Artikkelen ”Blir retten til personlig integritet på arbeidsplassen krenket ved arbeidsgivers innsyn i virksomhetsrelatert e-post?” sto på trykk i Arbeidsrett 2006 (nr. 3) s. 162-185. Der gir stipendiat Line Coll en rettspolitisk vurdering av Datatilsynets praksis knyttet til innsyn i arbeidstageres e-post samt Fornyings- og Administrasjonsdepartementets forslag til nye e-postforskrifter. Jeg har her ikke til hensikt å debattere hennes innlegg. Forskriftsforslaget er sendt på høring. At det i en slik setting settes kritisk søkelys mot så vel gjeldende praksis som foreslåtte regler, er en selvfølge. Colls vurderinger bygger imidlertid et par steder på feil utgangspunkt. Det er derfor nødvendig med en liten kommentar. Jeg vil i det nærmere se på definisjonen av e-postkassen som personopplysning, samt spørsmålet om hvem som har rett på vern ved innsyn i e-post.
Ønsker Datatilsynet å verne om e-postadressen?
Stipendiat Line Coll argumenterer for at personvernet ikke blir krenket gjennom arbeidsgivers innsyn i virksomhetsrelatert e-post. Hun understreker at Datatilsynets praksis og det nye forslaget til forskrift har feil fokus, i det man ikke skiller mellom typen opplysning (e-postkassen - ansatt@virksomhet.no) og innholdet. Min påstand er at Datatilsynet nettopp er veldig bevisst på dette skillet.
Formålet med Datatilsynets praksis knyttet til innsyn i e-post, har aldri vært å beskytte e-postkassen i egenskap av adresse. Det er imidlertid et faktum at en e-postadresse som lyder på en ansatts navn inneholder personopplysninger. Det er en misforståelse når det på s. 180 hevdes at Datatilsynet tidligere har uttalt at post og korrespondanse til kontaktpersoner i firmaer ikke innebærer behandling av personopplysninger. Loven definerer ”personopplysning” som ”opplysninger og vurderinger som kan knyttes til en enkeltperson” jf. § 2 nr. 1. Det kan vanskelig argumenteres for noe annet enn at navnet til enkeltpersoner i en virksomhet kan knyttes til en enkeltperson og at det dermed er en personopplysning. Det kan imidlertid være at Datatilsynet har sagt at det ved manuelt mottak av post ikke skjer en ”behandling” av personopplysninger slik dette er definert i loven*.
Har det noen betydning om man definerer opplysningen som virksomhetsopplysning?
En e-postadressen på arbeidsplassen har tilknytning til den enkeltes arbeidssituasjon, og det kan derfor argumenteres med at den skal anses som en virksomhetsrelatert opplysning. Dette betyr likevel ikke at navnet til den ansatte opphører å være en personopplysning dersom det inngår i en adresse. Selv om formålet med å behandle en opplysning er virksomhetsrelatert kan opplysningen like fullt være en personopplysning.
Det er faktisk lov å behandle personopplysninger, virksomhetsrelaterte så vel som private, så fremt vilkårene i personopplysningsloven er oppfylt. Det vil gjennomgående være lavere terskel for behandling av personopplysninger dersom behandlingen relaterer seg til virksomhetens drift **. En konsekvens av dette er at arbeidsgiver kan velge å benytte den ansattes navn i en e-postadresse og også lage en oversikt over hvem som benytter forskjellige e-postadresser i virksomheten. Dersom virksomhetene ønsker å la ansattes e-postadresse fremkomme på virksomhetens hjemmeside på Internett, vil også dette som hovedregel være uproblematisk med utgangspunkt i personopplysningsloven. Det følger av dette at det ikke er e-postkassen (eller e-postadressen) som sådan Datatilsynet har ønsket å gi et vern. Men nettopp innholdet i e-postkassen og dermed innholdet i de konkrete e-postene.
Datatilsynet er svært bevisst på forskjellen mellom e-postkassen og e-postenes innhold. I praksis vil imidlertid spørsmålet om man berettiget kan foreta innsyn i en e-postkasse og spørsmålet om man berettiget kan foreta innsyn i konkrete e-poster som befinner seg i denne e-postkassen, ofte falle sammen. Mange benytter forhåndsvisning av e-post, og ofte vil en åpning av e-postkassen være ensbetydende med at man også blir kjent med innholdet i konkrete e-poster. Derfor slås i praksis disse to vurderingene sammen, og det legges til grunn at hvis man oppfyller vilkårene til å åpne e-postkassen, oppfyller man også vilkårene til innsyn i de konkrete e-poster som begrunner behovet for innsynet. Dette er en praktisk tilnærming og innebærer altså ikke at e-postadressen nyter noen større beskyttelse.
Hvem har krev på beskyttelse ved innsyn i e-post?
Datatilsynet har i sin praksis fremholdt at arbeidsgivere ikke kan forbeholde seg retten til å lese all e-post som kommer inn til en personlig e-postkasse i virksomheten. Utgangspunktet er den ansatte og dennes krav på beskyttelse. Derfor er det gjort et skille på utgående og inngående e-post. En ansatt som sender private opplysninger på tross av virksomhetens forbud mot dette og som vet at arbeidsgiver forbeholder seg retten til å åpnet og lese e-post, har ingen berettiget forventning om at innholdet ikke blir lest av andre. Kravene i personopplysningslovens §§8 f. og 11, vil her regelmessig være oppfylt. Så langt synes Coll å være enig med Datatilsynet, men når det blir spørsmål om tredjepersoners vern kompliseres det hele.
Selv om den ansatte er kjent med at arbeidsgiver ikke tillater sending og mottak av privat e-post i systemet, så kan ikke arbeidsgiver forvente at eksterne aktører skal forholde seg til dette. Det kan hende at det blir sendt tekst eller bilder av privat art til den ansattes e-postkasse uten at dette skjer i samråd med den ansatte. Slike private opplysninger vil arbeidsgiver som den klare hovedregel verken ha saklig begrunnelse eller berettiget interesse til å gjøre innsyn i. Det er her fortsatt hensynet til den ansattes personvern som er avgjørende. Kravene i personopplysningslovens §§ 8 f. og 11 vil med andre ord ikke være oppfylt overfor den ansatte. Avsenderens eventuelle forventning om personvern kommer inn som et tilleggsmoment.
Den utenforstående avsenderen må som utgangspunkt selv ta risikoen for at personopplysninger sendes ut på et ”åpent postkort” på nettet. Også her finnes det imidlertid begrensninger. Der e-post benyttes av profesjoner som er bundet av taushetsplikt, vil hensynet til avsenderen måtte tillegges vekt. Dersom for eksempel ledelsen på et sykehus forbeholder seg retten til å lese all e-post som kommer inn til ansatte leger, kan dette lett komme i konflikt med legenes taushetsplikt i forholdet til pasienter ***.
Avslutning
Datatilsynets praksis for innsyn i e-post er ikke til hinder for at arbeidsgiver forbyr privat bruk av e-post på arbeidsplassen. Så fremt datasikkerheten blir ivaretatt, er Datatilsynets praksis heller ikke til hinder for at arbeidsgiver tillater bruk av hotmail-adresser eller lignende for privat korrespondanse. Erfaring viser imidlertid at få arbeidsgivere er interesserte i slike løsninger. Colls artikkel bygger derfor igjen på et noe feil utgangspunkt. Og med Ibsens ord kan man konkludere at …”hvor utgangspunktet er som galest, blir resultatet tidt orginalest” ****. Line Coll trekker selv frem at det er alminnelig høflighet at man ikke leser andres private postkort, selv om disse mottas på jobb. Og hva er galt med å videreføre den alminnelig høflighet til e-postens område?
Noter:
*) Personopplysningslovens virkeområde omfatter kun behandlinger som skjer helt eller delvis elektronisk eller der opplysningen inngår eller skal inngå i et personregister jf. § 3. Arbeidsgivers manuelle behandling av innkomne brev vil derfor regelmessig falle utenfor lovens virkeområde.
**) Der personopplysninger behandles som ledd i helt ordinær saksbehandling, kjøp og salg osv. vil arbeidsgiver regelmessig oppfylle lovens krav. Om dette uttales det i Ot. Prp. Nr. 92 (1998-99) s. 25: ” Det vil normalt være slik at utarbeidelsen av et brev eller annen løpende tekst vil være en behandling som fyller vilkårene for lovlig behandling i §§ 8 og 9 og at sikkerhetstiltak som må iverksettes i henhold til § 13 kan tilpasses det forhold at det er tale om ord- og tekstbehandling. De grunnleggende kravene til behandling av personopplysninger i § 11 bør uten større problemer kunne anvendes også på personopplysninger i løpende tekst.”
***) Det er grunn til å benytte e-post med varsomhet innholdet er sensitivt, og e-post som inneholder sensitive personopplysninger skal som utgangspunkt sendes kryptert jf. personopplysningslovens § 13 m/forskrifter. Man kan imidlertid vanskelig forhindre en pasient fra å benytte ukryptert e-post i kontakt med legen dersom denne har en kjent personlig e-postadresse. Selv om legen har informere pasienten om at e-post ikke skal benyttes, kan det være problematisk i forhold til taushetsplikten om all e-post kan leses av andre enn legen.
****) Henrik Ibsen: Peer Gynt