Oppdatert på reglene for innsyn i ansatte sin e-post?

[#1]

Arbeidsgivere kan i bestemte situasjoner ha behov for og et ønske om å gjøre innsyn i ansattes e-post og annet elektroniske utstyr. Innsyn i ansattes e-post og private filer er et stort inngrep i den ansattes personvern. Vilkårene for å kreve innsyn er strenge, og det er flere ting arbeidsgiver må passe på.

Reglene

Arbeidsmiljølovens regler om kontrolltiltak setter rammer for hvilke kontrolltiltak arbeidsgiver kan iverksette, mens personvernlovgivningen regulerer den etterfølgende behandlingen av personopplysninger som kontrolltiltaket genererer.

Med hjemmel i aml. § 9-5 er det gitt en egen forskrift om arbeidsgivers innsyn i arbeidstakers e-postkasse og annet elektronisk lagret materiale (forskrift 2. juli 2018 nr. 1108). 

Personvernforordningen gjelder også når arbeidsgiveren vil gjøre innsyn i en ansatt sin e-post eller private filer. Dette innebærer blant annet at arbeidsgiver må fastsette formål og behandlingsgrunnlag etter personvernreglene før det blir gjort innsyn.

Det er verdt å merke seg at det ikke kan avtales eller på andre måter fastsettes vilkår for arbeidsgivers innsyn kontrolltiltak i arbeidstakers e-post som gir arbeidstaker dårligere vern enn etter denne forskriften. Man kan for eksempel ikke ha en generell klausul i et personalreglement der arbeidsgiver til enhver tid gis tilgang til e-posten til de ansatte. 

Arbeidstakers e-postkasse

Med «arbeidstakers e-postkasse» menes den e-postkasse arbeidsgiver har stilt til arbeidstakers disposisjon til bruk i arbeidet ved virksomheten. Reglene gjelder også for arbeidsgivers adgang til innsyn i arbeidstakers personlige område i virksomhetens datanettverk og i andre elektroniske kommunikasjonsmedier eller elektronisk utstyr som arbeidsgiver har stilt til arbeidstakers disposisjon til bruk i arbeidet ved virksomheten, typisk informasjon som tekstmeldinger og annet lagret i mobiltelefon. 

Bestemmelsene gjelder også for innsyn i informasjon som finnes lagret på sikkerhetskopier eller lignende som arbeidsgiver har tilgang til, samt der behandlingen av informasjon skjer ved hjelp av databehandler. 

Generelle e-postkasser som ikke direkte er knyttet til en enkeltperson vil arbeidsgiver ha rett til innsyn i.

Utstyr ment til bruk i arbeidet

Det er en forutsetning at utstyret det gjennomføres innsyn i, er ment for bruk i arbeidet. Dersom utstyret er stilt til arbeidstakers disposisjon for privat bruk, gjelder ikke reglene om arbeidsgivers innsynsrett. 

Innsynsrett gjelder heller ikke utstyr som arbeidstaker selv eier. 

 

I hvilke situasjoner har arbeidsgiver rett til innsyn?

Arbeidsgiver har bare rett til innsyn når;

• det foreligger en berettiget interesse i å gjøre innsyn. Den berettigede interessen må være lovlig, klart definert på forhånd, reell, og saklig begrunnet i virksomheten.
• innsyn må være nødvendig for å forfølge denne interessen.
• arbeidsgiveres interesse må veie tyngre enn personvernulempene et innsyn har for arbeidstakeren (den konkrete interesseavveiningen).

 

Berettiget interesse

E-postforskriften inneholder regler som innebærer at innsyn i ansattes e-postkasse eller private filer bare er lov for følgende interesser:

• Når det er nødvendig for å ivareta driften av virksomheten eller andre berettigede interesser.

«Ivaretakelse av den daglige drift» er relatert til virksomhetens drift, og vil typisk dreie seg om å følge opp virksomhetsrelatert korrespondanse og informasjon. Et behov for å få tilgang til forretningskritisk informasjon, kan utgjøre en tungtveiende interesse for å foreta innsyn. Det samme gjelder innsyn som er nødvendig for å bekrefte eller avkrefte mistanke om alvorlige brudd på arbeidstakerens plikter. 

Forskriften har ingen særlige regler om innsyn ved arbeidstakers fravær. Innsyn kan også være nødvendig for å følge opp virksomhetsrelatert korrespondanse når den ansatte ikke er på jobb (for eksempel på grunn av sykdom eller ferie) og korrespondansen ikke kan følges opp på annen mindre inngripende måte, slik som via automatisk svar med opplysning om hvor e-post skal sendes i fraværet.

For ansatte vil de negative innvirkningene ved innsyn i privat informasjon være atskillig større enn innsyn i virksomhetsrelatert informasjon. Arbeidsgiveren vil normalt ikke ha en berettiget interesse i å foreta innsyn i privat materiale. Praktiske utfordringer med å skille ut slik informasjon bør i størst mulig grad motvirkes i forkant av innsynet, både i form av søkekriterier og kriterier for hvilken korrespondanse som inngår i innsynet.

• Ved begrunnet mistanke om at arbeidstakers bruk av elektronisk lagret materiale medfører grovt brudd på arbeidstakerens plikter. 

At det skal foreligge «en begrunnet mistanke» innebærer at arbeidsgiveren må ha mer enn en løselig antakelse. Arbeidsgiveren må ha konkret informasjon som gir grunn til å tro at e-postkassen kan inneholde opplysninger om slike forhold.

Kravet vil i utgangspunktet være oppfylt dersom det er begrunnet mistanke om at e-postkassen benyttes til å gjennomføre straffbare forhold, slik som at den ansatte laster ned eller videresender barnepornografi eller driver med ulovlig fildeling.

Det samme antas dersom arbeidsgiveren har en begrunnet mistanke om at arbeidstakerens bruk av e-postkassen gir grunnlag for oppsigelse eller avskjed. Det kan for eksempel være hvis man tror at e-postkassen benyttes til trakassering av kolleger, eller til utsending av spam eller e-post med skadelig innhold. Det kan også være ved mistanke om illojale handlinger slik som utsendelse av virksomhetskritisk informasjon.

Kundeinformasjon på e-post

Les mer om regler for å ta imot informasjon fra kunder på e-post

 

Varsles i forkant

Arbeidstaker skal «så langt som mulig» varsles om at innsyn vil bli foretatt, og gis anledning til å uttale seg. Det er med andre ord ikke et absolutt krav om varsling i forkant av et innsyn; varsel kan for eksempel tenkes å unnlates dersom det er nødvendig med innsyn umiddelbart for å ivareta den daglige driften. 

Der arbeidsgiver ikke har varslet den ansatte i forkant, skal den ansatte få en skriftlig underretning i etterkant av at innsynet har funnet sted

For å avhjelpe situasjoner der arbeidsgiver frykter at bevis/informasjon ødelegges eller endres, kan det å speilkopiere spesifikke angitte områder på virksomhetens dataservere være en mulighet. 

 

Være tilstede sammen med tillitsvalgt

Arbeidstaker skal så langt som mulig gis anledning til å være til stede under gjennomføring av innsynet og har da rett til å la seg bistå av tillitsvalgt eller annen representant. 

 

Ved opphør av arbeidsforholdet

Når arbeidsforholdet opphører, skal arbeidstakers e-postkasse mv. avsluttes og innhold som ikke er nødvendig for den daglige driften av virksomheten, slettes innen rimelig tid.

E-postkassen kan holdes åpen en liten periode etter arbeidsforholdets opphør når det foreligger særskilte behov. Datatilsynet legger til grunn at det kan legges inn en fraværsmelding for en kort periode hvor det opplyses hvem som er ny kontaktperson i virksomheten. Arbeidsgiver har ikke innsynsrett i innkommende e-post, med mindre vilkårene for dette er oppfylt, men kan legge inn en fraværsmelding der det for eksempel opplyses om en e-mail der eventuell virksomhetsrelatert informasjon kan sendes.  

Arbeidsgiver skal slette opplysninger i e-postkassen som ikke er nødvendig for daglig drift innen rimelig tid. Arbeidsgiver bør fastsette en slettefrist. Datatilsynet har lagt til grunn at sletting må skje innen seks måneder. Datatilsynet anbefaler også at arbeidsgiver sorterer og sletter e-postinnholdet sammen med den ansatte før arbeidsforholdet avsluttes.

 

Datatilsynet - veileder

Datatilsynet har laget en egen veileder om innsyn i ansattes e-post, den finner du her.