Arbeidsgivers innsyn i ansattes e-post

Innsynmå være saklig begrunnet

Arbeidsmiljøloven kapittel 9 regulererarbeidsgivers mulighet til å iverksette kontrolltiltak overfor arbeidstakerne.Etter aml § 9–1 kan arbeidsgiver iverksette kontrolltiltak «nårtiltaket har saklig grunn i virksomhetens forhold og det ikke innebæreren uforholdsmessig belastning for arbeidstakeren». Ved bruk av kontrolltiltakskal arbeidsgiver benytte seg av «mildeste inngreps prinsipp», detvil si at dersom arbeidsgivers formål med tiltaket kan nås med etmildere inngrep, skal dette velges. Videre må formålet arbeidsgiversøker å oppnå med tiltaket stå i forhold til inngrepet.

Nærmereom vilkårene for innsyn

De nærmere reglene for arbeidsgiversrett til innsyn i arbeidstakers e-post fremgår av personopplysningsforskriftenkapittel 9. Den klare hovedregel er at arbeidsgiver ikke har retttil å foreta innsyn, hvis slikt innsyn ikke kan hjemles i personopplysningsforskriften§ 9–2.

I personopplysningsforskriften § 9 – 2fremgår det at arbeidsgiver for det første kan foreta innsyn «nårdet er nødvendig for å ivareta den daglige driften eller andre berettigedeinteresser ved virksomheten». Nødvendighetskriteriet kan for eksempelvære oppfylt ved fravær hos arbeidstageren og det er god grunn tilå tro at det har kommet virksomhetsrelaterte e-poster som arbeidsgiverentrenger ut i fra driftshensyn. Det er ingen klare regler for hvorlangt fravær som må foreligge hos arbeidstakeren, men lengden vilvære et sentralt moment når det skal vurderes hvor nødvendig deter for arbeidsgiver å foreta innsyn. For eksempel må det aksepteresinnsyn ved et kortere fravær hvor en eiendomsmegler blir syk i enbudrunde, enn hvor det er en jurist som sitter med rene forvaltningsoppgaver.Arbeidsgiver må uansett vurdere konkret om det virkelig er nødvendigå foreta innsyn for å ivareta den daglige driften.

Videre kan arbeidsgiver foreta innsyn«ved begrunnet mistanke om at arbeidstakers bruk av e-postkassenmedfører grovt brudd på de plikter som følger av arbeidsforholdet,eller kan gi grunnlag for oppsigelse eller avskjed». Det er viktigå merke seg at pliktbruddet må være grovt. Eksempler her kan væredersom det foreligger mistanke om at en ansatt benytter epostkontoentil å gjennomføre straffbare forhold, eller mistanke om mobbingog/eller trakassering av kolleger.

Prosedyrerved innsyn

Arbeidsgiver skal etter personopplysningsforskriften§ 9 – 3 så langt som mulig varsle arbeidstakeren før innsyn foretas.Arbeidsgivers varsel skal inneholde en begrunnelse for hvorfor vilkårenei § 9 – 2 anses oppfylt og informasjon om arbeidstakerens rettigheter.Arbeidstaker skal som hovedregel gis mulighet til å uttale seg føreventuelt innsyn foretas, og så langt det er mulig få anledningtil å være til stede under innsynet. Arbeidstakeren har også retttil å la seg bistå av tillitsvalgt eller en annen representant.

Dersom innsyn er foretatt uten forutgåendevarsel, skal arbeidstakeren orienteres om innsynet i etterkant.I tillegg til å begrunne innsynet og orientere arbeidstakeren omrettigheter i forbindelse med dette, skal arbeidsgiver også opplysesom hvilken metode som er benyttet ved innsynet, hvilke e-postereller andre dokumenter som har blitt åpnet, resultatet av innsynet,samt hvilke konsekvenser dette eventuelt vil få.

Slettingved opphør av arbeidsforhold

I personopplysningsforskriften § 9 – 4fremgår det at arbeidstakerens epostkasse skal avsluttes når arbeidsforholdetopphører. Kravet til å avslutte epostkassen innebærer at selve epostkontoendeaktiveres normalt senest siste dag i arbeidsforholdet, og at innholdeti denne som ikke er nødvendig for den daglige driften av virksomhetenslettes innen rimelig tid. Arbeidsgiver har ikke anledning til åforeta automatisk videresending av e-poster til en annen epostkonto.

Datatilsynetsom tilsynsmyndighet

Datatilsynet er et uavhengig forvaltingsorganmed både tilsyns- og ombudsoppgaver. Det skal blant annet medvirketil at enkeltpersoner ikke blir krenket gjennom bruk av opplysningersom kan knyttes til dem. En ansatt har anledning til å sende innen klage til Datatilsynet hvis arbeidsgiver for eksempel har foretattet ulovlig innsyn i e-post. Hvis Datatilsynet konkluderer med atdet foreligger overtredelse har de anledning til å utferdige overtredelsesgebyr.

I en sak fra i år reagerte Datatilsynetmed overtredelsesgebyr overfor et advokatfirma. Advokatfirmaet,som i denne saken var arbeidsgiver, hadde i en periode på drøyeto uker videresendt all innkomne e-poster fra en advokats epostkontotil en annen person i firmaet. Videresendingen skjedde i forbindelsemed en konflikt mellom arbeidsgiver og arbeidstakeren, og hvor advokatenhadde blitt suspendert og utestengt fra sin egen e-post.

Datatilsynet påpekte at de hadde forståelsefor at en suspensjon er en situasjon hvor arbeidsgiver må ta grepmed tanke på oppfølging av saker og arbeidsoppgaver den suspendertehadde ansvar for, men at videresending av alle e-poster ikke kunneanses som et proporsjonalt tiltak.

En automatisk videresending har karakterav fortløpende overvåkning idet videresending innebærer at en annenperson blir gjort kjent med alt som kommer inn uten noen form forbegrensning ut fra formål eller relevans. Hensynet til avsendertilsa også at videresending var svært problematisk da avsender sendtee-posten til en konkret person, mens det i realiteten var en annenperson som mottok e-posten. Et slikt inngrep i en korrespondansemellom to personer var problematisk ut i fra fortrolighets- og konfidensialitetshensyn.

Ved automatisk videresending av e-postforetok advokatfirmaet i praksis innsyn i alt som måtte komme, utennoen form for begrensning ut fra formål og relevans. Innsynet vilda også omfatte eventuell privat korrespondanse og annen korrespondansesom ikke har noe med klientoppfølging å gjøre. Datatilsynet nevnerat et slikt innsyn er av svært inngripende karakter.

Datatilsynet var videre av den oppfatningat konfidensialitetshensynet ble forsterket ved at arbeidstakerenvar advokat, og at korrespondansen mellom advokat og klient haret særlig vern. Personopplysningsforskriften § 9 – 2 hjemler ikkerett til innsyn i taushetsbelagt materiale.

Arbeidsgiver ble ikke hørt med at advokatersplikt til å ivareta klientens interesse måtte gå foran de hensynsom personopplysningsforskriften kapittel 9 skal ivareta. Datatilsynetpåpekte at advokater plikter å ivareta sine klienters interesserinnenfor lovens ramme. Ved utførelse av oppdrag for klienter måadvokater forholde seg til lover og regler, og advokater står ikkei en annen stilling enn andre. Datatilsynet påpekte videre at detikke er slik at hensynet til klienters interesser trumfer alle andrehensyn, og at advokater ikke trenger å respektere lover som skalivareta andre hensyn under henvisning til at plikten til å ivaretaklientens interesser går foran. Personopplysningsforskriften kapittel9 gjelder også fullt ut for en advokatvirksomhet.

Datatilsynet vektla også at arbeidsgiverikke ga arbeidstaker noe forhåndsvarsel om innsyn. Arbeidstakervalg av fremgangsmåte medførte at arbeidstakeren ikke fikk noenmulighet til å være tilstede ved åpning eller føre kontroll medhva som kom av e-post og hva arbeidsgiver fikk tilgang til.

Datatilsynet påpeker at ivaretakelseav klientenes interesse kunne ha skjedd på andre og mindre inngripendemåter, enn fortløpende videresending og innsyn i alle eposter, foreksempel med en fraværsmelding med informasjon til innsender omat e-posten ikke ville bli lest og hvor klienten kan henvende seg.

Datatilsynet ila advokatfirmaet etovertredelsesgebyr på kr. 75.000 for overtredelse av personopplysningsforskriften§ 9 – 2.

Advokatfirmaet har påklaget Datatilsynetsvedtak, og saken skal behandles av Personvernnemnda.

Hvis du har spørsmål om arbeidsgiversanledning til å foreta innsyn i e-post så kan du ta kontakt medJuristforbundets Advokatkontor.