Her er en færdig tekst, som I kan bruge, når medarbejderne skal orienteres om, hvad virksomhedens systemer logger, hvorfor, og hvornår loggene kan blive gennemgået. Under teksten finder I en kvitteringsliste, så I senere kan vise, hvem der har fået orienteringen og hvornår. Det er den dokumentation, der ofte mangler, når en log skal bruges i en personalesag.
Hvornår en kontrol skal varsles, hvem der er omfattet af kontrolaftalen, og hvad en varsling skal indeholde, står i en særskilt artikel. → Kontrolaftalen: varsling af nye kontrolforanstaltninger
Teksten er et udgangspunkt, ikke en juridisk vurdering. Reglerne om kontrol med medarbejdere, databeskyttelsesreglerne og en eventuel overenskomst eller kontrolaftale skal tjekkes, før I sender den ud.
Teksten
Orientering om logning og kontrol i [virksomhed]
Dato: [dato]. Gælder fra: [dato, mindst den frist, der gælder for jer]. Afsender: [navn, rolle].
Hvorfor får du denne orientering?
Vores IT-systemer registrerer en del af det, der sker i dem. Vi vil gerne være åbne om, hvad der registreres, hvorfor, og hvornår oplysningerne kan blive brugt. Orienteringen gælder alle medarbejdere, der bruger virksomhedens IT.
Det registrerer vi
- [Microsoft 365 / Google Workspace] · Login, filadgang, deling og afsendt mail (ikke indholdet i loggen)
- [Fællesdrev / fil-server] · Hvem der åbner, ændrer og sletter filer i [mapper]
- [Andet, fx adgangskort, GPS, CRM] · [Beskriv kort]
[Slet de rækker, der ikke passer, og tilføj de systemer, I faktisk bruger.]
Formålet
Registreringen bruges til at beskytte virksomhedens og kundernes oplysninger, til at opdage og rette fejl og sikkerhedshændelser og til at kunne opklare, hvis oplysninger forsvinder, ændres eller kommer ud af virksomheden uden grund.
Det bruger vi ikke registreringen til
Vi bruger ikke registreringen til løbende at følge den enkelte medarbejders arbejde eller arbejdstempo. [Ret eller slet, hvis det ikke passer.]
Hvem kan se oplysningerne
Til daglig ser [IT-ansvarlig / IT-leverandør] kun loggene, når det er nødvendigt for driften. Gennemgang med henblik på en bestemt medarbejder kræver en beslutning fra [rolle, fx direktøren], og den beslutning bliver skrevet ned.
Hvornår kan loggene blive gennemgået
Når der er en konkret og saglig grund, fx en sikkerhedshændelse eller en begrundet mistanke om brud på virksomhedens regler. I den situation kan loggene og data på virksomhedens konti og udstyr bevares og gennemgås, eventuelt af en ekstern sagkyndig. Du bliver orienteret, så snart det kan ske uden at skade undersøgelsen.
Hvor længe gemmes oplysningerne
Logs gemmes i [periode] og slettes derefter automatisk, medmindre de skal bevares i forbindelse med en konkret sag.
Private oplysninger
Gem private filer og mails i mapper med navnet “Privat”. Vi vil så vidt muligt undlade at åbne indhold i dem. Orienteringen giver ikke virksomheden adgang til din private telefon eller dine private konti.
Dine rettigheder
Du kan bede om indsigt i de oplysninger, vi behandler om dig. Har du spørgsmål eller indsigelser, så kontakt [navn, mail]. [Evt.: Orienteringen er drøftet i samarbejdsudvalget den [dato].]
Med venlig hilsen [navn, rolle]
Kvitteringslisten
Brug en liste som denne, og gem den sammen med teksten i den version, der blev sendt.
- [navn] · [dato, mail med læsekvittering / møde / underskrift]
Skriv også ned, hvordan orienteringen blev givet: på et personalemøde, på mail, i HR-systemet eller på intranettet. For medarbejdere, der var fraværende, notér, hvornår de fik den. Nye medarbejdere får orienteringen ved ansættelsen, og datoen skrives på listen.
Sådan tilpasser I teksten
- Tabellen: Skriv kun de systemer og registreringer, IT kan bekræfte findes. Spørg jeres IT-leverandør, hvad der faktisk logges, og hvor længe. → Hvor længe gemmes logs?
- Formålet: Hold det sagligt og konkret. Et vagt formål er svært at forsvare.
- “Det bruger vi ikke registreringen til”: Skriv kun det, I kan holde. Bruger I fx kørselsdata til at kontrollere arbejdstid, skal det stå i teksten og ikke omvendt.
- Beslutningen om gennemgang: Vælg en rolle højt nok til, at det ikke bliver en rutine, og som ikke selv er i IT.
- Fristen: Fristen afhænger af, om I er omfattet af kontrolaftalen eller en overenskomst.
Er logningen ny eller væsentligt ændret, kan det være relevant at lave en konsekvensanalyse, før I sender orienteringen. → Konsekvensanalyse (DPIA) for logning
Vikarer, freelancere og ledere
Orienteringen skal nå alle, der bruger jeres systemer, ikke kun de fastansatte. Vikarer, praktikanter, freelancere med en konto hos jer og eksterne konsulenter skal også have den, eller en tilpasset udgave, før de får adgang. Skriv dem på kvitteringslisten på samme måde.
Ledere og ejere skal også have den. Hvis en sag en dag angår en person i ledelsen, er det lige så vigtigt at kunne vise, at vedkommende var orienteret. Undtag derfor ikke ledelsen fra listen.
Når orienteringen bliver brugt i en sag
Bliver en log en dag brugt som dokumentation i en personalesag eller en tvist, vil spørgsmålet ofte være, om medarbejderen kendte til registreringen. Så skal I kunne fremlægge tre ting: den tekst, der gjaldt på tidspunktet, listen over hvem der fik den, og en beskrivelse af, hvad systemet faktisk registrerede. Er de tre ting samlet og daterede, er det lettere for jeres advokat at vurdere, hvad loggen kan bruges til. Hvad arbejdsgiveren i det hele taget må kontrollere, er beskrevet her. → Hvad må arbejdsgiveren kontrollere?
Hvem gør hvad?
- IT eller IT-leverandør · Bekræfter, hvad der logges, og hvor længe
- HR · Tilpasser teksten, sender den og fører kvitteringslisten
- Ledelse · Godkender teksten og hvem der beslutter gennemgang
- Tillidsrepræsentant eller samarbejdsudvalg · Orienteres eller inddrages efter jeres aftaler
Det skal I lade være med
- Skriv ikke mere, end der sker. En orientering om logning, der ikke er slået til, giver ingen fordel og kan svække jeres troværdighed.
- Skriv ikke mindre, end der sker. En log, der ikke er nævnt, er sværere at bruge senere.
- Send den ikke midt i en konkret mistanke som et forsøg på at dække noget, der allerede er sket. Den gælder fremad.
- Glem ikke de gamle versioner. Gem hver version med dato og kvitteringsliste.
Orienteringen skal også passe til jeres IT-politik. Står der noget andet i politikken end i orienteringen, er det den uklarhed, der bliver diskuteret. → IT-politik og orientering af medarbejdere
Hvornår skal I have hjælp udefra?
Tal med jeres arbejdsgiverorganisation eller advokat, hvis I er i tvivl om varslingsfristen, eller hvis kontrollen er ny. Har I brug for at få afklaret, hvad jeres systemer faktisk registrerer, så orienteringen bliver rigtig, kan en uvildig IT-sagkyndig gennemgå opsætningen.
Læs også: Skabelon: AI-politik på én side · Skabelon til intern log over beviser · Alle tjeklister og værktøjer
→ Beskriv jeres sag · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
