Når en medarbejder stopper, må arbejdsmailen kun holdes aktiv så kort tid som muligt og som udgangspunkt højst 12 måneder. Sådan står det i ansættelsesvejledningen fra Datatilsynet, udgivet i marts 2023. Den daglige rutine med autosvar og lukning er beskrevet under den fratrådtes mailkonto. Denne artikel ser på det, der kommer bagefter og ved siden af: grundlaget for at beholde kontoen, hvem der må læse, hvor grænsen går ved private konti, og hvad der bliver liggende, når mailboksen er lukket.
Reglerne i kort form
Vejledningens afsnit om tidligere medarbejderes konti giver disse rammer:
- Perioden fastsættes efter stilling og funktion, kortest muligt.
- Et autosvar bør oplyse om fratrædelsen.
- Kontoen må kun bruges til at modtage mails.
- Private mails kan videresendes til den tidligere medarbejders private konto.
- Direkte adresser bør fjernes fra hjemmesiden og andre offentlige steder.
- Kun én eller ganske få betroede medarbejdere bør have adgang.
Oplysningspligt og indsigt gælder fortsat. Vejledningen anbefaler, at emnet indgår i personalepolitikken, og at medarbejderne informeres om det.
Vejledningen har et eksempel med en konto, der stod åben et halvt år efter fratrædelsen. Virksomheden havde en legitim interesse i at fange indgående forretningsmails, adgangen var begrænset til få betroede, og kontoen skulle lukkes efter et år. Det var som udgangspunkt ikke i strid med reglerne. Eksemplet viser, hvad der bærer vurderingen: et klart formål, få personer og en slutdato.
Grundlaget skal kunne forklares
Hos en privat arbejdsgiver er grundlaget for at beholde kontoen normalt interesseafvejningen (art. 6, stk. 1, litra f). Interessen er at modtage forretningspost. Den dækker ikke alt, hvad man kunne tænke sig at bruge mailboksen til. Det er derfor nyttigt at skrive formålet ned som en enkelt sætning, når medarbejderen stopper, og sætte datoen for lukning på samme tid.
Skal mailboksen bruges til noget andet, er det en ny vurdering. Vejledningen beskriver et eksempel, hvor en arbejdsgiver har begrundet mistanke om, at en afskediget medarbejder har sendt forretningshemmeligheder ud, og vil kontrollere arbejdsmailen. Oplysningspligten kan i sådan en situation vige, så længe hemmeligholdelse er nødvendig, jf. databeskyttelseslovens § 22. Den slags sag tager I med en advokat, før nogen åbner kontoen.
Grænsen ved den private konto
Datatilsynet afgjorde 25. oktober 2024 en sag, der ofte bliver omtalt i denne sammenhæng, så det er vigtigt at læse den rigtigt. Afgørelsen handler om en privat mailkonto og siger ikke noget om arbejdsgiverens egen mailboks.
En tidligere ansats private mailkonto stod åben på den computer, der var afleveret tilbage. Virksomheden gik ind og hentede mails som bevis i en tvist. Tilsynet udtalte alvorlig kritik, og virksomheden kunne ikke støtte sig på interesseafvejningsreglen. Tilsynet lagde vægt på, at kontoen var personlig og uden for virksomhedens rådighed, og på, at søgningen fortsatte, efter virksomheden havde set, at kontoen var privat. Tilsynet tog ikke stilling til straffelovens regler om brevhemmelighed, som er et andet spørgsmål.
Sagen giver to praktiske råd. Afleverede computere skal nulstilles efter en fast rutine, så ingen falder over privat indhold. Og opdager nogen en privat konto, skal vedkommende stoppe, lukke og give besked. Kun en bestemt person bør beslutte, hvad der sker derefter.
Hvem der læser, og hvordan det kan ses
Vejledningens få betroede er nemmest at holde, hvis det kan ses i systemet. Mange mailsystemer tillader, at en kollega får adgang til en anden postkasse. Sådan en adgang glemmes let, når sagen er overstået. Skriv derfor ned, hvem der får adgang, og fjern den igen på slutdatoen. Kontrollér samtidig, om medarbejderen selv havde regler for automatisk videresendelse, eller om andre allerede havde delegeret adgang. Begge dele kan betyde, at flere ser posten, end I tror.
Læsning bør være målrettet. Den betroede skal se på det indgående, der angår forretningen. En gennemsøgning af gammel post er en anden behandling. Slå logning af adgang til, hvor systemet kan, så I bagefter kan vise, hvem der var inde.
Det, der bliver liggende
At lukke kontoen er noget andet end at fjerne oplysningerne. Kig efter disse steder:
- Arkiv og opbevaringsregler. Nogle mailsystemer gemmer indhold i et arkiv længe efter, at postkassen er væk.
- Backup. Kopier kan leve videre. Datatilsynets vejledning om rettigheder nævner, at data slettet i driften skal fjernes igen ved genetablering fra backup.
- Delte mapper og filer. Medarbejderens personlige drev kan indeholde mere end mailen.
- Kollegers mailbokse. Mails til og fra personen ligger også hos andre og følger de almindelige regler.
Hvad der skal bevares, afhænger af sagen. Forretningsdokumenter hører hjemme i sagssystem, bogføring eller kundesystem og bør flyttes dertil, før mailboksen slettes. Andre love kan kræve opbevaring, og fristerne slås op for hver kategori, se slettepolitik. Sæt en dato for selve sletningen, og hold den i jeres slettepolitik.
Beder den tidligere medarbejder om indsigt, skal I kunne søge i det, der findes. Se indsigt i mailbokse og indsigt fra en tidligere medarbejder.
Det gør I nu
Bed IT om en liste over postkasser fra fratrådte og over alle delegerede adgange til dem. Sæt formål og slutdato ud for hver. Læg derefter en kort regel ind i personalepolitikken, og aftal, at afleverede computere altid nulstilles, før de bruges igen.
Det skal I lade være med
- At bruge en åben konto til at lede efter noget · det er et andet formål og kræver en ny vurdering.
- At åbne en privat konto, der tilfældigt ligger åben · luk den, og giv besked.
- At kalde en konto lukket, når arkivet stadig har det hele · slettefristen skal gælde kopierne også.
Det skal I kræve af den eksterne
- ☐ Rådgivning om formål, periode og adgang, så beslutningen kan stå alene.
- ☐ Kontrol af delegerede adgange og videresendelser.
- ☐ Gennemgang af, hvor indholdet ligger efter lukning.
- ☐ Tekst til personalepolitikken, klar til jeres advokat eller arbejdsgiverforening.
Kilder
- Datatilsynet: Databeskyttelse i ansættelsesforhold, marts 2023: afsnit 5.1 og 5.4, læst 5. november 2026.
- Datatilsynet: afgørelse af 25. oktober 2024, j.nr. 2024-31-0529: læst 5. november 2026.
- Datatilsynet: Vejledning om de registreredes rettigheder: sletning og backup.
- Databeskyttelsesloven, LBK nr. 289 af 8. marts 2024: § 22.
- Forordning (EU) 2016/679, dansk tekst: art. 5 og 6.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Slettepolitik · Indsigt i mailbokse
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
