En intern undersøgelse er næsten altid en behandling af personoplysninger. Derfor skal I, før I går i gang, kunne svare på fem spørgsmål: Hvad er formålet, hvad er grundlaget, hvilke data er nødvendige, hvem har adgang, og hvor længe gemmes det. Svarene skal skrives ned. Tjeklisten her hjælper jer igennem dem. Den erstatter ikke en juridisk vurdering, og reglerne skal tjekkes i jeres konkrete sag.
Mange virksomheder tænker først på databeskyttelse, når medarbejderens advokat spørger. Så er det svært at dokumentere, at I tænkte over det fra starten. Det tager typisk en time at gennemgå tjeklisten, og den time kan spare meget senere.
Hvorfor det betyder noget for sagen
Hvis undersøgelsen ikke overholder databeskyttelsesreglerne, risikerer I tre ting. Medarbejderen kan klage til Datatilsynet. Medarbejderen kan rejse krav om erstatning. Og modparten kan bruge det til at så tvivl om hele undersøgelsen. Det er ikke givet, at materialet ikke kan bruges, men en undersøgelse, der er tænkt igennem, står meget stærkere.
Den juridiske vinkel er beskrevet for advokater på digital-bevissikring.dk.
Tjeklisten
1. Formål
- ☐ Formålet er skrevet ned i én eller to sætninger.
- ☐ Formålet er konkret, for eksempel “at undersøge, om kundelisten blev kopieret i perioden 1.-15. marts”.
- ☐ Formålet er sagligt og ikke et ønske om at “se, hvad der er”.
2. Grundlag
- ☐ Det er vurderet, hvilket behandlingsgrundlag der bruges. I praksis er det ofte virksomhedens legitime interesse eller at fastlægge et retskrav.
- ☐ Det er vurderet, om der er følsomme oplysninger, og hvad det betyder.
- ☐ Afvejningen mellem virksomhedens interesse og medarbejderens privatliv er skrevet ned.
3. Dataminimering og afgrænsning
- ☐ Det er afgrænset, hvilke personer undersøgelsen omfatter.
- ☐ Det er afgrænset, hvilke systemer og datatyper der indgår.
- ☐ Perioden er afgrænset.
- ☐ Der er aftalt søgeord eller filtre, så ikke alt skal læses.
- ☐ Der er en plan for private data, der dukker op.
→ Afgrænsning: personer, data og perioder
4. Adgang og sikkerhed
- ☐ Der er en lille, navngiven kreds med adgang.
- ☐ Materialet opbevares et sted med begrænset adgang og log.
- ☐ Eksterne, for eksempel en IT-sagkyndig, arbejder efter en aftale, der dækker databeskyttelse.
- ☐ Der sendes ikke materiale rundt på almindelig mail.
5. Oplysningspligt
- ☐ Det er vurderet, hvornår den undersøgte skal orienteres.
- ☐ Hvis orienteringen udskydes, er begrundelsen skrevet ned.
- ☐ Det er vurderet, om andre registrerede, for eksempel kolleger og kunder, skal orienteres.
→ Skal den undersøgte orienteres, og hvornår?
6. Opbevaring og sletning
- ☐ Der er en plan for, hvor længe materialet gemmes.
- ☐ Det er aftalt, hvad der sker med kopier hos eksterne, når sagen er slut.
- ☐ Det er skrevet ned, hvem der har ansvaret for sletning.
→ Hvor længe må virksomheden gemme bevismaterialet?
7. Dokumentation
- ☐ Beslutningerne er samlet ét sted, med dato og navn.
- ☐ Det er noteret, om databeskyttelsesrådgiveren er inddraget, og hvad rådet var.
- ☐ Der er taget stilling til, om behandlingen skal med i fortegnelsen.
Et eksempel på et udfyldt formål og en afgrænsning
Et kort eksempel kan gøre tjeklisten lettere at bruge:
“Formål: At undersøge, om filer fra mappen Tilbud blev kopieret til eksterne medier eller sendt til private mailadresser fra den bærbare computer og postkassen tilhørende [medarbejder] i perioden 1. februar til 15. marts. Grundlag: Virksomhedens legitime interesse i at beskytte forretningshemmeligheder og eventuelt fastlægge et retskrav. Data: Filsystemets spor, USB-historik og udgående mails til ikke-firmadomæner. Ikke omfattet: Private mapper, private konti, browserhistorik uden for perioden. Adgang: Direktør, HR-chef, advokat og ekstern IT-sagkyndig. Opbevaring: Til sagen er afsluttet, dog senest vurderet igen efter 12 måneder.”
Eksemplet er kun en skitse. Det viser, at et formål kan være kort og stadig præcist. Jo mere præcist det er, jo lettere er det at afgrænse, og jo lettere er det at forklare bagefter, hvorfor I gjorde, som I gjorde.
Databehandleraftaler med eksterne
Når en IT-sagkyndig, et revisionsfirma eller en anden ekstern hjælper med undersøgelsen, får de adgang til personoplysninger. Det kræver typisk en aftale, der beskriver, hvad de må, hvordan data beskyttes, og hvad der sker med kopier bagefter. Om den eksterne er databehandler eller selvstændigt dataansvarlig, afhænger af rollen. Den vurdering skal laves, men den må ikke forsinke en hastende bevarelse.
Tjeklisten som dokument
Gem den udfyldte tjekliste i sagsmappen. Den er et af de første dokumenter, en modpart eller Datatilsynet kan bede om, og den viser, at I har tænkt over medarbejderens rettigheder fra starten. Opdatér den, hvis undersøgelsen ændrer sig, for eksempel hvis flere personer eller en længere periode kommer med. Skriv ændringen ind med dato, og lad den gamle version blive liggende.
Hvem gør hvad
- Leder · Fastlægger formål og godkender tjeklisten
- HR · Gennemgår tjeklisten og fører dokumentationen
- DPO eller persondataansvarlig · Rådgiver om grundlag og minimering
- Advokat · Vurderer de juridiske punkter
- IT-sagkyndig · Gør afgrænsningen teknisk mulig
Har I en databeskyttelsesrådgiver, skal vedkommende typisk inddrages. → DPO i en intern undersøgelse
Det skal I lade være med
- At vente med tjeklisten til efter undersøgelsen. Den skal laves, før data gennemgås.
- At bruge databeskyttelse som grund til ikke at bevare. Bevarelse af data i jeres egne systemer er sjældent problemet. Problemet opstår ved gennemgang og brug.
- At samle “alt” og sortere bagefter, hvis det kan undgås.
- At glemme kollegerne. Deres mails og beskeder er også personoplysninger.
- At gemme materialet i en almindelig fællesmappe med brede rettigheder.
Når det haster
Nogle gange er der ikke tid til en time med tjeklisten, fordi data er ved at forsvinde. Så bevar først. Bevarelse er typisk en mindre indgribende handling end gennemgang. Udfyld tjeklisten, før nogen begynder at læse. Skriv ned, at bevarelsen skete først, og hvorfor.
Små virksomheder uden DPO
Mange små virksomheder har hverken en databeskyttelsesrådgiver eller en jurist. Det fritager ikke for reglerne, men det betyder, at tjeklisten bliver ekstra vigtig. Lad den, der ejer sagen, udfylde den sammen med HR, og bed advokaten læse den igennem. Det tager kort tid, og det viser, at I har taget databeskyttelsen alvorligt, selv om I ikke har en specialist i huset.
Brug punkterne som en samtale, ikke som en formular. Det vigtigste er, at I har tænkt over hvert spørgsmål og skrevet svaret ned, også når svaret er “vi ved det ikke endnu, vi vurderer igen om en uge”.
Hvornår skal I have hjælp udefra
Få juridisk råd, hvis der er følsomme oplysninger i sagen, hvis den undersøgte er en leder, eller hvis materialet skal deles med andre end jeres egen advokat. Få en IT-sagkyndig ind, så afgrænsning og søgning sker teknisk korrekt, og så I kan dokumentere, hvad der er gennemgået, og hvad der ikke er.
Læs også: Overvågningsprogrammer på arbejdscomputere: hvad må I? · Skal den undersøgte medarbejder orienteres, og hvornår?
→ Gennemgang af en medarbejders mailkonto · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
