En arbejdsgiver må gerne kontrollere sine medarbejdere, når der er et gyldigt behandlingsgrundlag, formålet er sagligt, kontrollen står i rimeligt forhold til formålet, og medarbejderne er informeret. Det fremgår af Datatilsynets vejledning om databeskyttelse i ansættelsesforhold fra marts 2023. Spørgsmålet er blevet mere aktuelt, for Datatilsynet gennemfører i 2026 målrettede tilsyn med kontrol af ansatte. Denne artikel samler kontrollen på tværs af værktøjer. Det enkelte værktøj til mail og internet er behandlet under logning af mail og internet.
Kontrol sker ofte uden, at nogen har besluttet det
Mange virksomheder svarer, at de ikke kontrollerer nogen. Systemerne fortæller noget andet. Adgangskort registrerer, hvornår folk kommer. Flådestyring viser, hvor bilerne er. Værktøjer til fjernadministration af computere og mobiltelefoner kan vise, hvad der er installeret, og hvor enheden står. Mailsystemet gemmer logs over, hvem der har åbnet hvad.
Registreringen er sjældent problemet i sig selv. Problemet opstår, når oplysningerne en dag bliver brugt til at se på en bestemt medarbejder. Det er den dag, formålet skifter, og reglerne bliver konkrete. Start derfor med at lave en liste over de systemer, der kan fortælle noget om en ansat, og spørg, hvem der kan se det, og hvor længe det gemmes. Det er arbejde, der kræver en, der kan se i opsætningen.
Grundlaget
Datatilsynets vejledning giver to spor for en privat arbejdsgiver.
Sker kontrollen som led i en kollektiv aftale om kontrolforanstaltninger, fx DA og LO’s aftale eller en lignende aftale, kan behandlingen ske efter databeskyttelseslovens § 12, stk. 1. Findes der ingen sådan aftale for foranstaltningen, er grundlaget for en privat arbejdsgiver som hovedregel interesseafvejningen i art. 6, stk. 1, litra f. Så skal I afveje jeres interesse mod medarbejderens. Afvejningen skal stå skrevet.
Samtykke er sjældent vejen. § 12, stk. 3, gør det muligt, men Datatilsynet er forsigtigt, fordi forholdet mellem arbejdsgiver og ansat er skævt, se samtykke: det forkerte grundlag.
Hvilke aftaler og overenskomster der gælder for jer, er et spørgsmål til jeres arbejdsgiverforening eller advokat. De kan stille krav om varsel, der ligger ud over GDPR.
Medarbejderne skal vide det på forhånd
Oplysningspligten efter art. 13 og 14 gælder. Medarbejderne skal have informationen senest, når kontrollen sættes i gang, og den skal være forståelig, så de kan se, hvad kontrollen går ud på, og især hvorfor den findes. Står oplysningen i et afsnit i personalehåndbogen, som ingen har set, er det svært at vise, at den er givet.
Vejledningen nævner en undtagelse. Efter omstændighederne kan I undlade at underrette om en konkret kontrol, hvis underretningen sandsynligvis ville gøre det umuligt eller alvorligt hindre formålet. Det kan fx være en begrundet mistanke om, at forretningshemmeligheder er sendt videre. Den slags sager bør vurderes med en advokat, før kontrollen sættes i gang.
Nyt formål med gamle oplysninger
Et eksempel fra vejledningen viser faldgruben. En arbejdsgiver har et alarmsystem for at forebygge indbrud og vil senere bruge alarmloggen til at se, om en bestemt ansat møder til tiden. Det er et andet formål end det oprindelige. Medarbejderen skal derfor informeres, før oplysningerne bruges på den måde, og brugen skal være forenelig med reglerne om formålsbegrænsning (art. 5 og art. 6, stk. 4).
Reglen rammer også IT. En adgangslog, der findes af hensyn til sikkerheden, kan ikke uden videre bruges til at måle, hvor længe nogen arbejder.
GPS og komme-gå-tider
Vejledningen har egne afsnit om to almindelige former for kontrol.
GPS i køretøjer. Det kan være berettiget for at planlægge ruter, overvåge transport eller af hensyn til de ansattes sikkerhed. Oplysningerne må ikke bruges til et uforeneligt formål, fx at overvåge chaufførens adfærd eller opholdssted. Er privat brug af bilen tilladt, skal medarbejderen kunne slukke for overvågningen under privat kørsel.
Komme-gå-tider. Registrering kan ske for at håndhæve aftalt arbejdstid, fx med nøglekort eller alarmsystem. Vejledningen afviser scanning af fingeraftryk til det formål, fordi det ikke er i overensstemmelse med art. 5.
For TV-overvågning gælder egne regler, se TV-overvågning i virksomheden.
Netværk, enheder og hjemmearbejde
Vejledningen nævner, at smartphones, computere og tablets gør kontrol mulig både på arbejdspladsen og hjemme. Hvad der gælder for hvert enkelt nyere værktøj, siger vejledningen ikke. Det er her, de almindelige principper skal bruges. Spørg for hvert værktøj: Hvad er formålet? Er der en mindre indgribende måde? Hvem kan se resultatet? Hvor længe gemmes det? De samme spørgsmål gælder, når møder bliver optaget, se AI-noter fra møder.
Logs, I har til sikkerhed, må gerne findes, og art. 32 kan kræve dem. Hold dem adskilt fra personaleledelse med klare regler for, hvem der må slå op, og i hvilke tilfælde. Opslag i logs bør selv efterlade spor.
DPO’ens rolle
Kontrol af ansatte er et oplagt sted at inddrage DPO’en, før beslutningen træffes, se hvornår skal DPO’en inddrages. DPO’en kan rådgive om grundlag, oplysningstekst og om, hvorvidt der skal laves en konsekvensanalyse, og kan kontrollere, at virkeligheden svarer til det besluttede. HR og ledelsen beslutter. Datatilsynet udelukker den øverste HR-ansvarlige fra rollen som DPO, så de to opgaver skal ligge hos hver sin.
Det gør I nu
Lav listen over systemer sammen med IT og HR. Sæt formål, grundlag, hvem der er informeret, og opbevaringstid ud for hvert system. Der, hvor et felt står tomt, ligger jeres første opgave. Tilføj en kort regel for, hvem der må bestille et opslag om en bestemt medarbejder.
Det skal I lade være med
- At bruge en log til et nyt formål uden at informere · formålet følger oplysningen.
- At bede om samtykke som nem løsning · forholdet mellem arbejdsgiver og ansat gør det usikkert.
- At lade IT slå op på en kollega efter en mundtlig besked · bestillingen skal være skriftlig og godkendt.
- At købe et værktøj med overvågning slået til som standard · gennemgå indstillingerne, før det rulles ud.
Det skal I kræve af den eksterne
- ☐ En gennemgang af de systemer, der kan vise noget om ansatte.
- ☐ Rådgivning om grundlag og afvejning for hver kontrolform.
- ☐ Kontrol af, at oplysningsteksten passer med opsætningen.
- ☐ Besked om, hvornår en sag skal til advokat eller arbejdsgiverforening.
Kilder
- Datatilsynet: Databeskyttelse i ansættelsesforhold, marts 2023: afsnit 5, læst 5. november 2026.
- Datatilsynet: Særlige fokusområder i 2026: overvågning af ansatte, læst 5. november 2026.
- Databeskyttelsesloven, LBK nr. 289 af 8. marts 2024: §§ 12 og 22.
- Forordning (EU) 2016/679, dansk tekst: art. 5, 6, 13, 14 og 32.
Senest gennemgået: november 2026.
Næste skridt
Læs også: TV-overvågning i virksomheden · Datatilsynets fokus i 2026
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
