Ja, når der er grund til at tro, at mailboksene rummer oplysninger om personen. EDPB, det europæiske samarbejdsorgan for tilsynsmyndighederne, siger i sine retningslinjer 01/2022, at den dataansvarlige skal søge i alle sine IT-systemer, og mail er et af dem. Søgningen skal være målrettet og dokumenteret, og den skal udføres af få personer, for adgang til andres mail er i sig selv en behandling af personoplysninger. EDPB nævner ikke mailbokse særskilt, så anvisningerne om fremgangsmåden herunder er vores egen, bygget på de almindelige regler.
Det, kilderne siger
EDPB’s punkt 125 kræver, at søgningen bruger de oplysninger om personen, der sandsynligvis giver match i systemerne, alt efter hvordan oplysningerne er struktureret. Er data sorteret efter navn eller referencenummer, kan søgningen holde sig dertil. Afhænger strukturen af andet, fx kundenummer, brugernavn eller IP-adresse, skal søgningen udvides, når I kender disse oplysninger. Det samme gælder, når det er sandsynligt, at sager om andre rummer oplysninger om personen. Søgningen omfatter også databehandleres data.
Mail er ustruktureret, så navnet alene fanger sjældent det hele. Lav derfor en lille liste over søgeord for hver sag:
- fuldt navn og almindelige stavemåder,
- privat og tidligere arbejdsmailadresse,
- kundenummer, medarbejdernummer eller sagsnummer,
- initialer, hvis de bruges internt.
Hvor der kan søges
En mailsøgning kan køres centralt af en administrator med et søgeværktøj. Det er mere præcist og mindre indgribende, end at medarbejderne selv bladrer i deres indbakker. Tænk disse steder med:
- personlige og delte postkasser,
- arkiverede postkasser og konti efter fratrådte,
- chat og kanaler, der ligger i samme platform,
- mapper og vedhæftede filer, som søgningen kan læse.
Scannede bilag uden tekstlag dukker ikke op, så spørg de afdelinger, der plejer at modtage den slags. EDPB beskriver også en metode med en koordinator, der beder hver afdeling om at finde oplysningerne. Den duer til afdelingernes mapper og papir og kan kombineres med den centrale søgning.
Backup er et særligt spørgsmål. EDPB skelner mellem arkiv og backup. Oplysninger i backup, der er væk fra produktionen, fordi de er slettet for nylig, skal I være åbne om, og I skal give adgang på anmodning, hvor det er teknisk muligt.
Hvad en rimelig søgning er
Retten til indsigt gælder alle oplysninger, medmindre personen selv afgrænser den. Får I hundredvis af hits, må I bede om en præcisering, og I skal samtidig forklare, hvilke behandlinger der kan være tale om, fx kundesagen, klagen eller samarbejdet med en bestemt afdeling. Personen kan ofte selv pege på en periode eller et emne. Holder personen fast i, at det gælder alt, skal I søge bredt, og en stor mængde forlænger kun fristen, når anmodningen også er kompleks efter art. 12, stk. 3.
Rimelig handler derfor om, at I kan vise, hvordan I har søgt. EDPB siger, at I altid bør kunne påvise, at håndteringen sigter mod den størst mulige indsigt.
Et hit er ikke det samme som en oplysning, personen skal have. En mail om et møde, hvor navnet står på deltagerlisten, kan være en personoplysning, men den skal vurderes ud fra art. 4, nr. 1, og C-487/21. Dommen kræver en nøjagtig og forståelig gengivelse, og uddrag eller hele dokumenter, når sammenhængen er nødvendig. I mange sager er det rigtige et uddrag af mailen med dato, afsender og den del, der handler om personen.
Oplysninger om andre skal vurderes efter art. 15, stk. 4. Efter EDPB skal de så vidt muligt gøres ulæselige, så dokumentet kan udleveres.
Hvem der må udføre søgningen
Søgningen giver adgang til meget mere end den sag, det handler om. Derfor bør ledelsen på forhånd beslutte tre ting.
Hvem der søger. Det bør være en eller to betroede personer med en særlig rolle, gerne en administrator uden tilknytning til sagen. Har rollen ikke allerede adgang, så giv en tidsbegrænset adgang, se alle kan se alt.
Hvem der læser hits. Administratoren finder, og en anden sagsbehandler vurderer. Så er der adskillelse mellem teknik og indhold.
Hvad der gælder for private mails. Rammer søgningen en privat mailkonto eller åbenlyst private beskeder, skal I stoppe og tage stilling. Datatilsynet udtalte alvorlig kritik i en afgørelse af 25. oktober 2024, hvor en virksomhed fortsatte med at søge i en tidligere ansats private mailkonto på en afleveret computer efter at have set, at kontoen var privat. Afgørelsen handler om en privat konto og om en anden situation end indsigt, men den viser, at søgeadgang har en grænse.
Medarbejderne skal vide, at den slags søgninger kan ske, og hvorfor. Det hører til oplysningspligten over for ansatte og er gennemgået i kontrol af medarbejdere.
Sådan logges søgningen
Log søgningen, så I kan vise den frem, og så ingen misbruger den. En enkel post rummer:
- sagsnummer og anmodningens dato,
- hvem der bestilte søgningen, og hvem der udførte den,
- hvilke systemer, postkasser og søgeord der blev brugt,
- perioden, der blev søgt i,
- antal hits, og hvor resultatet blev lagt.
Læg resultatet i en mappe med adgang for de få, og slet arbejdskopien, når sagen er afsluttet og opbevaringstiden til dokumentation er udløbet. Tjek også, at administratorens handlinger bliver logget i systemet, for Datatilsynets katalog over foranstaltninger har netop logning af brugeradministratorers handlinger som foranstaltning.
Sådan går I videre
Lav en kort instruks på en side med rollerne, søgeordene og logposten. Få IT til at lave en prøvesøgning på et tænkt navn, og mål, hvad den finder, og hvad den overser. DPO’en rådgiver om instruksen og kontrollerer, at den følges. DPO’en skal ikke selv køre søgningerne, for så kontrollerer DPO’en eget arbejde. Procedure og frister står i indsigtsanmodning.
Det skal I lade være med
- At bede alle medarbejdere om at kigge selv · resultatet kan ikke dokumenteres.
- At give en bred, varig adgang til alle postkasser · adgangen skal følge opgaven.
- At søge videre i private mails · stop, og tag stilling.
- At lade søgeresultatet ligge · kopien er også persondata.
Det skal I kræve af den eksterne
- ☐ Rådgivning om roller og adskillelse mellem søgning og vurdering.
- ☐ Kontrol af en stikprøve af logposter for søgninger.
- ☐ Evne til at forstå, hvad jeres søgeværktøj faktisk kan finde.
- ☐ Bistand i de tvivlstilfælde, hvor private oplysninger bliver ramt.
Kilder
- EDPB: retningslinjer 01/2022 om indsigt, dansk tekst: afsnit 2.3.1 om præcisering, punkt 110 om backup, punkt 125 om søgning, eksempel 24 og punkt 173.
- EU-Domstolen, C-487/21: kopi og uddrag.
- Datatilsynet: afgørelse af 25/10 2024, j.nr. 2024-31-0529: søgning i en privat mailkonto.
- Datatilsynet: Katalog over foranstaltninger: logning af brugeradministratorers handlinger.
- Forordning (EU) 2016/679, dansk tekst: art. 4, nr. 1, art. 12 og art. 15.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Mailboks efter fratrædelse · Har en person ret til at se, hvem der har slået dem op?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
