HENSIKT

Sikre at innsyn i ansattes e-post og hjemmeområder gjøres i samsvar med gjeldende krav til informasjonssikkerhet og med gyldig behandlingsgrunnlag.

MÅLGRUPPE

Gjelder for alle medarbeidere ved Sørlandet sykehus (SSHF).

Ansvar

• Administrerende direktør er databehandlingsansvarlig og har ansvaret for at lagring og forvaltning av person‐ og helseopplysninger gjøres med nødvendig sikkerhet og kun i samsvar med gyldig behandlingsgrunnlag.
• Personvernombudet/-leder har en rolle i å sikre at den enkeltes personvernrettigheter blir ivaretatt, at all bruk av personopplysninger registreres, gjøres med nødvendig informasjonssikkerhet og i samsvar med gyldig behandlingsgrunnlag.
• Ledere innen ulike enheter og områder har ansvar for å påse at denne prosedyre implementeres og etterleves innen eget ansvarsområde. Det vil si at dokumentet er kjent, tilgjengelig og blir brukt.
• Alle ansatte ved sykehuset skal forholde seg til denne prosedyre. Dette gjelder uavhengig av organisatorisk plassering og yrkesgruppe.

FREMGANGSMÅTE

Definisjon

Alle databrukere ved SSHF har to personlige områder:

• Hjemmeområdet OneDrive, inkl «Mine dokumenter» (tidligere P:\)
• E-postkasse

Forskriften Arbeidsgivers innsyn i e-postkasse og annet elektronisk lagret materiale regulerer arbeidsgiverens rett til innsyn i arbeidstakerens e-postkasse. Reglene gjelder tilsvarende for arbeidsgivers adgang til gjennomsøkning av og innsyn i arbeidstakers personlige område i virksomhetens datanettverk. I tillegg gjelder de for andre elektroniske kommunikasjonsmedier eller elektronisk utstyr som arbeidsgiveren har stilt til disposisjon til bruk i arbeidet i virksomheten.

Se også Datatilsynets veileder «Innsyn i e-post og annet elektronisk lagret materiale» (oppdatert mars ‘22).

Innsynsrett

Det skal kun være eieren av brukerkontoen som skal ha tilgang til personlige områdene. Eieren har ansvar for å hemmeligholde passordet til egen konto.

Arbeidsgiver har i utgangspunktet ikke innsynsrett i ansattes e-post og personlige hjemmekatalog i nettverket. Det er derfor viktig å benytte fraværsassistent og minimere arbeidsgivers innsynsbehov.

Ved fravær, mistanke om straffbare forhold eller sikkerhetsbrudd, vil e-postkassen, personlig hjemmeområde og lignende kunne åpnes. Dette skal skje i nærvær av verneombud eller tillitsvalgt. Det er bare autorisert IT-personell som kan åpne en e-post eller personlige områder. Slik åpning skal alltid skje i samråd med informasjonssikkerhetsleder.

Arbeidsgiver har bare rett til å gjennomsøke, åpne eller lese e-post i arbeidstakers e-postkasse:

a)      når det er nødvendig for å ivareta den daglige driften eller andre berettigede interesser ved virksomheten,

b)      ved begrunnet mistanke om at arbeidstakers bruk av e-postkasse eller annet elektronisk utstyr medfører grovt brudd på de plikter som følger av arbeidsforholdet eller kan gi grunnlag for oppsigelse eller avskjed.

Arbeidsgiver har ikke rett til å overvåke arbeidstakers bruk av elektronisk utstyr, herunder bruk av Internett.

Arbeidstaker skal så langt som mulig varsles og få anledning til å uttale seg før arbeidsgiver gjennomfører innsyn etter dette kapittelet. I varselet skal arbeidsgiver begrunne hvorfor vilkårene i § 2 anses å være oppfylt og orientere om arbeidstakers rettigheter, jf. § 3. Arbeidstaker skal så langt som mulig gis anledning til å være til stede under gjennomføringen av innsynet, og har rett til å la seg bistå av tillitsvalgt eller annen representant.

Er innsyn foretatt uten forutgående varsel, skal arbeidstaker gis skriftlig underretning om dette så snart innsynet er gjennomført. Underretningen skal, i tillegg til opplysningene nevnt i første ledd annet punktum, inneholde opplysninger om hvilken metode for innsyn som ble benyttet, hvilke e-poster eller andre dokumenter som ble åpnet samt resultatet av innsynet

Innsyn må gjennomføres på en slik måte at dataene så langt som mulig ikke endres og at frembrakte opplysninger kan etterprøves.

Dersom innsyn i e-postkassen viser at det ikke foreligger dokumentasjon som arbeidsgiver har rett til innsyn i, skal e-postkassen og dokumenter i denne straks lukkes. Eventuelle kopier skal slettes.

Ved mistanke om straffbare forhold skal politiet kontaktes.

Ved avvik

Innsyn i ansattes e-post uten tilstrekkelig informasjonssikkerhet og gyldig behandlingsgrunnlag, er avvik og skal meldes i foretakets avvikssystem samt til nærmeste overordnende.

Nærmeste leder bør konferere med HR-seksjonen for vurdering og evt videre håndtering av personalsak.

Personvernleder blir rutinemessig varslet ved slike meldinger i foretakets avvikssystem og er ansvarlig for eventuelt å melde avvik videre til Datatilsynet.

Kryssreferanser

Eksterne referanser