Ny principiel afgørelse skærper grænserne for overvågning af ansatte

Sagen kort

Sagen vedrører en rumænsk ansats brug af sin arbejdsmail. Af sagen fremgår det, at medarbejderen – til trods for instrukser udstedt af arbejdsgiveren – havde brugt arbejdspladsens it-systemer til at sende private e-mails til sin bror og sin forlovede. Arbejdsgiveren havde gennem overvågning og kontrol af medarbejderens brug af it-tjenesten konstateret, at medarbejderen havde handlet i strid med de interne arbejdspolitikker. Konsekvensen heraf blev, at medarbejderen blev afskediget.

Afskedigelsens berettigelse blev herefter først prøvet ved de rumænske domstole, der i to instanser afviste, at arbejdsgiveren havde handlet i strid med reglerne på området. Det samme resultat fandt Den Europæiske Menneskerettighedsdomstols (”EMD”) første instans. Begrundelsen var bl.a., at den ansatte var tilstrækkeligt informeret om, at en overtrædelse af firmapolitikken på området kunne få store konsekvenser.

Afgørelsen blev imidlertid anket til EMDs højeste instans, der – modsat de nationale domstole og første instans – fandt, at den ansattes privatliv var blevet krænket ved overvågningen.

Den nye afgørelse

EMDs højeste instans fastslog, at den ansatte ikke i tilstrækkelig grad var blevet oplyst om omfanget af overvågningen. Selvom overvågningen var den ansatte bekendt, stod det ikke tilstrækkeligt klart, hvad en sådan overvågning involverede. Højeste instans påpegede bl.a., at der er forskel på, om det kun er de overfladiske strømme af e-mails, der logges og kontrolleres, eller om det er selve indholdet af den ansattes e-mails, der læses.

Derudover fastslog højeste instans, at de nationale domstoles behandling af sagen havde været utilstrækkelig. Det fremhævedes bl.a., at der ikke var foretaget en tilstrækkelig undersøgelse af, hvorvidt overvågningen havde været proportional. Der blev i denne henseende sat spørgsmålstegn ved om de nationale domstole i tilstrækkelig grad havde undersøgt, om formålet med overvågningen af medarbejderen kunne være mødt med mindre indgribende midler.

Hvad betyder afgørelsen – og hvorfor har den relevans for virksomheder i Danmark?

Den Europæiske Menneskerettighedsdomstols afgørelser har virkning for alle medlemslande i Europarådet. Det påhviler derfor Danmark at følge afgørelserne fra EMD. Dommen er imidlertid afsagt med dissens, og det kan ikke anses for givet, at en dansk domstol var nået til samme resultat. Det kan dertil nævnes, at afgørelsen giver anledning til både ansættelsesretlige og persondataretlige drøftelser.

Den konkrete sag vedrører overvågning af en ansats brug af en it-tjeneste, hvorfra den ansatte har været i stand til at sende private beskeder til familie og venner. Afgørelsen berører grænserne for, hvor meget man som arbejdsgiver i relation til ledelsesretten må ”snage” i en ansats private e-mails.

Der findes i denne forbindelse lignende dansk praksis, hvor danske arbejdsgivere har læst ansattes private e-mailkorrespondancer. Af afgørelsen, FED 2003.1759, fremgår det bl.a., at der ikke var overgået den ansatte nogen tort i forbindelse med, at ledelsen havde gjort sig bekendt med den ansattes e-mails.

I dommen, U 2005.1639V, fandt domstolen, at en arbejdsgiver ikke havde forbrudt sig på persondataloven ved at læse den ansattes e-mails. Man argumenterede, at det ikke uden at læse e-mailkorrespondancen var muligt at konstatere, at den var privat. Det fremhævedes dog alligevel, at den ansatte – henset til e-mailkorrespondancens private karakter – havde grund til at regne med, at korrespondancen ikke ville blive læst af andre. E-mailkorrespondancen kunne derfor ikke i sig selv begrunde en afskedigelse.

Afgørelserne rækker videre end de konkrete tilfælde. De kridter linjerne op for de regler, der gælder, når man som virksomhed vil overvåge og kontrollere en ansat. De berører dertil en ansættelsesretlig problemstilling, der også har relevans på det persondataretlige område. En berettiget afskedigelse betyder f.eks. ikke nødvendigvis, at der ikke er sket et brud på reglerne om behandling af persondata.

Afgørelserne er således endnu et eksempel på vigtigheden af, at den ansatte i tilstrækkelig grad informeres om den overvågning, der foretages. Endvidere bekræftes det, at der gælder strenge krav for sagligheden og rimeligheden af overvågningen.

Afgørelsernes betydning ift. den nye EU-persondataforordning

I 2018 træder en ny EU-persondataforordning i kraft. Forordningen har direkte virkning i Danmark. Det er derfor relevant, at man som virksomhed er bekendt med reglerne på området.

Afgørelsen fra EMD viser, at det er relevant at have styr på, hvordan og i hvilket omfang man som virksomhed indsamler og behandler personoplysninger. Afgørelsen omhandler overvågning af it-systemer, men principperne herfra kan i lige så høj grad anvendes i relation til f.eks. videoovervågning, GPS-tracking eller lignende kontrolforanstaltninger.

Med den nye EU-persondataforordningen kan det blive dyrt, hvis man ikke har styr på reglerne. Det vil fremover være muligt at idømme bøder på helt op til 20.000.000 euro eller op til 4 % af virksomhedens globale omsætning.

Overholder din virksomhed reglerne?

Er man som virksomhed i tvivl om, hvorvidt man behandler personoplysninger i overensstemmelse med den nye EU-persondataforordning, anbefaler vi altid at få en professionel vurdering. Vores specialister står altid klar til en uforpligtende drøftelse af din konkrete sag.

Læs mere om fokusområdet persondata.