GDPR: Overvågning af medarbejderne

GDPR: Overvågning af medarbejderne – hvad må man?

Henning Mortensen

January 24, 2020

Med nye teknologier er der mulighed for at overvåge medarbejderne ganske betydeligt. Der er i persondataretten også deciderede krav til at sikre personoplysninger, som implicerer, at medarbejderne nødvendigvis skal overvåges. Men hvor detaljeret må man gå til værks? Det er genstanden for denne artikel.

Teknologiske muligheder

Medarbejderne kan overvåges på næsten alle tænkelige måder:
- Der kan installeres TV-overvågning på arbejdspladsen.
- Der kan gennemføres logning af medarbejdernes aktiviteter på tværs af alle applikationer – herunder deres online tjenester.
- Medarbejdernes arbejdsgiverbetalte mobile enheder kan spores og logges – også ved privat anvendelse.
- Tilsvarende med medarbejdernes transportmidler – lastbiler, tjenestebiler osv. kobles alle disse data med machine learning kan man profilere medarbejderne og identificere deres præferencer, diagnoser, sociale relationer m.v.

Kort og godt har en arbejdsgiver altså alle muligheder for at overvåge medarbejderne, mens de er på arbejde.

Persondataforordningens krav i forhold til overvågning af medarbejdere

Organisationen skal implementere passende tekniske og organisatoriske foranstaltninger til at sikre, at persondataforordningen efterleves. Foranstaltningerne skal beskytte de registreredes rettigheder og frihedsrettigheder og skal især adressere behandlingssystemernes fortrolighed, integritet, tilgængelighed og robusthed. Når man har personoplysninger om kunder, borgere, patienter, osv. er det altså nødvendigt at holde øje med systemerne og f.eks. logge, hvem der tilgår oplysningerne, om oplysningerne kopieres, om der tilgås uautoriserede cloudtjenester, hvor data kopieres ud m.v.

For at kunne fastholde dette høje niveau af sikkerhed og beskytte oplysningerne, må medarbejderne et stykke hen af vejen også tåle, at deres adfærd på arbejdspladsen overvåges. Det følger af artikel 32 om behandlingssikkerhed og af sikkerhedsprincippet artikel 5, stk. 1, litra f.
I præambelbetragtning 49, som uddyber artikel 6, stk. 1, litra f, om legitim interesse hedder det, at ”Behandling af personoplysninger i det omfang, det er strengt nødvendigt og forholdsmæssigt for at sikre net- og informationssikkerhed… udgør en legitim interesse for den berørte dataansvarlige. Behandlingen kan f.eks. have til formål at hindre uautoriseret adgang til elektroniske kommunikationsnet, distribution af ondsindet kode, standsning af overbelastningsangreb (»denial of service«-angreb) og beskadigelser af computersystemer og elektroniske kommunikationssystemer”. De tiltag der iværksættes kan således iværksættes med en interesseafvejning.

Ovenstående er dog ikke en blanco check til at gennemføre alskens overvågningstiltag af medarbejderne. For det første må man ikke anvende de tiltag, der iværksættes til alle mulige andre formål end netop sikkerhed. Man må således ikke, bare fordi man har data, lave f.eks. en kunstig intelligens-analyse af, om medarbejderne er ved at skifte job. For det andet skal de foranstaltninger, der iværksættes, afspejle risici. Har man således varebiler, der kører værditransport, er det legitimt at spore disse biler og deres chauffør, men har man biler som medarbejderbiler, er det næppe legitimt at spore disse.

Kontrolforanstaltninger ved overvågning

Det følger af ledelsesretten, at arbejdsgiver kan indføre kontrolforanstaltninger. LO og DA har i 2001 og 2006 adresseret kontrolforanstaltninger i et fælles protokollat. Heraf fremgår det, at kontrolforanstaltninger skal være saglige, have et fornuftigt formål, ikke må være krænkende og ikke forvolde tab eller ulempe.

Som hovedregel må det være sådan, at hvis noget er sagligt efter reglerne i arbejdsretten, vil det også være det i persondataretten. Kontrolforanstaltninger skal drøftes i samarbejdsudvalget og varsles overfor medarbejderne med mindst seks ugers varsel. Det er ikke genstanden for denne artikel at drøfte generelle kontrolforanstaltninger som f.eks. tidsregistrering, visitation og bevægelse. Vi vil fokusere på de mest almindelige sikkerhedsforanstaltninger.

TV-overvågning af medarbejdere

TV-overvågning er meget udbredt i danske virksomheder på lagre, i butikker m.v. Overvågningen kan iværksættes med det formål at reducere tyveri, og er derved en velfærdsforanstaltning, der også skal beskytte medarbejderne. TV-overvågningen kan også iværksættes for at overvåge medarbejderne, og er i så fald en kontrolforanstaltning. Uanset formålet er der i mange overenskomster taget stilling til forudsætningerne for at indføre TV-overvågning. Området er reguleret i straffeloven, TV-overvågningsloven og databeskyttelsesloven. Det er centralt, at formålet er tydeligt, at der oplyses om overvågningen – herunder skiltes – at der er meget begrænset adgang til optagelserne, at oplysningerne ikke videregives, og at opbevaringsperioden er passende kort (max 30 dage). Hvis organisationen vil iværksætte TV-overvågning med kriminalitetsbekæmpende formål, kan dette som oftest anses for at være sagligt. Hvis TV-overvågningen skal iværksættes for at overvåge medarbejderne, skal der foretages en vurdering af saglighed /proportionalitet. Effektivitetsmålinger, f.eks. ved overvågning af fællesrum, vil næppe være proportionalt. Hvis man vil opnå dette formål, kan man overveje at designe sin løsning således, at der f.eks. kun filmes samlebånd, og så vidt muligt uden at fysiske personer er til stede på optagelserne.

Aflytning

Det er forbudt at gennemføre hemmelig aflytning jf. straffelovens § 263, stk. 1, nr. 3. Hvis en organisation vil optage samtaler – herunder telefonsamtaler – skal der som oftest bedes om samtykke. Hvis private vil optage en samtale, som de selv indgår i – herunder med deres arbejdsgiver – vil dette typisk være af privat karakter og dermed falde udenfor persondataforordningen. Men hvis samtalen offentliggøres, er samtalen ikke længere af privat karakter, og så gælder de persondataretlige regler.

E-mails

Arbejdsgivers adgang til e-mail er beskyttet af brevhemmeligheden i straffelovens § 263, stk. 1, nr. 1. Ifølge Datatilsynets praksis må arbejdsgiveren imidlertid skaffe sig adgang til medarbejdernes post med interesseafvejning, når posten er arbejdsrelateret, og det er sagligt. Saglighed er bl.a. driftsstabilitet, sikkerhed, genetablering, dokumentation, kontrol af brug af systemet, hvis medarbejderen er på ferie eller sygemeldt, der er mistanke om misbrug i forhold til vedtagne politikker og procedurer. Det er helt centralt at der findes procedurer, som beskriver indgrebene, og at medarbejderne er oplyst om disse procedurer. Hvis mails har privat karakter, må de ikke tilgås. De personer, der eventuelt gennemgår medarbejderens mails skal være få og betroede.

Internet

Der er vid adgang for arbejdsgiveren til at gennemgå logs af medarbejdernes brug af internettet med sikkerhedsmæssige formål. Herunder kan arbejdsgiveren også begrænse adgangen til bestemte tjenester, som arbejdsgiveren finder udgør en trussel eller ikke er arbejdsmæssigt relevante. Formål ud over sikkerhedsmæssige formål kan også udgøre mistanke om brud på politikker og procedurer. I så fald skal der formodentlig være tale om brud på regler af en vis vigtighed, således at overvågningen kan siges at være proportional i relation til forholdene.

Logning skal forstås i bred forstand og omfatter således også opsamling og aggregeret analyse af logs (SIEM). Videre omfatter det gennemgang af firewall, Shadow IT-discovery, logs af brug af applikationer m.v.

Hvis det er tilladt at anvende virksomhedens udstyr til private formål udenfor arbejdspladsen og udenom virksomhedens systemer, skal der udvises forsigtighed med at logge internetanvendelsen. Det må lægges til grund, at medarbejderne i dette tidsrum fortrinsvis bruger udstyret til private formål. Det samme gør sig gældende med mobiltelefoner, som også i vid udstrækning anvendes privat og som ikke på samme måde som PC’er, låses for installation af apps.

Opsummering om sikkerhed og overvågning

Som det ses af ovenstående, er der meget brede muligheder for, at arbejdsgiveren / den dataansvarlige kan overvåge medarbejderne med sikkerhedsmæssige formål. Overvågningen bør dog ikke bruges til alle mulige andre formål. Desuden vil man ikke kunne overvåge i et omfang, der går videre, end risici tilsiger. Det er altså OK at gennemgå logs af sikkerhedsmæssige hensyn, men ikke med henblik på at bruge de samme data til at profilere medarbejderne.