GDPR-etterlevelse

Personvernforordningen er grunnlaget for hvordan vi behandler personopplysninger. Justparity er bygd etter prinsippet om innebygd personvern, og vi følger prinsippene i forordningen i alt fra arkitektur til daglig drift. I Norge gjelder forordningen som norsk lov gjennom personopplysningsloven (LOV-2018-06-15-38), som gjennomfører den etter at den ble innlemmet i EØS-avtalen.

Innebygd personvern (privacy by design). Personvern er tenkt inn fra starten. Arkitekturen vår er laget for å redusere risiko og beskytte personopplysninger.

Dataminimering. Vi samler bare inn de opplysningene som er nødvendige for å levere tjenesten. Ikke mer, ikke mindre.

Formålsbegrensning. Opplysninger brukes bare til de formålene de ble samlet inn til. Vi selger aldri opplysninger til tredjeparter.

Rett til sletting. Den registrerte har rett til å få personopplysningene sine slettet. Vi har rutiner som håndterer dette effektivt.

Dataportabilitet. Den registrerte kan få en kopi av opplysningene sine i et strukturert og maskinlesbart format. Eksport er tilgjengelig direkte i plattformen.

Tilgangsstyring. Streng rollebasert tilgangsstyring sikrer at bare autoriserte personer kan se personopplysninger.

Nedenfor er en oversikt over kategoriene av personopplysninger vi behandler i arbeidet med lønnsåpenhet.

Opplysninger om brukere

• navn og e-postadresse til brukerne av systemet
• rolle og tilganger i systemet
• innloggingshistorikk og aktivitetslogg

Behandlingsgrunnlag: oppfyllelse av avtale (artikkel 6 nr. 1 bokstav b). Just Parity ApS er behandlingsansvarlig for disse opplysningene.

Opplysninger om ansatte

• navn og ansattnummer
• stilling, avdeling og nærmeste leder
• ansettelsesdato

Behandlingsgrunnlag: rettslig plikt (artikkel 6 nr. 1 bokstav c) der kunden som behandlingsansvarlig er underlagt en lovpålagt plikt til å kartlegge lønnsforholdene. For virksomheter underlagt norsk rett følger plikten av likestillings- og diskrimineringsloven (LOV-2017-06-16-51). Etter § 26 skal offentlige virksomheter, og private virksomheter med mer enn 50 ansatte, kartlegge lønnsforholdene fordelt etter kjønn annethvert år. Har virksomheten mellom 20 og 50 ansatte, inntrer plikten når en av arbeidslivets parter i virksomheten krever det. Etter § 26 a skal virksomheten gjøre rede for arbeidet hvert år, og resultatet av lønnskartleggingen skal framgå i anonymisert form. Likelønnsregelen står i § 34.

EUs lønnstransparensdirektiv (EU) 2023/970 er merket EØS-relevant, men er foreløpig ikke innlemmet i EØS-avtalen. Det gjelder derfor ikke som norsk rett, og fristen 7. juni 2026 for EUs medlemsstater gjelder ikke for Norge. Direktivet er nevnt her fordi kunder med datterselskaper i EU allerede er omfattet av det der, og fordi plattformen støtter begge regelsettene.

For opplysninger om ansatte er kundens virksomhet behandlingsansvarlig, og Just Parity ApS er databehandler. Behandlingsansvarlig svarer for at behandlingsgrunnlaget foreligger.

Lønnsopplysninger og særlige kategorier

Lønnsopplysninger behandles som alminnelige personopplysninger (artikkel 6). Behandlingen kan likevel omfatte opplysninger som faller inn under særlige kategorier (artikkel 9):

• fagforeningsmedlemskap, som indirekte kan framgå av importerte lønnsdatasett

Kjønn er selve kriteriet i kartleggingen av lønnsforskjeller. Kjønn står ikke i den uttømmende oppregningen i artikkel 9 nr. 1, og er derfor en alminnelig personopplysning som vi behandler etter artikkel 6 nr. 1 bokstav c for å oppfylle plikten til lønnskartlegging fordelt etter kjønn i likestillings- og diskrimineringsloven § 26. Vi omgir den likevel med de samme skjerpede sikkerhetstiltakene som opplysninger etter artikkel 9.

Behandlingsgrunnlag for opplysninger etter artikkel 9: artikkel 9 nr. 2 bokstav b, altså plikter på arbeidsrettens område. For virksomheter underlagt norsk rett er det pliktene i likestillings- og diskrimineringsloven som åpner bestemmelsen.

Fødselsnummer og andre entydige identifikasjonsmidler behandles ikke som opplysninger etter artikkel 9. Fra tilknyttede lønnssystemer kan vi motta nasjonale identifikasjonsnumre, for eksempel norsk fødselsnummer eller dansk CPR-nummer. Nummeret brukes utelukkende til sikker identifisering av den ansatte på tvers av lønnsimporter og til teknisk å utlede kjønn. Nummeret lagres ikke.

Etter personopplysningsloven § 12 kan fødselsnummer og andre entydige identifikasjonsmidler bare behandles når det er saklig behov for sikker identifisering, og metoden er nødvendig for å oppnå slik identifisering. Behandlingsansvarlig, altså kunden, svarer for at vilkåret er oppfylt, og for grunnlaget for overføringen til oss.

Kjønn og fødselsdato lagres i egne tabeller med ekstra sikring og streng tilgangsstyring. Fødselsnummer lagres ikke, men kan mottas midlertidig for å utlede kjønn.

Vi respekterer og legger til rette for alle rettighetene etter personvernforordningen. Vi svarer uten ugrunnet opphold og senest én måned etter at vi mottok henvendelsen (artikkel 12 nr. 3). Er henvendelsen kompleks, eller kommer det flere henvendelser, kan fristen forlenges med inntil to måneder, og du får i så fall beskjed om det innen den første måneden.

• Rett til innsyn (artikkel 15). Den registrerte kan be om en kopi av personopplysningene sine.
• Rett til retting (artikkel 16). Den registrerte kan kreve at uriktige personopplysninger rettes.
• Rett til sletting (artikkel 17). Den registrerte kan kreve opplysningene sine slettet, med mindre en rettslig plikt er til hinder for det.
• Rett til dataportabilitet (artikkel 20). Den registrerte kan få opplysningene sine i et maskinlesbart format.
• Rett til begrensning av behandlingen (artikkel 18). Den registrerte kan i visse tilfeller kreve at behandlingen begrenses.
• Rett til å protestere (artikkel 21). Den registrerte kan protestere mot behandling som bygger på berettiget interesse.
• Rett til å trekke tilbake et samtykke (artikkel 7 nr. 3). Bygger behandlingen på samtykke, kan samtykket når som helst trekkes tilbake. Det påvirker ikke lovligheten av behandlingen som ble gjort før samtykket ble trukket tilbake.
• Rett til å klage til tilsynsmyndigheten (artikkel 77). Den registrerte kan bringe saken inn for tilsynsmyndigheten.

For opplysninger der Justparity er databehandler, altså opplysninger om ansatte som kunden har lastet opp i plattformen, skal henvendelsen rettes til behandlingsansvarlig, det vil si den virksomheten som lastet dem opp. Vi gjennomfører henvendelsen etter instruksen fra behandlingsansvarlig. For øvrige opplysninger, der Just Parity ApS selv er behandlingsansvarlig, kan du bruke rettighetene dine ved å kontakte contact@justparity.com.

Klageadgang. Mener du at personopplysninger blir behandlet i strid med regelverket, kan du klage til Datatilsynet i Norge.

Datatilsynet opplyser selv at de ikke gir veiledning i enkeltsaker på e-post, fordi vanlig e-post normalt er ukryptert. Bruk derfor telefon eller skjemaene på nettstedet deres.

Just Parity ApS er etablert i Danmark. Etter artikkel 56 er det danske Datatilsynet derfor ledende tilsynsmyndighet for vår egen behandling. Du kan uansett alltid klage til Datatilsynet i Norge etter artikkel 77, og saken blir håndtert gjennom samarbeidet mellom tilsynsmyndighetene.

• Personvernerklæring, hvordan vi behandler personopplysninger på justparity.com og i plattformen.
• Databehandleravtale, standard avtalevilkår etter artikkel 28.
• Erklæring om informasjonskapsler, hvilke informasjonskapsler vi setter, og hvordan du styrer dem.
• Forretningsvilkår, vilkårene for bruk av plattformen.

Har du spørsmål om hvordan vi behandler personopplysninger, eller vil du bruke rettighetene dine? Fyll ut skjemaet nedenfor.