Overvågning af medarbejderens computer: de juridiske grænser

Et af de spørgsmål, arbejdsgivere oftest stiller, er: «må jeg overvåge min medarbejders arbejdscomputer?» Det korte svar: ja, under visse betingelser. Men springer man de betingelser over, bliver et produktivitetsværktøj til en juridisk risiko.

Denne artikel er generel information og erstatter ikke juridisk rådgivning. Rådfør dig altid med en jurist, før du sætter noget konkret i værk.

Den juridiske ramme: hvad siger GDPR og databeskyttelsesloven?

GDPR og databeskyttelsesloven anerkender, at en medarbejders aktivitet på virksomhedens udstyr også kan være personoplysninger. Datatilsynets praksis kræver desuden, at kontrolforanstaltninger er sagligt begrundede, står i rimeligt forhold til formålet og er varslet på forhånd — for medarbejdere omfattet af funktionærloven normalt seks uger før, medmindre kontrollen er nødvendig af hensyn til driften.

• Lovlighed og god skik: overvågningen må ikke være hemmelig eller skjult, men skal hvile på et kendt og legitimt grundlag.
• Udtrykkeligt angivet og sagligt formål: ikke «for en sikkerheds skyld», men et konkret formål som informationssikkerhed, produktivitet eller en retlig forpligtelse.
• Proportionalitet: der må ikke indsamles flere oplysninger end nødvendigt til formålet (at læse indholdet af private beskeder er som regel uproportionalt).
• Opbevaringsbegrænsning: oplysningerne bør ikke gemmes længere end formålet kræver.

Oplysning og varsel: de to mest kritiske skridt

Datatilsynets vejledninger og retspraksis peger samme vej: medarbejderen skal oplyses forudgående og udtrykkeligt om kontrollen. Registreringer fra uvarslet overvågning kan blive anset for ulovlige og miste deres bevisværdi i en sag.

• Forudgående oplysning (art. 13 og 14 i GDPR): hvilke oplysninger, til hvilket formål, hvor længe og med hvilken metode de behandles, skal meddeles skriftligt.
• Varsel og personalepolitik: kontrollens omfang bør fremgå af en personalehåndbog eller en it-politik, som medarbejderen har kvitteret for.
• Inddragelse af tillidsrepræsentanten: hvor der er en tillidsrepræsentant, bør indførelsen af kontrollen drøftes med vedkommende først.
• Datasikkerhed (art. 32 i GDPR): adgangen til overvågningsdata skal begrænses til autoriserede personer, og data bør opbevares krypteret.
• Kun firmaudstyr: overvågning af en medarbejders private udstyr er underlagt langt snævrere betingelser; hold dig som hovedregel til virksomhedens eget udstyr.

Hvordan ser proportional overvågning ud i praksis?

Proportionalitetsprincippet betyder «at se brugsmønsteret» frem for «at læse indholdet». At se, hvor meget tid der bruges i hvilken app, og hvor meget der går til sider uden arbejdsmæssig relevans, rækker for de fleste formål; adgang til indholdet af private beskeder er derimod som regel uproportionalt.

• Vælg rapportering, der fokuserer på varighed og kategori, ikke på indhold.
• Overvågning begrænset til arbejdstiden er mere proportional end døgnovervågning.
• Begræns adgangen til autoriserede personer, og opbevar data krypteret.

At bruge Spektio på et lovligt grundlag

På virksomhedens udstyr rapporterer Spektio app-, web- og spiltider samt skærmtid opdelt på kategorier; det giver indblik i brugen, ikke i indholdet. Det passer til en overvågningsmodel, der respekterer proportionalitetsprincippet.

At sætte ansvaret rigtigt op er dit: brug kun Spektio på udstyr, virksomheden ejer, oplys medarbejderne på forhånd, og skriv det ind i jeres interne politik. Fastlæg, hvem der har adgang til data, og rimelige opbevaringsfrister.