Overvågning af medarbejderne – hvad må man?

Overvågning af medarbejderne – hvad må man?

Med nyere teknologier er der mulighed for at overvåge medarbejderne ganske betydeligt. Der er i persondataretten også decidere krav til at sikre personoplysninger, som implicerer at medarbejderne nødvendigvis skal overvåges. Men hvor detaljeret må man gå til værks? Det er genstanden for denne artikel.

Teknologiske muligheder

Medarbejderne kan overvåges på næsten alle tænkelige måder. Der kan installeres TV-overvågning på arbejdspladsen. Der kan gennemføres logning af medarbejdernes aktiviteter på tværs af alle applikationer – herunder deres online tjenester. Medarbejdernes arbejdsgiverbetalte mobile enheder kan spores og logges – også ved privat anvendelse. Tilsvarende med medarbejdernes transportmidler – lastbiler, tjenestebiler osv. Kobles alle disse data med machine learning kan man profilere medarbejderne og identificere deres præferencer, diagnoser, sociale relationer m.v. Arbejdsgiver har altså alle muligheder for at overvåge medarbejderne.

Persondataforordningens krav

Organisationen skal implementere passende tekniske og organisatoriske foranstaltninger til at sikre, at persondataforordningen efterleves. Foranstaltningerne skal beskytte de registreredes rettigheder og frihedsrettigheder og skal især adressere behandlingssystemernes fortrolighed, integritet, tilgængelighed og robusthed. Når man har personoplysninger om kunder, borgere, patienter, osv. er det altså nødvendigt at holde øje med systemerne og f.eks. logge hvem der tilgår oplysningerne, om oplysningerne kopieres, om der tilgås uautoriserede cloudtjenester, hvor data kopieres ud, osv.

For at kunne fastholde dette høje niveau af sikkerhed og beskytte oplysningerne, må medarbejderne et stykke hen af vejen også tåle, at deres adfærd på arbejdspladsen overvåges. Det følger af artikel 32 om behandlingssikkerhed og af sikkerhedsprincippet artikel 5, stk. 1, litra f. I præambelbetragtning 49, som uddyber artikel 6, stk. 1, litra f, om legitim interesse hedder det, at ”Behandling af personoplysninger i det omfang, det er strengt nødvendigt og forholdsmæssigt for at sikre net- og informationssikkerhed… udgør en legitim interesse for den berørte dataansvarlige. Behandlingen kan f.eks. have til formål at hindre uautoriseret adgang til elektroniske kommunikationsnet, distribution af ondsindet kode, standsning af overbelastningsangreb (»denial of service«-angreb) og beskadigelser af computersystemer og elektroniske kommunikationssystemer”. De tiltag der iværksættes kan således iværksættes med interesseafvejning.

Ovenstående er dog ikke en blanco check til at gennemføre alskens overvågningstiltag af medarbejderne. For det første må man ikke anvende de tiltag, der iværksættes til alle mulige andre formål end netop sikkerhed. Man må f.eks. således ikke, bare fordi man har data, lave en kunstig intelligens analyse af, om medarbejderne er ved at skifte job. For det andet skal de foranstaltninger der iværksættes afspejle risici. Har man således varebiler, der kører værditransport, er det legitimt at spore disse biler og deres chauffør, men har man biler som medarbejderbiler, er det næppe legitimt at spore disse.

Kontrolforanstaltninger

Det følger af ledelsesretten at arbejdsgiver kan indføre kontrolforanstaltninger. LO og DA har i 2001 og 2006 adresseret kontrolforanstaltninger i et fælles protokollat. Heraf fremgår det at kontrolforanstaltninger skal være saglige, have en fornuftigt formål, ikke må være krænkende og ikke forvolde tab eller ulempe.

Som hovedregel må det være sådan at hvis noget er sagligt efter arbejdsretten vil det også være det efter persondataretten. Kontrolforanstaltninger skal drøftes i samarbejdsudvalget og varsles overfor medarbejderne med mindst seks ugers varsel. Det er ikke genstanden for denne artikel at drøfte generelle kontrolforanstaltninger som f.eks. tidsregistrering, visitation og bevægelse. Vi vil fokusere på de mest almindelige sikkerhedsmæssige foranstaltninger.

TV-overvågning

TV-overvågning er meget udbredt i danske virksomheder, på lagre, i butikker m.v. Overvågningen kan iværksættes med det formål at reducere tyveri og er i givet fald en velfærdsforanstaltning, der også skal beskytte medarbejderne. TV-overvågningen kan også iværksættes for at overvåge medarbejderne og er i så fald en kontrolforanstaltning. Uanset hvad formålet er, er der i mange overenskomster taget stilling til forudsætningerne for at indføre TV-overvågning. Området er reguleret i straffeloven, TV-overvågningsloven og databeskyttelsesloven. Det er centralt at formålet er tydeligt, at der oplyses om overvågningen – herunder skiltes – at der er meget begrænset adgang til optagelserne, at oplysningerne ikke videregives, og at opbevaringsperioden er passende kort (max 30 dage). Hvis organisationen vil iværksætte TV-overvågning med kriminalitetsbekæmpende formål, kan dette som oftest anses for at være sagligt. Hvis TV-overvågningen skal iværksættes for at overvåge medarbejderne, skal der foretages en vurdering af saglighed /proportionalitet. Effektivitetsmålinger, f.eks. ved overvågning af fællesrum, vil næppe være proportionalt. Hvis man vil opnå det formål, kan man overveje at designe sin løsning således, at der f.eks. kun filmes samlebånd, og så vidt muligt uden at fysiske personer er til stede på optagelserne.

Aflytning

Det er forbudt at gennemføre hemmelig aflytning jf. straffelovens § 263, stk. 1, nr. 3. Hvis en organisation vil optage samtaler – herunder telefonsamtaler – skal der som oftest bedes om samtykke. Hvis private vil optage en samtale, som de selv indgår i – herunder med deres arbejdsgiver – vil dette typisk være af privat karakter og dermed falde udenfor persondataforordningen. Men hvis samtalen offentliggøres, er samtalen ikke længere af privat karakter og så gælder de persondataretlige regler.

E-mails

Arbejdsgivers adgang til e-mail er beskyttet af brevhemmeligheden i straffelovens § 263, stk. 1, nr. 1. Ifølge Datatilsynets praksis må arbejdsgiveren imidlertid skaffe sig adgang til medarbejdernes post med interesseafvejning, når posten er arbejdsrelateret og det er sagligt. Saglighed er bl.a. driftsstabilitet, sikkerhed, genetablering, dokumentation, kontrol af brug af systemet, hvis medarbejderen er på ferie eller sygemeldt, mistanke om misbrug i forhold til vedtagne politikker og procedurer. Det er helt centralt at der findes procedurer, som beskriver indgrebene og at medarbejderne er oplyst om disse procedurer. Hvis mails har privat karakter må de ikke tilgås. De personer, der eventuelt gennemgår medarbejderens mails skal være få og betroede.

Internet

Der er vid adgang for arbejdsgiveren til at gennemgå logs af medarbejdernes brug af internettet med sikkerhedsmæssige formål. Herunder kan arbejdsgiveren også begrænse adgangen til bestemte tjenester, som arbejdsgiveren finder udgør en trussel eller ikke er arbejdsmæssigt relevante. Formål ud over sikkerhedsmæssige formål kan også udgøre mistanke om brud på politikker og procedurer. I så fald skal der formodentlig være tale om brug på reglerne, af en vis vigtighed, således at overvågningen kan siges at være proportional.

Logningen skal forstås i bred forstand og omfatter således også opsamling og aggregeret analyse af logs (SIEM). Videre omfatter det gennemgang af firewall, Shadow IT-discovery, logs af brug af applikationer, m.v.

Hvis det er tilladt at anvende virksomhedens udstyr til private formål udenfor arbejdspladsen og udenom virksomhedens systemer, skal der udvises forsigtighed med at logge internetanvendelsen. Det må lægges til grund, at medarbejderne i dette tidsrum fortrinsvis bruger udstyret til private formål. Det samme gør sig gældende med mobiltelefoner, som også i vid udstrækning anvendes privat og som ikke på samme måder som PC’er låses for installation af apps.

Opsummering om sikkerhed og overvågning

Som det ses af ovenstående, er der meget vide muligheder for at arbejdsgiveren / den dataansvarlige kan overvåge medarbejderne med sikkerhedsmæssige formål. Overvågningen bør dog ikke bruges til alle mulige andre formål. Desuden vil man ikke kunne overvåge i et omfang, der går videre end risici tilsiger. Det er altså OK at gennemgå logs af sikkerhedsmæssige hensyn, men ikke med henblik på at bruge de samme data til at profilere medarbejderne.

Links

DA / LO aftale om kontrolforanstaltninger:
https://fho.dk/wp-content/uploads/lo/2017/03/aftaleomkontrolforanstaltninger.pdf

Datatilsynet om optagelse af telefonsamtaler:
https://www.datatilsynet.dk/emner/overvaagning-og-sporing/optagelse-af-telefonsamtaler/

Datatilsynet om databeskyttelse i forbindelse med ansættelsesforholdet:
https://www.datatilsynet.dk/media/6931/databeskyttelse-i-forbindelse-med-ansaettelsesforhold.pdf

”Persondataret i ansættelsesforholdet” af Peter Blume og Peter Kristensen

Om Henning Mortensen

Om Henning Mortensen

Henning har igennem mere end 15 år rådgivet og udgivet en række vejledninger og værktøjer til danske virksomheder om it-sikkerhed og persondataret i sin rolle som chefkonsulent i Dansk Industri. I dag er Henning IT-sikkerhedschef og Chief Privacy Officer ved Brødrene A&O Johansen A/S og sidder derfor på daglig basis og arbejder med forordningen i praksis. Henning er desuden formand for Rådet for Digital Sikkerhed, medlem af Virksomhedsrådet for IT-sikkerhed, Privacy Evangelist for Wired Relations – easy GDPR software og en hyppigt anvendt underviser og foredragsholder. Henning Mortensen blev tildelt Databeskyttelsesprisen 2018 for sit lange seje træk med at omsætte databeskyttelse til konkret vejledning og gode råd, som er anvendelige for både myndigheder og store og små virksomheder.

Følg Henning Mortensen på Linkedin