Datatilsynet: Ulovlig straff i Statoil

Datatilsynet mener Statoil bryter loven ved å straffe ansatte som har lest følsomme men usikrede dokumenter. Fagforeningen krever at Statoil følger lover og regler i stedet for å reagere følelsesmessig. Statoil innrømmer lovbrudd og håper på en minnelig løsning.

I fjor sommer leste fire Statoil-ansatte følsomme dokumenter fra sin overordnedes usikrede elektronisk postkasse. Dette ble oppdaget i august da aktivitetsloggen ble sjekket. Den ansvarlige for e-post-systemet brukte loggen til å spore opp de fire. De fikk en advarsel og ble omplassert. Ledelsen i selskapet påsto at de fire urettmessig hadde hacket seg inn i postkassen. De fire har siden påvist at postkassen ikke var passord-beskyttet da de gikk inn for å lese dokumentene.

Saken førte til strid mellom Statoilansattes Fagforening (SaF), YS-foreningen der de fire er organisert, og Statoils ledelse. Da konflikten syntes helt fastlåst, tok SaF kontakt med Datatilsynet og leverte en formell redegjørelse 27. oktober i fjor.

19. januar sendte Datatilsynet en uttalelse til Statoil der det slo fast at Statoil brøt personregisterloven når selskapet nyttet aktivitetsloggen til å spore opp og refse de ansatte.

- Ifølge bestemmelsene har Statoil ikke lov til å bruke aktivitetsloggen i postsystemet til annet enn å administrere systemet og avdekke brudd, sier Datatilsynets saksbehandler Knut Magnar Aanestad til digi.no.

- De kan ikke bruke loggen til å overvåke de ansatte.

Aanestad sier at Statoil skulle søkt om konsesjon dersom de følte et behov for å bruke aktivitetsloggen til å overvåke sine ansatte.

- Det har de ikke gjort. Antakelig hadde heller ikke en slik søknad blitt innvilget.

Aanestad forklarer at regelverket setter strenge betingelser for bruken av aktivitetslogg i etterforskning.

- Det må foreligge en anmeldelse, og politiet må søke rettslig hjemmel. En arbeidsgiver kan ikke opptre slik Statoil har gjort i dette tilfellet, og etterforske og straffe på egen hånd.

Om postkassen var passordbeskyttet eller ikke, spiller ingen rolle. Statoils bruk av aktivitetsloggen er begrenset til å avdekke brudd. Ved mistanke om brudd må saken anmeldes, og materialet må overleveres politiet.

- Poenget er at det alltid kan skje uhell med elektroniske systemer. I dette tilfellet gjør passord-mangelen saken enda klarere. Men selv om de fire hadde stjålet et passord, ville Statoils opptreden vært ulovlig.

YS-konserntillitsvalgt Hans Marius Saltveit i Statoil sier at fagforeningen hadde et møte med Statoils ledelse 10. februar, som det ikke kom noe ut av.

- Ledelsen innrømmet ingen feil, og viste bare motvilje mot å rydde opp.

Uka etter, 16. februar, dukket saken opp i pressen for første gang, gjennom en artikkel i Stavanger Aftenblad. To dager seinere hadde fagforeningen klar en politianmeldelse mot Statoil for brudd på både personregisterloven og arbeidsmiljøloven. Anmeldelsen ble først oversendt 2. mars.

- Vi ventet med anmeldelsen fordi ledelsen hadde varslet et initiativ. Da initiativet kom, var det altfor dårlig. Advarselen til de fire ble trukket tilbake, men beklagelsen var svak, og de fire fikk ikke gå tilbake til sin opprinnelige arbeidsplass, sier Saltveit.

Dette initiativet ble varslet Datatilsynet i et brev datert 24. februar. Der heter det ellers at Statoil "vil arbeide videre med å etablere en avtale med organisasjonene som regulerer bruken av aktivitetsloggene", og at man dessuten vil "se på våre egne rutiner ved tilgang til datapostkasser og hvilken informasjon som sendes mellom disse".

I Datatilsynet betraktes brevet som "noe tynt".

- Arbeidsgivere og fagorganisasjoner kan ikke seg imellom inngå avtaler om bruk av registre til kontrollformål, understreker Aanestad.

De tillitsvalgte i Statoil klager over at datasikkerheten i selskapet er svært mangelfull.

- Elektronisk post brukes til å utveksle følsomme opplysninger om enkeltpersoners kompetanse og oppførsel. Det lagres informasjon som aldri skulle vært lagret, selv om sikringen hadde vært langt bedre, sier Saltveit.

Stavanger Politikammer bekrefter at SaFs anmeldelse mot Statoil ble mottatt 5. mars, og at den vurderes nå av en jurist. Videre etterforskning er avhengig av denne vurderingen.

- Vi forventer en etterforskning, sier Saltveit. - Denne saken er blitt et skrekkeksempel fordi ledelsen i Statoil lar seg styre av følelser i stedet for å følge lover og regler. Fire av våre medlemmer er hengt ut og straffet, og flere går fortsatt sykmeldt etter syv måneder.

Saltveit peker på at mens de fire som leste e-posten er blitt straffet, er det ikke gjennomført tiltak mot dem som la ut den følsomme informasjonen uten å sikre den. Datatilsynets påpeking av lovstridig håndtering av aktivitetsloggene, er heller ikke fulgt opp av disiplinære forføyninger.

Neste uke sender Datatilsynet to personer til Statoils hovedkvarter i Stavanger.

- Vi skal holde forelesninger om personvern. Dessuten har ledelsen bedt om møter for å høre våre generelle innspill, sier Aanestad.

Informasjonssjef Hans-Aasmund Frisak i Statoil sier han fullt ut deler Datatilsynets syn at aktivitetsloggen ikke kan brukes til å identifisere hvem som gjør hva.

- Det betyr at når vi oppdager brudd, må vi vurdere om saken er alvorlig nok til å gå til politiet. Hvis det ikke er hensiktsmessig å anmelde den, må vi bruke andre metoder hvis vi ønsker å identifisere hvem som står bak.

Frisak sier Statoils ledelse fortsatt håper på å løse striden med SaF utenfor rettssystemet, og at det vil bli tatt et nytt initiativ for å få til en minnelig løsning.

Han peker på at de fire det gjelder, har innrømmet at de bevisst gikk inn i postkassen til sin overordnede, og at en av dem har godtatt sin omplassering.

- Det er ikke vurdert tiltak verken mot dem som brukte aktivitetsloggen lovstridig eller mot dem som lot postkassen stå uten passord-beskyttelse. Vi tror ikke saken kan løses gjennom syndebukker. Men det er viktig å sørge for at alle som har tilgang til aktivitetsloggen er innforstått med reglene for hvordan den skal brukes.

E-post-systemet til Statoil har en rekke spesielle finesser. Blant annet kan meldinger krypteres, og det er en egen rubrikk som man kan krysse av for å hindre en melding fra å kopieres.

- Vi prøver å få til en skikkelig praksis. Men vi har 18.000 ansatte, og det kan ta tid. Uansett teknologiske ordninger må systemet grunnes på tillit. Jeg må kunne forvente at folk ikke henter dokumenter fra skrivebordskuffen min, selv om jeg skulle ha glemt å låse den, avslutter Frisak.

Til toppen