En mailboks indeholder aldrig kun én persons oplysninger. Når I gennemgår en medarbejders mail eller chats, kommer I også til at behandle oplysninger om kolleger, kunder, leverandører og private kontakter. De oplysninger skal også beskyttes. Det betyder i praksis, at gennemgangen skal afgrænses, at uvedkommende oplysninger ikke tages med videre, og at materialet renses, før det deles med andre end dem, der har brug for det. Reglerne skal tjekkes i jeres konkrete sag.
Det er et emne, der sjældent får opmærksomhed i starten, men som ofte dukker op, når materialet skal udleveres til advokaten, fremlægges i en sag eller gives til medarbejderen efter en indsigtsanmodning.
Hvem er “tredjemand”?
I en intern undersøgelse er tredjemand alle andre end den, der undersøges, og virksomheden selv. Typisk:
- Kolleger, der har skrevet med medarbejderen.
- Kunder og deres kontaktpersoner.
- Leverandører og samarbejdspartnere.
- Private kontakter, hvis medarbejderen har brugt arbejdsmailen privat.
- Ansøgere, patienter eller borgere, afhængigt af branchen.
Nogle af oplysningerne kan være følsomme, for eksempel om helbred i en sygemelding eller om fagforeningsforhold.
Tre tidspunkter, hvor det betyder noget
- Sikring · Hele mailboksen sikres, det er sjældent problemet
- Gennemgang · Søg målrettet, så I ikke læser alt
- Udlevering · Rens materialet, så kun det relevante går videre
Sikring
En sikring af mailboksen omfatter typisk det hele. Det er ofte nødvendigt, og det er ikke det samme som at læse det. Sørg for, at kopien opbevares sikkert, og at kun få har adgang. → Den sikre sagsmappe
Gennemgang
Gennemgangen skal afgrænses med søgeord, perioder og afsendere. En god afgrænsning rammer det, sagen handler om, og lader resten ligge. → Søgeord i en intern undersøgelse
Udlevering
Når materialet går videre, for eksempel til advokaten, til medarbejderens repræsentant eller til retten, skal det være renset. Det betyder, at mails og beskeder uden betydning for sagen tages ud, og at oplysninger om tredjemand i relevante mails sløres, hvis de ikke er nødvendige.
Hvad I gør nu, i rækkefølge
- Afgræns gennemgangen, før nogen begynder at læse. → Afgrænsning: personer, data og perioder
- Lad en uvildig søge og udtrække. Så ser færre personer i virksomheden tredjemands oplysninger.
- Markér relevante dokumenter, og lad resten ligge.
- Gennemgå de relevante dokumenter for tredjemandsoplysninger. Er de nødvendige for sagen, eller kan de sløres?
- Lav en udleveringsversion med sløringer, og gem den oprindelige version uændret.
- Notér, hvad der er udleveret, til hvem og hvornår.
Sløring: hvad og hvordan
Sløring betyder, at oplysninger gøres ulæselige i den version, der udleveres. Det kan være navne, mailadresser, telefonnumre eller hele afsnit. Gør det rigtigt:
- Brug et værktøj, der fjerner teksten, ikke bare lægger en sort boks over den. En sort boks i et PDF-dokument kan ofte fjernes igen.
- Behold originalen uændret i sagsmappen.
- Skriv ned, hvad der er sløret, og hvorfor.
- Slør ikke noget, der er vigtigt for at forstå beviset. Det kan blive kritiseret som selektiv fremlæggelse.
Advokaten skal ofte vurdere, hvad der kan sløres i en udleveringsversion til modparten. Den juridiske side er beskrevet for advokater. → GDPR: advokatens behandling af modpartens persondata
Et typisk eksempel
En sælger er mistænkt for at have sendt tilbud til en konkurrent. Mailboksen indeholder fem års korrespondance med hundredvis af kunder, interne mails om løn og ferie, en tråd med en kollega om en sygdom i familien og private mails om et boligkøb. Sagen handler om tilbud sendt til tre bestemte domæner i en periode på to måneder.
En god afgrænsning søger på de tre domæner og perioden og finder måske 40 mails. Af dem er 12 relevante. I de 12 optræder kunders navne og priser, som er nødvendige for at forstå sagen, og en kollegas mobilnummer i en signatur, som ikke er det. Udleveringsversionen indeholder de 12 mails, med kollegaens nummer sløret. Resten af mailboksen er ikke læst af nogen i virksomheden. Det er sådan, tredjemand beskyttes i praksis.
Søgeresultater er også personoplysninger
Selve listen over søgeresultater kan indeholde mange navne og emnelinjer. Behandl den som en del af materialet. Del den ikke bredt, og gem den i sagsmappen.
Hvem gør hvad
- HR · Ejer afgrænsningen og udleveringslisten
- DPO eller persondataansvarlig · Rådgiver om tredjemands oplysninger
- IT-sagkyndig · Søger, udtrækker og laver udleveringsversioner
- Advokat · Vurderer, hvad der skal udleveres og sløres
- IT · Opbevarer kopien sikkert
Det skal I lade være med
- At sende hele mailboksen til advokaten som PST-fil uden afgrænsning. Advokaten har sjældent brug for det hele, og I har spredt mange personers oplysninger.
- At lade kolleger gennemgå materialet. De læser om hinanden og om kunder, de kender.
- At bruge oplysninger om kolleger, I tilfældigt har set, i andre sammenhænge.
- At slette tredjemands oplysninger i originalen. Rens kun i udleveringsversionen.
- At glemme kopier. Materialet kan ligge i mails, på USB-nøgler og i downloads. Ryd op.
Når kolleger spørger
En kollega kan opdage, at vedkommendes mails har indgået i en undersøgelse, og sende en indsigtsanmodning. Det har kollegaen ret til, og I skal svare inden for fristen. Derfor er det en fordel, at I har en log over, hvad der er gennemgået og udleveret. Uden den bliver svaret meget svært.
Kunders oplysninger
Indeholder mailboksen kunders oplysninger, kan der være særlige hensyn, for eksempel tavshedspligt i jeres branche eller aftaler med kunderne. Inddrag advokaten, før kundeoplysninger deles med nogen uden for virksomheden. Overvej også, om kundeoplysninger kan erstattes med en kode eller et kundenummer i udleveringsversionen.
Efter sagen
Når sagen er afsluttet, skal materialet slettes efter jeres plan. Det gælder også udleveringsversioner hos eksterne og arbejdskopier hos dem, der har gennemgået materialet. Bed om en bekræftelse fra eksterne, og notér den i sagsmappen.
Medarbejderens egen indsigt
Sender den undersøgte medarbejder en indsigtsanmodning, skal I også her tænke på tredjemand. Medarbejderen har ret til egne oplysninger, men ikke nødvendigvis til kollegers eller kunders. Det samme rensningsarbejde, som I gør ved udlevering til advokaten, kan bruges her. Derfor betaler det sig at gøre det ordentligt første gang.
Vedhæftninger og billeder
Glem ikke vedhæftningerne. Et regneark med en kundeliste, en scannet lønseddel eller et billede fra en firmafest kan indeholde langt flere oplysninger om tredjemand end selve mailen. Gennemgå dem på samme måde, og tag dem kun med i udleveringsversionen, hvis de er relevante.
Hvornår skal I have hjælp udefra
Få en IT-sagkyndig ind, når en mailboks skal gennemgås og udleveres. Det er netop søgning, udtræk og korrekt sløring, der gør det muligt at beskytte tredjemand uden at svække beviset. Få juridisk råd, før materiale med tredjemands oplysninger forlader virksomheden.
Læs også: Konsekvensanalyse (DPIA) for logning og interne undersøgelser · AI til gennemgang af medarbejderes mails: hvad skal I overveje?
→ Gennemgang af en medarbejders mailkonto · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
