Når kan arbeidsgiver ta innsyn i ansattes e-post?

En ansatt blir sykmeldt, og en viktig kunde venter på svar. En annen ansatt slutter brått, og ledelsen mistenker at kundelister er sendt ut. I begge tilfeller er det fristende å åpne e-postkassen. Det kan være lovlig, men bare når vilkårene i en egen forskrift er oppfylt og fremgangsmåten følges. Feil på ett av punktene har gitt overtredelsesgebyr i flere saker.

Hvilke regler gjelder for innsyn i ansattes e-post?

Innsyn i ansattes e-post reguleres av forskrift om arbeidsgivers innsyn i e-postkasse og annet elektronisk lagret materiale, ofte kalt e-postforskriften. Den er gitt med hjemmel i aml. § 9-5, og Datatilsynet fører tilsyn med den etter e-postforskriften § 6. I tillegg gjelder personvernforordningen, slik at arbeidsgiver også må ha behandlingsgrunnlag, normalt berettiget interesse etter GDPR art. 6 nr. 1 bokstav f.

Forskriften gjelder etter e-postforskriften § 1 innsyn i e-postkasse som arbeidsgiver har stilt til den ansattes disposisjon, og i den ansattes personlige områder i virksomhetens nettverk eller på annet elektronisk utstyr. Den gjelder også slettet materiale på sikkerhetskopier, og den gjelder både nåværende og tidligere ansatte.

Forskriften er ufravikelig. Etter e-postforskriften § 5 kan den ikke fravikes til ugunst for arbeidstaker, verken ved instruks eller avtale. En klausul i arbeidsavtalen om at arbeidsgiver alltid har tilgang, har derfor ingen virkning.

Når kan arbeidsgiver ta innsyn?

Arbeidsgiver kan bare ta innsyn i to situasjoner etter e-postforskriften § 2 første ledd.

Den første er når innsyn er nødvendig for å ivareta den daglige driften eller andre berettigede interesser ved virksomheten. Typiske eksempler er at en ansatt er syk eller har sluttet, og at virksomheten trenger en bestemt kundekorrespondanse, en kontrakt eller et tilbud for å kunne levere. Kravet er nødvendighet. Det er ikke nok at innsyn er praktisk. Kan opplysningene skaffes på annen måte, for eksempel ved å spørre den ansatte, kunden eller kollegaer, er innsyn som regel ikke nødvendig.

Den andre er ved begrunnet mistanke om at den ansattes bruk av e-post eller elektronisk utstyr innebærer grovt brudd på pliktene i arbeidsforholdet, eller kan gi grunnlag for oppsigelse eller avskjed. Mistanken må bygge på konkrete holdepunkter, ikke på generell uro eller ønske om å «se hva som finnes».

Selv når et av vilkårene er oppfylt, må innsynet være forholdsmessig. Søket skal avgrenses til det formålet krever, for eksempel bestemte avsendere, tidsrom eller søkeord.

Er automatisk videresending av e-post lov?

Nei. Etter e-postforskriften § 2 andre ledd har arbeidsgiver ikke rett til å overvåke den ansattes bruk av elektronisk utstyr. Unntakene gjelder bare administrasjon av datanettverket og avdekking eller oppklaring av sikkerhetsbrudd. Datatilsynet regner automatisk videresending av en ansatts e-post som kontinuerlig overvåking, og den er derfor ikke tillatt.

Automatisk videresending er ikke en snarvei til innsyn. Det er overvåking, og det har gitt overtredelsesgebyr.

Alternativet er et automatisk fraværssvar som henviser avsenderen til en annen adresse. Det løser driftsbehovet uten at noen leser den ansattes e-post.

Hvordan skal innsynet gjennomføres?

e-postforskriften § 3 stiller krav til fremgangsmåten. Kravene er like viktige som vilkårene, og brudd på dem alene kan gi reaksjon.

Unntak fra varsel krever en konkret begrunnelse, for eksempel at varsel vil føre til at bevis slettes. Unntakene fra informasjonsplikten i personopplysningsloven § 16 gjelder tilsvarende for underretningen i etterkant.

I praksis bør arbeidsgiver føre en protokoll over beslutningen, begrunnelsen, hvem som deltok, hvilke søk som ble gjort, og hva som ble åpnet. Protokollen er virksomhetens viktigste bevis hvis den ansatte klager til Datatilsynet eller saken ender i retten.

Hva skjer med e-posten når den ansatte slutter?

Etter e-postforskriften § 4 skal e-postkassen avsluttes når arbeidsforholdet opphører, med mindre det er et særskilt behov for å holde den åpen en kort periode. Opplysninger som ikke er nødvendige for den daglige driften, skal slettes innen rimelig tid.

Virksomheten bør derfor sørge for at arbeidsrelevant materiale overføres til felles systemer mens den ansatte fortsatt er i jobb. Det reduserer behovet for innsyn etter at vedkommende har sluttet, og det er den enkleste måten å unngå konflikt på.

Hva har Personvernnemnda reagert på?

Praksis fra Personvernnemnda viser at både automatisk videresending og svikt i fremgangsmåten gir reaksjon.

Den siste saken er særlig lærerik. Arbeidsgiver hadde et legitimt grunnlag for innsyn, men fikk likevel reaksjon fordi fremgangsmåten sviktet. Grunnlaget redder altså ikke en mangelfull prosess.

Overtredelsesgebyr ilegges etter GDPR art. 83, og øvre ramme for brudd på grunnprinsippene og behandlingsgrunnlag er 20 millioner euro eller 4 prosent av global årsomsetning. For de fleste virksomheter er den reelle risikoen likevel like mye knyttet til arbeidsrettssaken. Opplysninger skaffet i strid med reglene gir et svakt utgangspunkt for en oppsigelse, og den ansatte kan kreve erstatning.

Hva med andre digitale spor, som KI-assistenter?

Forskriften gjelder også den ansattes personlige områder på virksomhetens utstyr. Mye tyder på at samtalehistorikk i KI-assistenter knyttet til den ansattes konto bør behandles på samme måte, selv om spørsmålet ikke er avklart i praksis. Se artikkelen om KI-retningslinjer for ansatte for hvordan kontroll av KI-bruk bør håndteres.

Den ansatte kan i tillegg kreve innsyn i hvilke opplysninger arbeidsgiver har hentet ut. Det er en vanlig reaksjon etter et innsyn i e-post, og fristene og unntakene er omtalt i artikkelen om innsynskrav etter GDPR.

Hva bør virksomheten gjøre?

1. Lag en skriftlig innsynsrutine som beskriver vilkårene, hvem som beslutter, varsel, gjennomføring, protokoll og underretning.
2. Forby automatisk videresending i IT-rutinene, og bruk fraværssvar i stedet.
3. Sørg for felles lagring av kundekorrespondanse og avtaler, slik at driftsbehovet sjelden krever innsyn i personlige e-postkasser.
4. Avgrens hvert innsyn til bestemte avsendere, tidsrom eller søkeord, og lukk private e-poster straks.
5. Avklar ekstern bistand før innsynet starter. Deling med revisor, granskere eller IT-leverandør krever eget grunnlag og avtale.
6. Avslutt kontoen ved fratreden og slett det som ikke trengs for driften innen rimelig tid.
7. Involver HR og personvernombud før innsyn ved mistanke om pliktbrudd, fordi saken ofte ender som en arbeidsrettssak.

Flere artikler om temaet finnes på pilarsiden om personvern.

Spørsmål og svar

Neste faglige kontroll: 1. april 2027