Datatilsynet har vedtatt å gi et overtredelsesgebyr på 100 000 kr til en virksomhet for brudd på arbeidslovens e-postforskrift om innsyn i e-postkasse og personvernforordningens krav til rettslig grunnlag og plikt til å gi informasjon. Virksomheten pålegges også å utbedre egne rutiner.
Navnet på virksomheten er unntatt offentlighet for å skjerme identiteten til de ansatte.
Datatilsynet ble involvert i saken etter å ha mottatt både avviksmelding fra en arbeidsgiver og klage fra en arbeidstaker i bedriften. Bakgrunnen for saken er at klager sluttet hos arbeidsgiver, og skulle bistå arbeidsgiver med enkelte arbeidsoppgaver etter oppsigelsestiden. På grunn av uenigheter ble arbeidstakers tilgang til e-post og datasystemer stengt. Alle e-poster som ble sendt til arbeidstakers e-postkasse ble automatisk videresendt til en e-postadresse administrert av daglig leder, og videresendingen foregikk i omtrent seks uker.
Formålet med videresendingen var å ivareta kundeforhold, og i perioden håndterte daglig leder både jobbrelaterte og private e-poster som ble sendt til arbeidstakers e-postkasse.
Vi har konkludert med at arbeidsgiver ikke hadde rettslig grunnlag for den automatiske videresendingen etter personvernforordningen, og er i strid med reglene i forskriften om arbeidsgivers innsyn i e-postkasse og annet elektronisk materiale. Virksomheten har også opptrådt i strid med reglene om informasjon til den registrerte og plikten til å vurdere arbeidstakerens protest, i tillegg til å ha mangelfulle rutiner for innsyn i e-post og annet elektronisk materiale.
På bakgrunn av dette har vi fattet vedtak om at virksomheten må utbedre sine skriftlige rutiner for innsyn i e-post, samt pålegg om å betale et overtredelsesgebyr på 100 000 kroner for den ulovlige videresendingen.
Virksomheten har tre ukers klagefrist fra de mottar vedtaket.
Datatilsynet gir gebyr for automatisk videresending av e-post (pdf).