Innledning
Det siteres følgende fra Datatilsynets nettside:
"Arbeidsgiveren skal varsle arbeidstakeren i forkant av innsynet. Dersom det av ulike årsaker ikke kan gjøres, må arbeidstakeren informeres så snart som mulig etter gjennomføringen."
"Arbeidsgiveren skal i samsvar med ansvarlighetsprinsippet dokumentere at vilkårene i personvernforordningen og e-postforskriften er oppfylt, før innsynet gjennomføres. Dersom arbeidsgiveren mener at vilkårene for innsyn i e-post er oppfylt, skal det så langt som mulig sendes et varsel om innsynet til arbeidstakeren. Varselet skal inneholde:
en begrunnelse for hvorfor innsynet skal gjøres, altså hvorfor arbeidsgiveren mener vilkårene i personvernforordningen og e-postforskriften er oppfylt"
"Speilkopi"
"I flere saker Datatilsynet har hatt til behandling, har arbeidsgiveren oppgitt faren for bevisforspillelse som årsaken til at arbeidstakeren ikke har blitt informert ved innsyn.
Dersom det er en reell og konkret mistanke om at det er fare for at arbeidstakeren vil kunne manipulere innholdet i e-postkassen eller i private filer, kan dette begrunne å ta en såkalt speilkopi av materialet det er planlagt å gjøre innsyn i."
Behandlingsansvarlig
Behandlingsansvarlig foretok innsyn i e-postkassen til klagers kollega:
uten forhåndsvarsel og
uten rettslig grunnlag
Dette fremgår av etterfølgende skisse og dokumententeres nedenfor.
Manglende forhåndsvarsel
Begge innsyn i e-post ble gjennomført uten forhåndsvarsel. Begrunnelsen for dette var i henhold til behandlingsansvarlig fare for bevisforspillelse. Det siteres følgende fra Behandlingsansvarliges redegjørelse til Datatilsynet datert 23. november 2020, side 5, skrevet av en høyesterettsadvokat.
"Bevisforspillelsesfare tilsier at forhåndsvarsling ikke bør gjøres. I prinsippet kan man tenke seg at man lager en speilkopi av epostene først og så går man gjennom disse etter forhåndsvarsling, hvor klager er tilstede. Dette er en metode som blant annet Datatilsynet peker på som en mulighet. I denne saken er det ikke mulig."
Behandlingsansvarlig hadde før innsyn ikke mindre enn 5 speilkopier av e-postkassene på forskjellige tidspunkt bakover i tid, men hevdet at klager og klagers kollega kunne slette e-poster i disse speilkopiene. Med speilkopi forelå det selvfølgelig ikke fare for bevisforspillelse. Disse speilkopiene er omtalt i etterfølgende protokoll fra statsautorisert revisor som gjennomførte et manuelt innsyn.
Denne protokollen inneholder annen uriktig informasjon som vil bli dokumentert i et senere innlegg på bloggen.
Manglende rettslig grunnlag/begrunnelse for innsyn i e-post hos klagers kollega
Innsynsbrevet som ble utlevert til klagers kollega etter gjennomført innsyn uten forhåndsvarsel inneholdt 2 begrunnelser.
"Arbeidsgiver mente innsynet var nødvendig på grunn av en gjennomgang av OB-transaksjoner med "Firma A" (min anonymisering) som viste at Firma A systematisk og over en periode på 10 år har bevisst har unndratt OB- midler fra "Behandlingsansvarlig og Firma B" (min anonymisering) . Påstand om at du har instruert tilbakeholdelse av totalt USD 400 000 hvorav USD 200 000 skulle utbetales til konto anvist av deg i Luxembourg var også vesentlig for vurderingen."
Disse 2 begrunnelsene oppsto henholdsvis den 29. mai 2020 og 22 juni 20202. Det henvises i den forbindelse til innsynsbrevet sendt klagers kollega.
29. mai 2022
Det henvises videre til kommentarer fra Behandlingsansvarlig til Datatilsynet datert den 23 november 2020, side 4:
"I møte den 29 mai 2020 kom det etter flere timer en full erkjennelse fra Firma A (min anonymisering) om ordningen som var avtalt med kollegaen (min anonymisering) som tok initiativ til at USD 200 000 av 0B skulle underrapporteres for deretter å bli overført til kollegaens (min anonymisering) konto i Luxembourg."
I samme dokument bilag 7 b møtereferat datert 29. mai 2020, står det som følger:
«Etter pausen åpnet "XXX" (min anonymisering) han sa at han ville gå rett på sak. Når det gjaldt USD 200 000 hadde han blitt instruert av "klagers kollega" (min anonymisering) om å ikke betale ut disse…»
22. juni 2022
At Firma A systematisk og over en periode på 10 år bevisst har unndratt OB-midler fra Behandlingsansvarlig og Firma B var ikke kjent før tidligst 22. juni 2020. Det henvises i den forbindelse til kommentarer fra Behandlingsansvarlig til Datatilsynet datert den 23 november, side 5.
«"Firma A" (min anonymisering) utleverte den 22 juni 2020 dokumentasjon på mange tusen sider over alle OB-transaksjoner tilbake til 2010, for "Behandlingsansvarliges" (min anonymisering) gjennomgang.»
Konklusjon
Begrunnelsene for innsyn forelå lang tid etter at innsynet i e-post var avsluttet. Behandlingsansvarlig hadde derfor ikke rettslig grunnlag.
Juridisk betenkning
Behandlingsansvarlig har også hevdet at de hadde mottatt en juridisk betenkning fra Advokatfirma AA den 8. mai 2020 som begrunnelse for innsynet i e-postkassen til klagers kollega. Det er senere dokumentert - av Behandlingsansvarlig selv - at denne først eksisterte den 6. august 2020.
Dette er den samme juridiske betenkningen som statsautorisert revisor i sin protokoll - se ovenfor - hevder å ha mottatt før han fikk tilgang til kollegaens e-postkasse den 8. mai 2020. Hvordan er det mulig når den juridiske betenkningen først fantes 6. august 2020?
Konklusjon
Den juridiske betenkningen forelå lang tid etter at innsynet i e-post var avsluttet. Behandlingsansvarlig hadde derfor ikke rettslig grunnlag.
Datatilsynets vurdering
I henhold til Datatilsynet er ikke innsynet i kollegaens e-postkasse relevant fordi han ikke har klaget. Det siteres følgende fra Datatilsynets endringsvedtak datert 5. september 2023, side 4:
"Kollegaen har ikke klaget inn saken til Datatilsynet."
For det første
Manglende klage fra kollegaen kan ikke tolkes som omo innsynet i hans e-postkasse har blitt gjennomført i henhold til e-postforskriften og personvernforordningen.
Det blir som å hevde at et drapsforsøk ikke er ulovlig all den tid offeret ikke har anmeldt forholdet. Bruddet på straffeloven forsvinner ikke av den grunn.
For det andre
Klagers kollega er Svensk statsborger som var bosatt i Sverige når innsynet i hans e-postkasse ble utført. Han gikk av med pensjon i mai måned 2020 - 70 år gammel. Han har ikke hatt noen av de samme negative konsekvensene av innsynet som klager, og har derfor heller ikke noen motivasjon for å klage.
For det tredje
Innsyn i e-postkassen til kollegaen omfattet også behandling av klagers personopplysninger.
Konklusjon
Et rettslig grunnlag og forhåndsvarsel må foreligge før innsynet i e-post gjennomføres når det foreligger speilkopi, uavhengig av om det klages i ettertid eller ikke. Datatilsynet uthever selv ordet før på sine nettsider. I tillegg omfattet dette innsynet i e-post behandling av klagers personopplysninger.
Hvordan Datatilsynet kan konkludere med at dette ikke er relevant, fremstår som:
svært oppsiktsvekkende,
i motstrid med hva de selv skriver på sine nettsider og
etablert praksis
Klager har ved flere anledninger dokumentert at Behandlingsansvarliges redegjørelser og erklæringer er dokumentert feil. Dette faktum ignorerer Datatilsynet fullstendig.
Et innsyn i e-post hos klagers kollega uten rettslig grunnlag innebærer brudd på e-postforskriften og personvernforordningen og er derfor ulovlig. Påfølgende innsyn i e-postkassen til klager - basert på ulovlig innsyn i e-postkassen til klagers kollega - er derfor også ulovlig. Dette i henhold til faktisk-, rettslig- og naturlig årsakssammenheng og
overvektsprinsippet.
Støtt vår Spleis!
Skrevet av Torstein Rønaas
コメント