Til startsiden
  • Personvern
  • Arkiv
  • Nettstedskart
  • Kontakt oss
  • Skriv ut
  • Skriv ut
  • Endre tekststørrelse
English

UDI internmeldinger

IM 2019-002
Dokument-ID : IM 2019-002
Saksnummer : 18/04639-12
Dokumentdato : 11.01.2019
Mottakere :

Utlendingsdirektoratet

Innsyn i ansattes e-post, elektronisk lagret materiale og aktivitetslogger

1. Innledning

Denne internmeldingen regulerer UDI, som arbeidsgiver, sin adgang til å foreta innsyn i ansattes e-post, personlige område og på utstyr UDI eier. Internmeldingen regulerer også innsyn i ansattes aktivitetslogger.

Internmeldingen gjelder ikke for virussjekk eller andre automatiserte aktiviteter knyttet til vedlikehold og sikring av systemene.

UDI sine ansatte skal bare bruke utlendingsforvaltningens fagsystemer for å utføre pålagte oppgaver. Bruk av fagsystemene for andre formål er å anse som ulovlig bruk, og utgjør en krenkelse av rettighetene til de registrerte i våre systemer. Det er også et tillitsbrudd overfor UDI og et brudd på personopplysningsloven.

All aktivitet i UDI sine IKT-systemer blir loggført. Sikkerhetsstaben og Internrevisjonen gjennomfører rutinemessige risikobaserte logganalyser av loggene i UDI sine systemer. Sikkerhetssjefen eller lederen for Internrevisjonen vil ved mistanke om brudd på Instruks for personvern, IKT og sikkerhet (IKT-instruksen) eller andre mislige forhold, analysere loggene for å vurdere om det foreligger avvik som krever nærmere undersøkelser. UDI utfører også automatiserte søk i loggene for å avdekke mulige brudd. For mer informasjon se IM 2007-016 Utredning og behandling av mislige forhold internt i UDI.

2. Når har arbeidsgiver adgang til å foreta innsyn?

Arbeidsgiver har rett til innsyn i opplysninger lagret i e-post, aktivitetslogger, personlige områder i datanettverk eller annet elektronisk utstyr stilt til den ansattes disposisjon til bruk i arbeidet, jf. arbeidsmiljøloven § 9-5 og forskrift av om arbeidsgivers innsyn i e-postkasse og annet elektronisk lagret materiale (Forskrift av 2. juli 2018 nr. 1108). UDI har plikt til å ha en internkontroll på informasjonssikkerhetsområdet som baserer seg på anerkjente standarder for styringssystem for informasjonssikkerhet, jf. eForvaltningsforskriften § 15 og personvernforordningen art. 24. Omfang og innretning på internkontrollen skal være tilpasset risiko, og som et ledd i UDIs internkontroll gjennomføres det innsyn i aktivitetslogger.

Innsyn i ansattes dokumenter og e-post kan foretas når det er nødvendig for å ivareta daglig drift eller andre berettigede interesser. Arbeidsgiver kan for eksempel gjennomføre innsyn hvis det foreligger en saklig begrunnet mistanke om brudd på retningslinjer for behandling av personopplysninger, eller andre kritikkverdige forhold knyttet til arbeidet.

Arbeidsgiver skal

  • alltid foreta en vurdering mellom behovet for innsyn og den ansattes personvern

  • ikke åpne e-poster og dokumenter i større utstrekning enn det som er nødvendig for å gjennomføre kontrollen

  • alltid vurdere om det er mulig å få tak i nødvendig informasjon på en annen måte

Arbeidsgiver har kun unntaksvis rett til å foreta innsyn i åpenbart private opplysninger i e-post og filer, forutsatt at det foreligger begrunnet mistanke om grove brudd på ansattes plikter, eller forhold som kan gi grunnlag for oppsigelse eller avskjed.

Arbeidsgiver kan for eksempel foreta innsyn ved:

  • fravær hvis det ikke er mulig å få tak i nødvendig informasjon på annen måte. Fraværets varighet vil være et element i en totalvurdering av om innsyn er nødvendig.

  • begrunnet mistanke om at en brukers IKT-utstyr inneholder datavirus, trojanere, spyware eller annen uønsket programvare som kan forårsake skade – I slike tilfeller vil Brukerstøtte i AEF som regel slette de skadelige filene. 

  • nedlastning av ulovlig materiale

  • trakassering

  • mistanke om oppslag i personopplysninger uten tjenstlig behov (snoking)

  • instruksbrudd eller lignende

  • dødsfall – for at UDI skal kunne sortere ut virksomhetsrelatert informasjon. 

  • mistanke om straffbare forhold.

  • mistanke om alvorlige sikkerhetsbrudd.

Arbeidsgiver kan også i tilfeller der politiet har behov for innsyn gi tilgang til private e-poster og dokumenter.

3. Hvem kan beslutte at innsyn skal gjennomføres?

Enhetsledere og avdelingsledere kan be om innsyn i ansattes e-post, dokumenter og aktivitetslogger hos Sikkerhetssjefen eller leder for internrevisjonen som beslutter om innsyn skal gjennomføres.

Dersom ansatte mistenker kritikkverdige forhold i UDI eller i tilknytning til UDI skal varslingsrutinene i IM 2015-003 Varsling av kritikkverdige forhold i UDI følges.

Sikkerhetssjefen og leder for Internrevisjonen kan også foreta innsyn på eget initiativ.

4. Hva slags informasjon skal den ansatte få ved innsyn?

Den ansatte skal gis skriftlig informasjon om:

  • årsaken til og omfanget av innsynet.

  • hvilke rettigheter den ansatte har ved innsyn. 

  • at han eller hun har rett til å uttale seg.

I tilfeller hvor det er mistanke om straffbare forhold og fare for bevisforspillelse er ikke UDI pliktig til å gi informasjon. Unntaket for å holde tilbake informasjon for den ansatte er hjemlet i personopplysningsloven § 16 første ledd bokstav b. UDI skal likevel vurdere om den ansatte kan få informasjonen i etterkant av innsynet.

Også i tilfeller der arbeidsgiver ut fra resultatet av kontroll av aktivitetslogger ikke finner grunn til å gå til videre utredning, skal den ansatte eller dennes ledere som hovedregel ikke bli informert om at det har blitt foretatt kontroll. I tilfeller der den ansatte er blitt kjent med at det foretas slik kontroll kan vedkommende og dennes ledere likevel informeres om resultatet av kontrollen, så fremt ikke kontrollhensyn eller hensyn til andre parter tilsier annet.

5. Hvordan gjennomføres innsyn i e-postkasse og annet elektronisk lagret materiale i UDI?

Før innsyn:

  • Den ansatte skal så langt som mulig varsles skriftlig og få anledning til å uttale seg før UDI gjennomfører innsynet. Varselet skal inneholde en begrunnelse om hvorfor vilkårene anses å være oppfylt og informasjon om den ansattes rettigheter. Den ansatte har for eksempel rett til å protestere, rett til å la seg bistå av tillitsvalgt eller annen representant, og skal om mulig gis anledning til å være til stede under gjennomføringen av innsynet , jf. Forskrift om arbeidsgivers innsyn i e-postkasse og annet elektronisk lagret materiale § 3.

  • Enhetslederen eller avdelingsdirektøren skal be om innsyn på fastlagt skjema (se vedlegg 1) og sende det til Sikkerhetssjefen med kopi til lederen for Internrevisjonen for godkjenning.
    • Hvis Sikkerhetssjefen eller leder for Internrevisjonen foretar innsyn på eget initiativ skal de informere direktøren.

  • Innsyn forutsetter at UDI har foretatt en konkret forholdsmessighetsvurdering basert på en risikovurdering av forholdet.

  • Hvis Sikkerhetssjefen eller lederen for Internrevisjonen godkjenner innsynet skal de sende skjemaet til Datasikkerhetslederen eller lederen for Brukerstøtte.
    • Sikkerhetssjefen eller lederen for Internrevisjonen kan godkjenne innsynet helt eller delvis. Dersom det kun gis delvis innsyn skal begrensningene fremgå av skjemaet.

Under innsyn:

  • Innsynet kan gjennomføres av Sikkerhetssjefen, lederen for Internrevisjonen, Datasikkerhetslederen eller lederen for Brukerstøtte.
    • Innsynet skal gjennomføres av minimum to personer.

  • Kontrollen skal utformes og dimensjoneres på bakgrunnen av den vurderte risikoen, og kan utvides på grunnlag av relevante funn. 

  • Ved innsyn skal den ansatte, så langt som mulig, gis anledning til å være til stede under gjennomføringen av innsynet og har rett til å la seg bistå av tillitsvalgt eller annen representant.

Etter innsyn:

  • Alle åpnede filer skal lukkes og alle kopier og utskrifter det ikke er saklig grunn for å oppbevare skal slettes eller makuleres.
    • Hvis innsynet skyldes fravær skal virksomhetsrelaterte dokumenter kopieres til egnet område.

  • De som har gjennomført innsynet skal fylle ut en innsynsrapport (se vedlegg 2).

  • Ansvarlig for innsynsrapporten skal lagre denne sammen med innsynsskjemaet i UdiSak, med mindre innsynet er gjennomført i sikkerhets-, varsling- eller mislighetssaker. I slike tilfeller skal dokumentene lagres på Sikkerhetsstabens og Internrevisjonens lagringsområder på Nasjonalt begrenset nett (NBN).

  • Sikkerhetssjefen, i samråd med HR-direktøren, kan gjøre undersøkelser for å fastslå om det er grunnlag for politianmeldelse eller andre reaksjoner fra UDI, jf. IM 2007-016 Utredning og behandling av mislige forhold internt i UDI. Beslutning om politianmeldelse fattes av direktøren.

  • Oppbevaring og utlevering av materiale til andre, må alltid skje i tråd med gjeldende regelverk.

6. Hvordan foretas kontroll av aktivitetslogger?

Kontroll av aktivitetslogger i fagsystemer foretas av internrevisjonen eller sikkerhetsstaben, som en periodisk kontrollaktivitet, enkeltstående kontroller basert på en risikovurdering eller indikasjoner fra automatiske loggkontroller, samt ved mistanke om misbruk av tilganger.

Kontrollen skal utformes og dimensjoneres på bakgrunnen av den vurderte risikoen, og kan utvides på grunnlag av relevante funn. Loggkontrollen kan ta utgangspunkt i en eller flere utlendingssaker, eller en eller flere ansattes bruk av fagsystemene.

Etter innsyn:

  • Periodiske kontroller dokumenteres i egen rapport på Sikkerhetsstabens og Internrevisjonens lagringsområder på NBN.

  • Dokumenterte funn i loggkontroller lagres sammen med aktuell sikkerhets-, varsling- eller mislighetssak.

  • Enkeltstående kontroller uten identifiserte avvik lagres ikke. Logger som det ikke er saklig grunn for å oppbevare skal slettes eller makuleres.

7. Taushetsplikt ved innsyn

UDIs representanter har taushetsplikt om saker som gjelder innsyn i ansattes e-post, personlige område, utstyr UDI eier og aktivitetslogger, jf. forvaltningsloven § 13.

 

Lars Bendik Johansen
avdelingsdirektør

Kontakt: Avdeling for elektronisk forvaltning

Siste endringer
  • Ny: IM 2019-002 Innsyn i ansattes e-post, elektronisk lagret materiale og aktivitetslogger (11.01.2019)

    Ny internmelding erstatter IM 2009-007, da det er gjort omfattende endringer både i innhold og oppsett. Endringene reflekterer at UDI har gått over fra disker til 0ffice 365, regelverket som berører feltet har blitt oppdatert og UDI har anskaffet nye verktøy for å gjennomføre logguttrekk i aktivitetslogger.

Utlendingsdirektoratet
Postboks 2098 Vika
0125 Oslo

Ansvarlig redaktør: Stephan Mo