HR-system i offentlig virksomhet: anskaffelse, personvern og arkiv

Hvorfor offentlige virksomheter må anskaffe HR-system annerledes

Et privat firma kan i store trekk velge HR-system etter eget skjønn. En offentlig virksomhet må følge regler for hvordan leverandøren velges, hvordan ansattdata behandles og hvordan dokumentasjon bevares. Store norske leksikon beskriver at anskaffelsesloven regulerer offentlige anskaffelser og gjør EUs anskaffelsesdirektiver til norsk rett, og at loven utfylles av forskrifter som sier nærmere hvordan en anskaffelsesprosess skal gjennomføres.

Et HR-system samler vanligvis personalopplysninger, lønnsgrunnlag, fravær, rekruttering og kompetanse. Det betyr at valget påvirker flere regelverk samtidig: anskaffelsesreglene styrer selve kjøpet, personvernreglene styrer hva som kan registreres og hvem som får se det, og arkivreglene avgjør hva som må bevares. Disse tre må ses i sammenheng fra første dag, ikke ryddes opp i etter at kontrakten er signert.

Terskelverdier og enkelte detaljer i forskriftene endres, og må kontrolleres mot aktuell versjon før konkurransen utlyses. For en bredere oversikt over markedet kan HR-teknologi i Norge være et utgangspunkt.

Kartlegg behov før du går til markedet

God kravspesifikasjon starter med en kartlegging av dagens prosesser. Beskriv hvordan ansettelse, endringer i arbeidsforhold, fravær, reiseregning, kompetanseoppfølging og avslutning av arbeidsforhold faktisk foregår i dag, og hvor det oppstår dobbeltregistrering eller manuelle rutiner. Det er ofte her de viktigste kravene dukker opp, og her uønskede regneark og e-postkjeder blir synlige.

Kartlegg også hvem som skal bruke systemet: HR-rådgivere, ledere med personalansvar, lønnsmedarbeidere og alle ansatte i selvbetjening. Hver gruppe har ulike behov for tilgang, og forskjellene bør beskrives som roller. Til slutt må integrasjoner kartlegges, blant annet mot lønn, regnskap, rekruttering og eventuelt sak- og arkivsystem.

Involver tidlig både HR, IT, innkjøp, personvernombud og arkivansvarlig. Nav er et eksempel på en stor offentlig virksomhet med egen anskaffelsesstrategi. Ifølge Nav skal virksomheten sikre at det stilles riktige sikkerhets- og personvernkrav, både ved kjøpet og i hele kontraktens levetid.

Skill mellom tre typer krav. Absolutte minimumskrav må oppfylles for at tilbudet skal bli vurdert. Vurderingskrav gir fordeler i evalueringen. Ønsker uten betydning for kjøpet bør utelates, siden for mange krav gjør konkurransen tung og kan utelukke leverandører uten god grunn.

Anskaffelsesloven og forskriftene: hva gjelder for deg

Anskaffelsesloven gjelder offentlige oppdragsgivere og andre som loven omfatter. Store norske leksikon oppgir at regelverket går lenger enn EU-direktivene og har egne regler også for anskaffelser under EUs terskelverdier. Hvor grensene går i dag, bør du ikke hente fra en leksikonartikkel, men fra gjeldende forskrift og statlige veiledere, siden beløpene justeres jevnlig.

Etter anskaffelsesloven § 1 er formålet å fremme effektiv og bærekraftig bruk av samfunnets ressurser, og loven skal bidra til at det offentlige ivaretar sikkerhets- og beredskapshensyn og opptrer på en tillitvekkende måte. Denne formålsbestemmelsen gjelder fra 1. juli 2026.

Etter § 4 skal oppdragsgiveren fortsatt opptre i samsvar med grunnleggende prinsipper om konkurranse, likebehandling, forutberegnelighet, etterprøvbarhet og forholdsmessighet. Paragrafen skal oppheves ved lov 6. mars 2026 nr. 8, men først fra et tidspunkt Kongen bestemmer. Disse prinsippene er fortsatt en nyttig huskeregel for praktisk arbeid: konkurranse skal reelt finne sted, alle leverandører skal behandles likt, reglene skal være kjent på forhånd, og valg skal kunne dokumenteres.

Sjekk derfor alltid hvilken versjon av loven og forskriftene som gjelder på kunngjøringstidspunktet, og la innkjøpsavdelingen eller en jurist bekrefte hvilken forskriftsdel anskaffelsen faller under.

Velg prosedyre og gjennomfør konkurransen

Valg av prosedyre avhenger av anskaffelsens verdi og hvor godt behovet kan beskrives. Når kravene er klare og produktene sammenlignbare, passer en åpen eller begrenset konkurranse. Når løsningen er kompleks og leverandørene må være med på å utforme den, kan konkurranse med forhandling være aktuelt, hvis forskriften tillater det. Hvilke prosedyrer du kan bruke i ditt tilfelle, avgjøres av forskriften som gjelder for anskaffelsen.

Kunngjøring skjer i Doffin. Statens vegvesen beskriver på sine sider at Doffin er den nasjonale kunngjøringsdatabasen for offentlige anskaffelser, og at databasen viser konkurranser der tilbudsfristen eller fristen for å søke om å delta ikke er passert.

Vurder om det finnes en eksisterende rammeavtale du kan avrope fra, for eksempel en statlig avtale, før du kjører en egen konkurranse. Det kan spare tid, men kravene i avtalen må likevel passe dine behov. Gå gjennom hva avtalen faktisk dekker av funksjoner, integrasjoner og vilkår for personvern og arkiv, og ikke anta at et kjent navn oppfyller dine krav.

Sett realistisk tid til hele prosessen: behovskartlegging, kravspesifikasjon, kunngjøring, tilbudsfrist, evaluering, tildeling og kontraktsinngåelse. Små tidsfrister gir dårligere tilbud og flere spørsmål underveis.

Krav, tildelingskriterier og evaluering

Kvalifikasjonskrav gjelder leverandøren, for eksempel økonomisk stilling, referanser og kompetanse. Minimumskrav gjelder løsningen. Tildelingskriterier avgjør hvilket tilbud som vinner. Vanlige kriterier er pris og kvalitet, og for et system som skal brukes i mange år bør samlede kostnader over løpetiden vurderes, ikke bare lisensprisen. Husk kostnader til implementering, opplæring, integrasjoner, endringer og utfasing.

Kriteriene og vektingen må være kjent for leverandørene i konkurransegrunnlaget.

Gjør evalueringen i flere trinn: først en gjennomgang av om tilbudene oppfyller minimumskravene, deretter en poengsetting av hvert kriterium av flere personer som først vurderer hver for seg og så samkjører. Demonstrasjon av løsningen kan være en del av evalueringen, men da må opplegget og vurderingen være beskrevet i konkurransegrunnlaget.

Store norske leksikon oppgir at brudd på regelverket som hovedregel fører til avtaleugyldighet.

Personvern og ansattdata i HR-systemet

Personvernforordningen (GDPR) gjelder i Norge som lov. Etter personopplysningsloven § 1 gjelder forordningen som lov med de tilpasningene som følger av EØS-avtalen. Et HR-system behandler personopplysninger om alle ansatte, ofte også om søkere og tidligere ansatte, så reglene gjelder i full bredde.

HR-data inneholder ofte opplysninger som regnes som særlige kategorier, for eksempel helse i forbindelse med sykefravær og fagforeningsmedlemskap. Etter personopplysningsloven § 6 kan slike opplysninger behandles når det er nødvendig for å gjennomføre arbeidsrettslige plikter eller rettigheter. Det er et snevert vilkår: systemet bør ikke ha felt for helseopplysninger som ikke trengs for en konkret plikt. Mer om hva ansatte kan kreve innsyn i står i GDPR-rettigheter i Norge.

Når en leverandør driver systemet og lagrer data på virksomhetens vegne, er leverandøren databehandler, og virksomheten må ha en avtale som regulerer behandlingen. Nav viser hvordan dette kan beskrives: virksomheten inngår avtaler med leverandørene som regulerer hvordan de behandler personopplysninger på vegne av Nav, slik at opplysningene ikke kan brukes til andre formål enn det som er avtalt.

Vurder en personvernkonsekvensvurdering før systemet tas i bruk, særlig hvis det skal brukes til analyse, overvåking eller omfattende profilering av ansatte. Kravspesifikasjonen bør stille krav til tilgangsstyring etter rolle, sletterutiner, hvor data lagres og hvilke underleverandører som har tilgang.

Involver personvernombudet tidlig. Nav opplyser at personvernombudet kan gi råd og veiledning om behandlingen av personopplysninger. For analyse av ansattdata, se People Analytics i offentlig sektor.

Informasjonssikkerhet og skytjenester

De fleste moderne HR-systemer leveres som skytjeneste. Arkivverket skriver at slike løsninger ofte tilbys som software as a service, og at skyløsninger er «eviggrønne», slik at leverandøren løpende gjør oppgraderinger og endringer. Virksomheten bør følge med på endringene og aktivt overvåke hvordan de kan påvirke bruken, integrasjoner og lokale tilpasninger.

Sikkerhet må beskrives som konkrete krav. Et grunnleggende krav er ifølge Arkivverket at løsningen støtter virksomhetens retningslinjer for informasjonssikkerhet og tilgangsstyring, slik at dokumenter og metadata bare kan åpnes, endres, slettes eller hentes ut av brukere med rett autorisasjon. Krev også at endringer og oppslag logges, og at virksomheten selv kan hente ut loggene.

Nav beskriver praksisen i sin personvernerklæring: ansatte får tilgang etter streng tilgangskontroll, og oppslag og endringer logges og kan spores i ettertid. Det er et godt mål for et HR-system, der få ansatte skal se lønn eller sykefravær, og der misbruk av tilgang må kunne avdekkes.

Spør leverandøren hvor data lagres, hvilke underleverandører som brukes, og hva som skjer med dataene ved oppsigelse av avtalen. Er virksomheten omfattet av sikkerhetsloven eller andre sikkerhetskrav, må dette vurderes før tilbudsinnbydelsen sendes. Lov om offentlige anskaffelser skal ifølge anskaffelsesloven § 1 også bidra til at det offentlige ivaretar sikkerhets- og beredskapshensyn.

Arkivplikt og dokumentasjon av personalsaker

Offentlige virksomheter har arkivplikt. Nav skriver i sin personvernerklæring at de har en lovpålagt plikt etter arkivloven til å oppbevare opplysninger også etter at saksbehandlingen er avsluttet. Det betyr at et HR-system ikke bare kan slette ting fordi de ikke lenger trengs i det daglige, og at ansattes sletteønsker må vurderes opp mot arkivplikten.

Spørsmålet er hva som er arkivverdig dokumentasjon i HR-systemet og hvor den skal ligge. Arkivverket peker på at overføring til et dedikert arkivsystem sikrer at dokumentasjonen kan forvaltes i et etablert miljø med metoder for blant annet kvalitetssikring og arkivuttrekk. Overføringen kan skje manuelt eller via en integrasjon, og valget kan avhenge av mengde, kompleksitet og ressurser.

Overføring betyr at samme informasjon finnes i to systemer. Arkivverket anbefaler derfor en retningslinje for hva som regnes som «master» ved avvik, og tiltak som tekniske sperrer eller merking av arkiverte versjoner.

Sletting og arkivuttrekk skal ifølge Arkivverket gjøres i tråd med virksomhetens regler for bevaring og kassasjon. Det gjelder også ved utfasing og migrering til et annet system. Avtalen bør si hvordan informasjonen skal leveres tilbake til virksomheten når tjenesten opphører, og løsningen må kunne gi arkivuttrekk der dokumentene følges av metadata.

Funksjoner et offentlig HR-system bør dekke

Funksjonsbehovet avhenger av virksomhetens størrelse, men de fleste trenger personaladministrasjon med arbeidsavtaler og endringer, fraværsregistrering, rekruttering, onboarding og avslutning, kompetanse og medarbeidersamtaler, og selvbetjening der ansatte oppdaterer egne opplysninger. I tillegg kommer rapportering for ledere og HR. Mal for oppfølgingssamtaler finnes i medarbeidersamtale-malen.

Lønn er enten en del av systemet eller en integrasjon mot et eget lønnssystem. Statlige virksomheter bør undersøke om DFØs tjenester for lønn og HR dekker behovet før de kjøper selv. Omfanget av slike tjenester må avklares direkte med DFØ.

Vær kritisk til funksjoner som innebærer analyse av ansattdata. De kan være nyttige, men utløser krav til behandlingsgrunnlag og vurdering av personvernkonsekvenser, og bør ikke velges bare fordi leverandøren viser dem frem i en demo. Spør også hva som er standardfunksjon, hva som er tilpasning, og hva som koster ekstra.

Integrasjoner er ofte der prosjekter går skeis. Be om beskrivelse av grensesnitt og hvem som har ansvaret når to systemer ikke snakker sammen, og test dem med reelle data før godkjenning.

Lovendringer i 2026 og oppfølging av leverandøren etter kontrakt

Anskaffelsesloven er endret ved lov 6. mars 2026 nr. 8, og flere av endringene trådte i kraft 1. juli 2026. Formålsbestemmelsen sier nå at loven skal fremme effektiv og bærekraftig bruk av samfunnets ressurser, og at bærekraft omfatter økonomisk, sosial og miljømessig bærekraft. Loven skal også bidra til at det offentlige ivaretar sikkerhets- og beredskapshensyn og opptrer på en tillitvekkende måte.

Virksomheter som har brukt eldre maler og kravdokumenter bør derfor kontrollere at henvisningene til lovparagrafer stemmer med teksten som gjelder i dag. Sjekk også hvilken lovtekst en konkurranse som ble kunngjort før endringene trådte i kraft, skal vurderes etter.

Formålet i anskaffelsesloven § 1 nevner sikkerhets- og beredskapshensyn, og det er relevant for et HR-system som inneholder opplysninger om alle ansatte. Det kan være lurt å stille konkrete sikkerhetskrav allerede i konkurransegrunnlaget i stedet for å la dem komme inn først i kontraktsforhandlingene. Nav viser til dette i sin anskaffelsesstrategi, som Nav opplyser gjelder fra 2026. I strategien, som Nav opplyser gjelder fra 2026, står det at kravene til sikkerhet og personvern skal være riktige både ved selve kjøpet og så lenge kontrakten løper. Samme strategi nevner at Nav gjennomfører anskaffelser etter standardiserte prosesser med god internkontroll.

Tanken om å se på hele livsløpet til en kontrakt er nyttig også for HR-systemer. Etter at kontrakten er signert, bør noen i virksomheten ha ansvar for å følge opp leverandørens leveranser, endringer og underleverandører. Nav skriver at leverandørene bindes gjennom avtaler som regulerer hvordan de behandler personopplysninger på vegne av virksomheten, slik at opplysningene ikke kan brukes til andre formål enn det som er avtalt. En slik avtalefestet begrensning bør følges opp med jevnlige gjennomganger, og den bør være like tydelig i en HR-kontrakt.

Praktiske råd: slik går du frem

Følgende steg gir en trygg fremdrift gjennom anskaffelsen.

Mange problemer i HR-prosjekter skyldes forhold som kunne vært avklart før konkurransen. Nav oppsummerer i sin strategi at de vil gjennomføre anskaffelser etter standardiserte prosesser med god internkontroll, og at de vil sikre krav til sikkerhet og personvern gjennom hele kontraktens livsløp. Samme tankegang gjelder for et HR-system som skal brukes i årevis.

• Kartlegg prosesser, brukere og integrasjoner før du skriver krav.
• Involver HR, IT, innkjøp, personvernombud og arkiv fra start.
• Sjekk gjeldende lovtekst og forskrift, og om en eksisterende rammeavtale dekker behovet.
• Skill minimumskrav fra vurderingskriterier og hold kravene realistiske.
• Legg databehandleravtale, krav til logging og arkivuttrekk ved i konkurransegrunnlaget.
• Dokumenter evalueringen underveis og overhold karensperioden.
• Følg opp kontrakten etter signering, også når leverandøren endrer skyløsningen.
• Planlegg opplæring, eierskap til data og utfasing fra første dag.