Kilde: jusstorget.no, 1. mars 2009
Artikkelen er oppdatert i samsvar med de nye forskriftene til personopplysningsloven.
For noen år tilbake fikk vi gjennom en massiv pressedekning, kjennskap til flere konkrete saker der det var begått overtramp fra arbeidsgiverens side. Redningsselskapet og Vinmonopolet fikk begge pålegg som følge av til dels grove brudd på reglene.
Disse to sakene viste at overtramp ikke bare kan få rettslige konsekvenser, men også gi svært negativ publisitet - med de virkninger det kan ha for en bedrift. Videre vil ikke bare konkrete overtramp, men også usikkerhet i forhold til hvilken holdning arbeidsgiver har til kontrollproblematikken, kunne ha betydning for arbeidsmiljøet i bedriften. Det er således viktig at bedriften opererer etter, for de ansatte, kjente og tydelige retningslinjer.
Det kan være mange ulike grunner til at arbeidsgiver kan ønske innsyn i de ansattes bruk av datasystemet. Det kan være personalkonflikter, at arbeidsgiver ønsker å sjekke hvorvidt det begås straffbare handlinger, eks. lekkasjer av bedriftshemmeligheter, hvorvidt noen driver konkurrerende virksomhet osv. Det kan også være et ønske om generelt å sjekke at instrukser ikke brytes – eksempelvis at man ikke har lastet ned materiale arbeidsgiver har nedlagt forbud mot, som musikkfiler, porno eller annet.
Den lov som er sentral for adgangen til å kontrollere, er personopplysningsloven (pol.) med den tilhørende personopplysningsforskriften. Fra 1. mars 2009 trådte et nytt kapittel i forskriften i kraft: Kapitel 9 Innsyn i e-postkasse mv.
Det nye kapitelet i forskriften fastsetter bl.a. vilkår for innsyn, prosedyrer for innsyn og regler om sletting av opplysninger ved opphør av arbeidsforhold. Bestemmelsene er i hovedsak i tråd med det som har vært Datatilsynets praksis.
Det nye regelverket gjelder ikke bare innsyn i arbeidstakers e-postkasse, men også innsyn i elektroniske lagrede dokumenter og elektroniske kommunikasjonsmedier stilt til arbeidstakers disposisjon for bruk i arbeidet. Reglene omfatter derfor for eksempel også innsyn i tekstmeldinger lagret på mobiltelefoner stilt til disposisjon av arbeidsgiver.
Vilkår for innsyn
Arbeidsgiver har kun rett til å gjennomsøke, åpne eller lese e-post i arbeidstakers e-postkasse i følgende tilfeller:
- når det er nødvendig for å ivareta den daglige driften eller andre berettigede interesser ved virksomheten
- ved begrunnet mistanke om at arbeidstakers bruk av e-postkassen medfører grovt brudd på plikter som følger av arbeidsforholdet, eller kan gi grunnlag for oppsigelse eller avskjed
Arbeidsgiver står ikke fritt til å avtale med de ansatte, innsyn i andre situasjoner, når dette er til ugunst for den ansatte. De nye reglene omfatter også kontroll med ansattes bruk av Internett. Dersom en ansatt på eget initiativ ber arbeidsgiver gå inn å sjekke en bestemt e-post eller sjekke inngående e-post i sitt fravær, vil det imidlertid ha oppstått rett for arbeidsgiver til slikt innsyn.
I veiledningen til forskriften kommer det klart til uttrykk at det er et grunnleggende krav at innsynet skal være nødvendig for et konkret formål.
Nødvendighetskriteriet innebærer at det må foretas en konkret vurdering i hvert enkelt tilfelle. Fordelene og ulempene med kontrolltiltaket må veies mot hverandre. Ikke enhver interesse vil kunne gi grunnlag for kontrolltiltak – bl.a. vil generell overvåkning ikke være berettiget, ei heller ønsket om å si opp eller avskjedige enkelte arbeidstakere, med mindre ønsket om innsyn er begrunnet i konkrete mistanker om straffbare forhold.
Hensynet til privatlivets fred må veie tungt i avveiningen mot arbeidsgivers kommersielle interesser. Dette har særlig betydning i forhold til kontrolltiltak som tar sikte på å måle arbeidstakernes effektivitet. Arbeidsgiver har ikke anledning til å sjekke datalogger for å se hvor mye tid som brukes på ikke jobbrelaterte ting på Internett, eller bruk av privat e-post.
Der det tilfeldigvis fremkommer at den ansatte f.eks. har surfet på pornosider og knyttet e-postadressen opp mot disse sidene, har arbeidsgiver derimot fått en berettiget interesse av å sjekke nærmere.
Konkrete mistanker om straffbare forhold kan også gjøre kontroll av e-post og logger rettmessig. Det aktuelle kontrolltiltaket må imidlertid ikke gå lenger enn det formålet gjør påkrevd, og kontrolltiltaket må være egnet til å samle inn bevis for de straffbare handlingene.
Ansattes fravær kan medføre et behov for innsyn i vedkommendes e-postkasse. Forskriften har ikke særlige regler når det gjelder innsyn ved fravær. Det er den samme nødvendighets¬vurderingen som skal foretas konkret. Hvorvidt innsyn er nødvendig vil bl.a. kunne avhenge av fraværets lengde. Vet arbeidsgiver at det i e-postkassen skal/kan ligge et dokument som krever umiddelbar håndtering, kan det imidlertid bli ansett nødvendig med innsyn selv om vedkommende ansatt bare er fraværende noen timer – som et eksempel.
Skillet mellom det som er privat og det som er virksomhetsrelatert, har til nå vært en viktig veileder for hva arbeidsgiver kan og ikke kan kontrollere, både i forhold til vurderingen av kontrollens nødvendighet, og i forhold til om arbeidsgiver har en berettiget interesse.
Datatilsynet har i denne sammenheng brukt følgende retningslinje: ”Det er viktig å skille mellom privat og virksomhetsrelatert e-post. Arbeidsgiveren din har ikke adgang til å lese e-post du mottar som privatperson uten at du har samtykket. Dette gjelder selv om arbeidsgiveren må sies å være ”eier” av datasystemet. Arbeidsgiveren har imidlertid rett til innsyn i virksomhetsrelatert e-post. Arbeidsgiverens interesse i å lese disse meldingene overstiger hensynet til ditt personvern”.
Selv om forskriften ikke bruker begrepet virksomhetsrelatert, så kan begrepet fortsatt være et hjelpemiddel når arbeidsgiver skal gjøre en avveining ut fra de vilkårene forskriften opererer med. Private filer og e-poster merket privat vil i utgangspunktet være forbudt område – dvs. det skal mer til for å påberope seg rett til innsyn i slik e-post, enn i e-post som fremstår som virksomhetsrelatert.
Prosedyrer ved innsyn
Det nye kapitlet i forskriften har en egen bestemmelse for på hvilken måte innsyn skal skje.
Arbeidstaker skal så langt det er mulig varsles og gis mulighet til å uttale seg på forhånd. Videre skal arbeidsgiver i varslet opplyse om hvorfor man mener vilkårene for innsyn er oppfylt. Den ansatte skal så langt det er mulig gis anledning til å være tilstede når innsyn skjer, og gis anledning til å ha med tillitsvalgt eller en annen representant.
Det kan være situasjoner der man frykter fare for bevisforspillelse, dersom varsel gis på forhånd. Arbeidsgiver kan derfor speilkopiere de områder det er grunnlag for å foreta innsyn i.
Bruken av opplysninger
De opplysninger arbeidsgiver får gjennom innsynet, kan bare benyttes i samsvar med personopplysningslovens §§ 8, 9 og 11. Dette innebærer bl.a. at opplysningene ikke kan brukes i andre sammenhenger enn det de var tenkt til – dvs. ikke utover det konkrete formål som berettiget innsynet.
Betydningen av arbeidsavtaler og instrukser
Det er å anbefale at bedriften har retningslinjer for bruken av bedriftens elektroniske hjelpemidler, og det kan også i instruks/retningslinje internt, gjøres presiseringer i forhold til innsyn i e-postkasser etc., men det kan som tidligere nevnt, ikke gis instrukser eller inngås avtaler som gir et dårligere vern enn forskriften.
Interne instrukser kan være en del av arbeidsavtalen gjennom henvisning, eller være gitt uavhengig av arbeidsavtalen i kraft av styringsretten. Ved nye ansettelser bør en slik instruks gjøres til del av arbeidsavtalen.
Sletting ved opphør av arbeidsforholdet
Det er i forskriften fastsatt en egen bestemmelse der arbeidsgiver pålegges å avslutte den ansattes e-postadresse nå arbeidsforholdet opphører. Videre skal innholdet i e-postkassen som ikke er nødvendig for den daglige driften, slettes innen rimelig tid. I merknadene til forskriften er det sagt at denne vurderingen må være konkret, men slik at vurderingen/opprydningen (herunder sletting av reservekopi etc.), bør være tatt innen et halvt års tid.
