§ 1 Formål
Formålet med disse retningslinjene er å samle prosedyrene for innsyn i ansattes e-postkasse eller private filer i ett dokument. Retningslinjene er ment å utfylle forskrift om arbeidsgivers innsyn i e-postkasse og annet elektronisk lagret materiale, jf. aml. § 9-5 («forskriften»).
§ 2 Hva kan det gjøres innsyn i?
Retningslinjene gjelder for e-postkasse som UiO har stilt til disposisjon for den ansatte til bruk i arbeidet ved virksomheten (jf. forskriften § 1 første ledd bokstav a), og den ansattes personlige områder («hjemmeområde») i virksomhetens datanettverk eller annet elektronisk utstyr som UiO har stilt til den ansattes disposisjon (jf. forskriften § 1 bokstav b)
Retningslinjene gjelder også for UiOs adgang til gjennomsøkning av, og innsyn i, den ansattes personlige område i virksomhetens datanettverk, samt for andre elektroniske kommunikasjonsmedier eller elektronisk utstyr som er stilt til den ansattes disposisjon, slik som for eksempel chat-tjeneste, PC, mobiltelefon og nettbrett. Videre gjelder retningslinjene for innsyn i opplysninger som er slettet fra områder som finnes på sikkerhetskopier eller tilsvarende.
Opplysninger som er lagret på fellesområder eller i e-postkasse som er felles for hele virksomheten, slik som postkasse@uio.no, vil UiO ha rett til innsyn i uten at de særlige vilkårene i disse retningslinjene gjelder.
Retningslinjene gir ikke rett innsyn i den ansattes egne kommunikasjonsmidler og private e-poster.
§ 3 Når kan det gjøres innsyn i arbeidstakeres e-post og private filer?
UiO må ha en berettiget interesse for å gjøre innsyn. Innsyn er kun tillatt dersom det er
- nødvendig for å ivareta den daglige driften eller andre berettigede interesser ved virksomheten, eller
- ved begrunnet mistanke om at arbeidstakers bruk av e-postkasse eller annet elektronisk utstyr medfører grovt brudd på de plikter som følger av arbeidsforholdet eller kan gi grunnlag for oppsigelse eller avskjed.
Arbeidsgiver må vurdere om det finnes mindre inngripende metoder for å oppnå samme formål. Innsyn kan for eksempel være nødvendig for å bekrefte eller avkrefte en mistanke, slik som å skaffe bevis for straffbare behandlinger eller alvorlige brudd på arbeidstakerens plikter.
UiO må gjøre en interesseavveining mellom virksomhetens behov for innsyn og hvilke personvernulemper innsynet har for arbeidstaker. Dersom UiOs interesse for innsyn ikke er særlig vektige, kan innsyn bare gjøres hvis personvernkonsekvensene for arbeidstakeren er små. Dersom personvernkonsekvensene er større, må UiOs interesse for innsyn være mer tungtveiende.
Innsyn i den ansattes e-post eller private filer vil være å anse som et kontrolltiltak etter reglene i arbeidsmiljøloven kapittel 9. (§ 9-1 regulerer de materielle vilkårene for kontrolltiltak og § 9-2 regulerer krav om informasjon og drøfting).
§ 4 Hvem kan beslutte innsyn på vegne av UiO?
Organisasjons- og personaldirektøren har myndighet til å beslutte at det gjøres innsyn i ansattes e-post og annet elektronisk lagret materiale når vilkårene for slikt innsyn er oppfylt. Slik beslutning fattes på bakgrunn av skriftlig og begrunnet innstilling fra den ansattes overordnede, og skal hensynta eventuelle innsigelser fra den berørte ansatte.
Beslutningen skal være skriftlig og begrunnet, angi rammene for innsynet, samt utpeke UiOs representant for gjennomføring av innsynet. UiOs representant skal som hovedregel være den ansattes nærmeste leder. Beslutningen skal lagres i den ansattes personalmappe.
§ 5 Hvordan skal innsyn gjennomføres?
A. Forhåndsvarsel
Dersom vilkårene for innsyn er oppfylt, skal det så langt som mulig sendes forhåndsvarsel til den ansatte om innsyn vurderes. Varselet skal inneholde en begrunnelse for hvorfor arbeidsgiver mener vilkårene i § 2 er oppfylt, samt informasjon om den ansattes rettigheter i henhold til Forskriften § 3.
B. Den ansattes rett til å uttale seg og å delta under gjennomføring av innsynet
Den ansatte og/eller dennes representant skal, så langt det lar seg gjøre, gis anledning til å uttale seg før innsynet besluttes, og skal så langt som mulig gis anledning til å være til stede under selve gjennomføringen.
Frister som settes må være tilstrekkelig lange til at den ansatte får reell mulighet til å ivareta rettighetene sine. Den ansatte skal få informasjon om at vedkommende har rett til å få bistand av en tillitsvalgt eller en annen representant i forbindelse med innsynet.
Ved innsyn i etterkant av en ansatts dødsfall, skal den ansattes rettigheter så langt det lar seg gjøre ivaretas av representant for den ansattes dødsbo.
Dersom det foreligger fare for bevisforspillelse, vil CERT kunne sikkerhetskopiere e-postkasse eller annet elektronisk lagret materiale, før den ansatte forhåndsvarsles om at innsyn vurderes besluttet.
C. Gjennomføring av innsynet
Innsyn gjennomføres av den representant for UiO som er utpekt i beslutningen til organisasjons- og personaldirektøren, samt én eller flere representanter fra IT-avdelingen/CERT.
Innsyn skal gjennomføres innenfor rammene fastsatt i organisasjons- og personaldirektørens beslutning, og er under enhver omstendighet begrenset til e-poster, dokumenter og informasjon som ligger innenfor formålet med innsynet.
Innsyn skal begrenses til hva som er innenfor formålet. Eventuelle søkeord, som har sammenheng med grunnlaget for innsynet, skal defineres og kvalitetssikres i forkant av innsynet.
OPA skal utarbeide og vedlikeholde en mal med sjekkliste og protokoll for gjennomføringen av innsynet. Malen skal inneholde informasjon om hvordan innsyn bør gjennomføres og hvordan selve gjennomføringen skal dokumenteres. Oppdatert mal skal vedlegges disse retningslinjene.
UiO skal søke å begrense antall personer som deltar under gjennomføring av innsynet, og som gjennomgår materialet, til det antall som er nødvendig for behandlingen av den konkrete saken.
Det skal føres protokoll under selve innsynet som redegjør for hva som er gjort og hvem som har deltatt. Protokollen skal lagres sammen med beslutningen om å gjennomføre innsyn, i personalmappen til den ansatte.
D. Ved innsyn uten forutgående varsel
Er innsyn foretatt uten forutgående varsel eller uten at den ansatte var til stede, skal den ansatte gis skriftlig underretning om dette så snart innsynet er gjennomført. Underretningen skal, i tillegg til opplysningene nevnt i første ledd annet punktum, inneholde opplysninger om hvilken metode for innsyn som ble benyttet, hvilke e-poster eller andre dokumenter som ble åpnet samt resultatet av innsynet, jf. Forskriften § 3, fjerde ledd.
Den skriftlige underretningen skal lagres i den ansattes personalmappe.
§ 6 Tredjeparters rett til innsyn
Tredjeparters rett til innsyn reguleres ikke direkte av forskriften. Tredjeparter har som utgangspunkt ikke rett til innsyn ansattes e-postkasse eller private filer. Unntak kan imidlertid gjøres i særlige tilfeller, så fremt slikt innsyn er i tråd med prinsippene nedfelt i personvernforordningen (GDPR) kapittel II.