UNIVERSITETSDIREKTØREN
Universitetsdirektørens kontor
Postboks 1072, Blindern
0316 Oslo

Besøksadresse
Administrasjonsbygningen, 9. etg.

Telefon: +47 22 85 63 02
22 85 63 27/28/29
Telefaks: +47 22 85 44 42

Fornyings- og administrasjonsdepartementet
via e-post: postmottak@fad.dep.no

Deres ref: 	200500392
Vår ref:  	06/13728-2/wmt		

Blindern: 	18. januar 2007

Ang. forslag til regler om arbeidsgivers adgang til ansattes e-post mv.
1. Innledning 
Universitetet i Oslo har mottatt utkast til forskriftsbestemmelser om arbeidsgivers tilgang til ansattes e-post mm. til høring.  Vi støtter intensjonene i utkastet, men vi er av den oppfatning av at det i sin nåværende form framtrer uferdig. Vi er spesielt opptatt av at det gjøres klarere avgrensninger av gyldighetsområdet for forskriften, og at de praktiske sidene ved forvaltning av forskriftens bestemmelser blir grundigere vurdert.

Vi vil også peke på at det antakelig er svært krevende å lage en forskrift som beskriver klart alle personrelaterte forhold rundt elektronisk meldingsformidling, og det er likeså meget vanskelig å lage maskinelle sorteringsmekanismer som skiller mellom private og arbeidsgiverrelaterte meldinger.  Det kan derfor være hensiktsmessig å introdusere en ombudsfunksjon som i særlige tilfeller kan foreta en manuell gjennomgang av e-posten for å sortere private meldinger vekk fra arbeidsgiverrelatert kommunikasjon. Et eksempel der dette vil kunne være nyttig, er i forbindelse med håndtering av e-post etter dødsfall. 
2. Utkastets definisjoner og omfang
Begrepsbruken i utkastet er noe upresis, og det gjøres enkelte steder bruk av begreper som ikke er veldefinerte. 

En viktig avgrensing som ikke kommer klart frem er hvilket forhold det er mellom informasjonssikkerhetsrelaterte tiltak som medfører at automatiske eller manuelle prosesser skaffer seg tilgang til elektronisk post (eller andre elektroniske kommunikasjonssystemer) og arbeidsgivers tilgang som regulert av forskriften.  Henvisningene til forskriftens §7-11 som
presiserer formålsnærhetsprinsippet for visse behandlinger hvor man benytter seg av unntak fra meldeplikten gir i seg selv intet svar på dette.

Et annet uklarhetsmoment er at begrepet «elektronisk kommunikasjon»  slik utkastet beskriver det, vil kunne omfatte en lang rekke systemer ut over så vel tradisjonell e-post.   Det er etter hvert vanskeligere å finne eksempler på nye IT-verktøy hvor den enkelte ansatte ikke kan kommunisere med andre i en eller annen form, enn det motsatte.  Etter Universitetets oppfatning bør det være opp til arbeidsgiver å bestemme hvorvidt slike IT-verktøy kan anvendes til privat bruk, men det er selvsagt at den enkelte ansatte må få klar informasjon om hvilke bestemmelser som gjelder.  Det foreslåtte forvaltningsregimet vil imidlertid etter vår oppfatning ha klare svakheter overfor tradisjonell e-post, mens forvaltning av andre former for elektronisk kommunikasjon kan bli enda vanskeligere, jmf. §9-8, 3. avsnitt. 

At utstyr må være eid av arbeidsgiver slik som det fremgår av første avsnitt på side 24 er trolig for innsnevrende.  Det avgjørende må være hvem som har retten til å bruke og bestemme over utstyr på et gitt tidspunkt. Slik utkastet er utformet vil arbeidsgiver være i en annen situasjon hvor denne benytter utstyr som er leid, lånt eller leaset, fremfor hvor det er eid.  Videre er det neppe tilsiktet at forskriften dermed dekker 3. mann som utfører tjenester på arbeidsgivers vegne, men ikke dennes utstyr.

Utkastet sier forøvrig lite om hvilken status vedlegg til e-post har, eksempelvis om de er å anse som en del av selve meldingen. Hvis de er å anse som en del av meldingen, som de jo fysisk vil være idet den når mottakerens e-posttjener, må det gjøres klarere hva slags status de har dersom de senere blir skilt ut og lagret utenfor e-post systemet.

3. Utgangspunktet for reguleringen og uttalte prinsipper.
Departementet ber om tilbakemelding fra høringsinstansene om hvorvidt disse ser det som et naturlig utgangspunkt at arbeidsgiver har tilgang til de ansattes e-post.  Som nevnt over er det mange forskjellige typer elektroniske kommunikasjonssystemer som kan falle inn under utkastets nedslagsfelt.   På samme vis finnes det mange forskjellige typer
kommunikasjonssystemer som kan kalles e-post.  Å fastslå et naturlig utgangspunkt som er felles for disse er så komplisert at det neppe er hensiktsmessig.

Uavhengig av hva som er naturlig er det viktig å presisere at arbeidsgiver rent faktisk har fysisk tilgang til ansattes e-post mange steder, f.eks. ved Universitetet i Oslo, i det at denne selv drifter de tekniske løsningene som e-postsystemet anvender.  Det blir således når denne kan anvendes og hvordan dette skal skje som er spørsmålet, snarere enn om fysisk tilgang er tilstede.

Det uttrykkes det i kommentarene til §9-6 at «De pårørende etter dødsfall har ikke uten videre krav på innsyn i den avdødes e-post mv. Det samme gjelder dødsboet. Dette må vurderes konkret etter §§ 8, 9 og 11. Hensynet til eventuelle tredjepersoner skal veie tungt.»  I lys av at loven i utgangspunktet ikke verner avdøde personer og av at man nettopp fordi man ikke leser gjennom andres e-post ikke vet om en gitt mengde data kan inneholde personopplysninger (om 3. mann), samt at en avdød persons data i seg selv er en eiendel som kan arves, er det neppe grunnlag for å uten videre fremme en slik holdning. Elektronisk post kan være av økonomisk verdi f.eks. hvor den inneholder data som det er knyttet immaterielle rettigheter til og som vil kunne utgjøre eiendeler i et dødsbo som man ikke nødvendigvis kan unndra boet grunnet personopplysningslovens regler.

4. Økonomiske og administrative konsekvenser
Mange av prinsippene som forskriften syntes å bygge på har i lang tid vært gjeldene praksis ved Universitetet i Oslo.  Det er imidlertid helt nødvendig at disse prinsippene blir gjort gjeldende gjennom retningslinjer som er tilpasset den organisasjonen hvor de skal fungere. Det regimet forskriften legger opp til vil muligens kunne passe i en mindre
virksomhet.  For en virksomhet med over tretti tusen brukere og et stort antall IT-tjenester er det svært upraktisk å ha en slik særregulering av et (ikke presist avgrenset) område.  Instruks som nevnt i §9-8 bør kunne utformes, vedtas og vedlikeholdes på en måte som er tilpasset virksomheten.

Om utkastet i sin nåværende form skulle vedtas vil det for det første føre til at ivaretakelse av så vel de registrertes rettigheter som arbeidsgivers behov vil bli vanskeliggjort av det praktiske regimet forskriften legger opp til.  For det andre vil den økonomiske følgekostnaden bli høy. For det tredje er straffesanksjonering av et såpass lite klart og samtidig lite fleksibelt regelverk neppe hensiktsmessig.

	Hanne Harlem
	Universitetsdirektør 

						
		Arne Laukholm
		IT-direktør