Hvis jeres virksomhed er omfattet af aftalen om kontrolforanstaltninger, skal nye kontroller varsles over for medarbejderne, før de tages i brug. Varslingen skal fortælle, hvad der kontrolleres, hvorfor og hvordan. Aftalen nævner en varslingsfrist på seks uger, men tjek altid den aftale og overenskomst, der gælder for jer.
Varslingen er ikke kun en formalitet. Den er ofte det første, en modpart spørger om, hvis jeres kontrol senere bliver brugt som bevis i en personalesag. Kan I ikke vise, at kontrollen var varslet, står I svagere.
Hvem er omfattet?
Aftalen om kontrolforanstaltninger er indgået mellem DA og LO, i dag FH. Den gælder typisk for virksomheder, der gennem overenskomst eller medlemskab af en arbejdsgiverorganisation er bundet af den. Er I ikke omfattet, gælder varslingskravet ikke på samme måde, men databeskyttelsesreglerne kræver stadig, at medarbejderne orienteres om behandlingen af deres oplysninger.
Er I i tvivl, så spørg jeres arbejdsgiverorganisation eller advokat. Det er hurtigere end at gætte.
Hvad er en kontrolforanstaltning?
Typisk enhver ny systematisk kontrol med medarbejderne, for eksempel:
- logning af medarbejdernes brug af internet eller systemer, hvis den bruges til at kontrollere den enkelte,
- videoovervågning,
- GPS i firmabiler,
- adgangskort med registrering,
- automatisk gennemgang af mails, for eksempel et DLP-værktøj,
- programmer, der måler aktivitet på computeren.
Ikke al teknik er kontrol. En firewall, der blokerer skadelig trafik, er drift. Men når de samme data bruges til at se, hvad den enkelte medarbejder har lavet, kan det blive en kontrolforanstaltning. Det er brugen, der afgør det.
Hvad I gør nu, trin for trin
- Beskriv kontrollen. Hvad måles eller registreres, hvem ses det af, og hvor længe gemmes det?
- Skriv formålet. Det skal være sagligt, for eksempel IT-sikkerhed eller beskyttelse af kundedata.
- Vurder, om formålet kan nås mindre indgribende. Skriv vurderingen ned.
- Tjek databeskyttelsen. Behandlingsgrundlag, opbevaringstid, adgangsstyring og eventuelt en konsekvensanalyse. → Konsekvensanalyse (DPIA) for logning
- Varsl skriftligt. Til alle berørte medarbejdere, i god tid før kontrollen starter.
- Inddrag samarbejdsudvalget eller tillidsrepræsentanten, hvis I har en.
- Opdatér IT-politikken. Så varslingen og politikken siger det samme. → IT-politikken og orientering af medarbejdere
- Gem dokumentationen. Varslingen, hvem der fik den, og hvornår.
Hvad skal varslingen indeholde?
En god varsling er kort og konkret. Den bør som minimum svare på:
- Hvad bliver kontrolleret eller registreret?
- Hvorfor? Hvilket formål har kontrollen?
- Hvordan foregår det teknisk, i almindeligt sprog?
- Hvem har adgang til oplysningerne?
- Hvor længe gemmes de?
- Hvornår starter kontrollen?
- Hvem kan medarbejderne spørge?
Undgå vage formuleringer som “virksomheden kan kontrollere al brug af IT”. En sådan sætning er let at skrive, men svær at forsvare. Jo mere konkret varslingen er, jo bedre kan den bære, hvis den senere bliver testet.
Varsling og dokumentation
Varslingen er kun nyttig, hvis I kan vise, at den er sendt. Gem:
- selve varslingen med dato,
- listen over modtagere, eller dokumentation for, hvor den blev offentliggjort,
- referat fra samarbejdsudvalget, hvis den blev drøftet der,
- den IT-politik, der gjaldt på tidspunktet, med versionsnummer.
Gem også gamle versioner af IT-politikken. I en sag er det ofte politikken på det tidspunkt, hvor hændelsen skete, der tæller, ikke den nyeste.
Når en kontrol allerede kører uden varsling
Mange virksomheder opdager først i en konkret sag, at en log eller et værktøj har kørt i årevis uden at være varslet som kontrol. Det sker ofte med adgangskort, GPS i biler eller aktivitetsrapporter i et cloudsystem. Det er ikke usædvanligt, og det er ikke nødvendigvis afgørende for sagen, men det skal håndteres ærligt.
Gør tre ting. Først: Slet ikke de data, der findes, fordi I er bange for, at de ikke var varslet. Sletning midt i en sag kan blive et større problem end den manglende varsling. Bevar dem, og få juridisk råd om, hvad de må bruges til. Dernæst: Skriv ned, hvad der har kørt, siden hvornår, og hvem der har haft adgang. Til sidst: Varsl kontrollen korrekt fremadrettet, så I ikke står med samme spørgsmål næste gang.
Ændringer i en eksisterende kontrol
Varslingspligten gælder også, når en eksisterende kontrol ændres væsentligt. Det kan være, at I begynder at gemme data længere, at flere får adgang, eller at data bruges til et nyt formål, for eksempel til at vurdere den enkelte medarbejders arbejdstid. En ny version af et system kan også ændre, hvad der registreres. Bed IT om at give besked, når systemer ændrer logning, så HR kan vurdere, om der skal varsles.
Et eksempel på en kort varsling
“Fra 1. juni registrerer vi, hvem der åbner filer i mappen Kunder på fællesdrevet. Formålet er at beskytte kundedata og kunne opklare, hvis filer forsvinder eller kopieres uden grund. Registreringen viser brugernavn, fil og tidspunkt. Den ses kun af IT-ansvarlig og direktør, når der er en konkret anledning, og den gemmes i 12 måneder. Spørgsmål kan rettes til HR.”
Eksemplet er kun en skitse. Tilpas indhold og opbevaringstid til jeres egne forhold.
Hvem gør hvad
- Ledelse · Beslutter kontrollen og formålet
- HR · Skriver og sender varslingen, gemmer dokumentation
- IT · Beskriver teknikken og sætter opbevaringstid
- Tillidsrepræsentant · Bliver orienteret og kan stille spørgsmål
- DPO eller persondataansvarlig · Vurderer databeskyttelsen
→ Tillidsrepræsentanten i en intern undersøgelse
Det skal I lade være med
- At indføre kontrol “midlertidigt” uden varsling, fordi I har en konkret mistanke. Hastværk erstatter ikke varsling.
- At sætte en ny funktion i drift, fordi den fulgte med en opdatering, uden at vurdere, om den er en ny kontrol. Mange værktøjer i Microsoft 365 og Google Workspace kan måle aktivitet.
- At varsle én ting og gøre noget andet. Hvis brugen ændrer sig, skal der varsles igen.
- At skjule kontrollen i en lang IT-politik, som ingen har læst. Varslingen skal være til at forstå.
Når I har en konkret mistanke nu
En konkret mistanke er ikke en ny kontrolforanstaltning i sig selv. I kan ofte bevare de data, der allerede findes i jeres systemer, for eksempel logs og postkasser, uden at varsle noget nyt. Det, I ikke bør, er at starte en ny, skjult overvågning af én medarbejder. Bevar det, der findes, og få juridisk råd om, hvad der må gennemgås.
→ Hvad må arbejdsgiveren kontrollere?
Hvornår skal I have hjælp udefra
Få juridisk hjælp, når I er i tvivl om, hvorvidt I er omfattet, eller om en ny funktion er en kontrolforanstaltning. Få en IT-sagkyndig ind, hvis I skal vurdere, hvad jeres systemer faktisk logger i dag, og hvordan det kan sikres i en konkret sag. Det er ofte mere, end ledelsen tror.
Læs også: Kontrol og overvågning af medarbejdere: hvad må arbejdsgiveren? · Må vi se medarbejderens browserhistorik?
→ Gennemgang af en medarbejders mailkonto · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
