Alvorlig kritik for adgang til tidligere medarbejders private e-mail
Datatilsynet har udtalt alvorlig kritik af en virksomhed, der fra en afleveret arbejdskomputer tilgik en tidligere medarbejders private e-mailkonto og brugte materialet i en civil sag. Tilsynet fastslog, at handlingen udgjorde behandling af personoplysninger, og at virksomheden ikke havde et gyldigt behandlingsgrundlag efter GDPR art. 6(1)(f), fordi interesseafvejningen hverken var nødvendig eller proportional.
Myndigheden lagde vægt på, at kontoen var privat og uden for arbejdsgiverens rådighed, at virksomheden fortsatte gennemlæsning og download, efter at den indså, at der var tale om en personlig konto, samt at søgningerne sandsynligvis omfattede oplysninger uden relevans for det angivne formål. At adgangen opstod tilfældigt under en teknisk gennemgang af computeren, kunne ikke legitimere den fortsatte gennemgang.
Retslige rammer og risici
Sagen tydeliggør rammerne for arbejdsgiveres håndtering af medarbejderdata. Et legitimt formål fritager ikke for krav om nødvendighed, dataminimering og dokumenteret interesseafvejning. Private konti er ikke virksomhedens domæne, og en gennemgang kan desuden aktualisere straffelov § 263 om hemmeligheden for meddelelser, hvis der sker uberettiget adgang til privat kommunikation.
Hensynet til bevissikring i en civil tvist eller til politiet kan ikke i sig selv omgå GDPR. Bevisindsamling skal planlægges og udføres med klare proceslinjer, tekniske kontroller og sporbarhed, så man undgår at indsamle mere end nødvendigt og ikke berører privat korrespondance.
Anbefalinger til arbejdsgivere
For at reducere risiko for brud på databeskyttelses- og strafferegler kan arbejdsgivere med fordel indføre følgende tiltag:
- Etabler klare politikker og instrukser for håndtering af medarbejderes og fratrådtes data.
- Gennemfør og dokumentér en konkret interesseafvejning samt nødvendighedsvurdering før enhver søgning.
- Implementér tekniske kontroller, adskillelse af arbejdsmail og private konti samt logning og sletning.
- Uddan relevante medarbejdere i GDPR, bevisindsamling og grænser for adgang til private konti.
Datatilsynets afgørelse kan læses her: datatilsynet.dk.
