Kontroll av ansattes bruk av internett og e-post

Kontroll av ansattes bevegelser i et datanettverk vil i praksis skje ved kontroll av datasystemets aktivitetslogg. Aktivitetsloggen er et personregister i personregisterlovens forstand, registeret er dog unntatt konsesjonsplikt jf personregisterforskriftens § 2-20, forutsatt at registeret kun brukes til administrasjon av systemet og til å avdekke/oppklare brudd på sikkerheten i edb-systemet.

Forvaltningspraksis tilsier at § 2-20 ikke tillater kontroll av ansattes arbeidstid eller bevegelser på internett. Praksis tilsier mest sannsynlig også at registeret videre ikke brukes til å kontrollere om ansattes bruk av internett utgjør en teknisk sikkerhetsrisiko, for eksempel for å avdekke ulovlig kopiering av programvare fra internett.

Bruk av aktivitetsloggen i strid med § 2-20 er straffbart, men i praksis resulterer slike forseelser i at Datatilsynet anmoder selskapet om å slutte med den ulovlige bruk umiddelbart. Opplysninger i datanettverk innhentet i strid med § 2-20 vil av en domstol kunne bli nektet ført som bevis, under henvisning til at det er ulovlig innhentet.

I hvilken utstrekning arbeidsgiver kan skaffe seg tilgang til de ansattes inngående og utgående e-post, er ikke lovregulert. Spørsmålet har imidlertid vært behandlet av domstolene, og Asker og Bærum herredsrett kom ved en anledning til at arbeidsgiver hadde krenket arbeidstakers ulovfestede personvern, herunder arbeidstakers rett til beskyttelse av privat informasjon, ved å gå inn på arbeidstakers private brukerområde i bedriftens databaserte postsystem.

Retten uttalte imidlertid at bedriften som utgangspunkt måtte ha anledning til å gå inn på den enkeltes private brukerområde, dersom bedriften har fastsatt regler eller instrukser som gir ledelsen en slik rett og at de ansatte er kjent med disse reglene. Retten uttalte også at det ikke var tvilsomt at bedriften må ha adgang til bedriftsinformasjon som finnes på de ansattes «åpne» brukerområder.

Arbeidsgiverne bør på denne bakgrunn utarbeide et reglement om arbeidstakers bruk av e-post og arbeidsgivers tilgang til innholdet i arbeidstakers e-post. Arbeidstaker vil således bli informert om arbeidsgivers praksis og kan innrette seg deretter. Den foreliggende rettspraksis forutsetter langt på vei at arbeidsgiver må bære risikoen for eventuelle uklarheter vedrørende den interne kontrollpraksis.