. At noen forteller noe, gir ikke i seg selv arbeidsgiver rett til å registrere eller dele det. Vurder om et annet grunnlag gjelder, og om opplysningen må skrives ned i det hele tatt.

Blir pseudonymiserte data trygge å samle?

Pseudonymiserte opplysninger er fortsatt personopplysninger når det finnes en vei tilbake til personen. I små virksomheter og små grupper er den veien ofte kortere enn man tror.

Hvordan dokumenterer vi tiltak uten å nevne personer?

Beskriv ordningen, ikke saken: hva som er tilgjengelig, for hvem, hvordan det utløses, hvem som eier det, og når det sist ble gjennomgått. Enkeltsaker hører i et annet spor med begrenset tilgang.

Hva ser dere på i en gratis gjennomgang?

Vi leser ett styringsdokument og peker på inntil tre forbedringsområder med henvisning til relevante lovkrav, samt ett forslag til omskriving. Vi leser dokumentet, aldri ansatte, og dokumentet skal ikke inneholde personopplysninger.

Psykososial dokumentasjon uten å samle helseopplysninger

Skrevet av Nicolai Bjerknes Slinning, Grunnlegger, Sydera.io Technologies AS · arbeidsgruppeekspert i ISO/TC 283/WG 6 og WG 10, oppnevnt av Standard Norge · medlem av SN/K 551. Sist faglig gjennomgått 17. september 2026.

Virksomheter skal kunne dokumentere at de arbeider systematisk med psykososialt arbeidsmiljø. Samtidig setter personvernreglene stramme grenser for hvor mye en arbeidsgiver kan registrere om enkeltmenneskers helse. De to kravene ser ut som en motsetning. Løsningen ligger i å skille mellom to nivåer — og å legge dokumentasjonen på det nivået som ikke handler om personer.

Kravet som ikke forsvinner

Arbeidsmiljøloven § 3-1 krever systematisk arbeid med arbeidsmiljøet, og internkontrollforskriften § 5 sier hvilke deler som skal foreligge skriftlig: mål, ansvar, kartlegging med risikovurdering, planer og tiltak, avviksrutiner og gjennomgang av systemet selv. Psykososiale forhold er ikke unntatt. Rapporteringsregelverk stiller lignende krav der de gjelder. Dokumentasjonsplikten er reell, og den forsvinner ikke av at temaet er sensitivt.

Grensen som ikke kan flyttes

Opplysninger om helse er særlige kategorier personopplysninger etter GDPR artikkel 9. Utgangspunktet er forbud, med unntak som må identifiseres før behandlingen starter. I et arbeidsforhold regnes samtykke sjelden som fritt gitt, fordi styrkeforholdet mellom partene gjør det vanskelig å si nei. Dataminimeringsprinsippet gjelder i tillegg: det som samles må være nødvendig for et bestemt formål. En leder som noterer «X har søvnproblemer — får kortere vakter» behandler helseopplysninger, uansett hvor godt ment notatet er.

Skillet som løser det: systemnivå og individnivå

På systemnivå beskriver virksomheten forhold i arbeidet: arbeidsmengde, tempo, rolleklarhet, skiftordninger, pauser, medvirkning, tilgang til hvile og fleksibilitet. Ordningene er tilgjengelige for alle, og ingen må oppgi noe om egen helse for å bruke dem. Her behandles ingen særlige kategorier. På individnivå håndteres det som faktisk krever en enkeltvurdering — og der må behandlingsgrunnlaget identifiseres, i praksis i arbeidsrettslig nødvendighet framfor samtykke, med klare grenser for hva som kan skrives ned og hvem som ser det.

Dokumentasjonen legges på systemnivå

Det som skal kunne vises fram, er hva virksomheten har bestemt, hvordan det utløses, hvem som eier det, og hva som ble endret sist. Alt dette kan skrives uten en eneste opplysning om en navngitt person. Der individnivået må dokumenteres, hører det hjemme i et annet spor, med annen tilgang og annen lagringstid — ikke i styringsdokumentet som deles med revisor, tillitsvalgte eller kunder.

Tegnene på at dokumentet er på feil nivå

Fire mønstre går igjen. Dokumentet forutsetter at den ansatte tar initiativ og forklarer hvorfor, før noe skjer. Kartleggingen er en spørreundersøkelse om hvordan folk har det, uten at det er avklart hva svarene brukes til. Målingen bruker sykefraværstall som indikator på psykososialt arbeidsmiljø. Og skjemaet for oppfølging har et fritekstfelt uten grense, der en leder skriver ned det som senere blir vanskelig å forsvare.

Veiledning ved siden av lovkravene

ISO 45003 gir veiledning om psykososial risiko, og ISO 45010:2026 gir veiledning om menstruasjon og overgangsalder i arbeidslivet. Ingen av dem er kravdokumenter, og ingen av dem erstatter en vurdering av behandlingsgrunnlag etter personvernreglene. Behandlet som veiledning ved siden av relevante lovkrav er de nyttige. Behandlet som fasit blir de en kilde til dokumentasjon virksomheten ikke har lov til å ha.

Slik gjør du det i praksis

Begynn med én rutine. Les den med to spørsmål: utløses noe av seg selv, eller først når en person forklarer seg? Og krever teksten at noen registrerer noe om en persons helse for at rutinen skal virke? Der svaret er ja på det andre, kan tiltaket nesten alltid flyttes ett nivå opp — fra individuell oppfølging til en ordning som gjelder alle. Det er den samme øvelsen vi gjør i en gratis gjennomgang.

Sjekk én rutine gratis

Gratis gjennomgang av ett styringsdokument. Vi leser dokumentet, aldri ansatte. Dokumentet skal ikke inneholde personopplysninger.

Kilder

Ofte stilte spørsmål

Er psykososial dokumentasjon personopplysninger?: Ikke nødvendigvis. Beskrivelser av forhold i arbeidet — arbeidsmengde, roller, pauser, medvirkning — er ikke personopplysninger. Det blir det først når teksten kan knyttes til en person, direkte eller indirekte.
Kan vi bruke samtykke som grunnlag når en ansatt selv forteller om helsen sin?: Vær varsom. I et arbeidsforhold regnes samtykke sjelden som fritt gitt. At noen forteller noe, gir ikke i seg selv arbeidsgiver rett til å registrere eller dele det. Vurder om et annet grunnlag gjelder, og om opplysningen må skrives ned i det hele tatt.
Blir pseudonymiserte data trygge å samle?: Pseudonymiserte opplysninger er fortsatt personopplysninger når det finnes en vei tilbake til personen. I små virksomheter og små grupper er den veien ofte kortere enn man tror.
Hvordan dokumenterer vi tiltak uten å nevne personer?: Beskriv ordningen, ikke saken: hva som er tilgjengelig, for hvem, hvordan det utløses, hvem som eier det, og når det sist ble gjennomgått. Enkeltsaker hører i et annet spor med begrenset tilgang.
Hva ser dere på i en gratis gjennomgang?: Vi leser ett styringsdokument og peker på inntil tre forbedringsområder med henvisning til relevante lovkrav, samt ett forslag til omskriving. Vi leser dokumentet, aldri ansatte, og dokumentet skal ikke inneholde personopplysninger.