31 Kameraovervåking i arbeidsforhold og innsyn i ansattes e-postkasse mv.

31.1 Gjeldende rett

31.1.1 Generelt om behandling av personopplysninger i arbeidslivet

Et arbeidsforhold innebærer at arbeidsgiver regelmessig og over tid vil ha behov for å behandle personopplysninger om sine ansatte, for eksempel som ledd i sin alminnelige personaladministrasjon. For å kunne beregne rett lønn vil for eksempel arbeidsgiver kunne ha behov for å behandle opplysninger om den ansattes fagforeningstilknytning. Andre eksempler er behandling av helseopplysninger i forbindelse med tilrettelegging av arbeidssituasjonen, behandling av personopplysninger som kan utledes fra ulike former for kontrolltiltak eller behandling av personopplysninger i forbindelse med en personalsak.

Personopplysningsloven gjelder for behandling av personopplysninger på alle samfunnsområder, inkludert i arbeidslivet. Det innebærer at arbeidsgiver bare kan behandle personopplysninger om arbeidstakerne i den utstrekning personopplysningsloven åpner for det, og opplysningene må behandles i tråd med kravene personopplysningsloven stiller. Dersom arbeidsgiver skal ha adgang til å behandle personopplysninger om arbeidstaker, må det for eksempel kunne vises til at behandlingsadgang følger av lov eller at behandlingen er nødvendig for å oppfylle en avtale eller for å ivareta en berettiget interesse, jf. personopplysningsloven § 8. Er det tale om sensitive personopplysninger, må arbeidsgiver i tillegg kunne vise til at vilkårene i § 9 er oppfylt, for eksempel fordi behandlingen av personopplysningene følger av lov eller er nødvendig for å ivareta arbeidsrettslige rettigheter og plikter. Behandlingen av personopplysninger må også tilfredsstille øvrige krav i personopplysningsloven, herunder grunnkravene som følger av § 11.

Arbeidsmiljøloven har flere bestemmelser som mer eller mindre uttrykkelig forutsetter behandling av personopplysninger. Eksempelvis vil arbeidsgiver kunne ha behov for å behandle personopplysninger i forbindelse med plikten til å legge til rette for arbeidstakere med redusert arbeidsevne etter § 4-6. Et annet eksempel er arbeidsgivers plikt til å registrere personskader og sykdom som oppstår på grunn av arbeidet eller som antas å ha sin bakgrunn i forholdene på arbeidsplassen, jf. arbeidsmiljøloven § 5-1. Personopplysningslovens regler gjelder også for behandling av personopplysninger i slike tilfeller.

Arbeidsmiljøloven kapittel 9 regulerer arbeidsgivers adgang til å iverksette kontrolltiltak i virksomheten. Kontrolltiltak i arbeidslivet spenner fra den helt «trivielle» kontroll, som for eksempel registrering av oppmøtetidspunkt eller kontroll av at arbeidstaker anvender påbudt verneutstyr, til mer inngripende tiltak som kameraovervåking eller rusmiddelkontroll. Arbeidsmiljøloven § 9-1 stiller grunnkrav til arbeidsgivers kontrolladgang, og fastsetter at alle kontrolltiltak må ha saklig grunn i virksomhetens forhold og ikke være uforholdsmessig inngripende overfor arbeidstaker. I § 9-2 er det gitt regler om arbeidstakermedvirkning ved innføring av kontrolltiltak og om plikt til å evaluere slike tiltak. I §§ 9-3 og 9-4 er arbeidsgiver gitt adgang til å behandle nærmere angitte helseopplysninger i forbindelse med ansettelse og medisinske undersøkelser. Arbeidsmiljøloven § 9-5 er en henvisningsbestemmelse som opplyser at arbeidsgivers adgang til innsyn i arbeidstakers e-post mv. er regulert i forskrift etter personopplysningsloven.

Arbeidsgivers adgang til å behandle personopplysninger som fremkommer gjennom et kontrolltiltak reguleres av personopplysningsloven, noe som også er presisert i arbeidsmiljøloven § 9-1 annet ledd. I lovforarbeidene til arbeidsmiljølovens kapittel om kontrolltiltak, ble det for øvrig lagt til grunn som et generelt synspunkt at vilkårene for å behandle personopplysninger etter personopplysningsloven § 8 bokstav f normalt vil være oppfylt dersom vilkårene for å gjennomføre kontrolltiltaket etter arbeidsmiljølovens regler er til stede, jf. Ot.prp. nr. 49 (2004–2005) side 146.

31.1.2 Kameraovervåking i arbeidslivet

Personopplysningsloven kapittel VII og personopplysningsforskriften kapittel 8 inneholder særlige bestemmelser om kameraovervåking. Bestemmelsene utfyller lovens og forskriftens alminnelige regler om behandling av personopplysninger.

Kameraovervåking defineres i personopplysningsloven § 36 første ledd første punktum som «vedvarende eller regelmessig gjentatt personovervåking ved hjelp av fjernbetjent eller automatisk virkende overvåkningskamera eller lignende utstyr som er fastmontert». Ettersom reglene kun gjelder kameraer som er fastmonterte, vil bruk av for eksempel droner eller mobile og håndholdte kameraer falle utenfor reglenes virkeområde.

Personopplysningsloven § 36 første ledd tredje punktum slår fast at også bruk av utstyr som lett kan forveksles med en ekte kameraløsning – såkalte «dummy-kameraer» – skal anses som kameraovervåking etter personopplysningsloven.

Av personopplysningsloven § 37 følger det generelle regler om kameraovervåking, herunder at personopplysningslovens alminnelige regler gjelder for kameraovervåking, med de presiseringene som følger av kapittel VII. Annet ledd slår fast at kameraovervåking som må antas å ha vesentlig betydning for forebygging og oppklaring av straffbare handlinger er tillatt selv om vilkårene i personopplysningsloven § 9 første ledd ikke er oppfylt. Av tredje ledd følger det at det ved vurderingen av om det foreligger berettiget interesse etter § 8 bokstav f skal «legges vesentlig vekt på om overvåkingen bidrar til å verne om liv eller helse eller forebygger gjentatte eller alvorlige straffbare handlinger». I bestemmelsens fjerde ledd er det fastslått at kameraovervåking skal anses som behandling av sensitive personopplysninger bare «der slike utgjør en vesentlig del av opplysningene som overvåkingen omfatter».

I personopplysningsloven § 38 a oppstilles det tilleggsvilkår for «parker, strender og lignende rekreasjonsområder som er tilgjengelig for allmennheten». Bestemmelsen slår fast at slik overvåking bare er tillatt når behovet for tiltaket klart overstiger den enkeltes interesse av ikke å bli overvåket.

Personopplysningsloven § 38 angir tilleggsvilkår for kameraovervåking av sted «hvor en begrenset krets av personer ferdes jevnlig», hvilket typisk kan være en arbeidsplass. Det fremgår at slik overvåking bare er tillatt dersom det ut fra virksomheten er behov for å forebygge at farlige situasjoner oppstår og ivareta hensynet til ansattes eller andres sikkerhet eller det for øvrig er et særskilt behov for overvåkingen.

I personopplysningsloven § 39 er det fastsatt tilleggsvilkår for utlevering av opptak gjort ved kameraovervåking. Ved kameraovervåking på offentlig sted eller sted hvor en begrenset krets av personer ferdes jevnlig, skal det varsles ved skilting eller lignende at overvåking finner sted, jf. personopplysningsloven § 40.

I personopplysningsforskriften § 8-3 er det gitt særregler om politiets bruk av opptak og unntak fra den registrertes rettigheter til innsyn i opplysninger som politiet er i besittelse av.

Av forskriften § 8-4 følger det frister for sletting av opptak. Opptak skal som hovedregel slettes så snart det ikke lenger er behov for oppbevaring, men senest sju dager etter at opptakene er gjort, jf. § 8-4 annet ledd. Unntak fra dette gjelder når det må antas at politiet vil få behov for opptakene, hvor fristen forlenges til 30 dager, og for opptak gjort i post- og banklokaler, som kan oppbevares i inntil tre måneder. Datatilsynet kan gjøre unntak fra slettebestemmelsene i § 8-4 annet og tredje ledd dersom det foreligger et særlig behov for oppbevaring i lengre tid.

31.1.3 Arbeidsgivers innsyn i arbeidstakers e-postkasse mv.

Personopplysningsforskriften kapittel 9 regulerer arbeidsgivers adgang til innsyn i arbeidstakers e-postkasse mv. Av § 9-1 følger det at reglene gjelder innsyn i e-postkasse og arbeidstakers personlige område i virksomhetens datanettverk og i andre elektroniske kommunikasjonsmedier eller elektronisk utstyr som arbeidsgiver har stilt til arbeidstakers disposisjon til bruk i arbeidet ved virksomheten. Bestemmelsene gjelder også opplysninger som er slettet fra de nevnte områdene.

Reglene gjelder både tidligere og nåværende arbeidstakere, samt andre som utfører eller har utført arbeid for arbeidsgiver, og gjelder tilsvarende for universiteters og høyskolers innsyn i studenters e-postkasse, og for organisasjoners og foreningers innsyn i frivilliges og tillitsvalgtes e-postkasse.

Vilkårene for innsyn fremgår av personopplysningsforskriften § 9-2, som slår fast at arbeidsgiver bare kan foreta innsyn når det er nødvendig for å ivareta den daglige driften eller andre berettigede interesser, eller ved begrunnet mistanke om at arbeidstakers bruk av e-postkassen medfører grovt brudd på de plikter som følger av arbeidsforholdet eller kan gi grunnlag for oppsigelse eller avskjed. I annet ledd slås det fast at arbeidsgiver ikke har rett til å overvåke arbeidstakers bruk av elektronisk utstyr, herunder bruk av Internett, utover det som følger av forskriften § 7-11, noe som innebærer at slik overvåking kun kan skje dersom behandlingen har som formål å administrere systemet eller å avdekke eller oppklare brudd på sikkerheten i edb-systemet.

I forskriften § 9-3 er det gitt regler for prosedyrer ved innsyn, herunder at arbeidstaker så langt det er mulig skal varsles, få anledning til å uttale seg på forhånd, og til å være tilstede under gjennomføringen. Dersom arbeidstakeren ikke har fått varsel, skal arbeidstakeren som hovedregel få skriftlig underretning som blant annet opplyser om begrunnelsen for innsynet. Videre skal innsynet skje på en måte som gjør at dataene så langt det er mulig ikke endres og at frembrakte opplysninger kan etterprøves. Av siste ledd fremgår det at åpnede e-poster og dokumenter som arbeidsgiver ikke har rett til innsyn i straks skal lukkes, og at eventuelle kopier skal slettes.

Av personopplysningsforskriften § 9-4 følger det at arbeidstakers e-postkasse mv. skal avsluttes ved arbeidsforholdets opphør, og at innhold som ikke er nødvendig for den daglige driften skal slettes innen rimelig tid.

Personopplysningsforskriften § 9-5 slår fast at det ikke er adgang til å fastsette instruks eller inngå avtale om arbeidsgivers innsyn i arbeidstakers e-postkasse mv. som fraviker bestemmelsene i kapittelet til ugunst for arbeidstaker.

31.2 Forordningen

Forordningen inneholder ikke særregler om kameraovervåking i arbeidsforhold eller om innsyn i ansattes e-postkasse mv. I forordningen artikkel 88 nr. 1 er det imidlertid gitt adgang til ved lov eller tariffavtale å fastsette særregler om behandling av personopplysninger i forbindelse med arbeidsforhold. Av forordningsteksten følger det at det kan fastsettes

«nærmere regler for å sikre vern av rettigheter og friheter ved behandling av arbeidstakeres personopplysninger i forbindelse med ansettelsesforhold, særlig med henblikk på rekruttering, oppfyllelse av arbeidsavtaler, herunder oppfyllelse av forpliktelser fastsatt ved lov eller tariffavtaler, ledelse, planlegging og organisering av arbeidet, likestilling og mangfold samt helse og sikkerhet på arbeidsplassen, vern av arbeidsgiverens eller kundens eiendom, individuell eller kollektiv utøvelse av eller rett til å nyte godt av rettighetene og fordelene knyttet til ansettelsen samt for å avslutte ansettelsesforholdet.»

Slike særregler skal omfatte «egnede og særlige tiltak» for å verne registrertes rettigheter, jf. artikkel 88 nr. 2.

31.3 Hvorvidt dagens regler om kameraovervåking og innsyn i arbeidstakers e-postkasse mv. skal videreføres for arbeidslivet

31.3.1 Innledning

Som det fremgår i punkt 31.1.2 over, har Norge lenge hatt særregler om kameraovervåking. Etter departementets oppfatning er det ikke adgang til å videreføre generelle nasjonale bestemmelser om kameraovervåking, jf. punkt 18.1. Forordningen artikkel 88 åpner imidlertid etter departementets syn for nasjonal særregulering av kameraovervåking i arbeidsforhold.

Også reglene om innsyn i e-post mv. kan etter departementets syn videreføres med grunnlag i forordningen artikkel 88. Reglene må imidlertid være begrenset til å gjelde i arbeidsforhold.

Departementet foreslo i høringsnotatet å videreføre dagens regler om kameraovervåking og innsyn i e-post mv. i arbeidsforhold innenfor rammen av forordningen artikkel 88, se nærmere om forslagene i punkt 31.3.3.1 og 31.3.4.1 under. Flere høringsinstanser har tatt opp spørsmål om det kan være behov for materielt å revidere dagens regulering på disse områdene, eller om handlingsrommet bør benyttes til å ha særregler for arbeidslivet også på andre områder enn kameraovervåking og e-postinnsyn. Flere arbeidstakerorganisasjoner tar også til orde for at det bør nedsettes et lovutvalg e.l. som skal se på slike spørsmål. I forbindelse med arbeidet med å gjennomføre forordningen i norsk rett har departementet som nevnt i all hovedsak konsentrert seg om å videreføre gjeldende rett innenfor forordningens rammer, jf. punkt 2.3 over om rammene for lovarbeidet. Eventuelle andre prosesser må derfor gå i egne løp.

31.3.2 Lovplassering og tilsynsansvar ved en videreføring av regelverkene for arbeidsforhold

Departementet mener at de beste grunner taler for å videreføre dagens regulering om kameraovervåking og e-postinnsyn så langt forordningen tillater det, altså for arbeidsforhold, se nærmere under punkt 31.3.3 og 31.3.4 om departementets forslag i denne forbindelse.

Arbeidsmiljøloven kapittel 9 regulerer adgangen til å iverksette kontrolltiltak i virksomheten, mens adgangen til å behandle personopplysninger som kan utledes av slike kontrolltiltak reguleres av personopplysningsloven. Arbeidsgiverne må således, som den klare hovedregel, forholde seg til både arbeidsmiljøloven og personopplysningsloven ved gjennomføring av kontrolltiltak i arbeidslivet.

Adgangen til å iverksette kameraovervåking og foreta innsyn i arbeidstakeres e-post mv. reguleres i dag av personopplysningsloven og personopplysningsforskriften, og ikke av arbeidsmiljøloven. En viktig grunn for dette er at de aktuelle reglene gjelder utover arbeidsmiljølovens virkeområde. Reglene om kameraovervåking gjelder i samfunnet generelt, mens reglene om innsyn i e-postkasse mv. også gjelder ved universiteters og høyskolers innsyn i studenters e-postkasser mv., for organisasjoners og foreningers innsyns i frivilliges og tillitsvalgtes e-postkasser mv. og for innsyn i e-postkasse mv. til «andre som utfører, eller har utført, arbeid for arbeidsgiver». De foreslåtte reglene vil som nevnt kunne gis i medhold av forordningen artikkel 88, noe som innebærer at reglenes rekkevidde må begrenses til arbeidslivet og «arbeidsforhold». Etter departementets mening vil det da være hensiktsmessig å innta denne reguleringen i arbeidsmiljøloven kapittel 9. Dette vil gjøre at reglene om kontrolltiltak i virksomheten i størst mulig grad plasseres sammen. Slik departementet ser det, vil dette gi den mest pedagogiske plasseringen, noe som også påpekes av flere høringsinstanser.

Dagens regler om kameraovervåking og e-postinnsyn er relativt omfattende og klart mer detaljerte enn dagens bestemmelser i arbeidsmiljøloven kapittel 9. Slik departementet ser det, vil en plassering av gjeldende regulering om kameraovervåking og innsyn i e-postkasse mv. direkte i arbeidsmiljøloven kapittel 9 innebære at kapittelet blir uhensiktsmessig omfattende og detaljert. Etter departementets oppfatning vil den beste løsningen derfor være å videreføre dagens regler gjennom forskrifter til lovens kapittel 9. Departementet fremmer derfor forslag til nødvendige forskriftshjemler i denne forbindelse i nye §§ 9-5 og 9-6 i arbeidsmiljøloven.

Som nevnt over i kapittel 25 fastholder departementet forslaget om at Datatilsynet skal være tilsynsmyndighet etter forordningen artikkel 51. Det ligger i dette at Datatilsynet også vil være tilsynsmyndighet for bestemmelser gitt i medhold av forordningen artikkel 88, herunder reglene om kameraovervåking og innsyn i e-postkasse mv. for arbeidslivet. Datatilsynet fører tilsyn med disse reglene også i dag, og har opparbeidet seg bred kompetanse og erfaring med reglene. Ved en videreføring av gjeldende regler innenfor arbeidsmiljølovens ramme, tar derfor Arbeids- og sosialdepartementet sikte på, med hjemmel i arbeidsmiljøloven § 18-1 annet ledd annet punktum, å fastsette at Datatilsynet (og ikke Arbeidstilsynet), skal være tilsynsmyndighet etter disse to regelsettene. Dette vil altså innebære at også dagens tilsynsordning videreføres. Klager over Datatilsynets vedtak behandles av Personvernnemnda, se nærmere omtale i kapittel 27.

31.3.3 Kameraovervåking

31.3.3.1 Forslaget i høringsnotatet

I høringsnotatet foreslo departementet at det gis regler om kameraovervåking på arbeidsplasser som viderefører gjeldende rett innenfor forordningens rammer.

Departementet foreslo også utvidet slettefrist for opptak gjort på utsalgssteder som benytter betalingskort, slik at opptak i slike tilfeller skal slettes senest innen tre måneder, og ikke én uke som i dag. Bakgrunnen for dette forslaget er at departementet gjennom flere henvendelser fra næringen er blitt gjort oppmerksom på at det gjerne tar lengre tid enn én uke før misbruk av identifikasjons- og betalingskort oppdages, med den følge at kameraopptakene på oppdagelsestidspunktet vil kunne være slettet.

31.3.3.2 Høringsinstansenes syn

De aller fleste høringsinstansene som uttaler seg om spørsmålet, herunder blant andre Akademikerne, Unio, Yrkesorganisasjonenes Sentralforbund, Advokatforeningen, Norges Ingeniør- og Teknologorganisasjon, Fagforbundet, Tekna – Teknisk-naturvitenskapelig forening, Næringslivets Hovedorganisasjon, SAMFO – Arbeidsgiverforening for samvirkeforetak, Datatilsynet, Norges teknisk-naturvitenskapelige universitet, Universitets- og høgskolerådet, Universitetet i Oslo og Universitetet i Bergen, støtter uttrykkelig at det gis særregler om kameraovervåking på arbeidsplass. Kripos mener at det vil være bedre å la de generelle reglene i forordningen regulere behandling av personopplysninger ved bruk av kameraovervåking både innenfor og utenfor arbeidsplassen. Unio trekker frem en økende bruk av kontroll- og styringstiltak i arbeidslivet:

«Bruken av elektroniske kontroll- og styringstiltak i arbeidslivet er blitt mer omfattende i løpet av de siste årene. Ny og forbedret teknologi muliggjør økende styring og kontroll på individnivå. Vi mener at kameraovervåking av personer som kan gjenkjennes er et inngrep i personvernet.»

Juristforbundet er enig med departementet i at det er gode grunner som tilsier at de gjeldende prinsippene for kameraovervåking videreføres innenfor visse deler av arbeidslivet, men mener det kan stilles spørsmål ved om departementets forslag til regulering er hensiktsmessig:

«Juristforbundet er likevel i tvil om forslaget til kommende regulering er hensiktsmessig for å oppnå den ønskede effekten. En alternativ løsning er etter vårt syn at det tydeliggjøres nærmere at kameraovervåking på arbeidsplass er et kontrolltiltak etter arbeidsmiljøloven kapittel 9, med de konsekvenser det får også for behandlingen av personopplysningene som behandles i den forbindelse.»

Datatilsynet mener at det av pedagogiske hensyn bør inntas en egen bestemmelse som henviser til forordningens øvrige bestemmelser. De skriver også at de ofte opplever at kameraer på arbeidsplasser ofte fanger opp større områder enn det som er nødvendig ut i fra formålet, og foreslår derfor at:

«… departementet inntar en egen bestemmelse som sier at kamera ikke kan fange opp andre områder enn det som er strengt nødvendig for å oppnå formålet med overvåkingen. (…) Dette er i tråd med minimeringsprinsippet, og kan trolig bidra til at ansatte i større grad enn i dag har «friområder» der de ikke blir overvåket.»

Flere høringsinstanser, herunder Datatilsynet, Kripos,Landsorganisasjonen i Norge, Advokatforeningen, Juristforbundet, Næringslivets Hovedorganisasjon, Arbeidsgiverforeningen Spekter, NHO Service, IT-politisk råd i Den Norske Dataforening og Sporveien Oslo AS, påpeker at det kan være uklart hva som skal forstås med begrepet «arbeidsplass», og ber om en klargjøring av dette.

Landsorganisasjonen i Norge mener begrepet «arbeidsplass» gir liten veiledning for reglenes anvendelsesområde:

«Begrepet «på arbeidsplass», sondrer ikke mellom overvåking av inngangsparti vs bakrom, kunde-område, kasseområde, spiserom, lager, terminal, inn- utkjøringsrampe mv. Det tar heller ikke opp i seg at mange ansatte ikke har en fysisk arbeidsplass, men kan arbeide hjemmefra, i bil, hos kunder etc.»

Også Næringslivets Hovedorganisasjon mener begrepet «arbeidsplass» gir et uklart virkeområde, og peker på at de fleste steder vil være noens arbeidsplass:

«Det kan tenkes parker der det jobber gartnere, sandstrender der det jobber badevakter eller parkeringsplassen der det jobber parkeringsvakter. Et virkeområde som foreslått er dermed etter vår oppfatning lite egnet til å avgrense regelverkets anvendelse, og vi oppfordrer departementet til å klargjøre dette.»

Advokatforeningen, Juristforbundet og Sporveien Oslo AS mener det bør presiseres at reglene gjelder for kameraovervåking som har til formål å overvåke arbeidstakerne på arbeidsplassen. Også Arbeidsgiverforeningen Spekter fremhever at det bør tydeliggjøres at reglene ikke dreier seg om kameraovervåking ut fra andre formål enn overvåking av arbeidstakere:

«Flere av våre medlemmer innenfor helse- og samferdsel har kameraovervåking hvor kameraet er plassert på arbeidsplassen, men hvor formålet dreier seg om brukeres og pasienters sikkerhet mv. Begrepet «arbeidsplass» bør derfor presiseres slik at regelen kun gjelder kameraovervåking som har som formål å overvåke arbeidstakere på arbeidsplassen.»

Enkelte høringsinstanser, herunder Advokatforeningen, Juristforbundet og Sporveien Oslo AS, mener det er uklart hva som menes med «særskilt behov» i bestemmelsen som gjelder overvåking av område hvor en begrenset krets av personer ferdes jevnlig.

Det er bare ASIS Norge som uttaler seg om forslaget om å videreføre reglene om adgangen til å utlevere personopplysninger som er innsamlet ved kameraovervåking. ASIS Norge mener «det bør være i samfunnets interesse at opptak som kan frikjenne noen fra mistanke eller dokumentere faktiske forhold bør kunne utleveres til et forsikringsselskap eller benyttes i en sivilrettslig sak» og at «[s]lik utlevering bør kun skje etter en rettskjennelse om utlevering».

Det er få høringsinstanser som uttaler seg om hovedregelen om at opptak gjort ved kameraovervåking på arbeidsplass skal slettes senest innen én uke. Arbeids- og velferdsdirektoratet mener hovedregelen om sletting innen én uke kan virke noe snau, særlig for større organisasjoner.

De aller fleste høringsinstansene som uttaler seg om utvidet lagringstid for opptak gjort i post- og banklokaler og på utsalgssteder støtter utvidelsen. Hovedorganisasjonen Virke, NHO Service, SAMFO – Arbeidsgiverforening for samvirkeforetak, Kripos, ASIS Norge, Coop Norge SA og Næringslivets Sikkerhetsråd, som støttes av flere, blant andre Næringslivets Hovedorganisasjon, Drivkraft Norge, DHL Express (Norway) AS, NorgesGruppen ASA, Telenor Norge AS og Telia, støtter forslaget om utvidet lagringstid for opptak i post- og banklokaler og utsalgssteder.

Politidirektoratet, Kripos, Hovedorganisasjonen Virke, NHO Service, SAMFO – Arbeidsgiverforening for samvirkeforetak, Næringslivets Sikkerhetsråd, ASIS Norge, Coop Norge SA og NorgesGruppen ASA peker imidlertid på at virkeområdet bør gjøres teknologinøytralt, og foreslår at begrepet «betalingskort» byttes med «betalingsinstrument» og «identitetsbevis». Næringslivets Sikkerhetsråd uttaler i denne forbindelse:

«Videre er det nødvendig å bruke robuste og teknologinøytrale begreper som dekker «betalingskort» og «identitetskort» i ordlyden. Formålet som begrunner departementets forslag om utvidet slettefrist er lang deteksjonstid for misbruk. Den lange deteksjonstiden gjør seg gjeldende for alle betalingsinstrumenter, herunder fremtidige betalingsinstrumenter og fremtidig bruk av disse.»

Noen høringsinstanser peker også på at det kan være uklart hvilke utsalgssteder og opptak som er omfattet av bestemmelsen om utvidet lagringstid. Landsorganisasjonen i Norge peker for eksempel på at «utsalgssteder» kan være «markedsplasser, gate-selgere, loppemarked, take-away-biler etc.».

Flere høringsinstanser, herunder Politidirektoratet, Hovedorganisasjonen Virke, NHO Service, NorgesGruppen ASA og Næringslivets Sikkerhetsråd, mener at alle kameraer på utsalgssteder som er egnet til å motvirke og oppklare misbruk av betalingsinstrument eller identitetsbevis, skal kunne operere med utvidet slettefrist, og enkelte mener at regelen må gjelde for opptak gjort i hele lokalet. Politidirektoratet mener at det er viktig at den gjelder ikke bare opptak fra «kassepunktet/selve betalingssituasjonen, men også gjelder opptak av eventuelle gjerningsmenns aktiviteter/bevegelser før og etter selve den straffbare handlingen». Datatilsynet mener imidlertid at den utvidede slettefristen for utsalgssteder kun bør gjelde kameraer som er rettet mot betalingspunkt:

«Slik bestemmelsen er formulert kan den forstås som at arbeidsplasser med betalingspunkter automatisk omfattes av bestemmelsen. Dette innebærer i prinsippet at all kameraovervåking i f.eks. en butikk lagres i tre måneder. Dette vil i så fall være fullstendig uproporsjonalt, tilfeldig og lite personvernvennlig. Arbeidstakere vil kunne oppleve det som svært belastende at arbeidsgiver lagrer opptak av arbeidshverdagen tre måneder tilbake i tid. Det er derfor svært viktig at departementet presiserer i lovteksten at utvidet lagringstid bare gjelder kamera som er rettet mot selve betalingspunktet.»

Når det gjelder forslaget om å videreføre bestemmelsen om utvidet slettefrist for opptak gjort i post- og banklokaler, peker flere høringsinstanser på at også post og bank i butikk bør omfattes av bestemmelsen. Datatilsynet, Hovedorganisasjonen Virke, Næringslivets Sikkerhetsråd, SAMFO – Arbeidsgiverforening for samvirkeforetak, Coop Norge SA, DHL Express (Norway) AS og NorgesGruppen ASA mener at post og bank i butikk bør gis adgang til å lagre opptak i tre måneder, i likhet med post- og banklokaler.

Noen høringsinstanser, herunder NHO Service, SAMFO – Arbeidsgiverforening for samvirkeforetak, ASIS Norge, Coop Norge SA og NorgesGruppen ASA, mener det er behov for å gjøre unntak fra sletteplikten når det er nødvendig å lagre opptakene lenger og det er i tråd med formålet for overvåkingen. Det vises særlig til at det vil være nødvendig i forbindelse med en rettssak, og enkelte foreslår at slik viderebehandling skal være tillatt for å fastsette, gjøre gjeldende eller forsvare rettskrav. SAMFO – Arbeidsgiverforening for samvirkeforetak mener at videre lagring av opptak må være tillatt i større utstrekning enn det som følger av gjeldende rett i dag:

«SAMFO oppfatter imidlertid at videre lagring av opptak og/eller bilder fra opptak likevel må være tillatt, dersom formålet med den videre lagringen er forenelig med det opprinnelige formålet for kameraovervåkningen. Forutsetningen for dette er at den videre lagringen har et gyldig behandlingsgrunnlag. Dette vil f.eks. være tilfelle der kameraovervåkning er satt opp for å forhindre og oppklare tyveri fra arbeidsgiver og opptakene viser at en ansatt stjeler. Da vil arbeidsgiver ha saklig behov for å lagre opptak og/eller bilder videre som bevis i en eventuell tvist om avslutning av arbeidsforholdet. Etter SAMFOs oppfatningen vil hensikten med kameraovervåkningen være svært redusert hvis arbeidsgiver ikke kan lagre opptakene/bildene så lenge tvist om ansettelsesforholdet består. Og det kan ikke være meningen at bestemmelsen skal medføre at bevis må slettes med mindre den ansatte samtykker til videre lagring av dem.»

Enkelte høringsinstanser stiller spørsmål ved om forordningen artikkel 88 åpner for å gi de foreslåtte reglene om kameraovervåking i virksomheter. Advokatforeningen, Juristforbundet og Sporveien Oslo AS mener at det er uklart om virkeområdet for de foreslåtte reglene går utover hva det åpnes for etter forordningen artikkel 88, som er knyttet til «ansettelsesforhold». Kripos stiller spørsmål ved om artikkel 88 åpner for å gi bestemmelser om utvidet lagringstid for utsalgssteder.

31.3.3.3 Departementets vurdering

Kameraovervåking i arbeidslivet iverksettes av mange grunner. Det kan for eksempel være for å ivareta helse, miljø og sikkerhet i virksomheten, for å ivareta kvalitetssikringshensyn i produksjonen eller for å forebygge og/eller oppklare eventuelle ulovligheter. I mange tilfeller vil både arbeidsgiver og arbeidstaker se seg tjent med overvåkingstiltaket, mens interessene i andre tilfeller kan stå mer imot hverandre. En fellesnevner for slik overvåking er likevel at den gjerne fanger opp steder hvor arbeidstakere regelmessig ferdes og/eller oppholder seg store deler av arbeidsdagen. En slik overvåking vil, uavhengig av tiltakets formål, kunne innebære et inngrep i de aktuelle arbeidstakernes privatliv og integritet.

Departementet mener at de beste grunner taler for at de reglene som gjelder i dag for kameraovervåking i virksomheter bør videreføres, og at dette bør gjøres i forskrift til arbeidsmiljøloven. På denne måten vil det på dette området fortsatt gjelde klare og kjente regler for kameraovervåking innenfor arbeidslivet. Når det gjelder det nærmere innholdet i reguleringen som skal videreføres, vises det til gjennomgangen av gjeldende rett i punkt 31.1.2 over.

Reguleringen må som nevnt være i tråd med forordningen artikkel 88, noe som innebærer at reglenes rekkevidde må begrenses til rammen av arbeidsforhold. I høringsnotatet ble det på denne bakgrunn foreslått at virkeområdet skulle avgrenses til overvåking av «arbeidsplass». I høringen er flere instanser skeptisk til dette begrepet for å avgrense virkeområdet for reguleringen.

På bakgrunn av høringsinnspillene er departementet kommet til at «arbeidsplass» ikke er det mest egnede begrepet for å avgrense reglenes rekkevidde. Arbeidsmiljøloven kapittel 9 omhandler arbeidsgivers adgang til å iverksette kontrolltiltak i sin virksomhet. Slik departementet ser det, vil det derfor være mer hensiktsmessig at reglene avgrenses til arbeidsgivers kameraovervåking «i virksomheten», noe som også korresponderer godt med rammene for artikkel 88 i forordningen. I dette ligger det for det første at kameraovervåking som forestås av andre enn arbeidsgiver, vil falle utenfor, selv om kameraet også kan fange opp arbeid og arbeidsplasser. Det kan for eksempel dreie seg om kameraovervåking av et torg iverksatt av politiet for å ivareta ordenshensyn, men som også fanger opp salgsboder e.l. På den annen side vil det ikke være avgjørende at arbeidsgiver selv setter opp og/eller administrerer selve overvåkingen. Det vil være tilstrekkelig at overvåkingen skjer i forståelse med arbeidsgiver, er i arbeidsgivers interesse og at formålet (blant annet) er å overvåke arbeidsgivers virksomhet. Et typisk eksempel vil være overvåking av butikklokale i et kjøpesenter, hvor overvåkingen administreres av senterselskapet.

For det andre vil det være et vilkår at overvåkingen kan anses som et kontrolltiltak i arbeidsmiljølovens forstand. Departementet mener derfor at kameraovervåking som ikke, eller i svært liten grad, vil kunne anses som en belastning for arbeidstakeres personlige integritet, vil falle utenfor reglenes anvendelsesområde, altså selv om den skjer «i virksomheten», jf. formålet med reguleringen i arbeidsmiljøloven kapittel 9.

Begrepet «i virksomheten» vil i prinsippet gjelde alle steder hvor arbeidstakerne arbeider, for eksempel butikklokaler, kontorlokaler, restauranter mv.

Departementet understreker at reglene, på samme måte som i dag, vil gjelde kameraovervåking i virksomheter generelt, og at det vil gjelde tilleggsvilkår for overvåking av områder hvor «en begrenset krets av personer ferdes jevnlig». Om adgangen til å behandle særlige kategorier av personopplysninger og personopplysninger om straffbare forhold mv. i forbindelse med kameraovervåking, vises det til kapittel 18.

For ordens skyld presiserer departementet også at det ikke er fritt frem for å iverksette kameraovervåking dersom den faller utenfor virkeområdet til de særlige reglene som skal fastsettes i medhold av arbeidsmiljøloven kapittel 9. All annen kameraovervåking må ha hjemmel i den nye personopplysningslovens, og dermed også personvernforordningens, alminnelige regler.

Flere høringsinstanser mener at det bør presiseres at reglene bare skal gjelde kameraovervåking som skjer med det formål å overvåke arbeidstakerne på arbeidsplassen, slik at særreglene ikke skal sette skranker for overvåking med annet formål. Departementet er ikke enig i dette. Som beskrevet over vil kameraovervåking i virksomheter ofte nettopp ikke ha som formål å overvåke arbeidstakerne – overvåkingen kan for eksempel skje for å forebygge ulykker eller kriminalitet. Etter departementets oppfatning vil det etter omstendighetene kunne oppleves som like inngripende å bli fanget opp av overvåkingskameraer i slike tilfeller som der formålet mer direkte er å overvåke arbeidstakerne.

Departementets forslag om å utvide slettefristen til tre måneder for opptak i «utsalgssted som benytter betalingskort», får bred støtte i høringen. Forslaget omfatter alle virksomheter som gir kunder anledning til å betale med for eksempel bankkort, og formålet er å ramme misbruk av identitet eller betalingskort. Bakgrunnen for at slike utsalgssteder bør ha en utvidet slettefrist, er at det i praksis ofte tar lengre tid enn én uke – som er fristen i dag – før slikt misbruk oppdages. På denne bakgrunn tar departementet sikte på å fastsette en regel om en slettefrist på tre måneder for slike utsalgssteder i forskriftene som skal fastsettes med hjemmel i ny § 9-6. Departementet understreker at en slik utvidet frist bare vil innebære at opptakene «senest» skal slettes etter tre måneder. Regelen vil derfor være at opptak skal slettes tidligere enn dette dersom lagring ikke lenger er nødvendig for å ivareta formålet med kameraopptaket.

Flere høringsinstanser har påpekt at benevnelsen «betalingskort» bør gjøres teknologinøytral og byttes ut med for eksempel «betalingsinstrument». Departementet er enig i dette, og vil benytte slik teknologinøytral terminologi i forskriftsreguleringen.

Post- og banklokaler har allerede en slettefrist på tre måneder. I høringen får videreføring av denne regelen bred støtte, men flere trekker frem at post- og banktjenester i dag også leveres i butikklokaler. Departementet slutter seg til at de samme hensynene gjør seg gjeldende uavhengig av om post- eller banktjenester leveres i butikk eller i tradisjonelle post- eller banklokaler, og at også disse bør omfattes av tremånedersfristen.

Enkelte høringsinstanser har stilt spørsmål ved om de foreslåtte reglene går for langt i forhold til hva artikkel 88 i forordningen åpner for knyttet til behandling av personopplysninger i ansettelsesforhold. Det pekes særlig på at virkeområdet for reglene er vidt, og at det foreslås særregler for blant annet post- og banklokaler og utsalgssteder. Departementet viser i den forbindelse til at forordningen artikkel 88 uttrykkelig angir at det kan gis særregler for behandling av ansattes personopplysninger for nærmere angitte hensyn, herunder hensynet til sikkerhet på arbeidsplassen og vern av arbeidsgivers eller kunders eiendom. Dette innebærer at det kan gis særregler for behandling av personopplysninger som har blitt innsamlet ved kameraovervåking i forbindelse med arbeidssituasjonen. Etter departementets syn gjelder dette også dersom formålet med overvåkingen ikke er knyttet til ansettelsesforholdet som sådan, men for eksempel er iverksatt av sikkerhetsgrunner. Tilsvarende mener departementet at det kan fastsettes øvre grenser for lagringstid av opptak gjort på arbeidsplasser i medhold av forordningen artikkel 88, og at lengden på slettefristen for slike opptak kan gjøres avhengig av om opptakene for eksempel er gjort i områder som er særlig utsatt for kriminalitet som det tar lang tid å avdekke.

I høringsnotatet ble det foreslått å videreføre Datatilsynets adgang til å gjøre unntak fra sletteplikten i tilfeller hvor det foreligger et særlig behov for oppbevaring i lengre tid enn det som følger av reglene om sletteplikt. I den forbindelse har Datatilsynet i høringen gitt uttrykk for at allerede gitte dispensasjoner etter personopplysningsforskriften § 8-4 fortsatt skal være gyldige etter nytt regelverk. Departementet er enig i dette.

31.3.4 Arbeidsgivers innsyn i e-postkasse mv.

31.3.4.1 Forslaget i høringsnotatet

I høringsnotatet foreslo departementet en videreføring av dagens regler i personopplysningsforskriften kapittel 9 om rett til innsyn i e-postkasser mv. innenfor forordningens rammer. Reglene ble foreslått å omfatte arbeidsgivers innsyn i arbeidstakeres e-postkasse mv., men ikke universiteters og høyskolers innsyn i studenters e-postkasse eller organisasjoners og foreningers innsyn i frivilliges og tillitsvalgtes e-postkasse.

Departementet foreslo at reglene fortsatt skal gjelde for innsyn i opplysninger lagret i e-postkasse som arbeidsgiver har stilt til arbeidstakers disposisjon og arbeidstakers personlige områder i virksomhetens datanettverk eller annet elektronisk utstyr som arbeidsgiver har stilt til disposisjon til bruk i arbeidet.

31.3.4.2 Høringsinstansenes syn

De aller fleste høringsinstansene som uttaler seg om temaet, herunder blant andre Datatilsynet, Landsorganisasjonen i Norge, Unio, Yrkesorganisasjonenes Sentralforbund, Juristforbundet, Norges Ingeniør- og Teknologorganisasjon, Tekna – Teknisk-naturvitenskapelig forening, Hovedorganisasjonen Virke og Finans Norge, støtter eksplisitt departementets forslag om å videreføre dagens regler om innsyn i e-postkasse mv. så langt forordningen tillater. Enkelte høringsinstanser, herunder Arkivverket, Graveteamet på rusfeltet og Norsk Arkivråd, peker imidlertid på behovet for regler som i større grad tar hensyn til risikoen for at arkiverings- og journalføringsplikt og retten til offentlig innsyn enkelt kan omgås.

Enkelte høringsinstanser, herunder Næringslivets Hovedorganisasjon og Arbeidsgiverforeningen Spekter, har innholdsmessige innvendinger til gjeldende regulering. Næringslivets Hovedorganisasjon mener det er grunn til å stille spørsmål ved om «det prinsipielle utgangspunktet for reglene burde vært snudd på hodet, nemlig slik at innsyn i den ansattes jobb e-post i utgangspunktet var lovlig». De viser særlig til at e-postkassen er «et verktøy som eies av arbeidsgiver» som stilles til den ansattes disposisjon for «utførelsen av arbeidet» og at de fleste i dag har en egen privat e-postkasse. Næringslivets Hovedorganisasjon viser også til at Arbeidslivslovutvalget «i sin tid foreslo å skille mellom privat og virksomhetsrelatert e-post, slik at forbudet mot innsyn kun omfattet den første typen e-poster (NOU 2004: 5)».

Flere høringsinstanser, herunder Akademikerne, Fagforbundet,Tekna – Teknisk-naturvitenskapelig forening, Hovedorganisasjonen Virke, Norges teknisk-naturvitenskapelige universitet, Universitetet i Bergen, Universitetet i Oslo og Universitets- og høgskolerådet, mener det er problematisk at reglene ikke videreføres for innsyn i tillitsvalgtes og/eller studenters e-postkasse.

Advokatforeningen, Arbeidsgiverforeningen Spekter, Finans Norge og IT-politisk råd i Den Norske Dataforening mener det bør tydeliggjøres at virkeområdet for reglene er teknologinøytralt. Telia Norge AS stiller spørsmål ved hvilke kommunikasjonskanaler som er omfattet av reglene og trekker frem enkelte utfordringer:

«Vi etterlyser likevel en gjennomgang av reglenes anvendelsesområde sett opp mot nye kommunikasjonskanaler som Slack, Facebook at Work osv. Et kjennetegn ved disse kommunikasjonskanalene er at innholdet lagres og tilgjengeliggjøres via skytjenester, og en kan således stilles spørsmål ved om slike kommunikasjonskanaler er omfattet av gjeldende regelverk. Etter vårt syn har disse kommunikasjonskanalene et mer personlig preg en tradisjonell e-post, og departementet bør være varsom med å utvide virksomhetsområdet til denne typen tjenester.»

Juristforbundet mener at «gode grunner tilsier at forslaget bør utvides til også å omfatte arbeidsgivers innsyn i annet elektronisk utstyr som ikke arbeidsgiver selv har stilt til arbeidstakerens disposisjon til bruk i arbeidet».

Når det gjelder adgang til innsyn i arbeidstakers mobiltelefon, skriver Telia Norge AS at selv om mobiltelefoner kan være omfattet av «elektronisk utstyr som arbeidsgiver har stilt til arbeidstakers disposisjon til bruk i arbeidet», vil disse også ha et svært personlig bruksområde for de fleste:

«Det er eksempelvis høyst vanlig at ansatte lagrer beskyttelsesverdig informasjon som private bilder og meldinger m.v på sin mobiltelefon. Selv en enkelt gjennomgang av «SMS-innboksen» vil kunne avsløre informasjon av svært sensitiv og privat karakter i langt større utstrekning enn hva som er tilfellet gjennom eksempelvis en e-postkasse som stilles til disposisjon av arbeidsgiver. (…) Vi mener derfor det ikke bør gis adgang til innsyn i innhold på ansattes mobiltelefon med mindre arbeidsgiver har gitt instruks om at mobilen kun kan benyttes til arbeidsrelaterte gjøremål.»

Flere høringsinstanser stiller spørsmål ved om arbeidsgiver i utkastet gis en utvidet adgang til å gjøre innsyn i aktivitetslogger i virksomhetens datanettverk sammenlignet med gjeldende rett, uten at dette tas særskilt opp i høringsnotatet. Flere høringsinstanser er kritiske til at innsyn i aktivitetslogg skal omfattes av reglene om arbeidsgivers innsyn i e-postkasse mv. Datatilsynet, Landsorganisasjonen i Norge, Akademikerne, Yrkesorganisasjonenes Sentralforbund, Juristforbundet, Norges Ingeniør- og Teknologorganisasjon, Tekna – Teknisk-naturvitenskapelig forening, SAMFO – Arbeidsgiverforening for samvirkeforetak og Telia Norge AS ber om at forbudet mot overvåking av arbeidstakers bruk av elektronisk utstyr videreføres, og at arbeidsgiver kun gis adgang til å gjøre innsyn i aktivitetslogg dersom formålet er å administrere eller å avdekke/oppklare brudd på sikkerheten i nettverket.

Datatilsynet støtter ikke forslaget om at bestemmelsene om innsyn i e-postkasse mv. også skal gjelde innsyn i aktivitetslogger:

«Bakgrunnen for [dette] er at vi mener at de foreslåtte bestemmelsene i så liten grad klargjør grensene for lovlig overvåking at det er enklere for å forholde seg til de alminnelige reglene i forordningen. Det er åpenbart stor forskjell på bruk av e-post som kommunikasjonsmiddel og iverksetting av overvåkingstiltak og det er derfor ikke hensiktsmessig å ha like regler om dette.

(…)

Forslag til § 2 og 3 gir liten veiledning med hensyn til sentrale krav for innføring av et overvåkingstiltak. Bestemmelsene regulerer etter sin ordlyd vilkår og prosedyrer ved innsyn som gjøres i aktivitetslogger som allerede er innført.

Innsyn i aktivitetslogg kan dermed være ulovlig etter de alminnelige reglene i forordningen, mens vilkårene for innsyn og prosedyrekrav i §§ 2 og 3 isolert sett er oppfylt. For eksempel kan formålet med innsynet være uforenlig med det opprinnelige formålet med aktivitetsloggen. På dette området blir for øvrig det foreslåtte regelverket mer uklart enn det gjeldende, siden departementet har fjernet formålsbegrensningen i dagens § 9-2 jf. 7-11. Det vil si at adgangen til overvåking ikke lenger er avgrenset til administrasjons- og sikkerhetsformål. Departementet har ikke begrunnet dette i høringen.»

SAMFO – Arbeidsgiverforening for samvirkeforetak mener skillet mellom overvåking og innsyn som gjelder i personopplysningsforskriften i dag, ikke er videreført i departementets forslag til regler om innsyn i arbeidstakers e-postkasse mv.:

«Det er viktig å skille på det konkrete innsyn som arbeidsgiver kan ha behov for i de enkeltstående situasjoner som fremgår av forslagets § 2, bokstav a) og bokstav b), og den mer kontinuerlige overvåkning av datatrafikk som kan være nødvendig av hensyn til IT-sikkerhet. Dette skillet fremgikk tidligere klart av personopplysningsforskriften § 9-2, 2. ledd, og kontinuerlig overvåkning var kun tillatt som del av IT-sikkerhetsløsningen. Forslaget til § 3, 7. ledd ivaretar ikke fullt ut dette skillet. Forslagets § 3, 7. ledd kan tvert imot leses slik at kontinuerlig overvåkning av utvalgte ansatte for formålene i § 2 vil være tillatt. Dette har neppe vært hensikten. SAMFO anbefaler derfor at man justerer ordlyden slik at det fremgår at kontinuerlig overvåkning av ansattes e-post eller bruk av elektroniske dataløsninger for formålene nevnt i forslagets § 2 a) og b), ikke er tillatt.»

Noen høringsinstanser legger til grunn at det ikke har vært departementets mening å utvide adgangen til å gjøre innsyn i aktivitetslogger sammenlignet med gjeldende rett. Eksempelvis uttaler Akademikerne følgende:

«Akademikerne forutsetter derfor at vernebestemmelsene knyttet til aktivitetsloggene, i likhet med innsyn i arbeidstakeres epost mv, videreføres regulert med det samme vernet som i dag overfor de ansatte i en fremtidig forskriftsbestemmelse. En antar at dette er meningen fra departementets side da de materielle endringene som følge av forordningen fra departementets side fremheves å være minimale.»

Også Landsorganisasjonen i Norge legger til grunn at forbudet mot overvåking av arbeidstakers bruk av elektronisk utstyr videreføres:

«Slik lovutkastet er formulert i høringsnotatet synes det som om dagens bestemmelse i personvernforskriftens § 9-2 (2), om forbud mot overvåking av arbeidstakers bruk av elektronisk utstyr er falt ut. Det antas at dette ikke er tilsiktet, og det bes derfor om at Departementet tar inn en presisering i loven tilsvarende personopplysningsforskrift § 9-2 (2).»

Arbeids- og velferdsdirektoratet og Utlendingsdirektoratet peker på at de har behov for innsynslogging for å forebygge uberettiget innsyn i personopplysninger, og stiller spørsmål ved om de foreslåtte reglene gir åpning for slik logging. De mener også det bør gjøres unntak fra prosedyrereglene for slik overvåking. Universitetet i Tromsø – Norges arktiske universitet mener departementet bør vurdere nøye hvorvidt en utvidelse av reglene til å omfatte innsyn i aktivitetslogg er ønskelig, og viser særlig til utfordringer med prosedyrereglene og muligheten til å agere raskt ved sikkerhetsbrudd. Arkivverket mener forholdet til arkivering og offentlighet bør problematiseres og stiller spørsmål ved om det åpnes for å videreføre ordninger med innsynslogger som skal forhindre «snoking».

Kripos, Lånekassen,Advokatforeningen, Juristforbundet, Hovedorganisasjonen Virke, Finans Norge, Brønnøysundregistrene og Sporveien Oslo AS mener at det er gode grunner for at også slikt innsyn skal omfattes av reglene om arbeidsgivers innsyn i e-post mv., slik departementet foreslo i høringen.

Juristforbundet peker på at innsyn i aktivitetslogg kun omfatter «arbeidsgivers» innsyn, uten å problematisere arbeidsgiverbegrepet.

Akademikerne, Norges Ingeniør- og Teknologorganisasjon og Tekna – Teknisk-naturvitenskapelig forening mener det bør stilles strengere krav til innsyn i tillitsvalgtes e-postkasse som er stilt til rådighet av arbeidsgiver. Akademikerne mener i tillegg det bør inntas en bestemmelse om at innsyn i tillitsvalgtes e-postkasse skal loggføres.

Når det gjelder prosedyrereglene for innsyn i arbeidstakeres e-postkasse mv., er Yrkesorganisasjonenes Sentralforbund positive til at informasjonsplikten overfor arbeidstaker ved innsyn utvides. Landsorganisasjonen i Norge mener prosedyrene som gjelder ved arbeidsgivers innsyn i e-post, bør gjelde tilsvarende ved arbeidsforholdets opphør. Datatilsynet er «positive til mange av de prosedyrekrav som er foreslått i § 3», men mener arbeidstaker bør ha en innsigelsesrett, og ikke bare en rett til å uttale seg. De savner også en klargjøring om dataminimering/proporsjonalitetsprinsippet gjelder ved innsyn i arbeidstakers e-postkasse mv.

Juristforbundet og Kulturrådet støtter forslaget om at prosedyrereglene ikke skal gjelde «ved innsyn i aktivitetslogger når formålet med innsynet er å administrere virksomhetens datanettverk eller å oppklare sikkerhetsbrudd i nettverket, og innsynet ikke er rettet mot én eller flere konkrete ansatte». Akademikerne ber departementet vurdere om regelen også bør omfatte slikt innsyn som har til formål å forebygge eller forhindre sikkerhetsbrudd. Universitetet i Tromsø – Norges arktiske universitet ber om avklaring på om det etter utkastet § 3 sjuende ledd er avgjørende for om prosedyrereglene skal komme til anvendelse at innsynet fra starten av retter seg mot konkrete ansatte, eller om bestemmelsen vil tre inn i det øyeblikket gjennomgangen og analysen av loggene kommer ned på enkeltansattnivå. Advokatforeningen foreslår «at departementet også vurderer om innsyn i logger for å forebygge eller forhindre sikkerhetsbrudd skal tillates, så lenge analysene ikke er rettet mot én eller flere konkrete ansatte».

Flere høringsinstanser peker på utfordringer med hensyn til den foreslåtte videreføringen av plikten til å avslutte arbeidstakers e-postkasse og til å slette opplysninger som er lagret i e-postkassen, arbeidstakerens personlige områder i virksomhetens datanettverk eller annet elektronisk utstyr. Landsorganisasjonen i Norge mener at regelen er vanskelig å forstå og at det kan stilles spørsmål ved hva som ligger i begrepet «ansettelsesforholdets opphør»:

«LO savner en tydeligere regel om sletting av e-post m.v ved opphør av arbeidsforholdet. I praksis ser man at bestemmelsen er vanskelig å forstå. Det kan stilles spørsmål ved hva som ligger i begrepet «ansettelsesforholdets opphør», f.eks ved inngåelse av sluttavtale hvor fratredelsestidspunktet er et annet enn opphørstidspunktet, eller i situasjoner ved oppsigelse uten rett til å stå i stilling (etter begjæring om fratreden, i prøvetid, eller i ved avskjed).»

Advokatforeningen, Næringslivets Hovedorganisasjon, Arbeidsgiverforeningen Spekter, Gassco AS og Sporveien Oslo AS peker på at arbeidsgiver vil kunne ha et legitimt behov for å kunne beholde tidligere ansattes e-postkasse og dokumenter, og at sletteplikten kan medføre at virksomhetskritisk informasjon slettes. Sporveien Oslo AS trekker særlig frem at det kan tenkes at arbeidstaker av ulike grunner ikke får overført slik informasjon til arbeidsgiver før vedkommende slutter, for eksempel ved avskjed eller arbeidstakers død.

Datatilsynet støtter en videreføring av bestemmelsen om sletting ved opphør av arbeidsforhold, men mener at begrepet «daglige driften» er uklart og at det bør gis veiledning om innholdet. Gassco AS mener at virksomheter også vil kunne ha behov for å bevare informasjon som ikke er nødvendig for den daglige driften i virksomheten.

Datatilsynet peker også på at krav om sletting av aktivitetslogg ikke er regulert, og at arbeidsgiver dermed må forholde seg til forordningen artikkel 5 nr. 1 bokstav e og artikkel 17.

Det er få høringsinstanser som har uttalt seg om forslaget om å videreføre forbudet mot å fastsette instruks eller inngå avtaler som fraviker bestemmelsene om innsyn i e-postkasse mv. til ugunst for arbeidstaker. SAMFO – Arbeidsgiverforening for samvirkeforetak mener bestemmelsen bør suppleres med et unntak for tilfeller hvor den ansatte skriftlig samtykker til at e-postkassen holdes aktiv lenger enn det som følger av sletteplikten. De viser til at det kan være «hensiktsmessig, både for arbeidsgiver og arbeidstaker at det kan avtales at e-postkasssen holdes aktiv noen få dager eller uker etter at arbeidsforholdet er opphørt». Også Gassco AS mener det er uheldig at det ikke åpnes for at det kan inngås avtale til ugunst for arbeidstaker:

«Vi mener videre at det er uheldig at forslaget ikke åpner opp for at det kan inngås avtale som fraviker bestemmelsene til ugunst for arbeidstaker.

Vi er enig at det ved etablering av arbeidsforholdet og til dels også under arbeidsforholdet er en asymmetri i maktbalansen mellom arbeidsgiver og arbeidstaker som kan tilsi behov for beskyttelse for arbeidstakeren mot å bli «påtvunget» en avtale. Dette hensynet er imidlertid ikke tilstede, eller er i hvert fall betydelig mindre tungtveiende, når den ansatte har sagt opp og skal slutte. Det er nettopp i en slik situasjon behovet for å etablere en avtale er størst, for å sikre at virksomhetskritisk informasjon blir bevart.»

31.3.4.3 Departementets vurdering

Det er departementets oppfatning at dagens særregler om arbeidsgivers innsyn i arbeidstakers e-postkasse mv. har skapt klarhet og forutberegnelighet når det gjelder hvilke tilfeller og på hvilken måte arbeidsgiver kan foreta innsyn i arbeidstakers e-postkasse mv. Det er også departementets syn at dagens regler på en god måte avveier arbeidsgivers og arbeidstakernes interesser på dette området. Departementet har merket seg at Datatilsynet i sitt høringssvar opplyser at arbeidsgivers adgang til å foreta innsyn i arbeidstakers e-postkasse mv. har utgjort en betydelig andel av henvendelsene de har fått de siste årene, og at de støtter en videreføring av reglene. Også de fleste øvrige høringsinstansene støtter opp om at reglene videreføres. Departementet mener derfor at handlingsrommet i artikkel 88 bør benyttes til å videreføre gjeldende regler som klargjør når, og på hvilken måte, arbeidsgiver kan foreta innsyn i de ansattes e-postkasse mv.

I høringen har flere høringsinstanser tatt til orde for at reglene også bør gjelde for innsyn i studenters og tillitsvalgtes e-postkasse. Departementet fastholder imidlertid at forordningen artikkel 88 ikke åpner for nasjonal særregulering av universiteters og høyskolers innsyn i studenters e-postkasse eller for organisasjoners og foreningers innsyn i frivilliges og tillitsvalgtes e-postkasse. Reguleringen må derfor begrenses til innsyn i arbeidstakeres e-postkasse mv.

Departementet har merket seg at noen høringsinstanser har enkelte innholdsmessige innvendinger til reguleringen slik den gjelder i dag. Som nevnt har imidlertid departementet i forbindelse med arbeidet med å gjennomføre personvernforordningen i norsk rett konsentrert seg om å videreføre gjeldende rett innenfor forordningens rammer og har derfor i all hovedsak ikke tatt stilling til hvorvidt det kan være behov for materielle endringer i regelverket.

Flere høringsinstanser har påpekt at forslaget til regulering slik det er formulert i høringsnotatet, i realiteten vil innebære en utvidelse av arbeidsgivers adgang til innsyn i såkalte aktivitetslogger. Flere trekker også frem at dagens bestemmelse i personopplysningsforskriften § 9-2 annet ledd, om arbeidsgivers adgang til å overvåke arbeidstakers bruk av elektronisk utstyr, ikke var med i høringsutkastet. Departementet har også merket seg at Datatilsynet i sitt høringssvar gir uttrykk for at «de foreslåtte bestemmelsene [om innsyn i aktivitetslogg] i så liten grad klargjør grensene for lovlig overvåking at det er enklere for å forholde seg til de alminnelige reglene i forordningen». Departementet bemerker at intensjonen i høringsnotatet heller ikke på disse punktene har vært å endre gjeldende rett, og departementet vil være særlig oppmerksom på disse innspillene ved utforming av forskriften.