Sjefen leste e-posten min mens jeg var på ferie – hadde de lov?

Viljar kom hjem fra to uker på Kreta til en merkelig e-post fra IT

Viljar jobbet i regnskapsavdelingen til et mellomstort rørleggerfirma. Da han kom tilbake fra to ukers ferie, fant han en e-post fra IT-ansvarlig, sendt mens han fortsatt var borte, der det sto at «vi har vært inne i postkassen din for å sjekke noe akutt». Ingen hadde spurt ham på forhånd. Ingen hadde fortalt hva de lette etter. Viljar visste ikke om dette var greit, eller om arbeidsgiveren nettopp hadde gjort noe ulovlig.

Innsyn e-post arbeidsgiver kan ta, krever ett av to grunnlag

En egen forskrift om arbeidsgivers innsyn i e-postkasse og annet elektronisk lagret materiale setter strenge rammer for nettopp denne situasjonen. Innsyn er bare lovlig når arbeidsgiver enten har et driftsmessig behov som er klart definert på forhånd, reelt og saklig begrunnet, for eksempel fordi noen må svare på henvendelser mens du er syk eller bortreist, eller når det foreligger begrunnet mistanke om at du har brutt pliktene dine grovt. En vag følelse av at «noe kan være galt» holder ikke. Arbeidsgiver må i tillegg vurdere om innsynet faktisk er nødvendig, altså om formålet kunne vært oppnådd på en mindre inngripende måte, og om behovet veier tyngre enn personvernulempen innsynet påfører deg. Denne saklighetsvurderingen er den samme som gjelder for kontrolltiltak generelt, jf. hva er styringsretten til arbeidsgiver, som forklarer hvor grensene for arbeidsgivers alminnelige instruksjonsmyndighet går.

For Viljar var det uklart hvilket av de to grunnlagene IT-ansvarlig mente å bruke. E-posten nevnte «noe akutt», uten å si om det dreide seg om en kunde som måtte følges opp, eller om en mistanke rettet mot ham personlig. Denne uklarheten er i seg selv et problem, siden loven nettopp krever at formålet er klart definert før innsynet skjer, ikke forklart i etterkant når noen spør.

Retten til å være til stede er ikke en formalitet

Som hovedregel skal du varsles om at innsyn vurderes, og du har rett til å være til stede når det gjennomføres, slik at du kan følge med på hva som faktisk blir sett og hvordan. Dette gjelder også når du er på ferie: arbeidsgiver kan ikke bare vente til du er utilgjengelig og bruke fraværet som en snarvei forbi varslingsplikten. Er det praktisk umulig å nå deg, for eksempel fordi mistanken haster og du er ute av kontakt, finnes det snevre unntak, men de er nettopp unntak, ikke en enkel utvei arbeidsgiver kan velge av bekvemmelighet. Viljar ble aldri kontaktet før innsynet, og han ble heller ikke tilbudt å være med digitalt, noe som fint lot seg gjøre selv om han var i utlandet. Dette svekket arbeidsgiverens sak betraktelig da han senere tok saken opp.

Automatisk videresending er alltid over streken

Et beslektet, men eget forbud gjelder automatisk videresending av en ansatts e-post til andre, for eksempel ved at en kollega settes opp til å motta kopi av alt som kommer inn mens du er borte. Dette er ulovlig uavhengig av hvor gode intensjonene måtte være, fordi det gir en løpende, ubegrenset tilgang til innholdet i postkassen din, uten den avgrensningen et konkret, begrunnet innsyn skal ha. Ønsker arbeidsgiver at noen skal følge opp henvendelser mens du er borte, finnes det andre løsninger, som et fraværssvar som viser til riktig kontaktperson, eller et avgrenset og dokumentert enkeltinnsyn. Den generelle plikten til å drøfte og informere om denne typen tiltak før de innføres, er beskrevet i Kontrolltiltak innført uten drøfting med de ansatte.

Slik klager du til Datatilsynet, og hva det kan koste arbeidsgiver

Mener du at innsynet var ulovlig, kan du be arbeidsgiver om en skriftlig begrunnelse for hva som ble gjort og hvorfor, og deretter klage til Datatilsynet dersom svaret ikke overbeviser deg. Datatilsynet kan vurdere om vilkårene faktisk var oppfylt, og kan pålegge virksomheten å rette opp praksis for fremtiden. Er forholdet alvorlig og gjentar seg, kan det også få økonomiske konsekvenser for arbeidsgiver. Viljar sendte et skriftlig spørsmål til IT-ansvarlig med krav om en begrunnelse, fikk et svar som bekreftet at det dreide seg om en kundeklage som skulle besvares raskt, og valgte etter det å ikke gå videre med en formell klage, siden begrunnelsen i det minste var reell selv om fremgangsmåten hadde vært for slapp.

Kort oppsummert

• Innsyn e-post arbeidsgiver kan ta, krever enten et klart driftsbehov eller begrunnet mistanke om grovt pliktbrudd.
• Du skal som hovedregel varsles på forhånd og ha rett til å være til stede når innsynet gjennomføres.
• Automatisk videresending av all e-posten din til andre er alltid ulovlig, uansett hvor god grunnen skal være.
• Får du ikke en holdbar begrunnelse fra arbeidsgiver, kan du klage saken inn for Datatilsynet.
• Ferie eller annet fravær gir ikke arbeidsgiver en snarvei forbi kravet om varsel og et klart definert formål.