Er det lov å lese ansattes e-post og sjekke deres facebook sider?

Innledning

Arbeidsgivere kan ha behov for å gjennomføre forskjellige kontroll- og overvåkningstiltak ovenfor sine ansatte. Dette for å effektivisere, forbedre arbeidsmiljøet, avdekke en mistanke om illojal opptreden eller til og med straffbare forhold. Men arbeidsgiver må trå varsomt; det er ikke fritt fram for verken kontroll av e-post eller oppbevaring av opplysninger om de ansatte.

Sosiale medier og kartlegging av bilkjøring

Datatilsynets nylige tillatelse til at forsikringsselskaper skal kunne kartlegge kundenes bilkjøring har igjen igangsatt store diskusjoner om personvern. Den teknologiske utviklingen og bruken av sosiale medier har gjort det svært lett for arbeidsgiver å få tilgang til detaljert personlig informasjon om sine ansatte. Tilgangen på personlig informasjon samsvarer ikke med de strenge reglene for hvordan slik informasjon faktisk kan brukes.
Arbeidsgivers adgang til å kontrollere de ansatte fremgår av arbeidsmiljøloven kapittel 9. Arbeidsgivers adgang til å behandle personlige opplysninger om de ansatte, blant annet opplysninger som fremkommer som et resultat av et kontrolltiltak, reguleres av personopplysningsloven.

Utgangspunktet er forbud

Behandling av personopplysninger er i utgangspunktet forbudt. En personopplysning er per definisjon en opplysning eller vurdering som kan knyttes til enkeltperson. For eksempel navn, adresse og telefonnummer, men også den ansattes meninger anses som personopplysninger. For at arbeidsgiver skal kunne bruke, behandle og lagre slike opplysninger må det foreligge enten lovhjemmel, samtykke fra den ansatte eller særskilt nødvendighetsgrunn. Dette innebærer at det i utgangspunktet ikke er lov å lagre/oppbevare opplysninger som arbeidsgiver for eksempel har funnet på facebook.

Såkalte kontrolltiltak er imidlertid unntatt fra forbudet. Kontrolltiltak omfatter et vidt spekter av tiltak fra arbeidsgivers side; rusmiddeltesting, innsyn i e-post og datalogger, tidsregistrering, fjernsynsovervåkning, adgangskontroll mv. Men slike tiltak kan bare gjennomføres når det foreligger saklig grunn til det og så lenge tiltaket ikke innebærer en uforholdsmessig belastning for arbeidstakeren. Vilkårene er strenge.

Arbeidsgiver må altså kunne redegjøre for at det er en saklig grunn til kontroll og det må foretas en vurdering av rekkevidden av tiltaket i forhold til belastningen for den enkelte arbeidstaker. Alternativt kan de ansatte på forhånd samtykke. Når så arbeidsgiver besitter personopplysninger må reglene for behandling og lagring overholdes. Det må for eksempel sikres at uvedkommende ikke får tilgang til opplysningene og det er ikke anledning til å lagre opplysningene lenger enn nødvendig. Arbeidsgiver plikter altså å slette personlige opplysninger så snart formålet med innhentingen/bruken er oppnådd.  

Det er arbeidsgivers egen plikt å sørge for at kontrolltiltak og behandling av ansattes personopplysninger er i tråd med regelverket.  Brudd på personopplysningsloven vil kunne medføre overtredelsesgebyr pålagt fra Datatilsynet, og eventuelt erstatningskrav fra arbeidstaker. Ved grove overtredelser, kan det i ytterste konsekvens bli snakk om straffeansvar.

Oppsummering

Arbeidsgivere kan ikke lese ansattes e-poster eller bruke informasjon fra facebook. Unntak gjelder når vilkårene for kontrolltiltak er oppfylt. Arbeidsgiver er pålagt strenge krav til oppbevaring av arbeidstakeres personopplysninger og brudd på reglene kan medføre gebyr, erstatningskrav og straffansvar.

For nærmere redegjørelse for arbeidsgivers adgang til kontrolltiltak og behandling av ansattes personopplysninger ta gjerne kontakt med Helle-Karine Paulshus.