Gebyr for bruk ulovlig lagring og bruk av ansatts IP-adresser

Bakgrunnen for saken er en klage fra en tidligere ansatt. Den ansatte fikk IP-adressen sin lagret i et elektronisk kommunikasjonssystem som arbeidsgiveren brukte, og IP-adressen ble senere brukt for å etterforske den ansatte for illojal opptreden.

Forholdet er fra før 24. juli 2018, og er vurdert etter gammelt regelverk.

Brudd på personopplysningsloven

Arbeidsgiveren hadde lagret IP-adressene til ansatte i et kommunikasjonssystem uten at dette var nødvendig for noe formål. Den behandlingsansvarlige har plikt til å gjøre konkrete vurderinger av hvilke personopplysninger det er nødvendig å behandle, knyttet til hvert enkelt formål, og vilkåret skal ikke tolkes for vidt. Behandlingen må ikke omfatte unødvendige personopplysninger, og lagringen av IP-adressene var derfor ulovlig.

Etter hvert opplevde arbeidsgiveren at de hadde hatt lekkasjer av intern informasjon, og mistenkte at en konkret ansatt hadde handlet illojalt. Som et ledd i å avdekke hvem som hadde lekket informasjon, behandlet arbeidsgiveren de ulovlig lagrede IP-adressene fra kommunikasjonssystemet. Datatilsynet har vurdert at denne bruken av de lagrede IP-adressene til formålet om å kontrollere den ansatte var i strid med den da gjeldende personopplysningsforskriften § 9-2 andre ledd jf. § 7-11.

Overtredelsesgebyr

Datatilsynet har vurdert at lovbruddene er en klar krenkelse av arbeidstakerens personvern. Det er også sterke allmennpreventive hensyn som gjør seg gjeldende der arbeidsgivere har brutt personopplysningsregelverket for å avdekke uønsket adferd fra ansatte, og dette får konsekvenser for den ansattes arbeidsforhold. Dette gjør seg særlig gjeldende ettersom bevis innhentet gjennom ulovlig behandling av personopplysninger, etter omstendighetene fortsatt kan legges frem i rettstvister om arbeidsforholdet.

På bakgrunn av dette har Datatilsynet fattet vedtak om overtredelsesgebyr mot arbeidsgiveren på 50 000 kroner. Gebyret er utmålt etter praksis fra det gamle regelverket.

Arbeidsgiveren har seks ukers klagefrist fra de mottok vedtaket.