Når en medarbejder fratræder, skal virksomheden adskille personens adgang, fortsat modtagelse af arbejdsmail og opbevaring af nødvendig korrespondance. Det er tre forskellige beslutninger. En postkasse kan have et kortvarigt driftsbehov, uden at den tidligere medarbejder fortsat skal kunne logge ind, og uden at hele ledelsen skal kunne læse indholdet.
Datatilsynets retningslinjer tager udgangspunkt i så kort en aktiv periode som muligt og som udgangspunkt højst 12 måneder, vurderet efter stilling og funktion. Perioden er ikke en standardret til et helt års adgang. Her gennemgås dansk praksis med en udfyldt afviklingsplan, autosvar og kontrol af private beskeder.
De centrale danske retningslinjer
Datatilsynets vejledning om ansættelsesforhold beskriver tidligere medarbejderes konti i afsnit 5.4. Den aktive konto skal begrænses til den nødvendige periode, have autosvar og kun bruges til modtagelse. Private beskeder kan dog videresendes til den tidligere medarbejders private adresse.
Kun en enkelt eller ganske få betroede personer bør have adgang. Den personlige adresse bør hurtigst muligt fjernes fra hjemmeside og andre offentlige informationssteder. Oplysningspligt og øvrige rettigheder gælder fortsat. Vejledningen angiver også, at konti for fristillede ansatte håndteres efter samme principper.
Datatilsynets aktuelle side om ansættelsesforhold omtaler retningslinjerne og deres udgangspunkt, medmindre andet er aftalt mellem parterne. En aftale bør dog ikke forstås som en generel adgang til at tilsidesætte GDPR, nødvendighed eller beskyttelsen af privat korrespondance.
Det relevante behandlingsgrundlag skal vurderes. En privat arbejdsgiver kan efter omstændighederne have en legitim interesse i at modtage nødvendig virksomhedsrelevant post, mens en offentlig arbejdsgiver har andre relevante grundlag. Beskriv behov og hensyn konkret, jf. valg af grundlag efter artikel 6.
Luk brugeradgangen og vurder postmodtagelsen særskilt
Fratræden kræver en plan for konti, aktive sessioner, enheder og delegerede adgange. Virksomheden bør ikke nøjes med at ændre en adgangskode og antage, at alle adgange dermed er ophørt. Undersøg den konkrete tjenestes sessioner, appadgange og gendannelsesmuligheder.
Den tidligere medarbejders personlige login skal ikke udleveres til efterfølgeren. Brug en administreret adgang, der viser, hvem der faktisk har åbnet postkassen. Dermed kan virksomheden skelne mellem den tidligere medarbejders handlinger og den betroede medarbejders efterfølgende arbejde.
Fortsat modtagelse betyder heller ikke, at efterfølgeren skal sende mails under den fratrådtes identitet. Arbejdsrelaterede svar gives fra en aktuel medarbejder eller relevant funktionsadresse med tydelig afsender. Undtagelsen om videresendelse af private beskeder skal ikke udvides til almindelig udgående drift fra den gamle konto.
Udfyldt eksempel: seks ugers afvikling
Den fiktive virksomhed Engdrift har en projektkoordinator, Lea, som fratræder den 8. september 2026. Hun har seks aktive projekter. De vigtigste dokumenter og kontaktpunkter overdrages før fratrædelsen, men virksomheden forventer enkelte leverandørbekræftelser på hendes personlige arbejdsadresse i de følgende uger.
Virksomheden vælger i eksemplet seks ugers fortsat modtagelse med en kontrol efter to uger. Perioden bygger på de identificerede projekter og forventede svar. Det er et konkret valg, ikke en generel dansk seksugersregel. Hvis behovet ophører før, lukkes modtagelsen tidligere.
| Opgave | Udfyldt beslutning i Engdrift |
|---|---|
| Medarbejderens adgang | Personligt login og relevante aktive adgange afvikles ved fratrædelsen |
| Formål med midlertidig modtagelse | Modtage resterende projektbekræftelser og henvise afsendere til ny kontakt |
| Betroet adgang | Projektlederen Martin; én navngiven stedfortræder ved nødvendigt fravær |
| Planlagt afslutning | 20. oktober 2026, med mulighed for tidligere lukning |
| Første kontrol | 22. september: hvilke relevante henvendelser kommer stadig ind? |
| Udgående arbejdsmail | Besvares fra Martins aktuelle konto eller projektets funktionsadresse |
| Private beskeder | Håndteres afgrænset efter den oplyste procedure; indhold læses ikke |
| Opbevaring | Nødvendige projektbeskeder placeres på de relevante sager; resten vurderes til sletning |
Lea får information om formål, periode, adgang og den praktiske håndtering. Projektlederens instruktion angiver de seks konkrete projekter. Formuleringen »sikre kontinuitet« udvides dermed ikke til en åben gennemgang af alt, Lea har skrevet gennem flere års ansættelse.
Et autosvar skal henvise uden at afsløre mere end nødvendigt
Et brugbart autosvar i eksemplet lyder: »Lea arbejder ikke længere hos Engdrift. Denne adresse modtager midlertidigt henvendelser under afviklingen. Vedrører din besked et igangværende projekt, bedes du kontakte virksomhedens projektfunktion via den oplyste kontaktvej. Send ikke nye fortrolige oplysninger til denne adresse.« Den konkrete virksomhed skal indsætte en fungerende kontaktvej.
Autosvaret behøver normalt ikke forklare årsagen til fratrædelsen, en eventuel konflikt, sygdom eller den nye arbejdsplads. Det skal hjælpe afsenderen videre. En automatisk besked med unødvendige personaleforhold kan skabe en ny videregivelse til enhver, der skriver til adressen.
Kontrollér, at autosvaret virker for eksterne afsendere og ikke blot for interne testbeskeder. Undersøg også eventuelle regler, der sender kopier videre uden for den valgte adgangsordning. En gammel videresendelse kan ellers fortsætte, selv om den almindelige postkasseadgang er begrænset.
Fjern adressen ved kilden
Engdrift ændrer kontaktoplysninger på hjemmesiden, i projektportalen, i standardsignaturer og i de aktuelle leverandørkontakter. Virksomheden beder også relevante samarbejdspartnere bruge projektets fælles kontakt fremover. Formålet er at reducere behovet for den gamle personlige adresse.
En liste over de seks projekter viser, hvem der er orienteret, og hvilke åbne henvendelser der stadig mangler. Hvis alle væsentlige afsendere allerede bruger den nye kontakt efter to uger, skal virksomheden undersøge, om den gamle modtagelse kan afsluttes før den planlagte dato.
Et års standardvideresendelse uden aktiv flytning af kontaktpunkter arbejder i modsat retning: den bevarer afhængigheden af den fratrådtes konto. Brug kortlægning af systemer og afhængigheder til også at finde systemnotifikationer og leverandørkonti, som er knyttet til adressen.
Private e-mails skal beskyttes
Datatilsynets retningslinjer giver ikke arbejdsgiveren adgang til at læse private e-mails som led i gennemgangen. Et privat indhold bliver ikke automatisk arbejdsmæssigt, fordi det ligger på virksomhedens server. Beskyttelsen bør indgå i både informationen til medarbejderen og instruktionen til den betroede person.
I eksemplet modtager Martin en besked med en tydeligt privat emnelinje. Han læser ikke indholdet for at afgøre, om det alligevel kunne være interessant for virksomheden. Den kendte procedure bruges til at håndtere beskeden og eventuel videresendelse til Leas oplyste private kontakt.
Undgå en automatisk videresendelse af hele postkassen til Lea. Den kan afsløre nye kundesager og virksomhedsoplysninger, som hun ikke længere skal have adgang til. Omvendt skal alle hendes private beskeder heller ikke havne ukontrolleret i en fælles projektindbakke.
Hvis privat karakter først bliver tydelig ved åbning, skal medarbejderen standse læsningen og følge den afgrænsede procedure. En dokumentation af hændelsen skal ikke gengive det private indhold. Regler om brevhemmelighed og andre relevante krav skal respekteres ved siden af databeskyttelsesreglerne.
En driftsadgang må ikke glide over i personalekontrol
Martin opdager et stort antal gamle beskeder og overvejer at gennemgå dem for at se, om Lea »arbejdede effektivt«. Det er ikke det formål, som begrundede seks ugers modtagelse af projektbekræftelser. Den foreslåede gennemgang standses og vurderes særskilt, hvis virksomheden mener at have en konkret grund.
En egentlig kontrol eller undersøgelse kræver sit eget grundlag, nødvendighed, afgrænsning og relevante information. Brug guiden til medarbejderkontrol i Danmark. En fratræden er ikke en automatisk anledning til at gennemlæse en hel historisk postkasse.
Hvis oplysninger skal bruges til et nyt formål, bliver formålsbegrænsning også relevant. En teknisk mulighed for at søge efter ord i gamle mails er ikke i sig selv en beslutning om, at søgningen er lovlig eller nødvendig.
Flyt nødvendige sager og luk resten
Postkassen er ikke nødvendigvis det rette langsigtede arkiv for projektmateriale. Engdrift flytter de nødvendige bekræftelser til deres konkrete projektsager, hvor adgang og opbevaring følger den relevante opgave. Virksomheden kopierer ikke hele indbakken til en ny medarbejders konto som en enkel arkivløsning.
Forskellige beskeder kan have forskellige opbevaringsbehov. Et nødvendigt aftaledokument kan stå anderledes end en mødeinvitation, et nyhedsbrev eller privat korrespondance. At den aktive postmodtagelse lukkes, betyder derfor ikke automatisk, at alle relevante forretningsdokumenter skal slettes samme dag.
Omvendt betyder et dokumentationsbehov ikke, at den personlige adresse skal holdes aktiv. Adskil de to beslutninger i planen. Den ene handler om fremtidig modtagelse, den anden om allerede modtaget materiale og dets lovlige opbevaring.
Rettigheder omfatter også den tidligere medarbejder
Lea kan fortsat henvende sig om virksomhedens behandling af hendes oplysninger. En anmodning om indsigt skal undersøges efter de relevante regler, selv om hendes ansættelse er afsluttet. Virksomheden skal samtidig tage hensyn til andre personer og fortrolige oplysninger, når den vælger, hvad og hvordan den udleverer.
En kundes henvendelse kan også ramme den gamle postkasse. Martin får derfor instruktion om at sende rettighedsanmodninger til den ansvarlige funktion, så de ikke overses under den almindelige projektopfølgning. Virksomheden bør kunne forklare, om henvendelsen er behandlet, frem for blot at oplyse, at den oprindelige kontakt er fratrådt.
Ved et ønske om at få en bestemt privat besked slettet undersøges netop den behandling og dens grundlag. Et generelt driftsbehov for postkassen er ikke i sig selv et behov for at bevare privat indhold. Den tekniske udførelse kontrolleres, så beskeden ikke fortsat ligger i en manuelt eksporteret kopi.
Gennemfør en afslutningskontrol
Ved kontrollen den 22. september har Engdrift modtaget to relevante leverandørbekræftelser og flere automatiske nyhedsbreve. De relevante afsendere har fået den nye kontakt. Virksomheden vælger derfor at lukke modtagelsen tidligere end den oprindelige slutdato, efter at det resterende behov er undersøgt.
It-funktionen kontrollerer konto, aliaser, delegerede adgange og videresendelser. Martin bekræfter, at nødvendige projektbeskeder ligger i de rigtige sager. En testbesked kontrollerer den besluttede afslutning, så kontoen ikke i praksis fortsætter gennem et glemt alias.
Afviklingen forbindes med virksomhedens it-regler for medarbejdere og administration af mobile enheder. En returneret telefon er ikke bevis for, at alle kontoadgange er lukket, ligesom en lukket konto ikke beviser, at udstyr og lokale kopier er håndteret.
Gem formål, beslutning, kontroller og afslutning i et begrænset dokumentationsspor. Ansvarlighed kræver, at virksomheden kan forklare den valgte løsning. I Engdrifts eksempel kan den vise, hvorfor midlertidig modtagelse var nødvendig, hvem der havde adgang, hvordan privat indhold blev beskyttet, og hvorfor behovet ophørte tidligere end først forventet.