Internett overvåking

Kan en arbeidsgiver overvåke din internettbruk? I denne artikkelen går vi igjennom regleverket på området. Informasjonen du finner her er hentet fra Datatilsynet.

Enhver virksomhet har både rett og plikt til å loggføre datatrafikken til en viss grad, f.eks. av sikkerhetsmessige grunner.

Hva logges?

Virksomheten har en plikt til å logge alt som har betydning for informasjonssikkerheten. Loggingen er også nødvendig for at systemet skal fungere. Det skal registreres hvem som har forsøkt å logge seg på systemet eller ulike program, og om dette ble godkjent eller ikke. Slik avdekkes eventuelle hackerforsøk.

Det vanligste er at det skjer en logging av hvem som til enhver tid er inne på forskjellige programmer og filer. Ansattes aktiviteter på internett eller bruk av skriver logges også automatisk som en naturlig konsekvens av dette. Noe som både er lovlig og nødvendig for å ivareta informasjonssikkerheten i systemet.

Systemovervåking

Loggene brukes primært til overordnet systemovervåking eller generell kontroll av datasystemet. Denne kontrollen kan imidlertid bare skje på gruppenivå for hele eller deler av virksomheten, og ikke primært på individnivå. 

Noen ganger kan arbeidsgiveren se av loggene at de ansatte misbruker datasystemet til å laste ned filer og programmer i strid med de interne retningslinjer og instrukser, eller at det generelt benyttes for mye tid på internett.

Datatilsynet sier at det da finnes forskjellige tekniske løsninger arbeidsgiveren kan velge som ikke innebærer behandling av personopplysninger. Dette kan for eksempel være innføring av sperre mot visse typer nedlastning, filer eller nettsteder.

Klare retningslinjer

Loven krever at virksomheten utvikler klare retningslinjer for sine ansatte om hvordan de skal bruke systemet og hva som er lovlig og ulovlig bruk av systemet og systemressursene. De må også gjøres klar over konsekvensene av å bryte dem. Disse retningslinjene og konsekvensene må de ansatte gjøres klar over og de bør også delta i utviklingen av disse retningslinjene, jf. drøftelsekravet til arbeidsmiljøloven.

Retningslinjene må klart og enkelt fortelle hva som er akseptabel bruk av datasystemet, basert på et definerte sikkerhetsmål, systemstrategi og risikovurdering. Virksomheten kan bestemme at nedlasting av musikkfiler eller store bildefiler ikke kan aksepteres ut fra systemets sikkerhetsnivå. Virksomheten kan også på bakgrunn av en vurdering av sikkerhetsnivået til datasystemet forby at de ansatte bruker systemet til private formål. Dette ligger i arbeidsgivers styringsrett, sier Datatilsynet.

God informasjon til ansatte

Hvis arbeidsgiveren oppdager aktiviteter gjennom loggene som ikke er lov, bør de gi beskjed om at det vil bli kontrollert hvem som står for den ureglementerte aktiviteten hvis den ikke tar slutt innen en gitt frist, sier Datatilsynet.

Dersom aktiviteten ikke er opphørt når fristen er utløpt, vil arbeidsgiveren uten samtykke fra de ansatte kunne bruke loggene til å finne frem til den som står bak.

Datatilsynet sier at det er i slike tilfeller en forutsetning at arbeidstakerne har fått utfyllende informasjon i forkant. Den ansattes personvern vil da veie mindre enn arbeidsgiverens berettigede interesse i kontrollen. De opplysningene som kommer frem kan antagelig bli benyttet mot den ansatte for eksempel i en arbeidsrettssak. Dette følger imidlertid andre regler enn personopplysningsloven.

Dersom loggene indikerer straffbare forhold, for eksempel surfing på barnepornografi, skal politiet alltid kontaktes, påpeker Datatilsynet.

Ingen kartlegging av enkeltpersoner

Virksomheten kan ikke i utgangspunktet kartlegge hvor mye tid en medarbeider bruker på internett, eller hvilke sider som blir besøkt. Loggene kan for eksempel ikke benyttes til overvåking av de ansatte til bruk ved oppsigelser uten særskilt behandlingsgrunnlag. Bruk av loggopplysningene til denne typen formål skal meldes til Datatilsynet.

Arbeidsgiver kan heller ikke bruke logger over aktivitet i interne saksbehandlersystemer til å overvåke de ansattes produksjonstakt, sier Datatilsynet.

Kilde: Datatilsynet