Ja, som udgangspunkt skal den, der undersøges, have at vide, at der behandles oplysninger om vedkommende. Men tidspunktet kan i nogle tilfælde udskydes, hvis en tidlig orientering vil skade undersøgelsen, for eksempel fordi beviser kan forsvinde. Udskydelsen skal være begrundet, den skal være midlertidig, og I skal skrive ned, hvorfor I valgte den. Reglerne skal tjekkes i den konkrete sag.
Det er en af de sværeste afvejninger i en intern undersøgelse. Orienterer I for tidligt, kan medarbejderen nå at slette. Orienterer I for sent eller aldrig, kan det blive en sag i sig selv.
Hvad siger reglerne i grove træk?
Databeskyttelsesforordningen indeholder en oplysningspligt. Når oplysningerne ikke er indsamlet direkte fra medarbejderen, for eksempel fra en postkasse eller en log, skal medarbejderen som udgangspunkt orienteres inden for en rimelig frist. Der er undtagelser, blandt andet når orienteringen vil gøre det umuligt eller alvorligt vanskeligt at nå formålet, og databeskyttelsesloven indeholder yderligere undtagelser.
Der er også en anden side: ansættelsesretten. Inden en afskedigelse eller en advarsel vil medarbejderen typisk skulle høres om det, I har fundet. Det er et andet spørgsmål end oplysningspligten, men tidspunkterne hænger ofte sammen.
Tre faser, tre spørgsmål
- Bevarelse · Kan vi bevare data uden at orientere nu?
- Gennemgang · Skal medarbejderen vide, at vi gennemgår data?
- Konklusion · Hvornår skal medarbejderen høres om resultatet?
Bevarelse
At bevare data i jeres egne systemer, for eksempel ved at sætte hold på en postkasse, er typisk en lille indgriben. Orienterer I på dette tidspunkt, er risikoen for, at beviser forsvinder, størst. Det taler ofte for at udskyde.
Gennemgang
Når data gennemgås, behandles oplysningerne mere indgående. Her skal I vurdere, om orienteringen stadig skal udskydes, og hvor længe. Når de vigtigste spor er sikret, falder begrundelsen for at vente ofte bort.
Konklusion
Inden I træffer en beslutning om medarbejderen, skal medarbejderen som regel have mulighed for at forklare sig. Det sker typisk i en samtale, hvor resultatet fremlægges. → Tjenstlig samtale: hvornår viser I beviserne?
Hvad I gør nu, i rækkefølge
- Skriv formålet med undersøgelsen ned. Uden formål kan I ikke vurdere udskydelse.
- Vurder risikoen ved tidlig orientering. Hvilke data kan forsvinde, og hvor hurtigt?
- Sikr data først. Jo hurtigere de vigtigste spor er sikret, jo kortere skal orienteringen udskydes.
- Beslut og begrund. Skriv ned, om orienteringen udskydes, hvorfor og til hvornår.
- Sæt en dato for ny vurdering. Udskydelsen skal ikke bare køre videre.
- Orientér skriftligt, når grunden til at vente er væk.
Hvad orienteringen skal indeholde
En orientering bør blandt andet fortælle, hvem der er dataansvarlig, hvad formålet er, hvilke typer oplysninger der behandles, hvor de kommer fra, hvem der modtager dem, hvor længe de gemmes, og hvilke rettigheder medarbejderen har. Den skal ikke indeholde jeres konklusioner eller beviserne. Lad advokaten eller databeskyttelsesrådgiveren læse udkastet.
Et eksempel på en vurdering
En begrundelse for at udskyde behøver ikke være lang. For eksempel:
“Orienteringen af [medarbejder] udskydes, fordi der er konkret risiko for, at filer på den bærbare computer og i OneDrive slettes, hvis medarbejderen får kendskab til undersøgelsen, før de er sikret. Sikringen forventes afsluttet den 12. maj. Spørgsmålet vurderes igen den 13. maj. Besluttet af [navn] efter råd fra [DPO/advokat] den 8. maj.”
Begrundelsen er konkret, den har en slutdato, og den viser, hvem der besluttede. Det er de tre ting, der gør den til at forsvare.
Hvis mistanken ikke bekræftes
Det sker, at undersøgelsen ikke finder noget. Så er det fristende at lade sagen dø stille uden at sige noget til medarbejderen. Men oplysningspligten forsvinder ikke, fordi resultatet blev negativt. Tværtimod kan det være vigtigt for medarbejderen at vide, at sagen er lukket, og hvad der sker med de oplysninger, der blev indsamlet. Tal med advokaten om, hvordan orienteringen formuleres, så den er korrekt og ikke unødigt belastende.
Sørg også for, at materialet slettes efter jeres plan, og notér, at det er sket. En lukket sag, hvor data stadig ligger i en fællesmappe, er en ny risiko.
Når medarbejderen er sygemeldt eller fritstillet
Orienteringen skal også ske, når medarbejderen ikke er på arbejde. Send den skriftligt til den adresse, I plejer at bruge, og notér, hvornår den blev sendt. Har medarbejderen en repræsentant, for eksempel en fagforening eller en advokat, så aftal med jeres egen advokat, om orienteringen også skal sendes dertil.
Hvem gør hvad
- Leder · Beslutter tidspunktet efter råd
- HR · Skriver og sender orienteringen
- DPO eller persondataansvarlig · Vurderer udskydelsen
- Advokat · Vurderer sammenhængen med ansættelsessagen
- IT-sagkyndig · Sikrer data hurtigt, så udskydelsen kan blive kort
Det skal I lade være med
- At glemme orienteringen helt. “Vi tænkte ikke over det” er et svagt svar, hvis spørgsmålet kommer.
- At udskyde uden at skrive begrundelsen ned.
- At bruge udskydelsen som en generel undskyldning for at holde medarbejderen uden for i måneder.
- At orientere i en samtale, hvor I samtidig konfronterer. Hold de to ting adskilt, hvis det er muligt.
- At sende en orientering, der afslører, hvad I leder efter, før data er sikret.
Andre personer i materialet
Kolleger, kunder og samarbejdspartnere optræder også i mails og chats. De har i princippet også ret til at blive orienteret. Det kan ofte undlades, hvis det kræver en uforholdsmæssig indsats, eller hvis det skader undersøgelsen. Vurder det, og skriv vurderingen ned.
Indsigtsanmodning midt i sagen
Medarbejderen kan sende en indsigtsanmodning, før I selv har orienteret. Så skal I svare inden for fristen, men der kan være oplysninger, I kan undtage. Tal med advokaten med det samme. → Indsigtsanmodning midt i konflikten
Fortrolighed omkring undersøgelsen
Orienteringen af den undersøgte er ikke det samme som at fortælle andre om sagen. Hold kredsen lille, også efter at medarbejderen er orienteret. → Intern undersøgelse: hvem skal vide hvad?
Hvem skal sende orienteringen?
Orienteringen bør komme fra den dataansvarlige virksomhed, typisk via HR, ikke fra den IT-sagkyndige eller fra en nærmeste leder. Den skal være saglig og kort, og den skal ikke indeholde beskyldninger. Lad jeres advokat eller databeskyttelsesrådgiver læse den, før den sendes. Gem en kopi i sagsmappen sammen med dokumentation for, hvornår og hvordan den blev sendt. Spørger medarbejderen ind til orienteringen, så henvis til én kontaktperson, så svarene er ens og kan dokumenteres. Notér også, hvilke spørgsmål der blev stillet, og hvad der blev svaret.
Hvornår skal I have hjælp udefra
Få juridisk råd, før I beslutter at udskyde orienteringen, og igen, før I orienterer. Afvejningen afhænger af sagen. Få en IT-sagkyndig til at sikre data hurtigt. Det er den bedste måde at gøre udskydelsen så kort som mulig, og en kort udskydelse er lettere at forsvare end en lang.
Læs også: GDPR-tjekliste før en intern undersøgelse · Databeskyttelsesrådgiveren (DPO) i en intern undersøgelse
→ Gennemgang af en medarbejders mailkonto · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
