Virksomhed fik alvorlig kritik for at tilgå en fratrådt medarbejders private e-mailkonto

En ny afgørelse fra Datatilsynet retter skarp kritik mod en virksomhed for at have tilgået en fratrådt medarbejders private e-mailkonto på medarbejderens arbejdscomputer, hvilket konkret udgjorde et brud på databeskyttelsesreglerne.

Hvad siger reglerne?
Behandling af personoplysninger kræver et lovligt behandlingsgrundlag i persondatalovgivningen.

En arbejdsgiver kan lovligt behandle en medarbejders personoplysninger, hvis behandlingen er nødvendig for, at arbejdsgiveren kan forfølge en legitim interesse, medmindre medarbejderens interesser eller grundlæggende rettigheder, der kræver beskyttelse af personoplysninger, vægter højere.

Sagen kort
Sagen udsprang af en tvist mellem virksomheden og en tidligere medarbejder om muligt konkurrerende arbejde under ansættelsen. Tvisten førte til en civil retssag og en politianmeldelse. I forbindelse med retssagen opdagede den tidligere medarbejder, at virksomheden havde tilgået vedkommendes private e-mailkonto. Adgangen skete via den tidligere medarbejders arbejdscomputer, som var blevet afleveret ved fratrædelsen. Virksomheden forklarede, at den private e-mailkonto var tilgået for at sikre beviser.

Datatilsynets resultat og begrundelse
Datatilsynet vurderede først og fremmest, at virksomheden ved at tilgå, downloade og videregive e-mails fra den tidligere medarbejders private e-mailkonto havde behandlet personoplysninger om den tidligere medarbejder. Datatilsynet bemærkede, at behandlingen af personoplysninger skulle vurderes efter en interesseafvejningsregel, hvor hensynet til virksomhedens behov for bevismateriale skulle holdes op imod medarbejderens ret til at holde sin private e-mailkonto privat.

Selvom virksomheden ønskede at sikre bevismateriale i forbindelse med en civil retssag og en politianmeldelse, fandt Datatilsynet, at hensynet til medarbejderens privatliv vejede tungere. Tilsynet lagde vægt på, at der var tale om en personlig e-mailkonto, som arbejdsgiveren ikke havde rådighed over, og at virksomheden fortsatte sin søgning, selv efter det stod klart, at kontoen var privat. Derudover blev det fremhævet, at søgningen potentielt kunne omfatte irrelevante og private oplysninger, som ikke vedrørte den mulige overtrædelse.

På den baggrund fandt Datatilsynet, at virksomheden ikke havde et lovligt grundlag for at tilgå e-mailkontoen og dermed havde handlet i strid med databeskyttelsesforordningen. Virksomheden modtog derfor alvorlig kritik fra Datatilsynet.

Datatilsynet bemærkede afslutningsvis, at spørgsmålet om, hvorvidt der forelå en overtrædelse af straffelovens bestemmelse i § 263 om brevhemmelighed, ikke henhører under tilsynets kompetence.

Dansk Erhverv bemærker
Afgørelsen viser, at arbejdsgivere skal være opmærksomme på, at forsætlig tilgang til en medarbejders private e-mailkonto – udover at være strafbart efter straffelovens bestemmelse i § 263 om brevhemmelighed – også vil udgøre en overtrædelse af persondatalovgivningens regler om lovligt behandlingsgrundlag.

Medlemmer anbefales at kontakte Dansk Erhverv med henblik på at afklare, om det nødvendige behandlingsgrundlag er til stede.

Nyheden er baseret på Datatilsynets afgørelse af 24. januar 2025 i j.nr. 2024-31-0529.