Prosedyrekrav
Arbeidsgiveren skal varsle arbeidstakeren i forkant av innsynet. Dersom det av ulike årsaker ikke kan gjøres, må arbeidstakeren informeres så snart som mulig etter gjennomføringen.
Arbeidsgiveren skal i samsvar med ansvarlighetsprinsippet dokumentere at vilkårene i personvernforordningen og e-postforskriften er oppfylt, før innsynet gjennomføres. Dersom arbeidsgiveren mener at vilkårene for innsyn i e-post er oppfylt, skal det så langt som mulig sendes et varsel om innsynet til arbeidstakeren.
Varselet skal inneholde:
- en begrunnelse for hvorfor innsynet skal gjøres, altså hvorfor arbeidsgiveren mener vilkårene i personvernforordningen og e-postforskriften er oppfylt
- informasjon om arbeidstakerens rettigheter.
Arbeidstakeren skal så langt det lar seg gjøre gis anledning til å uttale seg før innsynet gjennomføres, og han eller hun skal så langt som mulig gis anledning til å være til stede under selve gjennomføringen. Arbeidsgiveren må sette frister som gjør at arbeidstakeren har reell mulighet til å bruke rettighetene sine. Arbeidstakeren har dessuten rett til å få bistand av en tillitsvalgt eller en annen representant.
«Så langt det lar seg gjøre» betyr at kravet om varsling ikke er absolutt. Det er likevel et grunnleggende krav at man skal ha informasjon ved behandling av personopplysninger om seg selv. Terskelen for å gjøre unntak fra denne plikten er derfor høy. Dersom arbeidsgiveren nekter å gi informasjon, må det begrunnes skriftlig, med en presis henvisning til hjemmelen for unntaket.
«Speilkopi»
I flere saker Datatilsynet har hatt til behandling, har arbeidsgiveren oppgitt faren for bevisforspillelse som årsaken til at arbeidstakeren ikke har blitt informert ved innsyn.
Dersom det er en reell og konkret mistanke om at det er fare for at arbeidstakeren vil kunne manipulere innholdet i e-postkassen eller i private filer, kan dette begrunne å ta en såkalt speilkopi av materialet det er planlagt å gjøre innsyn i.
Vi gjør oppmerksom på at speilkopi bare kan gjøres som et tiltak for å avhjelpe en konkret fare for manipulasjon av innhold dersom vilkårene for innsyn er oppfylt. Innsyn i speilkopi skal følge reglene for innsyn i e-post.
Etter at speilkopi er tatt, kan den ansatte varsles om innsynet. Deretter kan arbeidstakeren sikre privat materiale, og hensynet til den ansattes personvern blir bedre ivaretatt.
Innsyn uten varsel på forhånd
Dersom innsynet er gjort uten varsel på forhånd eller uten at arbeidstakeren har vært tilstede, skal arbeidstakeren ha skriftlig beskjed så snart innsynet er gjennomført. Dette er et strengt vilkår, og arbeidsgiveren skal informere den ansatte så raskt det lar seg gjøre. Vi anbefaler dessuten at arbeidsgiveren fører protokoll under selve innsynet, siden det ofte kan oppstå uenigheter i etterkant om hva som faktisk ble gjort.
Personvernforordningen og e-postforskriften inneholder en informasjonsplikt for arbeidsgiveren. Arbeidstakeren skal ha informasjon om:
- hvorfor arbeidsgiveren mener innsynet kunne gjennomføres,
- hvilke rettigheter arbeidstakeren har etter forskriften,
- hvilken metode som er benyttet ved innsynet, for eksempel
- om det er gjort innsyn i selve e-postkassen
- om det er søkt etter særlige ord og uttrykk på maskinen til den ansatte
- om det er gjenopprettet slettet materiale eller liknende
- hvilke e-poster eller andre dokumenter som ble åpnet,
- resultatet av innsynet
Dersom arbeidsgiveren har benyttet en databehandler, for eksempel til å rekonstruere filer, bør dette også opplyses om.