Nogle ledere har adgang til mere, end de burde: en administratorrolle fra dengang virksomheden var lille, fuld adgang til fællesdrevet eller rettigheder til at åbne andres postkasser. Opstår der mistanke om, at en leder bruger den adgang til at læse medarbejderes mail, kalendere eller personalesager uden en saglig grund, er det en alvorlig sag. Det vigtigste er at sikre loggen over, hvem der har åbnet hvad, før lederen opdager mistanken, og at lade sagen håndteres af nogen, der står over eller uden for lederens ansvarsområde.
Sagen er både en ledelsessag, en personalesag og muligvis et brud på persondatasikkerheden. Det gør den vanskelig, og den skal håndteres med omtanke.
Hvordan opstår mistanken?
Typisk på en af disse måder:
- En medarbejder oplever, at lederen kender til indholdet af mails eller beskeder, som lederen ikke har modtaget.
- IT ser i loggen, at en leder har åbnet andres postkasser eller mapper.
- En medarbejder opdager, at der er givet adgang til vedkommendes postkasse uden at have fået besked.
- Der kommer en henvendelse via whistleblowerordningen.
Skriv mistanken ned med dato og kilde. Hvis den kommer fra en medarbejder, så behandl henvendelsen fortroligt.
Hvem skal håndtere sagen?
Det afhænger af, hvem lederen er:
- Mellemleder · Direktøren og HR
- HR-chef · Direktøren
- Direktør eller ejer · Bestyrelsen, typisk formanden
IT bør ikke få besked gennem den leder, sagen handler om. Er lederen selv ansvarlig for IT, eller har lederen administratorrettigheder, gælder de samme overvejelser som ved mistanke mod en IT-administrator.
→ Mistanke mod IT-administratoren: når den mistænkte har nøglerne
Er lederen direktør, skal bestyrelsen handle. Det kan virke stort, men det er bestyrelsens opgave, når den daglige ledelse selv er involveret.
→ Bestyrelsen modtager en alvorlig henvendelse: de første skridt
Hvad gør I nu?
- Sikr loggen. I Microsoft 365 kan revisionsloggen vise, hvem der har åbnet andres postkasser, og hvem der har fået tildelt adgang. Lignende logs findes i Google Workspace. Bed en IT-person, som lederen ikke styrer, eller en uvildig IT-sagkyndig, eksportere loggen for en passende periode nu. Tjek, hvor længe jeres logs gemmes, og om postkasse-revision er slået til for de relevante konti.
- Kortlæg lederens rettigheder. Hvilke roller har lederen? Hvilke postkasser, mapper og systemer har lederen adgang til, og hvornår blev adgangen givet?
- Hold kredsen lille. Lederen må ikke få at vide, at der undersøges, før loggen er sikret.
- Tal med en advokat. Om personalesagen og om, hvorvidt der er tale om et persondatabrud.
- Fjern de unødvendige rettigheder. Når loggen er sikret, og det er planlagt med advokaten.
→ Unified Audit Log i Microsoft 365
Er det et persondatabrud?
Har en leder uden saglig grund læst andre medarbejderes mails eller personalesager, kan det være et brud på persondatasikkerheden. Det kan i så fald betyde, at virksomheden skal anmelde bruddet til Datatilsynet inden for 72 timer efter, at den er blevet opmærksom på det, og eventuelt underrette de berørte. Vurderingen af, om det er et brud, der skal anmeldes, skal ske hurtigt, og den skal dokumenteres, også hvis I når frem til, at det ikke skal anmeldes.
→ Persondatabrud: dokumentationen inden for 72 timer
Inddrag jeres databeskyttelsesrådgiver, hvis I har en.
Hvad loggen kan, og hvad den ikke kan
Loggen kan typisk vise, at en konto har åbnet en anden postkasse eller en bestemt fil, og hvornår. Den kan ikke vise, hvorfor. Der kan være saglige grunde: en sygemeldt medarbejders kunder skulle have svar, eller en mappe skulle bruges i et projekt. Derfor skal loggen læses sammen med lederens forklaring og de opgaver, lederen havde.
Det er også grunden til, at lederen skal have mulighed for at forklare sig, når loggen er sikret. Notér forklaringen ordret, og sammenhold den bagefter med loggen og med de opgaver, lederen faktisk havde i perioden.
De berørte medarbejdere
Glem ikke dem, hvis mail eller filer er blevet læst. For dem er sagen ofte mere personlig end for virksomheden. De kan have haft private mails i postkassen, korrespondance med HR om egne forhold eller beskeder til kolleger om lederen selv. Det kan gøre sagen meget belastende.
Når tidspunktet er aftalt med advokaten, skal de berørte have en saglig besked om, hvad der er sket, hvad virksomheden har gjort, og hvem de kan henvende sig til. Er der tale om et persondatabrud med høj risiko, kan det også være et krav at underrette dem. Sørg for, at den, der har bragt sagen frem, ikke oplever negative følger af det. Er henvendelsen kommet gennem whistleblowerordningen, gælder der særlige regler om beskyttelse.
Når det er bestyrelsen, der skal handle
Er lederen direktøren, er det bestyrelsen, der skal bestille sikringen og undersøgelsen. Det kan være uvant, fordi bestyrelsen normalt ikke har direkte kontakt til IT. Bestyrelsesformanden kan kontakte en uvildig IT-sagkyndig direkte og aftale, hvordan loggen sikres uden at gå gennem direktionen. Brug en mail og en telefon uden for virksomhedens systemer, hvis direktøren har adgang til dem.
Det må I ikke gøre
- Lade lederen selv fjerne sine rettigheder. Det kan ske i god tro, men det fjerner overblikket over, hvad lederen havde adgang til.
- Bede lederens egen IT-kontakt om at undersøge. Vedkommende er ofte for tæt på.
- Fortælle de berørte medarbejdere for tidligt. Det er vigtigt, at de får besked, men tidspunktet og indholdet skal aftales med advokaten.
- Lade sagen ligge. En leder, der læser andres mail, er en risiko for hele virksomheden og for tilliden i organisationen.
- Undersøge lederens egen postkasse bredt. Undersøgelsen skal være afgrænset til mistanken.
Hvem gør hvad?
Den, der ejer sagen, er direktøren eller bestyrelsesformanden. HR hjælper med personalesagen, medmindre HR er involveret. IT sikrer loggen, hvis IT er uafhængig af lederen, ellers en uvildig IT-sagkyndig. Advokaten vurderer personalesagen og persondatabruddet.
Hvornår skal I have hjælp udefra?
Når lederen er højt placeret, når lederen har tætte bånd til IT, eller når der kan være tale om et persondatabrud. En uvildig IT-sagkyndig kan sikre og læse loggen, så resultatet kan bruges både i personalesagen og over for Datatilsynet, hvis det bliver nødvendigt.
Forebyg det næste gang
Gennemgå administratorroller og adgange til andres postkasser mindst én gang om året, og lad gennemgangen udføre af en anden end den, der har rollerne. Mange rettigheder er givet engang af praktiske grunde og aldrig fjernet igen. Ingen bør have adgang til andres mail som fast rettighed. Når adgang er nødvendig, så giv den midlertidigt, med begrundelse og log. Slå revision af postkasser til, så loggen findes, når den skal bruges.
Læs også: Mistanke mod IT-administratoren: når den mistænkte har nøglerne · Opslag i kunde- og fagsystemer uden arbejdsmæssig grund
→ Undersøgelse af en medarbejders computer · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
