GDPR og narkotikatestning på arbejdspladsen – alt, hvad du skal vide

Resultater af narkotikatests hører til de mest følsomme personoplysninger, en arbejdsgiver håndterer. GDPR stiller skarpe krav til alt fra retsgrundlag til opbevaringstid. Denne artikel gennemgår, hvad I skal have på plads. For en bredere juridisk baggrund kan I se vores guide om arbejdsgiverens ret til at narkotikateste.

Hvilken kategori af personoplysninger?

Resultater af narkotikatests klassificeres som helbredsoplysninger og falder dermed under GDPR artikel 9 – særlige kategorier af personoplysninger. Det betyder, at det almindelige retsgrundlag i artikel 6 ikke er nok; I skal også have et grundlag i artikel 9.

Retsgrundlag – hvorfor samtykke er problematisk

Det enkle svar ville være "vi indhenter samtykke fra medarbejderen". Problemet: I et ansættelsesforhold er det svært at hævde, at samtykket er frivilligt – forholdet er ulige. Den svenske datatilsynsmyndighed (Datainspektionen, nu IMY) har advaret mod at basere sig på samtykke som retsgrundlag i ansættelsesforhold.

Det robuste grundlag for narkotikatestning er i stedet artikel 9, stk. 2, litra b: behandling, der er nødvendig for at overholde forpligtelser på det arbejds- og socialretlige område – kombineret med kravene i den svenske arbejdsmiljølov (Arbetsmiljölagen). Dette skal dokumenteres tydeligt i politikken.

Formål og proportionalitet

Behandlingen må kun ske til det specifikke formål (som regel sikkerhed i arbejdsmiljøet og en sikker arbejdsplads). Formålet skal være så snævert som muligt og dokumenteres i fortegnelsen over behandlingsaktiviteter.

Modtagere – hvem må se resultatet?

Kun personer, der har brug for resultatet for at kunne handle. For de fleste arbejdspladser betyder det HR-chef + nærmeste leder ved et positivt resultat – ikke hele ledergruppen, ikke økonomiafdelingen, ikke IT-administratoren. MRO-lægen har en separat beskyttet håndtering i henhold til den svenske patientdatalov (Patientdatalagen).

Opbevaring og sletning

Negative resultater kan slettes forholdsvis hurtigt – ofte inden for 6 måneder. Positive resultater kan have behov for at blive opbevaret længere, hvis de fører til tiltag, dog ikke længere end nødvendigt for rehabilitering eller en eventuel retssag. Fastlæg en sletteplan i politikken.

Den registreredes rettigheder

Medarbejderen har ret til at:

• Få information om behandlingen (gennemsigtighed)
• Anmode om indsigt
• Anmode om berigtigelse
• I visse tilfælde anmode om sletning – men ofte begrænset, fordi arbejdsmiljøansvaret har forrang
• Indgive klage til IMY

Databehandler – om laboratoriet

Når I benytter Provsvaret til analyse, behandler vi personoplysninger som databehandler for jer. En databehandleraftale (DPA) er påkrævet og indgår i vores aftale. Vi anvender akkrediterede laboratorier i EU og har strenge tekniske og organisatoriske sikkerhedsforanstaltninger.

Konsekvensanalyse (DPIA)

Narkotikatestning på systemniveau (tilfældige kontroller, alle medarbejdere) anses normalt for at kræve en DPIA. Det er et krav, der ofte overses – planlæg det ind.

Opsummering

GDPR-compliance ved narkotikatestning kræver: retsgrundlag i politikken (ikke samtykke), et klart formål, en snæver modtagerkreds, en fastlagt sletteplan, en fungerende fortegnelse over behandlingsaktiviteter, DPIA og DPA med eksterne databehandlere. Provsvaret hjælper jer med at gennemgå, at alt er på plads – kontakt os for en gennemgang.