Programmer, der optager skærmen, registrerer tastetryk eller måler aktivitet minut for minut, er blandt de mest indgribende former for medarbejderkontrol. De er sjældent rimelige som løbende kontrol, og skjult brug mod én medarbejder er endnu sværere at forsvare. Hvis I overvejer et sådant værktøj, skal formålet være klart, der skal være varslet, og I skal kunne vise, at mindre indgribende løsninger ikke var nok. Reglerne skal altid tjekkes, før noget installeres.
Spørgsmålet kommer typisk op på to måder. Enten fordi ledelsen er bekymret for hjemmearbejde og produktivitet, eller fordi der er en konkret mistanke, og nogen foreslår “bare at installere noget, så vi kan se, hvad der foregår”.
Hvad dækker begrebet?
Overvågningsprogrammer findes i mange former:
- Tastelogning, der registrerer alt, hvad der skrives, også adgangskoder og private beskeder.
- Skærmbilleder med faste mellemrum eller ved bestemte handlinger.
- Skærmoptagelse som video.
- Aktivitetsmåling, der registrerer, hvilke programmer der er åbne, og om musen bevæger sig.
- Produktivitetsrapporter i kontorpakker og samarbejdsværktøjer, som kan vise mønstre for den enkelte.
- Webkamera-billeder, som nogle værktøjer kan tage for at “bekræfte tilstedeværelse”.
Nogle af funktionerne følger med værktøjer, I allerede har. Det er derfor værd at tjekke, hvad der faktisk er slået til, før I diskuterer nye programmer.
Hvorfor det er så indgribende
Et overvågningsprogram ser ikke kun arbejdet. Det ser alt, hvad der sker på skærmen: private mails i en pause, en netbank, en besked til en læge, en søgning om fagforeningen. Tastelogning opsamler adgangskoder til private konti. Det betyder, at I kommer til at behandle store mængder personoplysninger, som I ikke har brug for, og nogle af dem er særligt beskyttede.
Databeskyttelsesreglerne kræver, at behandlingen er nødvendig og står i rimeligt forhold til formålet. Det er svært at opfylde, når værktøjet opsamler alt.
→ Hvad må arbejdsgiveren kontrollere?
Risikoen for, at materialet ikke kan bruges
Det er en udbredt misforståelse, at mere overvågning giver bedre beviser. Hvis materialet er indsamlet i strid med reglerne, kan modparten gøre indsigelse mod det, og det kan svække jeres troværdighed i hele sagen, også i forhold til de beviser, der er sikret korrekt. Det kan også give medarbejderen et selvstændigt krav. Om ulovligt indsamlet materiale kan bruges som bevis, afgøres i den konkrete sag, men det er et unødvendigt problem at skabe.
→ Arbejdsgiverens kontrol som bevis: lønmodtagerens indsigelser
Hvad I gør i stedet, ved en konkret mistanke
- Bevar det, der allerede findes. Postkasse, filsystem, revisionslog, netværkslog. Det er ofte nok.
- Skriv formålet ned. Hvilken handling vil I dokumentere?
- Vælg det mindst indgribende. En log over filadgang er langt mindre indgribende end skærmoptagelse.
- Få en uvildig til at sikre computeren. En forensisk sikring kan ofte vise, hvad der er sket bagud i tid, uden løbende overvågning.
- Tal med advokaten, før I overvejer noget nyt.
En forensisk undersøgelse af det, der allerede er sket, er næsten altid bedre end at prøve at fange noget fremadrettet. Den kigger på konkrete spor, og den kan afgrænses.
Hvis I alligevel vil indføre et værktøj generelt
Hvis I vil indføre et værktøj som generel kontrol, for eksempel af sikkerhedshensyn, så:
- ☐ skriv et klart formål, der ikke handler om “at holde øje”,
- ☐ vurder alternativer, og skriv vurderingen ned,
- ☐ lav en konsekvensanalyse, → Konsekvensanalyse (DPIA) for logning
- ☐ slå de mest indgribende funktioner fra, for eksempel tastelogning og webkamera,
- ☐ varsl kontrollen i god tid, → Kontrolaftalen: varsling
- ☐ begræns, hvem der kan se data, og hvor længe de gemmes,
- ☐ opdatér IT-politikken.
Hjemmearbejde og produktivitet
Mange virksomheder overvejer overvågning, fordi de er usikre på, om hjemmearbejdet fungerer. Det er et ledelsesspørgsmål, ikke et teknisk. Aktivitetsmåling viser, om musen bevæger sig, ikke om opgaverne bliver løst. Den kan også give et misvisende billede, for eksempel når en medarbejder tænker, læser på papir eller er i telefonmøde.
Hvis bekymringen er produktivitet, er mål for resultater, faste aftaler og opfølgning typisk mere rimelige end overvågning. Hvis bekymringen er en konkret medarbejder, der ikke arbejder i den tid, vedkommende registrerer, er det en sag, der skal håndteres som en sag, med afgrænsede spor og juridisk råd. → Mistanke om snyd med arbejdstid og hjemmearbejde
Funktioner, I måske allerede har
Mange kontorpakker, sikkerhedsværktøjer og fjernsupportprogrammer kan i dag tage skærmbilleder, registrere aktivitet eller lave rapporter om den enkelte bruger. Funktionerne er ofte slået fra som standard, men de kan være slået til af en leverandør eller en tidligere IT-ansvarlig. Bed IT om en kort oversigt over, hvad jeres værktøjer registrerer om den enkelte medarbejder i dag. Den oversigt er nyttig, både hvis I vil indføre noget nyt, og hvis en medarbejder spørger, hvad I kan se.
Er noget slået til, som ikke er varslet, så skal det håndteres. Slå det fra fremadrettet, eller varsl det korrekt. Slet ikke allerede indsamlede data uden at have talt med advokaten, hvis der er en sag i gang eller på vej.
Hvem gør hvad
- Ledelse · Beslutter formål og tager ansvaret
- IT · Beskriver, hvad værktøjet faktisk registrerer
- HR · Varsler og opdaterer politik
- DPO eller persondataansvarlig · Laver eller gennemgår konsekvensanalysen
- Advokat · Vurderer lovligheden
Det skal I lade være med
- At installere et program i hemmelighed på en bestemt medarbejders computer.
- At slå funktioner til i eksisterende værktøjer uden at vide, hvad de registrerer.
- At bruge produktivitetsdata til at konkludere, at en medarbejder ikke arbejder. Aktivitet er ikke det samme som arbejde.
- At lade IT bestemme, hvad der overvåges. Det er en ledelsesbeslutning.
- At gemme optagelser og logs i årevis uden en begrundelse.
Når medarbejderen siger, at I overvåger
Medarbejdere opdager ofte overvågningsprogrammer, og nogle gange tror de, at der er overvågning, som ikke findes. Begge dele kan føre til en klage eller en indsigtsanmodning. Vær åbne om, hvad I har, og dokumentér det. Har I installeret noget, I ikke burde, så tal med advokaten om, hvordan det håndteres, men slet ikke data i panik.
→ Medarbejderen siger, at virksomheden overvåger vedkommende
Hvis et værktøj allerede har opsamlet noget relevant
Har et værktøj allerede opsamlet data, der ser ud til at være relevante for en sag, så bevar dem, men gennemgå dem ikke selv. Notér, hvordan værktøjet var sat op, og hvad medarbejderne var orienteret om. Advokaten skal vurdere, om og hvordan materialet kan bruges.
Hvornår skal I have hjælp udefra
Få juridisk råd, før I indfører noget, der minder om skærmovervågning eller tastelogning. Få en IT-sagkyndig ind, hvis I har en konkret mistanke. Det er næsten altid bedre at undersøge de spor, der allerede ligger på computeren og i jeres systemer, end at starte en ny overvågning. Undersøgelsen kan afgrænses, den kan efterprøves, og den udsætter ikke virksomheden for de samme risici.
Læs også: Adgangskort og nøglebrik: hvem var på kontoret? · GDPR-tjekliste før en intern undersøgelse
→ Gennemgang af en medarbejders mailkonto · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
