Moderne arbeidsliv Innsyn, overvåking og kontroll av ansatte S.medier på mobil og data, e-post. advokat Eva I. E. Jarbekk

Transkript

1 Moderne arbeidsliv Innsyn, overvåking og kontroll av ansatte S.medier på mobil og data, e-post advokat Eva I. E. Jarbekk

2 Mål Gi oversikt og utgangspunkter for riktig og lovlig bruk av medier/e-post i moderne bedrifter

3 Bakgrunn Eva Jarbekk Advokat og partner i Brækhus Dege Advokatfirma DA, ca 85 medarbeidere Partner i FAKTUM AS tverrfaglig granskning, informasjonssikkerhet og personvern Leder av Personvernnemnda Leder advokatforeningens lovutvalg for ikt- og personvern Arbeidet med flere granskninger med utfordringer innen arbeidsrett, e-post, ikt

4 Agenda Utgangspunkter, rettslig ramme og ansvar Sosiale medier, bruk og kontroll E-post, kontroll og innsyn Retningslinjer for ansatte Sanksjoner Råd ved behandling i Personvernnemnda

5 Litt om hvorfor personvern Utgangspunkt; pol 1 Lovens formål Formålet med denne loven er å beskytte den enkelte mot at personvernet blir krenket gjennom behandling av personopplysninger. Loven skal bidra til at personopplysninger blir behandlet i samsvar med grunnleggende personvernhensyn, herunder behovet for personlig integritet, privatlivets fred og tilstrekkelig kvalitet på personopplysninger. Formålsparagrafen er tolkningsmoment i vurderinger med skjønn..forts.

6 Litt om hvorfor personvern Sikre forsvarlig bruk av personopplysninger Hver enkelts personvern og kontroll med opplysninger Forventninger om diskresjon, passord øker forventingen E-post annerledes enn sentralt lagrede dokumenter Sosiale medier antas å være mer lukket enn de er Liten faktisk kunnskap hos brukerne om hva som kan gjenfinnes Logg av internett-bruk Sletting av e-post? Sletting av data på facebook? Øker element av overaskelse og øker problemet Bruken av reglene skal balansere effektiv informasjonsbehandling og hensynet til individene Informasjonslekkasjer er dårlig personvern og dårlig bedriftsvern

7 Rettslig rammeverk Personopplysningsloven (EU-basert) Forskrifter Datatilsynets praksis Noe rettspraksis Avgjørelser fra statsadvokat og riksadvokat Nye forskrifter om innsyn i e-post Særlovgivning; helsepersonell arbeidsmiljølov politiets registre Datatilsynet Veiledningsplikt Kontrollerende organ Personvernnemnda

8 Personopplysningslovens virkeområde Info knyttet direkte/indirekte til individ omfattes av loven Alt fra telefonnummer til medarbeidersamtaler og sykehistorikk Og ofte statusmelding på facebook og linkedin..

9 Hvem er ansvarlig Ledelsen i bedriften Ved ekstern delegasjon/outsourcing MÅ ansvaret omtales, jfr. 15, i en såkalt databehandlerklausul

10 Bruk av e-post og sosiale medier Informasjonskanal UT av virksomhet/ bedrift; diskresjon Viktigst for personvern Relevant for informasjonssikkerhet Informasjonskanal INN til virksomhet/bedrift Relevant for informasjonssikkerhet Viktig for offentlig forvaltning Reiser litt forskjellige problemstillinger

11 info ut dialog saksbehandling kompleksitet

12 Tilgjengelig info for arbeidsgiver Hvor er informasjonen, hva slags informasjon?: I innhold rik informasjon Innhold i e-post, FB, twitter Innhold i IP-telefoni, meglertelefoner I logger passiv informasjon Logger på dokumenter og aplikasjoner trend mot stadig flere logger Hvem kom og gikk når? Hvem ringer hvem? Særtyper Hvilken bil kjørte hvor, hvilken rute; geodata Hvilken økonomi har de ansatte; er noen motivert for korrupsjon? Mye finnes, en trend å registrere mer, lagring blir billigere

13 Litt (gammel) statistikk 67% av arbeidstakerne ikke ønsker kameraovervåking på egen jobb 50% mener det er problematisk om arbeidsgiver kan se hvem man veksler epost med 60% mener det er problematisk om arbeidsgiver kan lese innholdet i e-posten 27% syns det er problematisk at arbeidsgiver kan se hvilke nettsider man har besøkt 16% oppgir at de har liten eller ingen tillit til arbeidsgivere generelt Undersøkelse av 526 amerikanske selskaper i mai 2005: 76% av arbeidsgiverne overvåker ansattes internettbruk 50% av arbeidsgiverne lagrer og kontrollerer arbeidstakernes filer 33% logget tastetrykk og effektiv skrivetid, samt så gjennom filer Over 50% leste ansattes epost Kilde: Datatilsynets undersøkelse mai 2005, utført av TØI, 1000 intervjuobjekter

14 Kontroll: Er e-post og andre elektroniske spor troverdige som informasjonskilde? Elektroniske spor / e-post er ikke alltid sanne Viktig når de brukes mot klient Viktig når man sikrer spor mot motpart Informasjon kan plantet Elektroniske spor bør kritiseres oftere Elektroniske spor er lette å manipulere Tid på datamaskin kan endres Avsender av e-postadresse lett å manipulere Samme for sms

15 Sosiale medier

16 Muligheter og dilemmaer sosiale media Mulighet til å nå frem til allmennheten på en lettere og mer uformell måte Juridiske dilemmaer: arbeidsretten personvern særlig om offentlig forvaltning Datasikkerhet tekniske dilemmaer

17 Sentrale kjennetegn for sosiale medier Typisk Facebook, twitter, (ikke e-post) Brukerstyrt, ikke redaksjonell styring Ukjent lesergruppe, STOR lesergruppe Feil får store konsekvenser Dårlig sikkerhet i systemene Tilgang i facebook Usikker rettslig ramme Facebook, eierskap, sletting

18 Typiske feil/hendelser Dette skjer Ærekrenkelser Misbruk av personopplysninger, villet/ikkevillet Taushetsbrudd Opphavsrettskrenkelser Twitterjacking Brukernavn og passord stjeles Spredning av ondsinnet kode via sosiale medier

19 Sosiale medier? Sikkerheten blir bedre med ansatte på sosiale medier, mener NSR. Min påstand er at den største risikoen en virksomhet kan ta med hensyn til sosial programvare er å motsette seg og forby bruk Det øker risikoen ved at interne og eksterne brukere vil forsøke å finne en måte å omgå sperren på, på en irregulær måte Arne Røed Simonsen fra Næringslivets Sikkerhetsråd (NSR) under NSMs sikkerhetskonferanse 2010

20 Momenter til retningslinjer Ut fra virksomhetens verdivurdering, kan virksomheten utarbeide regler for hva slags type informasjon som vil være underlagt taushetsplikten, og ikke kunne legges ut på en arbeidstakers hjemmeside eller profil i et nettsamfunn, fortsetter han, men legger til at slike regler bør være tydelig og godt kommunisert til arbeidstakerne.

21 Kan arbeidsgiver pålegge ansatte å benytte nettmedier? Styringsretten: Arbeidsgiver kan pålegge enkelte ansatte å benytte nettmedier i jobbsammenheng, men det kan være en belastning for AT Konkret vurdering: arbeidsoppgaver stilling behovet for at den ansatte deltar i elektronisk kommunikasjon risiko Anbefaling: Jobbrelatert opptreden i nettmedier løses best i en dialog mellom arbeidsgiver og arbeidstaker

22 Lojalitet og ytringsfrihet Lojalitetsplikt det rettslige utgangspunktet er at det gjelder en alminnelig, ulovfestet lojalitetsplikt i arbeidsforhold Ansattes ytringsfrihet på nettmedier - avgjøres på samme måte som for ytringer for øvrig, eks debattinnlegg, foredrag, taler og private ytringer

23 Sosiale medier blir stadig viktigere informasjonskilde for alle Venne-gruppe på facebook Tidlig: kartlegging av sosiale nettverk/arvinger via facebook Brukes hyppig i dag Sperrede grupper er ikke så sperret; privat er ikke spesielt privat Bruker-regler og innstillinger endres hyppig Faglig diskusjonsfora på linked-in meninger vises Viktig ifht habilitet, egnethet og tillit

24 Sosiale medier som informasjonskilde hva med personvernet? Åpen kilde kan som regel leses av alle Kan være overraskende hva andre skriver om deg og hvilke interesser du har Betydelige utfordringer ifht personvern og ønsker om å ha kontroll med opplysninger og bilder som beskriver deg selv hvem er dine venner hva er dine interesser hvordan er din egnethet?

25 Meninger avgjør habilitet, avgjør tillit En granskning Sveriges Radio har gjort viser at dommeren i Pirate Bay-saken kan være inhabil. Dermed kan det være duket for en ny behandling av saken. P3s granskning viser at det finnes relasjoner mellom dommeren i Pirate Bay-saken og underholdningsindustrien. Dommeren, Tomas Norström, er nemlig medlem i Svenska Föreningen för upphovsrätt. Det samme er advokatene til plate- og filmbransjen. Foreningen skriver på sine hjemmesider at de er en møteplass for kvalifiserte opphavsrettlige diskusjoner. Norström hevder selv at han ikke er inhabil.» Kilde:

26 Rettslig om kontroll sosiale medier Kan AG overvåke eller følge med på hva som legges ut? Det er offentlig tilgjengelig informasjon Hva er forskjell mellom overvåking og å følge med? Liten mulighet til intensiv overvåkning På jobb-twitter?..ja På jobb-fb?.. ja På privat FB?..kan titte innom? sjekke FB/twitter i ansettelsesituasjon..ja

27 Kontroll av ansattes bruk av Internett Aktiviteter på Internett loggføres automatisk i datasystemene Forskriftene: slike logger kun skal brukes til administrasjon av systemet eller for å oppklare sikkerhetsbrudd (typisk hacking fra eksterne og lignende) Logg skal ikke brukes for å overvåke ansatte, kartlegge hvor mye tid en ansatt bruker på nettet, eller hvilke sider vedkommende har vært inne på

28 Kontroll av ansattes bruk av Internett Ved mistanke om surfing på nettsider med ulovlig innhold (barnepornografi eller annet) bør politiet kontaktes Eventuelt kan arbeidstakeren konfronteres om mistanken og be om samtykke til innsyn Arbeidsgiveren kan også nekte den ansatte tilgang til bedriftens PC-utstyr, særlig kan det være aktuelt inntil politiet eventuelt får undersøkt utstyret

29 E-post

30 Innsyn i e-post ønskes ofte Den ansatte er fraværende reise syk ferie død Mistanke om illojalitet Mistanke om opptreden i strid med instruks..kan vi???..

31 Husk begrensning i innsynsretten Saklighetsvurdering i 11: - og Personopplysningene skal kun benyttes til uttrykkelig angitte formål som er saklig begrunnet i den behandlingsansvarliges virksomhet ikke til senere formål som er uforenelig med det opprinnelige formålet uten at den registrerte samtykker Dette er en skjønnsmessig grense Alminnelig nysgjerrighet og nice to know er ikke nok!!!..om interne retningslinjer..

32 Grensen virksomhetsrelatert/privat informasjon Utgangspunkt: Innholdet avgjør AG har legitimt behov for å kunne aksessere virksomhetsrelatert informasjon ikke privat informasjon. Grensegangen til privat informasjon er vanskelig En helhetsvurdering når man skal si privat/ikke privat E-post er kvalitativt annerledes enn dokumenter på fellesområdet Dokumenter er ofte mer virksomhetsrelatert Sjelden passordbeskyttelse på dokumenter I pressende situasjoner ofte uenighet om hva som er virksomhetsrelatert Vanskelig å trekke generelle linjer, men enhver ytring om selskapet/ag er ikke virksomhetsrelatert Praktisk betydning for valg av søkeord Hvis privat e-post leses lukk den og gi beskjed til den ansatte

33 Umiddelbart ved mistanke Sikre speilkopi av e-postserver Frys back-up hvis den er rullerende

34 Mange hensyn å ta i innsyns-prosess Sikre lovlige bevis for eventuell rettssak Ulovlig fremskaffet bevis prosessuelt vanskeligere å benytte enn lovlig fremskaffet bevis Rt f tolkes i AGs favør lovlig bevis Sikre teknisk gode nok bevis til bruk i rettssak. Bruk datateknisk ekspertise for å sikre dette Åpning av datafiler kan endre filen slik at den ikke lenger er et fullgodt bevis. Man må bruke særlige metoder som for eksempel speiling av harddisker og spesielle søkeverktøy.

35 Regelverk Personopplysningslovens forskrift, kapittel 9

36 9-1. Virkeområde mv. Innsyn i e-post Dette kapittelet gjelder arbeidsgivers rett til innsyn i arbeidstakers e- postkasse mv. Med arbeidstakers e-postkasse menes e-postkasse arbeidsgiver har stilt til arbeidstakers disposisjon til bruk i arbeidet ved virksomheten. Reglene gjelder tilsvarende for arbeidsgivers adgang til gjennomsøking av og innsyn i arbeidstakers personlige område i virksomhetens datanettverk og i andre elektroniske kommunikasjonsmedier eller elektronisk utstyr som arbeidsgiver har stilt til arbeidstakers disposisjon til bruk i arbeidet ved virksomheten. Bestemmelsene gjelder også for arbeidsgivers innsyn i opplysninger som arbeidstaker har slettet fra de nevnte områdene, men som finnes lagret på sikkerhetskopier eller lignende som arbeidsgiver har tilgang til. [ ]

37 9-1. Virkeområde mv. Innsyn i e-post [.] Reglene gjelder både overfor nåværende og tidligere arbeidstakere, samt andre som utfører, eller har utført, arbeid for arbeidsgiver. Reglene gjelder tilsvarende der behandlingen skjer ved hjelp av databehandler. Reglene gjelder så langt de passer for universiteters og høyskolers innsyn i studenters e-postkasse, og for organisasjoners og foreningers innsyn i frivilliges og tillitsvalgtes e-postkasse.

38 Vilkår 9-2. Vilkår for innsyn Arbeidsgiver har bare rett til å gjennomsøke, åpne eller lese e-post i arbeidstakers e-postkasse a) når det er nødvendig for å ivareta den daglige driften eller andre berettigede interesser ved virksomheten, b) ved begrunnet mistanke om at arbeidstakers bruk av e-postkassen medfører grovt brudd på de plikter som følger av arbeidsforholdet, eller kan gi grunnlag for oppsigelse eller avskjed. Arbeidsgiver har ikke rett til å overvåke arbeidstakers bruk av elektronisk utstyr, herunder bruk av Internett, ut over det som følger av denne forskriften 7-11.

39 9-3. Prosedyrer ved innsyn Fremgangsmåte Arbeidstaker skal så langt som mulig varsles og få anledning til å uttale seg før arbeidsgiver gjennomfører innsyn etter dette kapittelet. I varselet skal arbeidsgiver begrunne hvorfor vilkårene i 9-2 anses å være oppfylt og orientere om arbeidstakers rettigheter etter denne bestemmelsen. Arbeidstaker skal så langt som mulig gis anledning til å være tilstede under gjennomføringen av innsynet, og har rett til å la seg bistå av tillitsvalgt eller annen representant. Er innsyn foretatt uten forutgående varsel, skal arbeidstaker gis skriftlig underretning om dette så snart innsynet er gjennomført. Underretningen skal, i tillegg til opplysningene nevnt i første ledd annet punktum, inneholde opplysninger om hvilken metode for innsyn som ble benyttet, hvilke e-poster eller andre dokumenter som ble åpnet samt resultatet av innsynet jf Unntakene fra rett til informasjon i personopplysningslovens 23 gjelder tilsvarende. Unntaket gjelder også etterfølgende varsel etter annet ledd. [ ]

40 9-3. Prosedyrer ved innsyn [ ] Fremgangsmåte Innsyn må gjennomføres på en slik måte at dataene så langt som mulig ikke endres og at frembrakte opplysninger kan etterprøves. Dersom innsyn i e-postkassen viser at det ikke foreligger dokumentasjon som arbeidsgiver har rett til innsyn i etter 9-2 bokstav a og b, skal e-postkassen og dokumenter i denne straks lukkes. Eventuelle kopier skal slettes.

41 Avslutning av arbeidsforhold 9-4. Sletting mv. ved opphør av arbeidsforholdet Når arbeidsforholdet opphører, skal arbeidstakers e-postkasse mv. avsluttes og innhold som ikke er nødvendig for den daglige driften av virksomheten slettes innen rimelig tid. Personopplysningsloven 28 gjelder tilsvarende Adgang til å fravike bestemmelsene i dette kapitlet Det er ikke adgang til å fastsette instruks eller inngå avtale om arbeidsgivers innsyn i arbeidstakers e-postkasse mv. som fraviker bestemmelsene i dette kapitlet til ugunst for arbeidstaker.

42 Særlig om sletting PO skal ikke lagres lengre enn nødvendig for formålet med behandlingen, jfr. pol 28 Bevisst slettede data skal i utgangspunktet være tapt for alltid slik er det ikke lenger sletting ikke problematisert i loven Sikkerhetskopier/backup gir ubegrenset lagring Praktisk løsning kan være å informere AT om dette I rapporten om Vinmonopolet skriver DT: Det må lages særlige rutiner for sletting av e-post hvor det fremgår i hvor lang tid slettede e-post kan fremskaffes fra sikkerhetskopier.

43 Avslutning av ansettelsesforhold og epost E-postkassen bør slettes så snart som mulig Be den ansatte rydde opp i hva som er virksomhetsorientert og ikke Automatisk videreforsendelse til andre ansatte må ha samtykke fra AT Eventuelt kan man slette all innkommende post med beskjed til avsender om å sende virksomhetsrelatert post til annen adressat

44 Retningslinjer

45 Retningslinjer må til Bedriftens retningslinjer kan avgjøre hvilke sanksjoner som er tilgjengelige for arbeidsgiver Retningslinjer må følges opp av bedriften, ellers kan innholdet undergraves dette er vektlagt i sak om avskjed grunnet nedlasting av porno bedriften fulgte ikke opp reglene og tapte Trenger normalt ikke å være omfattende Kan tas inn i standard ansettelsesavtale jeg gjør ikke det Bør stå i interne regler lettere å revidere Bør underskrives av den ansatte Ikke et krav, men sikrer etterrettelighet

46 Bedriftens interne retningslinjer Kan angi at bedriftens systemer kun skal benyttes til arbeidsrelaterte formål Sjeldent praktisk i Norge foreløpig utvikling kan endre dette, eks. Facebook Gir uansett ikke ubetinget full innsynsrett heller (pga. 11)

47 Momenter til retningslinjer Godt internkontrollsystem som bl.a. sier noe om Informasjon til arbeidstaker: Data slettes ikke, ei heller slettede mailer Data kan spores Arbreidsgiver har ofte lov til å bruke tilgjengelig informasjon Misbruk kan få betydning for arbeidsforhold Understrek lojalitetsplikt på sosiale medier Privat info kan få konsekvens for virksomheten Ikke omtal siste julebord på privat facebook Habilitetet må sikres Hvis bruk i v.shet: ta stilling til arkivering Informasjonssikkerhet: Aktsom interaksjon: Ikke videresend linker, morsomme filer og lignende Bør omfatte e-post, PC, hjemme-pc, Internett-bruk, mobiltelefoner og lignende

48 Sanksjoner ved overtredelse av retningslinjer Overtredelse kan medføre konsekvenser for arbeidsforholdet: Advarsel Ordensstraff Endring av arbeidsoppgaver Opphør av arbeidsforholdet En konkret vurdering Ansatte bør være kjent med konsekvensene av brudd på interne retningslinjer Hvem skal vurdere elektronisk informasjon som viser at det har skjedd en overtredelse?

49 Et sært spørsmål? Hvem overvåker? Hvem er i it-avdelingen? Hvem kan, skal eller bør overvåke overvåkerne? Intern/ekstern kontroll?

50 Reaksjoner

51 Gebyr 46. Overtredelsesgebyr. Pålegg om endring eller opphør av ulovlige behandlinger Datatilsynet kan pålegge den som har overtrådt denne loven eller forskrifter i medhold av den, å betale et pengebeløp til statskassen (overtredelsesgebyr) på inntil 10 ganger grunnbeløpet i folketrygden. Fysiske personer kan bare ilegges overtredelsesgebyr for forsettlige eller uaktsomme overtredelser. Et foretak kan ikke ilegges overtredelsesgebyr dersom overtredelsen skyldes forhold utenfor foretakets kontroll. Ved vurderingen av om overtredelsesgebyr skal ilegges, og ved utmålingen, skal det særlig legges vekt på a)hvor alvorlig overtredelsen har krenket de interesser loven verner, b)graden av skyld, c)om overtrederen ved retningslinjer, instruksjon, opplæring, kontroll eller andre tiltak kunne ha forebygget overtredelsen, d)om overtredelsen er begått for å fremme overtrederens interesser, e)om overtrederen har hatt eller kunne ha oppnådd noen fordel ved overtredelsen, f)om det foreligger gjentakelse, [ ]

52 47. Tvangsmulkt Straffbarhet Ved pålegg etter 12, 27, 28 og 46 kan Datatilsynet fastsette en tvangsmulkt som løper for hver dag som går etter utløpet av den fristen som er satt for oppfylling av pålegget, inntil pålegget er oppfylt. Tvangsmulkten løper ikke før klagefristen er ute. Hvis vedtaket påklages, løper ikke tvangsmulkt før Personvernnemnda har bestemt det. Datatilsynet kan frafalle påløpt tvangsmulkt.

53 Straffbarhet 48. Straff Med bøter eller fengsel inntil ett år eller begge deler straffes den som forsettlig eller grovt uaktsomt a)unnlater å sende melding etter 31, b)behandler personopplysninger uten nødvendig konsesjon etter 33, c)overtrer vilkår fastsatt etter 35 eller 46, d)unnlater å etterkomme pålegg fra Datatilsynet etter 12, 27, 28 eller 46, e)behandler personopplysninger i strid med 13, 15, 26 eller 39, eller f)unnlater å gi opplysninger etter 19, 20, 21, 40 eller 44. [..] I forskrift som gis i medhold av loven, kan det fastsettes at den som forsettlig eller grovt uaktsomt overtrer forskriften skal straffes med bøter eller fengsel inntil ett år eller begge deler.

54 Straffbarhet 49. Erstatning Den behandlingsansvarlige skal erstatte skade som er oppstått som følge av at personopplysninger er behandlet i strid med bestemmelser i eller i medhold av loven, med mindre det godtgjøres at skaden ikke skyldes feil eller forsømmelse på den behandlingsansvarliges side. Behandlingsansvarlige som formidler kredittopplysninger og som har meddelt opplysninger som viser seg uriktige eller åpenbart misvisende, skal erstatte skade som er oppstått som følge av den feilaktige meddelelsen, uten hensyn til om skaden skyldes feil eller forsømmelse på den behandlingsansvarliges side. Erstatningen skal svare til det økonomiske tapet som den skadelidte er påført som følge av den ulovlige behandlingen. Den behandlingsansvarlige kan også pålegges å betale slik erstatning for skade av ikke-økonomisk art (oppreisning) som synes rimelig.

55 Personvernnemnda

56 Råd ved behandling i nemnda: Forbered og presenter saker godt for nemnda Tidsaspektet til endelig behandling kan åpne for flere kommentarer/bedre presentasjon Har fakta endret seg frem til behandling i nemnda? Bør fakta, rutiner eller lignende endres? Hent bistand fra advokat som kan POL, loven er utpreget skjønnsmessig og er ofte vanskelig å forstå for de som ikke bruker den ofte Se gjerne til utenlandsk rett

57 advokat Eva I. E. Jarbekk Mob