Mange direktører ved ikke, hvad deres IT-systemer gemmer om medarbejderne. Logning betyder, at et system automatisk noterer, hvad der sker, fx hvem der har logget ind, hvornår en mail er sendt, eller hvilke sider der er besøgt. Det sker tit af sig selv og af gode grunde, fordi det hjælper med drift og fejlsøgning. Datatilsynets vejledning er tydelig på ét punkt. Medarbejderne skal have klar og utvetydig besked på forhånd om logningen, og om at den kan gennemses ved mistanke. Her er, hvordan en virksomhed uden IT-chef får overblikket og skriver informationen. Spørgsmål om konkret kontrol af en medarbejder er et emne for advokat.
Find ud af, hvad der faktisk logges
Ledelsen kan ikke informere om noget, den ikke kender. Stil IT-leverandøren nogle enkle spørgsmål, og bed om svar på skrift:
- Hvilke systemer logger, hvad medarbejderne gør? Tænk på mail, internetadgang, Microsoft 365, adgang til filer, fjernadgang og mobiler.
- Hvad står der i loggen? Afsender og tidspunkt er noget andet end indholdet.
- Hvor længe gemmes det?
- Hvem hos leverandøren og hos jer kan læse det?
- Er noget slået til, som I ikke selv har bedt om?
Svaret kan overraske. Nogle systemer logger meget som standard, og andre gemmer næsten intet. Begge dele er nyttigt at vide. Tag også adgangssystemer og andre ting med, hvis de registrerer, hvem der er hvor og hvornår.
Sådan bruges loggen
Beslut, hvad loggen skal bruges til. For de fleste mindre virksomheder er svaret drift og sikkerhed. Loggen bruges til at finde fejl og til at undersøge en hændelse, og ingen sidder og kigger i den til daglig.
Skriv også ned, hvornår den må åbnes, og hvem der bestemmer det. En fornuftig regel er, at leverandøren ikke undersøger en bestemt medarbejder uden en skriftlig bestilling fra en navngiven person i ledelsen. Så undgår I, at en mellemleder ringer til leverandøren og beder om at se, hvad en kollega har lavet.
Sikkerhedsovervågning som del af en samlet indsats hører til sikkerhedsledelsen og er beskrevet under CISO as a Service. Her handler det om det, I skal fortælle medarbejderne.
Hvad medarbejderne skal have at vide
Informationen skal komme, før logningen sker, og den skal være klar. Stil det op, så den almindelige medarbejder forstår det ved første læsning:
- Hvad der logges. Mail, internet, login og andet, I har fundet frem til.
- Hvorfor. Drift, fejlfinding og sikkerhed, eller hvad I nu har besluttet.
- At loggen kan gennemses ved mistanke. Sig det ligeud.
- Hvem der kan få adgang, og hvem der beslutter det.
- Hvor længe oplysningerne gemmes.
- Hvem man kan spørge.
Et tænkt eksempel på en formulering. “Vores systemer registrerer automatisk login, afsendte og modtagne mails og besøgte hjemmesider. Vi bruger oplysningerne til drift og sikkerhed. Ved mistanke om misbrug kan oplysningerne blive gennemset efter beslutning fra direktøren. Spørgsmål kan rettes til kontorchefen.” Teksten er et eksempel og bør tilpasses jeres forhold, og en advokat kan læse den igennem.
Hvor informationen skal stå
Skriv den ind i personalepolitikken, og giv den til nye medarbejdere ved ansættelsen. Hold en kort gennemgang for dem, der allerede er ansat, og lav en note om, at det er sket. Hører informationen hjemme i et fælles dokument, som ingen får besked om, kan det være svært at sige, at den er givet klart og utvetydigt.
Ændrer I noget, skal medarbejderne have besked, før ændringen træder i kraft. Det gælder også, når et nyt system tages i brug. Sæt punktet på tjeklisten, når I vælger et nyt system eller udvider jeres Microsoft-opsætning.
Har I overenskomst eller andre aftaler med medarbejderne, kan der gælde mere, end fremgår her. Det er et spørgsmål til advokat eller jeres arbejdsgiverforening.
Sammenhæng med resten
Logning hænger tæt sammen med andre beslutninger om medarbejdernes data. Den fratrådtes konto er beskrevet i den fratrådtes mailkonto. Spørgsmålet om, hvad ledelsen må åbne, er behandlet i privat mail på arbejdskontoen.
Tag også stilling til, hvor længe I vil gemme loggene. Der er ikke en fast frist for alt, og I skal afveje behovet til drift og sikkerhed mod hensynet til medarbejderne. Den slags frister er en ledelsesbeslutning, som omtales i sletning som ledelsesbeslutning.
Hvis en mistanke dukker op, skal I standse og tænke jer om. Tal med advokat, inden nogen begynder at kigge i logge eller mail. En forkert fremgangsmåde kan skade både medarbejderen og sagen.
Det gør I nu
Send spørgsmålene til IT-leverandøren i denne uge. Beslut derefter, hvad loggen må bruges til, og hvem der kan bestille adgang. Skriv informationen, lad en rådgiver læse den, og gennemgå den på næste personalemøde. Tilføj den til velkomstmaterialet til nye medarbejdere.
Det skal I lade være med
- At antage, at leverandøren har styr på det · ansvaret for at informere medarbejderne ligger hos jer.
- At slå ny logning til i stilhed · medarbejderne skal vide det på forhånd.
- At lade enhver leder bestille opslag i loggen · beslutningen skal ligge hos få, navngivne personer.
- At begynde at undersøge på egen hånd ved mistanke · tal med advokat først.
Det skal I kræve af den eksterne
- ☐ Et skriftligt overblik over, hvad der logges i hvert system, og hvor længe det gemmes.
- ☐ Et udkast til information til medarbejderne i almindeligt sprog.
- ☐ En regel for, hvem der må bestille adgang til logge, aftalt med leverandøren.
- ☐ En note i tjeklisten for nye systemer om, at medarbejderne skal orienteres.
Kilder
- Datatilsynet: Vejledning om databeskyttelse i forbindelse med ansættelsesforhold: information på forhånd om logning.
- Datatilsynet: Kontrol af medarbejdere.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Privat mail på arbejdskontoen: hvad må ledelsen åbne? · Hjemmearbejde: IT-delen af politikken
→ Kontakt · Tlf. 70 13 63 23 · Ekstern IT-chef hos Nielco IT
