Før en arbeidsgiver åpner en ansatts e-postkasse, bør virksomheten kunne vise hvorfor innsyn er nødvendig, hvilke mindre inngripende alternativer som er vurdert, og hvordan den ansattes rettigheter skal ivaretas. Den praktiske leveransen er en avgrenset beslutning og en gjennomføringsprotokoll. En administrators tekniske tilgang er ikke i seg selv en rett til å lese innholdet.
I Norge må arbeidsgiveren vurdere både personvernforordningen, arbeidsmiljølovens regler om kontrolltiltak og forskriften om arbeidsgivers innsyn i e-postkasse og annet elektronisk lagret materiale. Datatilsynets veiledning om innsyn i e-post og filer forklarer samspillet og hvorfor personlige arbeidskontoer krever en streng vurdering.
Avklar om materialet omfattes av e-postforskriften
Forskriften gjelder blant annet en personlig e-postkasse arbeidsgiver har stilt til arbeidstakerens disposisjon for arbeidet, personlige områder i virksomhetens datanettverk og relevant elektronisk utstyr. Den omfatter også tidligere arbeidstakere. At adressen ikke inneholder den ansattes navn, avgjør ikke alene om den er personlig; faktisk bruk er viktig.
En reelt felles postkasse eller et felles filområde vurderes etter de alminnelige personvernreglene, selv om det faller utenfor forskriftens særregler. Arbeidsgiveren får heller ikke gjennom forskriften en generell rett til innsyn i den ansattes egne private e-posttjenester. Datatilsynets side om forskriftens virkeområde beskriver disse skillene.
Registrer derfor kontoen eller området, hvem som bruker det, hvem som har stilt det til disposisjon, og hvilken type materiale innsynet gjelder. Dersom en chat-tjeneste, mobiltelefon eller sikkerhetskopi inngår, må dette beskrives uttrykkelig. En beslutning om ett avgrenset e-postsøk skal ikke uten videre brukes til å undersøke hele telefonen.
Kontroller vilkårene før IT får oppdraget
Forskriftens innsynsadgang er avgrenset. Innsyn kan vurderes enten når det er nødvendig for daglig drift eller andre berettigede interesser ved virksomheten, eller ved begrunnet mistanke om at bruken innebærer grove pliktbrudd eller kan gi grunnlag for oppsigelse eller avskjed. Det må i tillegg foretas relevante vurderinger etter GDPR og arbeidsmiljøloven.
Datatilsynet beskriver vurderingen av lovlig innsyn med vekt på et konkret behov, nødvendighet og avveining mot inngrepet for arbeidstakeren. En løs mistanke eller at det er praktisk å lese kontoen, er ikke tilstrekkelig. Beslutningsgrunnlaget må forklare hvorfor akkurat dette materialet forventes å være relevant.
Bruk behandlingsgrunnlagsvurderingen og arbeidsløpet for kontrolltiltak. En signert IT-policy er ikke et generelt samtykke til alle fremtidige innsyn. Forhåndsregler på systemnivå og vurderingen av den konkrete saken må henge sammen, men er forskjellige deler av arbeidet.
Undersøk alternativer som kan løse behovet
I en driftssak kan opplysningene finnes i prosjektområdet, hos en kollega eller hos avsenderen. Ved planlagt fravær kan overlevering og fraværssvar hindre at virksomheten senere må lete i en personlig postkasse. Undersøk disse mulighetene konkret og noter resultatet.
Et hypotetisk ingeniørfirma trenger en bestemt kundebekreftelse for å ferdigstille en leveranse. Prosjektlederen finner ikke dokumentet i fellesområdet. Før innsyn vurderes, kan firmaet kontakte kunden for å få bekreftelsen sendt på nytt og undersøke om en annen prosjektmedarbeider mottok samme melding. Hvis dette gir dokumentet innen nødvendig tid, faller behovet for e-postinnsyn normalt bort i det beskrevne scenarioet.
Dersom alternativene ikke løser behovet, skal vurderingen forklare hvorfor. «Den ansatte er borte» sier ikke hva som faktisk er forsøkt eller hvilken tidsmessig konsekvens venting har. Dokumenter relevante fakta uten å fylle beslutningsarket med unødvendige helseopplysninger om fraværet.
Lag en avgrenset beslutning før gjennomføring
En praktisk beslutningsmal kan brukes både når innsyn godkjennes og når konklusjonen er at vilkårene ikke er oppfylt. Følgende utfylte eksempel viser et tenkt driftsbehov som fortsatt må vurderes konkret før gjennomføring:
| Felt | Illustrerende dokumentasjon |
|---|---|
| Behov | Finne kundens godkjenning av leveranseversjon B |
| Materiale | Den aktuelle ansattes personlige arbeids-e-postkasse |
| Alternativer | Fellesområde og andre mottakere kontrollert; kunden har ennå ikke kunnet fremskaffe dokumentet |
| Foreslått avgrensning | Den aktuelle kundens domene, prosjektbetegnelse og et begrenset datointervall |
| Beslutningstaker | Utpekt leder med nødvendig HR- og juridisk støtte |
| Rettigheter | Planlagt varsel, uttalemulighet og deltakelse med representant |
| Stoppunkt | Søket avsluttes når relevant godkjenning er funnet eller avgrensningen er uttømt |
| Etterarbeid | Begrenset prosjektkopi, kontroll av midlertidige filer og skriftlig dokumentasjon |
Tabellen er ikke et vedtak om at innsyn er lovlig. Den viser hvilke fakta og begrensninger beslutningstakeren må ta stilling til. Dersom noen ønsker å utvide søket til andre prosjekter eller ansatte, må det foretas en ny vurdering av det utvidede omfanget.
Varsle og gi en reell mulighet til å bruke rettighetene
Arbeidstakeren skal så langt som mulig varsles og få anledning til å uttale seg før innsynet. Vedkommende skal også så langt som mulig kunne være til stede og har rett til bistand fra tillitsvalgt eller annen representant. Varselet må forklare begrunnelsen og rettighetene. Datatilsynets veiledning om prosedyrekrav understreker at fristene må gi en reell mulighet til å benytte dem.
I praksis bør varselet angi konto, formål, planlagt omfang, tidspunkt og kontaktpunkt. Be om relevante innspill, for eksempel om hvor virksomhetsdokumentet finnes eller hvilke avgrensninger som kan skjerme privat korrespondanse. Ikke be arbeidstakeren utlevere hele sin private mappe for å dokumentere at den er privat.
Et illustrerende varselutdrag kan være: «Vi vurderer et avgrenset søk etter kundens godkjenning av leveranseversjon B i arbeids-e-postkassen din. Vedlagt følger begrunnelsen, foreslåtte søkekriterier og informasjon om rettighetene dine. Du kan gi innspill til avgrensningen og ha med en tillitsvalgt eller annen representant.» Den ferdige teksten må suppleres med den konkrete vurderingen og en realistisk fremgangsmåte for deltakelse.
Vurder manglende forhåndsvarsel og speilkopi særskilt
Unntak fra forhåndsvarsling skal ikke bli en standardformulering i alle saker med mulig pliktbrudd. Hvis virksomheten mener forhåndsvarsel ikke kan gis, må begrunnelsen dokumenteres presist. Det er nødvendig å skille sikring av materiale fra selve lesingen av innholdet.
En speilkopi kan etter Datatilsynets veiledning være relevant ved en reell og konkret fare for manipulering, når vilkårene for innsyn er oppfylt. Den er ikke en fri adgang til å kopiere alt «for sikkerhets skyld». Innsyn i kopien følger også innsynsreglene. Beskriv derfor kopiens omfang, tilgang, sikring, videre bruk og sletting.
Hvis innsyn skjer uten forhåndsvarsel eller uten arbeidstakeren til stede, må vedkommende få skriftlig informasjon så snart innsynet er gjennomført, i samsvar med kravene som gjelder. Den nødvendige dokumentasjonen bør derfor føres samtidig med arbeidet, fremfor å rekonstrueres fra hukommelsen flere uker senere.
Gi IT en instruks som begrenser eksponeringen
Den som utfører innsynet, trenger en godkjent instruks med område, søkeord, periode, deltakere og stoppregler. Generelle administrative rettigheter skal ikke brukes til å utvide omfanget uten beslutning. Hvis et eksternt firma bistår, må rolle, instruks, fortrolighet og nødvendig avtaleverk være avklart.
Datatilsynets råd om selve gjennomføringen fremhever avgrensede søk, få deltakere og skjerming av irrelevant korrespondanse. Materiale som viser seg unødvendig eller irrelevant, skal ikke leses videre; aktuelle kopier må håndteres deretter. Særlig private opplysninger og beskyttet korrespondanse krever oppmerksomhet.
En praktisk teknisk instruks kan angi at søket først viser et begrenset treffgrunnlag, og at dokumenter bare åpnes for å fastslå relevans innenfor formålet. Hvis verktøyet lager omfattende midlertidige eksporter, må disse beskrives og sikres. Ikke kall et bredt uttrekk «avgrenset innsyn» bare fordi sluttmappen inneholder få dokumenter.
Før en protokoll som viser handlingene
En gjennomføringsprotokoll bør registrere tidspunkt, deltakere og roller, brukt metode, faktisk gjennomførte søk, åpnede dokumenter og resultat. Noter avvik fra planen og om arbeidet ble stanset for en ny vurdering. Beskriv tekniske uttrekk eller gjenoppretting dersom dette ble brukt.
Protokollen trenger ikke gjengi alle e-postenes innhold. Bruk entydige referanser som gjør det mulig å identifisere det relevante materialet uten å bygge opp enda en full kopi. Skill nødvendig dokumentasjon av gjennomføringen fra materialet som eventuelt inngår i den videre driftssaken eller personalsaken.
Knytt tekniske spor til rutinen for sikkerhetslogger, med avgrenset tilgang. En full oversikt over hvem som leste hvilke private meldinger, kan selv være en sensitiv saksopplysning. Det at noe dokumenterer en kontroll, gjør ikke bred intern deling nødvendig.
Håndter uenighet og uventede funn underveis
Hvis arbeidstakeren bestrider at et dokument er relevant, bør innsigelsen og den videre beslutningen registreres. Den som leder gjennomføringen, må kunne stanse arbeidet mens spørsmålet vurderes. Det er uheldig å fortsette å lese alt materialet bare fordi de tekniske deltakerne allerede er samlet. Et forhåndsavklart stoppunkt gjør denne situasjonen enklere å håndtere.
Et uventet funn gir heller ikke automatisk adgang til å starte en ny undersøkelse. Avklar hva som er observert uten å spre innholdet, og vurder formål, grunnlag og nødvendig prosedyre for eventuell videre behandling. Protokollen bør skille det opprinnelige oppdraget fra en senere beslutning. Hvis videre behandling ikke har grunnlag, skal materialet ikke beholdes som en generell reserve for fremtidige personalsaker.
Avslutt saken og forebygg nytt behov
Den ansatte skal få den informasjonen som kreves om begrunnelse, rettigheter, metode, åpnede dokumenter og resultat i de situasjonene der etterfølgende informasjon gjelder. Også ellers bør virksomheten ha et klart og dokumentert avslutningspunkt. Kontroller at midlertidige tilganger, kopier og eksterne arbeidsområder er håndtert etter formålet og gjeldende behov.
Vurder om driftsproblemet skyldtes svak overlevering eller feil plassering av arbeidsinformasjon. IT-reglementet kan forklare hvor virksomhetsdokumenter skal lagres og hvordan fravær håndteres. Personverninformasjonen for ansatte bør beskrive relevante behandlinger og kontrollordninger, slik at forventningene er tydelige før en konkret sak oppstår.
Automatisk videresending av all e-post bør ikke brukes som generell erstatning for en overleveringsrutine. En avgrenset innsynsvurdering gir heller ikke tillatelse til løpende overvåking. Ved fratreden må virksomheten håndtere avslutning av kontoen og innholdet etter relevante regler, uten å la tilgang bli stående på ubestemt tid.
Sluttdokumentasjonen bør vise hva som ble besluttet, hva som faktisk ble gjort, hvilke rettigheter som ble ivaretatt og hvorfor eventuelle opplysninger fortsatt må beholdes. Dokumentasjon av ansvarlighet er da et spor av konkrete vurderinger og handlinger som kan etterprøves, ikke bare en generell erklæring om at innsynet var nødvendig.