Arbeidsgivers kontroll av ansattes internettbruk, eller rett til å lese ansattes e-post eller andre elektroniske data, anses å være underlagt regler om arbeidsgivers kontrolltiltak. Arbeidsgivers rett til kontroll må således være saklig begrunnet i virksomhetens formål og drift og ikke oppleves som krenkende på de ansatte.

E-post

Det å lese e-post eller andre private elektroniske dokumenter reguleres av Personopplysningsloven. Reglene i Personopplysningsforskriften kapittel 9 regulerer arbeidsgivers rett til innsyn i ansattes e-post.

Av Personopplysningsforskriften § 9-1 fremgår hva som regnes som arbeidstakers e-postkasse. Reglene omfatter e-postkasse som arbeidsgiver har stilt til arbeidstakers disposisjon til bruk ved virksomheten. Reglene gjelder tilsvarende for arbeidsgivers adgang til gjennomsøking av og innsyn i arbeidstakers personlige område i virksomhetens datanettverk og i andre elektroniske kommunikasjonsmedier eller elektronisk utstyr som arbeidsgiver har stilt til arbeidstakers disposisjon til bruk i arbeidet ved virksomheten. Forutsetningen er at arbeidsgiver eier utstyret som arbeidstaker har fått stilt til sin disposisjon for å benytte i sitt arbeid.

Bestemmelsene gjelder ikke for innsyn i utstyr som den ansatte eier selv. Her vil arbeidsgiver normalt være avskåret fra innsyn selv om det private utstyret også benyttes noe i arbeidssammenheng. Bestemmelsene gjelder heller ikke for innsyn i opplysninger som er lagret på fellesområder eller e-postkasser som er felles for hele virksomheten. Arbeidsgiver vil i disse tilfellenr ha rett til innsyn uten å oppfylle særlige vilkår.

Vilkår for innsyn i ansattes e-post:

Følgende vilkår må være oppfylt for at arbeidsgiver skal ha rett til innsyn i ansattes e-postkasse. Arbeidsgiver har innsynsrett:

• når det er nødvendig for å ivareta den daglige driften eller andre berettigede interesser ved virksomheten.

• ved begrunnet mistanke om at arbeidstakers bruk av e-postkasse medfører grovt brudd på de plikter som følger av arbeidsforholdet, eller kan gi grunnlag for oppsigelse eller avskjed.

   

Det må i hvert enkelt tilfelle foretas en vurdering av om innsyn i ansattes e-post er nødvendig for driften av virksomheten. Ved vurdering av om innsyn i e-post er nødvendig, må arbeidsgivers behov for innsyn i forhold til driften av virksomheten veies mot arbeidstakers behov for personvern. Det kreves en konkret vurdering i hvert enkelt tilfelle for å vurdere om alle vilkårene for innsyn i ansattes e-post er oppfylt. Hensyn til virksomhetens forsvarlige og rasjonelle kommersielle drift vil i seg selv være en berettigende interesse, men dersom innsyn ikke er nødvendig for å ivareta denne interessen i det konkrete tilfellet, kan innsyn ikke foretas. Arbeidsgiver må også vurdere andre løsninger. Dersom ivaretakelse av driften kan oppnås gjennom mindre inngripende tiltak, vil ikke innsyn være nødvendig. 

Innsyn i ansattes e-post ved fravær 

Personopplysningsforskriften gir ikke særlige regler i forhold til innsyn i ansattes e-post ved fravær. Nødvendigheten av innsyn ved ansattes fravær må derfor vurderes konkret i det enkelte tilfellet. Fraværet og varigheten av dette vil her være momenter i vurderingen. For å vurdere nødvendigheten av innsyn, må en vurdere karakteren av arbeidet, om arbeidstaker har sørget for videresending av e-post og lignende.

Arbeidstaker har et selvstendig ansvar i forhold til å gjøre arbeidsgiver kjent med e-post med virksomhetsrelatert innhold.

Misbruk av arbeidsgivers e-post 

Har arbeidsgiver begrunnet mistanke om bruk av e-postkassen som kan gi grunnlag for oppsigelse eller avskjed, kan han kreve innsyn. Dette kan dreie seg om bruk av e-post til straffbare handlinger, motarbeide arbeidsgivers interesser, trakassere kolleger eller lignende. Handlingen må ha en alvorlighetsgrad som berettiger avslutning av arbeidsforholdet. Arbeidsgivers mistanke må bygge på konkret informasjon om at postkassen inneholder denne type informasjon.

Datatilsynet legger til grunn at arbeidsgiver er ansvarlig for sitt datanett. Følgelig bør arbeidsgiver politianmelde ansatte som bruker systemet til formidling av f.eks. barnepornografi eller annet ulovlig materiale.

Gjennomføring av innsyn i e-post:

Personopplysningsforskriften regulerer hvordan innsyn i arbeidstakers e-postkasse skal gjennomføres. Arbeidstaker skal så langt som mulig varsles og gis mulighet til å uttale seg før arbeidsgiver gjennomfører innsyn. Ved vurdering av når det er mulig å varsle arbeidstaker, vil tidsaspektet være et vesentlig moment. Unntak fra varsling kan også vurderes ved mistanke om straffbare forhold.

I varselet skal det fremgå en begrunnelse for hvorfor vilkår for innsyn i ansattes e-post anses oppfylt og en orientering om arbeidstakers rettigheter. Arbeidstaker skal om mulig gis anledning til å være tilstede under gjennomføring av innsynet, og har rett til å la seg bistå av tillitsvalgte eller annen representant. Er innsyn foretatt uten forutgående varsel til arbeidstaker, skal arbeidstaker gis skriftlig varsel om dette så snart innsynet er gjennomført. Innsynet må gjennomføres på en slik måte at data så langt som mulig ikke endres og at frembrakte opplysninger kan etterprøves.

Sletting ved opphør av arbeidsforholdet:

Når arbeidsforholdet opphører, skal arbeidstakers e-postkasse mv. avsluttes og innhold som ikke er nødvendig for den daglige driften av virksomheten slettes innen rimelig tid.

Ikke adgang til å fravike bestemmelsene:

Det er ikke adgang til å fastsette instruks eller inngå avtale om arbeidsgivers innsyn i arbeidstakers e-postkasse mv. som fraviker bestemmelsene her til ugunst for arbeidstaker. 

Internett

Automatiske loggfunksjoner innebærer en behandling av personopplysninger som i utgangspunktet er meldepliktig etter Personopplysningsloven. Det å logge bevegelser i datasystemet er fritatt fra meldeplikten dersom opplysningene bare skal brukes til administrasjon av datasystemer eller oppdagelse og oppklaring av brudd på sikkerheten. Det ligger innenfor arbeidsgivers styringsrett å tillate eller ikke tillate bruk av systemet til private formål. Det forutsettes derfor at arbeidsgiver har retningslinjer for bruk av datasystemet, herunder bruk av internett. Ansatte må gjøres kjent med disse retningslinjene og konsekvensene av å bryte dem.

Arbeidsgiver kan også benytte logger til overordnet overvåking, men da bare på gruppenivå for hele eller deler av virksomheten. Sjekk vil da avdekke om det lastes ned filer og program i strid med interne retningslinjer eller at det generelt brukes mye tid på Internett. Arbeidsgiver kan ikke uten videre kartlegge hvor mye tid hver enkelt bruker på Internett, eller hvilke Internettsider som blir besøkt. Bruk av denne typen formål skal meldes til Datatilsynet. Arbeidsgiver kan gi beskjed om at det blir kontrollert hvem som står bak ureglementert aktivitet dersom den ikke opphører innen en gitt frist. Er aktiviteten ikke opphørt når fristen er ute, vil arbeidsgiver uten samtykke kunne benytte loggene til å finne fram til den eller de som står bak.

Arbeidsgiver kan på Internett publisere navn, ansvarsområde, internt telefonnummer og e-postadresse uten den enkelte ansattes samtykke. Ved utlegg av bilder må de ansatte samtykke, det samme gjelder ved publisering av privat adresse eller andre detaljer som alder, sivilstand eller CV.