En lille virksomhed har sjældent brug for en IT-politik på tyve sider. Den har brug for en side med klare regler, som alle medarbejdere har læst, og som gør det muligt at sikre data, hvis der opstår en sag. Nedenfor er selve teksten. Tilpas den til jeres virksomhed, få den gennemgået, og giv den til alle, både nye og nuværende medarbejdere.
Reglerne har to formål. De skal gøre det tydeligt for medarbejderne, hvad virksomheden forventer. Og de skal give virksomheden et grundlag for at bevare og eventuelt gennemgå data, hvis det bliver nødvendigt. Det sidste kræver, at medarbejderne er orienteret på forhånd. Reglerne om kontrol med medarbejdere, persondata og en eventuel overenskomst eller kontrolaftale skal tjekkes, før I tager reglerne i brug.
Baggrunden for, hvorfor orienteringen betyder noget, står i en særskilt artikel. → IT-politik og orientering af medarbejdere
Teksten
IT-regler hos [virksomhed]
Gælder fra [dato]. Spørgsmål til [navn].
1. Udstyr
Computer, telefon og andet udstyr, du får udleveret, tilhører virksomheden. Du skal passe på det og aflevere det, når du stopper, eller når vi beder om det. Du må ikke nulstille, geninstallere eller fjerne data fra udstyret, før du afleverer det. Det gør IT.
2. Arbejdsdata bliver i virksomhedens systemer
Arbejdsdata gemmes i virksomhedens systemer: [fx Microsoft 365, fællesdrev, CRM]. Du må ikke sende arbejdsdata til din private mail, gemme dem i private cloudtjenester eller kopiere dem til private USB-nøgler, medmindre din leder har givet lov.
3. Kommunikation med kunder og samarbejdspartnere
Kommunikation med kunder og samarbejdspartnere foregår via virksomhedens mail, telefon og systemer. Bruger du en privat telefon til arbejdsopkald eller beskeder, skal beskeder om arbejdet kunne gemmes. Du må ikke bruge beskeder, der forsvinder automatisk, i arbejdet. → Forsvindende beskeder og autosletning
4. Videresendelse
Du må ikke opsætte automatisk videresendelse af arbejdsmail til private adresser.
5. Adgangskoder og konti
Din adgangskode er personlig. Du må ikke dele den, heller ikke med kolleger. Fælles konti må kun bruges, hvor virksomheden har oprettet dem.
6. AI-værktøjer og eksterne tjenester
Du må kun bruge de AI-værktøjer og onlinetjenester, som virksomheden har godkendt: [liste]. Fortrolige oplysninger om kunder og medarbejdere må ikke indsættes i andre tjenester.
7. Privat brug
Begrænset privat brug af udstyr og mail er tilladt. Gem private filer i en mappe, der hedder “Privat”, og private mails i en mappe med samme navn. Virksomheden vil så vidt muligt undlade at åbne indhold i disse mapper.
8. Logning og kontrol
Virksomhedens systemer logger aktivitet, fx login, adgang til filer og afsendelse af mail. Logs gemmes i [periode]. Ved begrundet mistanke om misbrug eller brud på disse regler kan virksomheden bevare og gennemgå data i virksomhedens systemer og på virksomhedens udstyr. Det sker efter de gældende regler og efter orientering af dig, så snart det kan ske uden at skade undersøgelsen.
9. Når du stopper
Når du stopper, afleverer du alt udstyr og alle arbejdsdata. Din konto bliver lukket, men data bevares i en periode af hensyn til virksomhedens drift og eventuelle krav. Du må ikke slette arbejdsdata, før du stopper.
10. Brud på reglerne
Brud på reglerne kan få ansættelsesretlige konsekvenser.
Jeg har læst og forstået reglerne.
Navn, dato, underskrift:
Hvorfor én side?
En lang IT-politik bliver skrevet en gang og glemt. En kort side bliver læst, og den kan forklares på fem minutter. Det betyder også noget, hvis der opstår en sag. Spørgsmålet bliver ofte, om medarbejderen kunne forstå reglerne. Det er lettere at svare ja til, når reglerne står på en side i et almindeligt sprog.
Hvad skal I tilpasse?
- Systemnavne i punkt 2 og 6.
- Logningsperioder i punkt 8. Skriv den periode, der faktisk gælder, ikke en ønsket. Spørg jeres IT-leverandør.
- Punkt 7 om privat brug. Nogle virksomheder tillader ingen privat brug. Andre tillader mere.
- Eventuelle krav fra overenskomst, kontrolaftale eller koncernregler.
Hvorfor netop disse punkter?
Punkterne er valgt ud fra de situationer, der oftest skaber problemer, når en sag opstår:
- 1 Udstyr · Nulstillede computere ved fratræden
- 2 Arbejdsdata · Kundelister i private mails og cloudtjenester
- 3 Kommunikation · Kundeaftaler, der kun findes på en privat telefon
- 4 Videresendelse · Al mail kopieret ud af virksomheden i månedsvis
- 7 Privat brug · Tvivl om, hvad virksomheden må åbne
- 8 Logning · Medarbejdere, der ikke er orienteret om kontrol
- 9 Fratræden · Data slettet lige før sidste arbejdsdag
Sådan introducerer I reglerne
Send ikke bare reglerne ud på mail med en anmodning om at skrive under. Gennemgå dem kort på et personalemøde, forklar hvorfor de findes, og giv plads til spørgsmål. Medarbejdere, der forstår formålet, følger reglerne bedre, og det bliver lettere senere at vise, at de var orienteret. Notér, hvem der var til stede, og send reglerne bagefter til underskrift.
Nye medarbejdere får reglerne sammen med kontrakten og udstyret, så underskriften ligger klar fra første dag. → Onboarding: det, der skal være på plads fra første dag
Hvem gør hvad?
- Ejer eller direktør · Godkender reglerne
- HR eller ejer · Udleverer, indhenter underskrift, gemmer kvittering
- IT eller IT-leverandør · Sørger for, at teknikken passer til reglerne
- Advokat · Gennemgår teksten, især punkt 7 og 8
Det skal I være opmærksomme på
Regler, der ikke følges i praksis, er svage. Hvis alle i virksomheden videresender mail til private adresser, og ledelsen ved det, bliver det svært at bruge punkt 4 i en sag mod én medarbejder. Sørg for, at teknikken understøtter reglerne, fx ved at blokere automatisk videresendelse. → Blokér videresendelse til private adresser
Reglerne gælder kun fremad. Indfører I dem midt i en sag, hjælper de ikke i den sag. Det er derfor, de skal på plads nu, mens der ikke er en sag. Når reglerne først er indført, er de en del af hverdagen og ikke et signal om mistanke mod nogen bestemt. Og de giver ikke virksomheden ret til at gå ind i medarbejderens private telefon eller private konti.
Gem underskrifterne
Gem den underskrevne side i hver medarbejders personalesag. Har medarbejderen ikke skrevet under, så notér, at reglerne er udleveret, hvornår og hvordan. Opdatér reglerne, når I skifter systemer, og få en ny underskrift. Skriv versionsnummer og dato i bunden, så det altid kan ses, hvilken version en medarbejder har skrevet under på.
Er I en meget lille virksomhed uden IT-afdeling, er der mere hjælp at hente om, hvordan I kommer i gang med bevisberedskab. → Små virksomheder uden IT-afdeling
Kort sagt
Én side med ti klare regler er bedre end en lang politik, ingen har læst. Tilpas teksten til jeres systemer, få den gennemgået, sørg for underskrift, og lad teknikken støtte reglerne. Så har I et grundlag, hvis en sag opstår.
Læs også: Skabelon: kontaktliste til systemejere og leverandører · Tjekliste: IT-leverandørens første time i en bevissag · Alle tjeklister og værktøjer
→ Beskriv jeres sag · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
