Ett GDPR-säkert idéhanteringsprogram behandlar medarbetarnas idéer som personuppgifter under ett personuppgiftsbiträdesavtal, med en publicerad lista över underbiträden, hosting inom EU eller en giltig överföringsmekanism, radering som ni styr och anonymitet som ni kan slå på där den behövs. Ingen leverantör kan göra ert program lagligt på egen hand: rättslig grund, information till medarbetarna, gallringsregel och facklig förhandling är arbetsgivarens ansvar. Verktyget ska göra de valen möjliga och hålla sin egen del av kedjan kort och dokumenterad.
Varför är medarbetarnas idéer personuppgifter?
En idé är en personuppgift så snart den kan kopplas till en person, och i de flesta program kan den alltid det. Namn, e-post, roll och arbetsplats sparas med idén, och kommentarer, röster och poäng är kopplade till dem som gav dem (artikel 4.1 i dataskyddsförordningen).
Innehållet räknas också. En idé om en farlig lastkaj kan nämna kollegan som skadade sig där, och då är det en uppgift om hälsa, en känslig personuppgift enligt artikel 9 som bara får behandlas om något av undantagen i artikel 9.2 gäller. I praktiken är svaret för de flesta program att formulera utmaningen kring risken i stället för personen, be medarbetarna att utelämna hälsouppgifter och låta de insamlingsansvariga ta bort dem när de ändå dyker upp.
Vilken rättslig grund gäller för ett idéprogram för medarbetare?
För en privat arbetsgivare är den vanliga grunden berättigat intresse enligt artikel 6.1 f, med en skriftlig intresseavvägning som visar att insamlingen av idéer inte väger tyngre än medarbetarnas rättigheter. Samtycke är en svag grund i en anställning: skäl 43 och Europeiska dataskyddsstyrelsens riktlinjer påpekar att obalansen mellan arbetsgivare och anställd gör att samtycket sällan är frivilligt.
En myndighet eller kommun kan inte stödja sig på berättigat intresse när den utför sina uppgifter (sista meningen i artikel 6.1), så där används oftast artikel 6.1 e, uppgift av allmänt intresse. I offentlig sektor kan idéer dessutom bli allmänna handlingar, och då styr arkivreglerna och myndighetens gallringsbeslut hur länge de sparas. Stäm av med registrator eller arkivansvarig innan första utmaningen öppnar. Oavsett grund ska de som bidrar få veta, när idén lämnas, vad som händer med den och vem som ser den (artikel 13).
Vad ska personuppgiftsbiträdesavtalet och listan över underbiträden visa?
Ni är personuppgiftsansvariga och leverantören är personuppgiftsbiträde, så artikel 28 kräver ett personuppgiftsbiträdesavtal (PUB-avtal). Leta efter:
- behandling bara enligt era dokumenterade instruktioner;
- tystnadsplikt för alla som hanterar uppgifterna;
- säkerhetsåtgärderna enligt artikel 32;
- en lista över underbiträden, med besked före varje ändring och rätt att invända;
- hjälp med de registrerades begäranden och anmälan av personuppgiftsincidenter;
- radering eller återlämnande av uppgifterna när avtalet upphör.
Det är i listan över underbiträden som löften blir kontrollerbara: varje rad ska ange företaget, var det behandlar uppgifterna, vad det gör och vilken överföringsmekanism som gäller.
Räcker det med hosting inom EU?
Det löser det mesta, men inte allt. Hosting inom EU håller databasen i EU, men e-post, supportverktyg och AI-tjänster kan ändå skicka personuppgifter någon annanstans, och kapitel V (artikel 44 och framåt) gäller för varje överföring utanför EU och EES.
Sedan Schrems II-domen 2020 måste den som för över personuppgifter utanför EU granska mottagarlandets lagar och lägga till skyddsåtgärder där det behövs. Fråga därför varje leverantör vilka uppgifter som lämnar EU och på vilken grund.
Hur länge ska idéer sparas, och vem raderar dem?
Bara så länge programmet behöver dem (lagringsminimering, artikel 5.1 e), och det är den personuppgiftsansvariga som bestämmer tiden. En vanlig regel: spara genomförda idéer så länge deras värde rapporteras, och radera avslagna en bestämd tid efter beslutet. Fråga leverantören om de insamlingsansvariga kan radera enskilda idéer och hela insamlingar, om en persons konto kan tas bort på begäran (artikel 17) och vad som händer med uppgifterna och säkerhetskopiorna när avtalet upphör.
Löser anonyma bidrag GDPR-frågan?
Bara delvis. Om inget som kopplar idén till en person sparas är den ingen personuppgift (skäl 26), men texten kan ändå peka ut någon: i ett lag på sex personer är ”nattskiftet på linje 3” ett namn. Anonymitet betyder också att ingen kan ställa en följdfråga eller berätta för personen vad som hände med idén.
Därför ska anonymitet ställas in per insamling, inte för hela plattformen. En utmaning om säkerhet eller arbetsmiljö kan behöva den. En utmaning om kostnader fungerar oftast bättre med namn, så att folk får äran.
Gäller artikel 22 när AI bedömer idéer?
Sällan, men kontrollera. Artikel 22 gäller beslut som enbart grundas på automatiserad behandling och som har rättsliga följder för en person eller på liknande sätt i betydande grad påverkar personen. En AI som sammanfattar idéer eller hittar dubbletter medan människor fattar besluten är inte ett sådant beslut. En algoritm som på egen hand fördelade bonusar, utmärkelser eller betyg i medarbetarsamtalet utifrån någons idéer skulle kunna vara det. Låt en människa fatta det beslutet och dokumentera att ni gör det.
Måste vi förhandla med facket först?
I de flesta europeiska länder ja, och före start. I Sverige ska arbetsgivaren förhandla med facket innan beslut om viktigare förändringar i verksamheten enligt 11 § MBL, och ett nytt digitalt verktyg för medarbetarnas förslag kan vara en sådan förändring. Har ni ett kollektivavtal om förslagsverksamhet gäller det också. I Tyskland har Betriebsrat medbestämmanderätt enligt § 87.1 BetrVG över tekniska system som kan användas för att övervaka beteende eller prestation (punkt 6) och över principerna för förslagsverksamheten (punkt 12). I Frankrike ska företag med minst 50 anställda informera och samråda med CSE innan ny teknik eller medel för att kontrollera de anställdas arbete införs (Code du travail, artiklarna L2312-8 och L2312-38). Anonymitet, gallring, behörigheter och AI är de vanliga förhandlingsfrågorna.
Vad säger ISO 27001?
Standarden visar att leverantörens ledningssystem för informationssäkerhet håller måttet, inte att behandlingen följer GDPR. Rättslig grund, överföringar och gallring ligger utanför den.
Hives.co:s säkerhet är uppsatt i linje med ISO 27001-standarden. Hives uppfyller dessutom GDPR fullt ut: PUB-avtalet ingår i varje avtal, listan över underbiträden är publik, och ni får en skriftlig säkerhetsöversikt för er IT-granskning och direkta svar på ert säkerhetsformulär.
Vad ska ni fråga leverantörerna?
| Vad ni kontrollerar | Varför det spelar roll | Så gör Hives |
|---|---|---|
| PUB-avtal | Krävs enligt artikel 28 | Ingår i varje kundavtal |
| Underbiträden | Ni måste veta vem mer som behandlar uppgifterna | Publicerade, 30 dagars förvarning vid ändringar |
| Hosting | Avgör var överföringarna börjar | Google Cloud i Frankfurt som standard, on-premise på begäran |
| AI-behandling | Uppgifterna ska stanna på den överenskomna vägen | Ida på Vertex AI i Frankfurt, används inte för att träna modeller |
| Anonymitet | Vissa ämnen kräver det, de flesta inte | Ställs in per insamling |
| Inloggning | Åtkomsten upphör när anställningen gör det | SSO med Microsoft och Google i alla planer, SAML i Enterprise |
| Avtalets slut | Lagringsminimering | 60 dagar för export, sedan radering inom 30 dagar |
| Informationssäkerhet | Vissa upphandlingar kräver ISO 27001 | Hives.co:s säkerhet är uppsatt i linje med ISO 27001-standarden. |
Hur hanterar Hives GDPR?
Hives är ett idéhanteringsprogram för organisationer från ungefär 100 anställda till multinationella koncerner. Man börjar med en utmaning och bygger ut samma upplägg till fler arbetsplatser, länder och affärsområden. Hives är ett svenskt företag och ert personuppgiftsbiträde för allt i er arbetsyta, enligt Personuppgiftsbiträdesvillkoren i ert avtal. Hives uppfyller GDPR fullt ut.
Tjänsten körs på Google Cloud i Frankfurt. Alla underbiträden står på sidan om underbiträden, där ändringar också meddelas. Ida, AI-assistenten, körs på Vertex AI i samma region, läser bara det som personen som frågar får se, och AI-funktionerna kan stängas av.
Åtkomsten börjar med inloggning via jobbkontot hos Microsoft eller Google, så att bara era egna medarbetare kommer in. Den som saknar jobbmejl använder sin egen e-post med en engångskod. Varje insamling har egen behörighet och egen anonymitetsinställning: Dölj bidragsgivares namn (namnet sparas men visas inte för någon annan, inte ens för administratörer) eller Spara bidrag anonymt (inget namn sparas alls). Säkerhetssidan och integritetspolicyn täcker resten. Hos VINCI Energies använder ett par tusen personer i affärsenheter i flera länder Hives.
När passar ett annat slags verktyg bättre?
När det gäller rapporter om missförhållanden behövs en visselblåsarkanal: visselblåsarlagen ställer krav på sekretess och uppföljning som ett idéprogram inte är byggt för. När det gäller tillbud och olyckor passar ett system för arbetsmiljö- och incidentrapportering bättre, eftersom det hanterar hälsouppgifter och lagstadgade lagringstider varje dag. Köpguiden sorterar leverantörerna efter behov.
Vanliga frågor
Är idéhanteringsprogram GDPR-säkra från början?
Inget program är det. Leverantören kan följa reglerna som personuppgiftsbiträde, men arbetsgivaren behöver fortfarande en rättslig grund, information till medarbetarna, en gallringsregel och i många länder en överenskommelse med de anställdas företrädare.
Behöver vi en konsekvensbedömning för ett idéprogram?
Bara om behandlingen sannolikt leder till en hög risk (artikel 35). Många idéprogram når inte dit, men en del dataskyddsombud gör ändå en när idéer kan innehålla hälso- eller säkerhetsuppgifter eller när AI analyserar dem.
Kan medarbetare begära att deras idéer raderas?
Ja, enligt artikel 17, med de undantag som finns där. I Hives kan den som skickat en idé radera den själv medan den ligger i inkorgen, de insamlingsansvariga kan radera den senare, och ett konto tas bort på organisationens begäran.
Kan en anonym idé raderas på begäran?
Oftast inte, eftersom inget kopplar den till personen som frågar. En helt anonym idé är ingen personuppgift, så rätten gäller inte, men de insamlingsansvariga kan ändå ta bort den om texten pekar ut någon.
Vad kostar Hives?
Core kostar 6 995 kr per månad, Pro 14 995 kr och Enterprise 19 995 kr, fakturerat årsvis och utan avgifter per användare. PUB-avtalet och hosting inom EU ingår i alla planer. Se priser.
Själva förordningen finns på EUR-Lex.