Datatilsynet vender hermed tilbage til sagen, hvor M ved e-post af 18. oktober 2008 har klaget til Datatilsynet over, at dennes e-post-konto hos V ikke blev lukket efter M´s fratræden i april 2008.
Sagsfremstilling
Ved e-post af 18. oktober 2008 klagede M over, at dennes e-post-konto hos V ikke blev lukket efter M´s fratræden i april 2008.
Ved telefonsamtale den 3. november 2008 med M er der indhentet supplerende oplysninger, herunder oplysning om at M har dokumentation for, at dennes e-post-konto stadig var aktiv. Ved e-post af 3. november og 7. november 2008 har M fremsendt dokumentation.
Ved brev af 18. november 2008 anmodede Datatilsynet V om at fremkomme med en udtalelse i sagen.
Ved fax af 9. december 2008 er advokat A på vegne af V fremkommet med en udtalelse i sagen.
Efterfølgende er M fremkommet med bemærkninger til sagen ved e-post af 2. januar, 15. februar, 2. marts, 22. april, 13. maj og 30. juni 2009.
V er desuden fremkommet med bemærkninger til sagen ved fax af 21. januar, 30. marts, 6. maj, 3. juni og 20. juli 2009.
Det fremgår herefter af sagen, at M´s e-post-konto ikke blev lukket umiddelbart efter M´s fratræden. M har fremsendt dokumentation for, at M´s e-post-konto ikke er blevet lukket efter fratræden, idet M – på dennes nuværende e-post-adresse – har fået tilsendt 2 e-post-meddelelser fra M´s tidligere e-post-adresse, den seneste dateret 7. november 2008. Af den e-post-meddelelse – som er sendt fra V via M´s gamle e-post-adresse – fremgår, at V ikke ved, hvornår M´s e-post-konto lukkes.
M´s argumenter
M har anført, at M ønsker at klage over, at M´s e-post-konto efter dennes fratræden stadig er åben, både for at sende og modtage e-post. M har i forlængel-se heraf præciseret, at M ikke ønsker at klage over, at V’s moderselskab har adgang til M´s e-post-konto indeholdende e-post, som M har modtaget og sendt under M´s ansættelse i firmaet.
M har bl.a. anført, at M ikke på noget tidspunkt er blevet gjort bekendt med, at M´s e-post-konto ville forblive åben og i hvor lang tid. M har ligeledes ikke fået svar på M´s henvendelse om, hvor lang tid e-post-kontoen ville forblive åben.
M har desuden anført, at begrundelsen med at holde kontoen åben i op til et år efter M´s fratræden ikke kan retfærdiggøres ved ”årlig advis af abonnenter”, da disse i så godt som alle tilfælde betales forud.
For så vidt angår V´s henvisning til personalehåndbogen har M anført, at virksomheden sætter sig ud over almindelig dansk lovgivning ved at skrive, at personlig post ikke respekteres, men betragtes som virksomhedens ejendom. M har desuden anført, at da der blev blokeret for dennes adgang til e-post-kontoen samme dag, som M fratrådte, har M ikke haft mulighed for at orientere kontaktpersoner som nævnt i personalehåndbogen, og M har heller ikke haft adgang til at gøre sig bekendt med håndbogen, da denne ligger på intranettet, og M fik ligeledes blokeret adgangen hertil i forbindelse med dennes fratræden.
M har anført, at når der i personalehåndbogen skrives, at virksomhedens e-post ikke i nævneværdigt omfang må benyttes til private formål tillader virksomheden i samme sætning, at e-post godt må bruges i mindre omfang til private meddelelser. Det er således M´s opfattelse, at V implicit har accepteret, at M i mere eller mindre omfang har korresponderet privat.
V´s argumenter
V har bl.a. anført, at virksomheden har en legitim interesse i at være eller kunne gøre sig bekendt med virksomhedsrelevant korrespondance til selskabet, uanset om der er tale om fysisk post eller e-post, uanset om den pågældende post er stilet til en eller flere bestemte personer i virksomheden, eller om posten blot er sendt til firmaadressen, uden at afsenderen har anført navnet på en person eller benyttet en e-post-konto, som er eller har været stillet til en bestemt medarbejders disposition, og uanset om den pågældende post er modtaget, efter at den pågældende medarbejder er fratrådt. Den pågældende legitime interesse bliver større af, at medarbejderen ikke længere er beskæftiget i virksomheden og derfor ikke på dennes vegne kan besvare den post, der er tale om.
Det er desuden anført, at e-post og anden korrespondance i vidt omfang benyttes til at fremsætte, acceptere og følge op på tilbud, og af den grund er det af vital betydning for en virksomhed at kende til sådan korrespondance, uanset om der er tale om papirbaseret korrespondance eller korrespondance pr. e-post. Det er desuden fastslået i virksomhedens personalehåndbog, at virksomheden forbeholder sig adgang til medarbejderens e-post-konti.
Lukning af en fratrådt medarbejders e-post-konto umiddelbart efter vedkommendes fratræden ville bevirke, at virksomheden ikke blev bekendt med post til den e-post-konto, der havde været til vedkommendes disposition, hvilket i en periode ville være af betydelig gene for virksomheden. Virksomheden har således en legitim og væsentlig interesse i opretholdelse af og adgang til sådan virksomhedsrelateret e-post.
For så vidt angår behovet for hjemmel til opretholdelsen af virksomhedens omhandlede e-post-konto er det anført, at persondataloven ikke gælder for behandlinger, som en fysisk person foretager med henblik på udøvelse af aktiviteter af rent privat karakter, og at en medarbejders private brug af en e-post-konto, som en virksomhed stiller til rådighed til den pågældende medarbejders disposition utvivlsomt må rubriceres som ”aktiviteter af rent privat karakter”.
Såfremt persondatalovens på trods af ovenstående måtte finde anvendelse, og at virksomheden er dataansvarlig i relation til privat e-post-korrespondance, henviser V til persondatalovens § 6, stk. 1, nr. 7.
Med henvisning til persondatalovens § 6, stk. 1, nr. 7, er det V´s vurdering, at virksomheden må behandle oplysninger i det omfang, dette sker ved opretholdelse i en passende periode af virksomhedens e-post-konto, der tidligere har været stillet til M´s disposition.
For så vidt angår persondatalovens § 5, stk. 5, er det gjort gældende, at virksomheden ikke opbevarer indsamlede oplysninger ”på en måde (eller i en periode), der giver mulighed for at identificere den registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil oplysningerne behandles”.
For så vidt angår tidspunktet for lukning af e-post-kontoen er det anført, at virksomheden forventer at lukke e-post-kontoen, når der er gået et år fra M´s fratræden, hvilket vil sige foråret 2009. Baggrunden for, at der bør gå et år, er, at mængden af e-post vil være begrænset, og navnlig at eventuelle adviser, der måtte blive sendt til den pågældende e-post-konto som følge af M´s anvendelse af denne ved bestilling af abonnementer med årligt advis om fornyelse, vil være modtaget forinden.
Datatilsynet skal herefter udtale følgende:
Datatilsynet må lægge til grund, at en personlig e-post-adresse i en virksomhed som oftest er tæt knyttet til personens navn og eventuelt vil blive set som et synonym til navnet og dermed til personen selv.
Når en persons initialer anvendes i en e-post-adresse, vil der efter Datatilsynets opfattelse være tale om behandling af personoplysninger omfattet af persondataloven. Således vil det ved hjælp af personens initialer samt virksomhedens navn – som typisk fremgår direkte af e-post-adressen – være muligt at adskille den pågældende medarbejder fra de øvrige personer i virksomheden1 .
Datatilsynet må ligeledes lægge til grund, at det som regel vil være kendt både inden for virksomheden og eksternt, at den pågældende person er eller har været ansat.
En virksomheds anvendelse af en medarbejders personlige e-post-adresse udgør således efter Datatilsynets opfattelse i sig selv behandling af personoplysninger 2.
Det bemærkes hermed, at selve indholdet af den e-post, der sendes og modtages, ikke nødvendigvis vil være oplysninger om den pågældende medarbejder. Oplysninger om medarbejderen i dennes egenskab af f.eks. sekretær med dertilhørende arbejdsopgaver, f.eks. oplysninger om, at medarbejderen har været ansvarlig for at arrangere et møde eller bestille flybilletter, er efter Datatilsynets opfattelse ikke personoplysninger omfattet af persondataloven.
I den konkrete sag er det Datatilsynets opfattelse, at V´s anvendelse af e-post-adressen x@x.x efter M´s fratræden i sig selv udgjorde en behandling omfattet af persondataloven, jf. lovens § 1, stk. 1.
Afhængigt af omstændighederne vil en virksomhed efter Datatilsynets opfattelse kunne anvende en tidligere medarbejders personlige e-post-adresse i en periode efter dennes fratræden.
Datatilsynet må således lægge til grund, at virksomheden kan have en berettiget interesse i fortsat at anvende personoplysninger for ikke at miste vigtige meddelelser til virksomheden, jf. persondatalovens § 6, stk. 1, nr. 7.
Datatilsynet finder på denne baggrund, at V´s anvendelse af e-post-adressen x@x.x til fortsat modtagelse af e-post i en periode efter M´s fratræden kunne ske efter interesseafvejningsreglen i persondatalovens § 6, stk. 1, nr. 7 3.
Datatilsynet finder ikke at kunne tilsidesætte V´s vurdering af, at det i dette tilfælde var nødvendigt at holde e-post-kontoen åben i et år efter M´s fratræden.
Datatilsynet har i den forbindelse noteret sig, at det som udgangspunkt alene har været en enkelt betroet medarbejder samt virksomhedens direktør ved et par enkelte lejligheder, der har haft adgang til kontoen. Tilsynet har endvidere noteret sig, at der med en enkelt undtagelse, ikke blev sendt udgående post fra e-post-adressen til andre end M.
Datatilsynet har i øvrigt noteret sig, at V efter det oplyste havde været indstillet på at imødekomme et ønske fra M om en automatisk svarfunktion, hvis M havde bedt om dette på et tidligere tidspunkt.
Fremadrettet har Datatilsynet opfordret V til at overveje generelt at anvende autosvar, hvis tidligere medarbejderes e-post-adresser holdes åbne i en periode.
Datatilsynet må lægge til grund, at M ikke er blevet underrettet om, at e-post-kontoen blev holdt åben og i hvor lang tid. M har imidlertid konstateret, at e-post-adressen fortsat var åben, da virksomheden videresendte meddelelser til M.
I tilknytning hertil har Datatilsynet meddelt V, at virksomheden efter Datatil-synets opfattelse burde have givet M information om, at e-post-adressen blev holdt åben og hvor længe. Tilsynet har herved henvist til persondataloven og princippet om god databehandlingsskik i persondatalovens § 5, stk. 1.
Afsluttende bemærkninger
Datatilsynet skal beklage, at M ikke løbende er holdt underrettet om sagens behandling og den ekstraordinært lange sagsbehandlingstid, som skyldes stor travlhed i tilsynet samt sagens principielle karakter.
Det kan i den forbindelse tilføjes, at Datatilsynet i tilknytning til sin behandling af denne og andre sager om tilsvarende problemstillinger har fundet anledning til at udforme generelle retningslinjer for behandling af fratrådte medarbejderes e-post-konti. Retningslinjerne vil blive offentliggjort på Datatilsynets hjemmeside.
Datatilsynet betragter herefter sagen som afsluttet.
Kopi af dette brev er dags dato sendt til V.
1Se om identifikationskravet WP 136. Udtalelse nr. 4/2007 om begrebet personoplysninger, side 13.
2 Jf. definitionen i persondatalovens § 3, nr. 1: Ved “personoplysninger” forstås ifølge lovens § 3, nr. 1, enhver form for information om en identificeret eller identificerbar fysisk person (den registrerede).
3 Efter persondatalovens § 6, stk. 1, nr. 7, må registrering, videregivelse og anden behandling af personoplysninger ske, hvis behandlingen er nødvendig for, at den dataansvarlige eller den tredjemand, til hvem oplysningerne videregives, kan forfølge en berettiget interesse, og hen-synet til den registrerede ikke overstiger denne interesse.