Indsigt i arbejdsmails? Og kan en indsigts­anmodning være for omfattende?

En tidligere medarbejder havde ikke ret til at få indsigt i mails i sin arbejdsmailkonto hos sin tidligere arbejdsgiver efter reglerne i GDPR, fordi anmodningen var for omfattende.

NVI_Portrætter_done_040_web.jpg

Det følger af databeskyttelsesforordningen, at en dataansvarlig skal give en registreret indsigt i alle personoplysninger, som den dataansvarlige behandler om vedkommende, hvis den registrerede anmoder om det. Den dataansvarlige kan dog afslå en sådan anmodning, bl.a. hvis omfanget af indsigtsanmodningen er overdrevent.

I denne sag skulle Datatilsynet tage stilling til, om en arbejdsgiver var berettiget til at afslå at give indsigt i alt indholdet i en tidligere medarbejders arbejdsmailkonto. Den tidligere medarbejder anmodede om indsigt i bl.a. samtlige mails afsendt eller modtaget via hans arbejdsmailkonto samt i alle øvrige mails sendt på arbejdspladsen om ham.

Arbejdsgiveren gav den tidligere medarbejder indsigt i personaleakterne om ham, mailkorrespondance, som indeholdt personoplysninger om ham, samt i øvrigt materiale, som indeholdt personoplysninger. Arbejdsgiveren afviste dog at give adgang til mails fra den tidligere medarbejders lukkede arbejdsmailkonto, idet arbejdsgiveren bl.a. henviste til, at mails sendt i forbindelse med udførelsen af arbejdet ikke i sig selv var personoplysninger.

Det var den tidligere medarbejder ikke tilfreds med, og han klagede derfor til Datatilsynet.

Arbejdsmails beskriver først og fremmest en funktion
Datatilsynet udtalte, at det er muligt for arbejdsgivere at afslå at give en medarbejder, eller en tidligere medarbejder, indsigt i breve, mails m.v. underskrevet og/eller sendt af vedkommende med den begrundelse, at indsigtsanmodningen er for omfattende – især hvis der er tale om mange oplysninger. Det skyldes, at personoplysninger i arbejdsmails mv. som udgangspunkt først og fremmest beskriver medarbejderens funktion i sin stilling hos arbejdsgiveren. Der kan dog være undtagelser til dette udgangspunkt, fx hvis afsendte mails reelt indeholder personoplysninger om medarbejderen, udover hvad der alene relaterer sig til funktionsvaretagelsen.

Anmodningen var for omfattende
Datatilsynet fandt på baggrund af karakteren af personoplysninger i arbejdsmails, at arbejdsgiveren i denne sag var berettiget til at give den tidligere medarbejder afslag på at få indsigt i mails fra sin arbejdsmailkonto, fordi anmodningen var for omfattende. I den forbindelse lagde Datatilsynet også vægt på, at arbejdsmailkonti ikke udgjorde et it-system, som havde til formål at behandle oplysninger om medarbejdere.

Datatilsynet lagde desuden vægt på, at arbejdsgiveren gav den tidligere medarbejder indsigt i øvrige personoplysninger, der var registreret om ham, bortset fra de som potentielt måtte være i den lukkede arbejdsmailkonto, ligesom det blev tillagt vægt, at arbejdsgiveren gik i dialog med den tidligere medarbejder om, hvordan arbejdsgiveren kunne imødekomme anmodningen på anden vis.

Norrbom Vinding bemærker

  • at afgørelsen er et eksempel på omfanget af medarbejderes og tidligere medarbejderes ret til indsigt i personoplysninger hos en arbejdsgiver efter GDPR,
  • at Datatilsynet med afgørelsen har fastslået, at tidligere medarbejdere typisk ikke har ret til at få indsigt i indholdet af deres arbejdsmailkonto, da der som regel vil være en stor mængde oplysninger i denne, hvilket gør, at en indsigtsanmodning af en sådan karakter som udgangspunkt vil være for omfattende, men
  • at arbejdsgivere ikke generelt kan se bort fra arbejdsmails, da der kan være tilfælde, hvor arbejdsgiver er bekendt med, at der i arbejdsmails indgår andre personoplysninger end de, der er nødvendige for udførelsen af arbejdsopgaven, fx hvis der udtrykkes en rent personlig holdning (i modsætning til en faglig vurdering)

Indholdet i ovenstående nyhedstekst er ikke og kan ikke erstatte juridisk rådgivning.

Mere om emnet