En medarbejder siger til HR, til tillidsrepræsentanten eller i et brev fra en advokat: “I overvåger mig.” Måske har lederen nævnt noget, som medarbejderen kun har skrevet i en mail. Måske er der installeret et nyt program, eller måske er påstanden en del af en større konflikt. Uanset baggrunden er svaret det samme: dokumentér, hvad der faktisk logges, hvem der har adgang til det, og hvem der har kigget. Det er den bedste måde at afklare påstanden på, både hvis den er forkert, og hvis den viser sig at have noget på sig.
Tag påstanden alvorligt
Det kan være fristende at afvise påstanden. Men en medarbejder, der føler sig overvåget, er en medarbejder, der ikke er tryg. Og en påstand, der ikke bliver undersøgt, kan vokse til en klage til Datatilsynet eller en del af en tvist om ansættelsen. Reglerne om kontrol med medarbejdere og om persondata stiller krav til, hvad I må registrere, og hvordan I skal orientere.
Påstanden kan også pege på noget, ledelsen ikke selv kender til. En leder kan have bedt IT om at kigge i en postkasse uden at følge procedurerne. Eller en IT-medarbejder kan have brugt sine adgange uden grund. Det skal I vide.
→ Opslag uden grund: når nogen bruger adgange forkert
Hvad gør I nu, i rækkefølge
- Skriv påstanden ned. Hvad siger medarbejderen præcist? Hvilke systemer, hvilke situationer, hvilken periode?
- Spørg ind uden at forsvare. Hvad har givet medarbejderen indtrykket? Er der en konkret hændelse?
- Sikr logs over administratoradgange. Før nogen undersøger noget, så bed IT eksportere revisionslog for administratorhandlinger, postkasseadgange og søgninger i den relevante periode. Det skal ske, før loggene udløber.
- Kortlæg, hvad der logges. Lav en oversigt over de systemer, der registrerer noget om medarbejderne, og hvad de registrerer.
- Find jeres politik og orienteringer frem. IT-politik, personalehåndbog, kontrolaftale og den dokumentation, der viser, at medarbejderne er orienteret.
- Sammenhold. Er der logning eller adgange, som medarbejderne ikke er orienteret om? Er der opslag i medarbejderens data, som ikke har en saglig grund?
Hvad logges typisk?
- Microsoft 365 eller Google Workspace · Login, filadgang, delinger, administratorhandlinger
- Firewall og VPN · Forbindelser og trafik
- Enhedsstyring (MDM) · Enhedens status og installerede apps
- Adgangskort · Hvornår døre er åbnet
- Videoovervågning · Billeder af bestemte områder
- Fagsystemer · Opslag og ændringer
Ikke alt, der logges, bliver brugt. De fleste logs ligger og bliver aldrig læst. Men medarbejderne skal vide, at de findes, og hvad de kan bruges til. Påstanden kan derfor vise sig at handle om en manglende orientering snarere end om reel overvågning.
→ IT-politik og orientering af medarbejderne
Hvem har kigget?
Det vigtigste spørgsmål er ofte ikke, hvad der logges, men om nogen har brugt loggen eller deres adgange til at se på netop denne medarbejder. Det kan revisionsloggen ofte vise:
- om nogen har haft adgang til medarbejderens postkasse eller OneDrive,
- om nogen har søgt i medarbejderens mails via en indholdssøgning,
- om nogen har slået medarbejderen op i HR-systemet eller fagsystemer,
- om nogen har ændret rettigheder til medarbejderens konto.
Er der adgange, så find ud af, om de havde en saglig grund og fulgte jeres procedure. Det er ikke ualmindeligt, at en IT-medarbejder har åbnet en postkasse i forbindelse med support. Det skal kunne forklares.
→ Logdata fra fagsystemer i ansættelsessager
Når påstanden kommer i en indsigtsanmodning
Ofte kommer påstanden ikke som en samtale, men som en anmodning om indsigt i de oplysninger, virksomheden har om medarbejderen. Så gælder der frister, og svaret skal være dækkende. Den oversigt over logning, I har lavet, er et godt udgangspunkt for at finde ud af, hvor der ligger oplysninger. Husk, at logs med medarbejderens navn eller brugernavn også kan være omfattet. Afklar med jeres rådgiver, hvad der skal udleveres, og hvad der kan undtages. Bevar alt, mens anmodningen behandles.
→ Indsigtsanmodning midt i konflikten
Samtalen med medarbejderen
Når I har overblikket, så hold en samtale med medarbejderen og evt. en tillidsrepræsentant. Fortæl, hvad I har undersøgt, og hvad I har fundet. Lyt til, om der er noget, I har overset. Skriv referat, og lad medarbejderen få det. Er medarbejderen ikke tilfreds, så fortæl, hvor vedkommende kan henvende sig, for eksempel jeres databeskyttelsesrådgiver, hvis I har en.
Hvem gør hvad
- HR: ejer sagen og holder kontakten med medarbejderen.
- IT-ansvarlig: sikrer logs og laver oversigten over logning. Er IT selv en del af påstanden, skal en anden gøre det.
- Ledelsen: beslutter, hvad der skal ske, hvis der er fejl i orientering eller praksis.
- Advokat eller DPO: vurderer, om logning og opslag har været i orden.
- IT-sagkyndig: inddrages, hvis IT selv er part, eller hvis loggene er omfattende og skal forklares uvildigt.
Det skal I lade være med
- Slette eller ændre logs. Heller ikke logs, der kan se dårlige ud. Det gør sagen langt værre.
- Lade den, påstanden angår, undersøge sig selv. Er det en leder eller IT, skal en anden stå for det.
- Afvise påstanden over for medarbejderen, før den er undersøgt.
- Begynde at holde øje med medarbejderen for at finde noget andet. Det bekræfter påstanden.
- Fjerne programmer i hast. Find først ud af, hvad de har registreret, og bevar det.
Hvis påstanden har noget på sig
Viser undersøgelsen, at der er logget eller kigget uden saglig grund eller uden orientering, skal det rettes op. Stop den uberettigede praksis, orientér medarbejderne korrekt, og vurder med jeres rådgiver, om der er tale om et brud på persondatareglerne, som skal håndteres. Hold medarbejderen orienteret om, hvad I har fundet, og hvad I gør.
Har en enkelt person brugt sine adgange forkert, er det en personalesag i sig selv. Behandl den efter samme principper som andre sager: sikr først, hør bagefter.
Hvis påstanden ikke holder
Viser undersøgelsen, at der ikke er overvåget, så forklar medarbejderen, hvad I har undersøgt, og hvad I har fundet. Vær konkret. En generel afvisning overbeviser sjældent. En oversigt over, hvad der logges, hvem der har adgang, og at ingen har kigget i medarbejderens data, gør langt mere. Gem dokumentationen, for påstanden kan komme igen, for eksempel i en senere tvist.
Brug også anledningen til at tjekke, om jeres orientering af alle medarbejdere er opdateret. Er der kommet nye systemer, siden IT-politikken blev skrevet?
Hvornår skal I have hjælp udefra?
Få hjælp, når påstanden angår IT eller en leder med vide adgange, når den indgår i en tvist, eller når loggene er svære at læse. En IT-sagkyndig, der ikke er en del af jeres organisation, kan sikre og gennemgå administratorlogs og give et uvildigt billede af, hvad der er sket. Det beskytter både medarbejderen og virksomheden.
→ Hvad må arbejdsgiveren kontrollere?
Læs også: Kunder eller borgere chikanerer en medarbejder online · Arbejdsulykke: sikr data fra maskiner, kameraer og adgangssystemer
→ IT-sagkyndig i en afskedigelsessag · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
