3 Hjemmel til å gi forskrifter om særskilte former for behandling av personopplysninger - herunder om arbeidsgiveres rett til innsyn i ansattes e-post mv.

3.1 Gjeldende rett

Personopplysningsloven gjelder behandling av personopplysninger som helt eller delvis skjer med elektroniske hjelpemidler, og annen behandling av personopplysninger når disse inngår eller skal inngå i et personregister, jf. § 3 første ledd. Høyesteretts avgjørelse i Rt. 2002 side 1500 gjør det klart at arbeidsgiveres innsyn i ansattes e-post innebærer en behandling av personopplysninger som faller inn under lovens virkeområde.

Verken personopplysningsloven eller -forskriften inneholder bestemmelser som særskilt retter seg mot behandling av personopplysninger som befinner seg i elektronisk utstyr (for eksempel i en e-postkasse) som en arbeidsgiver har stilt til ansattes disposisjon.

I mangel av særskilt regulering må spørsmålet om arbeidsgiveres rett til innsyn i ansattes e-post mv. vurderes på grunnlag av lovens generelle bestemmelser. Grunnkravene til behandling av personopplysninger fremgår av personopplysningsloven § 11, jf. §§ 8 og 9. Av § 8 følger det at personopplysninger bare kan behandles dersom den registrerte (den opplysningene kan knyttes til) har samtykket, eller det er fastsatt i lov at det er adgang til slik behandling, eller behandlingen er nødvendig for ett av flere formål angitt i bokstav a til f. Det tredje behandlingsgrunnlaget - nødvendighetsgrunnlaget - gir anvisning på en mer skjønnspreget vurdering.

Datatilsynets praksis har vist at lovens alminnelige bestemmelser ikke gir en klar nok anvisning på når arbeidsgivere har rett til innsyn i arbeidstakeres e-post mv. Tolkingsproblemene knytter seg blant annet til kravet i § 8 første ledd bokstav f om at behandlingen av personopplysningene må være nødvendig for at den behandlingsansvarlige kan «vareta en berettiget interesse, og hensynet til den registrertes personvern ikke overstiger denne interessen».

Personopplysningsloven inneholder flere forskriftshjemler. I § 3 fjerde ledd er det hjemmel for å gi forskrift om blant annet behandling av personopplysninger i særskilte virksomheter eller bransjer. I § 12 tredje ledd finnes en hjemmel for nærmere regulering av bruk av fødselsnummer og andre entydige identifikasjonsmidler, for eksempel bruk av biometriske kjennetegn eller data. I § 41 er det hjemmel for å gi nærmere bestemmelser om fjernsynsovervåking. Verken disse eller andre av lovens bestemmelser gir hjemmel for nærmere regulering av arbeidsgiveres rett til innsyn i arbeidstakeres e-post mv.

Arbeidsmiljøloven § 9-1 oppstiller vilkår som en arbeidsgiver må oppfylle for å iverksette kontrolltiltak i virksomheten. Loven inneholder ikke særskilte bestemmelser om kontrolltiltak i form av innsyn i arbeidstakeres e-post. Tvert om fremgår det av § 9-1 annet ledd at personopplysningsloven gjelder for arbeidsgiveres behandling av opplysninger om arbeidstakere i forbindelse med kontrolltiltak med mindre annet er fastsatt i lov. Dette innebærer at Datatilsynet har tilsynskompetanse i alle tilfeller der kontrolltiltak iverksatt av arbeidsgivere overfor arbeidstakere medfører behandling av personopplysninger. Spørsmål om arbeidsgiveres rett til innsyn i ansattes e-post har i praksis derfor blitt håndtert av Datatilsynet, både etter tidligere og gjeldende arbeidsmiljølov.

3.2 Forslaget i høringsnotatet

Fornyings- og administrasjonsdepartementet foreslo i høringsnotatet å utvide forskriftshjemmelen i personopplysningsloven § 3 fjerde ledd til også å omfatte bestemmelser om særskilte former for behandling av personopplysninger. Bakgrunnen for forslaget var særlig å gi hjemmel til å fastsette forskrifter om arbeidsgiveres rett til innsyn i ansattes e-post mv. Hjemmelen var generelt utformet for å møte fremtidige reguleringsbehov.

Av opplysningshensyn og av hensyn til sammenhengen mellom personopplysningsloven og arbeidsmiljølovens regler om kontrolltiltak, ble det i høringsnotatet foreslått en henvisningsbestemmelse til personopplysningsloven og -forskriften i arbeidsmiljøloven kapittel 9. Hensikten var å gjøre rettsanvenderen oppmerksom på at innsyn i e-post mv. bare kan skje når det følger av personopplysningslovens regler.

3.3 Høringsinstansenes syn

Flertallet av de høringsinstansene som har uttalt seg om forslaget til forskriftshjemmel i personopplysningsloven og henvisningsbestemmelse i arbeidsmiljøloven, er generelt positive.

Samferdselsdepartementet, Post- og teletilsynet, Riksadvokaten, Advokatforeningen, Akademikerne, Handels- og Servicenæringens Hovedorganisasjon, Næringslivets Hovedorganisasjon og Wiersholm, Mellbye & Bech advokatfirma AS har konkrete merknader til utformingen av og innholdet i bestemmelsene. De øvrige merknadene som kom under høringen, gjelder i det alt vesentlige forslaget til forskrift om innsyn i e-post mv.

Advokatforeningen, Handels- og Servicenæringens Hovedorganisasjon, Næringslivets Hovedorganisasjon og Wiersholm, Mellbye & Bech advokatfirma AS mener forskriftshjemmelen bør plasseres i arbeidsmiljøloven, og ikke i personopplysningsloven. Næringslivets Hovedorganisasjon uttaler:

«Arbeidsmiljøloven er den mest sentrale loven som regulerer rettsforholdet mellom arbeidsgiver og arbeidstaker, og av hensyn til en enkel og oversiktlig rettstilstand mener NHO bestemmelsene mest naturlig hører hjemme der.»

Riksadvokaten og Akademikerne tar ikke stilling til plasseringen av forskriftshjemmelen, men tar til orde for at det bør vurderes nærmere om ikke hjemmelen best hører hjemme i arbeidsmiljøloven.

Samferdselsdepartementet og Post- og teletilsynet gir uttrykk for bekymring for at den foreslåtte hjemmelen vil gripe inn i Post- og teletilsynets myndighet og kompetanse etter lov 4. juli 2007 nr. 83 om elektronisk kommunikasjon (ekomloven) med forskrifter. Post- og teletilsynet uttaler:

«Forholdet mellom myndigheten for elektronisk kommunikasjon og personvernmyndigheten er ikke omtalt i FADs høringsnotat. Det fremstår derfor som uklart om de foreslåtte endringer er ment å begrense ekommyndighetens kompetanse på området for elektronisk kommunikasjon. Hvis så er tilfelle er det PTs mening at dette bør påpekes klarere. Det vil i tilfelle også være ønskelig med en klarere angivelse av hvor grensene for fremtiden skal gå for de to myndighetenes tilsynskompetanse.»

Norsk Sjøoffisersforbund, Redningsselskapet mener den foreslåtte henvisningsbestemmelsen i arbeidsmiljøloven også bør tas inn i sjømannsloven.

Ingen høringsinstanser har hatt vesentlige merknader til forslaget til henvisningsbestemmelse i arbeidsmiljøloven.

3.4 Departementets vurdering

Departementet foreslår å utvide forskriftshjemmelen i personopplysningsloven § 3 fjerde ledd, slik at Kongen får adgang til å fastsette nærmere bestemmelser om særskilte former for behandling av personopplysninger. Kompetansen til å fastsette forskrifter etter personopplysningsloven § 3 er ved kongelig resolusjon 9. april 2008 delegert til Fornyings- og administrasjonsdepartementet. Forslaget her er i tråd med forslaget i høringsnotatet. Et flertall av høringsinstansene var positive under høringen.

Det umiddelbare siktemålet med forslaget er å åpne for særlig regulering av arbeidsgiveres rett til innsyn i ansattes e-post mv. Datatilsynet har hatt en økende pågang av henvendelser fra arbeidsgivere og arbeidstakere om hvor grensen for lovlig innsyn går etter gjeldende rett. Ulike elektroniske kommunikasjonsverktøy har blitt en selvfølgelig og naturlig del av arbeidslivet, samtidig som grensen mellom arbeid og fritid i mange tilfeller er mindre klar enn før - for eksempel ved at flere benytter seg av hjemmekontor. På denne bakgrunn er det ønskelig å gi nærmere forskrifter om arbeidsgiveres rett til innsyn i ansattes e-post mv. Forskriftsarbeidet omtales kort i punkt 3.5.

Departementet foreslår at forskriftshjemmelen innarbeides i personopplysningsloven, og ikke i arbeidsmiljøloven, slik noen få høringsinstanser har tatt til orde for. Dette er etter departementets syn den beste løsningen, ettersom hjemmelen er ment å åpne for bestemmelser som presiserer personopplysningslovens alminnelige krav til behandling av personopplysninger. Bestemmelsen er dessuten generelt utformet, og dekker behovet for å kunne gi forskrifter om andre særskilte former for behandling av personopplysninger enn innsyn i e-post på arbeidsplassen. Ny teknologi og nye former for behandling av personopplysninger kan foranledige behov for ytterligere regulering for å ivareta personvernet.

Det er ikke med forslaget meningen å innskrenke ekommyndighetenes kompetanse, slik Samferdselsdepartementet og Post- og teletilsynet har uttrykt bekymring for. Forskriftshjemmelen åpner for å gi bestemmelser som presiserer personopplysningslovens alminnelige regler innenfor lovens saklige virkeområde. Forholdet mellom ekommyndighetene og tilsynsmyndighetene etter personopplysningsloven påvirkes dermed ikke av forskriftshjemmelen. Innspillene fra Samferdselsdepartementet og Post- og teletilsynet vil inngå i det videre arbeidet med forskrift om arbeidsgiveres rett til innsyn i ansattes e-post mv.

Av opplysningshensyn og av hensyn til sammenhengen med arbeidsmiljølovens regler om kontrolltiltak (kapittel 9), foreslår departementet, som i høringsnotatet, at det blir tatt inn en henvisningsbestemmelse i arbeidsmiljøloven som gjør det klart at arbeidsgiveres innsyn i e-post mv. bare kan skje når det følger av personopplysningslovens regler. Departementet foreslår - i samråd med Arbeids- og inkluderingsdepartementet - at bestemmelsen plasseres som ny § 9-5 i arbeidsmiljøloven.

Under høringen kom det opp spørsmål om tilsvarende henvisningsbestemmelse som foreslås inntatt i arbeidsmiljøloven, også bør tas inn i sjømannsloven. Departementet foreslår ikke dette nå. En henvisningsbestemmelse i arbeidsmiljøloven knytter seg særlig til behovet for å klargjøre forholdet mellom reglene om kontrolltiltak i kapittel 9 og personopplysningsloven. Sjømannsloven har ikke tilsvarende regler om kontrolltiltak, og departementet har i samråd med Nærings- og handelsdepartementet ikke funnet grunn til å innta en tilsvarende henvisningsbestemmelse der.

3.5 Nærmere om forskriftsarbeidet

Arbeidslivslovutvalget foreslo i NOU 2004: 5 Et arbeidsliv for trygghet, inkludering og vekst at arbeidsgiver skulle ha rett til innsyn i virksomhetsrelatert e-post. Forslaget fikk tilslutning fra både arbeidstakersiden og arbeidsgiversiden under høringen. Det ble likevel ikke fulgt opp av departementet, dels på grunn av innvendinger fra Datatilsynet og dels fordi det var igangsatt arbeid med særlige forskriftsbestemmelser, jf. Ot.prp. nr. 49 (2004-2005) kapittel 12.6.5 side 150. Utgangspunktet i forslaget til nytt kapittel 9 i personopplysningsforskriften som ble sendt på høring sammen med forslag til forskriftshjemmel, var at arbeidsgivere ikke skulle ha rett til innsyn i ansattes e-post. Innsyn kunne etter forslaget likevel skje i «virksomhetsrelatert» e-post i nærmere angitte tilfeller, blant annet dersom arbeidstakeren var fraværende i mer enn tre arbeidsdager.

Høringsinstansene som har avgitt merknader er delt i synet på utkastet til forskrift om arbeidsgiveres rett til innsyn i arbeidstakeres e-post mv. Et knapt flertall ønsker at forskriften skal ta utgangspunkt i at arbeidsgiver ikke har tilgang til den ansattes e-post mv., og så gjøre unntak for det som er såkalt virksomhetsrelatert e-post. De øvrige går inn for at arbeidsgivere bør ha tilgang til ansattes e-post med unntak for det som er privat.

På bakgrunn av innspillene fra høringen har de særlig berørte departementene, Fornyings- og administrasjonsdepartementet, Arbeids- og inkluderingsdepartementet og Justisdepartementet, arbeidet videre med forskriftsutkastet. Forskriften vil ta utgangspunkt i at arbeidsgivere bare har rett til innsyn i ansattes e-post mv. når det er nødvendig for virksomhetens daglige drift eller for å ivareta andre berettigede interesser ved virksomheten, ved begrunnet mistanke om at e-postkassen inneholder opplysninger om straffbare forhold, eller ved begrunnet mistanke om at arbeidstakers bruk av e-postkassen medfører grovt brudd på de plikter som følger av arbeidsforholdet.