Gebyr for innsyn i tidligere ansatts e-postkasse og manglende avslutning av e-postkassen

Den daglige lederen i virksomheten byttet passord og logget seg inn i klagerens e-postkasse hver dag i en periode på seks uker etter opphør av arbeidsforholdet. Lederen hadde også tilgang til e-postkontoen i en periode på over fem måneder. E-postkontoen skal ha blitt holdt åpen for å ivareta virksomhetens forretningsmessige behov for å følge opp kunder, og for å håndtere henvendelser etter at klageren sluttet.

Mangler rettslig grunnlag

Etter å ha undersøkt saken konkluderer Datatilsynet med at virksomheten manglet rettslig grunnlag for slikt innsyn i e-post. Overtakelsen av klagerens e-postkonto grenset også til overvåking av arbeidstakerens bruk av elektronisk utstyr. Virksomheten hadde hatt tilgang til klagerens e-postkasse i strid med reglene i forskriften om arbeidsgiverens innsyn i e-postkasse og annet elektronisk materiale, samt kravet om rettslig grunnlag etter personvernforordningen.

Virksomheten hadde også brutt informasjonsplikten (personvernforordningen artikkel 13), brutt plikten til å slette innholdet i klagerens e-postkasse (artikkel 17) og ikke oppfylt sin plikt til å vurdere klagerens protest (artikkel 21).

Må etablere internkontroll og rutiner

Virksomheten hadde heller ikke utarbeidet rutiner for innsyn i e-post. Datatilsynet viser til at en etablering av rutiner vil virke bevisstgjørende og bidra til etterlevelse av regelverket.

På bakgrunn av dette har Datatilsynet fattet vedtak om at virksomheten må etablere internkontroll og rutiner for innsyn i ansatte og tidligere ansattes e-postkasser, sammen med et pålegg om å betale et overtredelsesgebyr på 150 000 kroner.

Virksomheten har tre ukers klagefrist fra de mottar vedtaket vårt.

Les mer

Utfyllende informasjon om virksomhetenes plikter

Forskrift om arbeidsgivers innsyn i e-postkasse og annet elektronisk lagret materiale (lovdata.no)

Innsyn i e-post og private filer