På denne siden får du vite om hvordan filer og e-poster skal behandles i forbindelse med en brukers bortgang, samt hvilke regler som gjelder for innsyn i materialet.

Se også: Rutiner ved medarbeiders dødsfall | Rutiner ved students dødsfall

Se "Rutine for behandling av filer og e-post ved brukers dødsfall" som pdf.

Innledning

Dette dokumentet beskriver rutinene for håndtering av materiale lagret på NTNUs lagringsløsninger i tilfelle en brukers dødsfall. Rutinene skal sikre at rettighetene til materiale lagret på NTNUs lagringsløsninger ivaretas etter en brukers dødsfall og at personvernet sikres ved utlevering av materialet.

Den klare hovedregelen er at alt innhold på avdødes filområder og e-postkonto slettes etter 6 måneder, og at innsyn kun gis dersom det foreligger en særskilt hjemmel. Brukere oppfordres derfor til å være bevisste på hvor informasjon lagres, dersom de ønsker å sikre tilgang for andre personer.

Dokumentet omfatter ikke rutiner for å avgjøre hvem som har rettighet til materialet.
For rettigheter til virksomhetsrelatert materiale og annet materiale der immaterielle rettigheter (IPR) kommer til anvendelse, følges NTNUs politikk for immaterielle rettigheter. Dette omfatter blant annet resultater som er skapt eller oppnådd i forbindelse med et prosjekt, arbeid eller lignende.

Anvendelsesområde

Rutinene gjelder for alt digitalt materiale som lagres på lagringsløsninger eller annet utstyr eid eller disponert av NTNU.
Rutinene gjelder for:

• alle ansatte ved NTNU
• alle studenter ved NTNU
• alle som har tilgang til, og/eller bearbeider og forvalter informasjon gjennom NTNUs IKT-infrastruktur

Forholdet til andre retningslinjer og politikker ved NTNU

I tillegg til denne overordnede instruksen gjelder eventuelle spesifikke og lokale rutiner og bestemmelser som er fastlagt for utlevering av slikt materiale. Lokale rutiner kan ikke gi dårligere beskyttelse av rettigheter eller svakere personvern enn disse sentrale rutinene.

Dersom krav med grunnlag i NTNUs IKT-reglement, Politikk for informasjonssikkerhet, retningslinjer, offentlige lover og forskrifter eller andre relevante rutiner er forskjellig fra kravene i dette dokumentet, gjelder de mest restriktive kravene.

Definisjoner

Eid eller disponert av NTNU: Datautstyr og lagringsløsninger innkjøpt og eid av NTNU eller finansiert av andre og stilt til disposisjon for NTNU.

Virksomhetsrelatert materiale: Materiale som er knyttet til gjennomføring av arbeidsoppgaver for NTNU.

Datautstyr og lagringsløsninger: Både passive systemer som back-up og minnepinner og aktive systemer som filtjenere, arbeidsstasjoner, laboratoriemaskiner, mobiltelefoner og annet utstyr med mulighet for elektronisk lagring. Eksempel på datautstyr og lagringsløsninger ved NTNU kan være e-post, OneDrive, hjemmekatalog, lokal disk på pc og mobil, heretter blir dette omtalt som lagringsløsninger i denne rutinen.

Materiale lagret som privat: Alt materiale lagret under mapper merket «Privat» eller tilsvarende.

Prinsipper

Datautstyr og lagringsløsninger som NTNU stiller til disposisjon for en ansatte eller studenter, skal som hovedregel benyttes i arbeids-/studierelatert sammenheng. Brukere som lagrer privat informasjon på filområder eller i e-postkasser, oppfordres til å lagre slik informasjon eksternt dersom de ønsker at etterlatte skal kunne få tilgang til den.

NTNU bør motta innsynsbegjæring senest innen 5 måneder etter dødsfall for å garantere at materialet kan sikres. Etter 6 måneder vil materialet slettes.

NTNU skal sikre at de registrertes personvern ivaretas ved tilgang til – og utlevering av materialet.

Parter

I saker av denne typen skal partene være klart definert.

• Den som begjærer innsyn, skal være representert ved en navngitt person.
• NTNU er formelt representert ved leder ved den enhet den avdøde var tilknyttet.
  • Lederen, eller den personen lederen delegerer ansvaret til ved den enheten som avdøde var tilknyttet, er ansvarlig for å påse at denne rutinen følges.

Informasjon til pårørende

Når en ansatt eller student dør, skal NTNUs rutiner og prosedyrer for dette følges:

• Rutine for medarbeiders dødsfall
• Rutine for students dødsfall

Ved en brukers dødsfall skal det gjøres avtale med pårørende om tilbakelevering av utstyr eid av NTNU. De pårørende bør også gjøres kjent med muligheten til å be om innsyn i brukerens materiale. Den enhet den avdøde var tilknyttet har ansvaret for å gi informasjonen og for å påse at rutinene for behandling av materialet følges. Dette gjelder både studenter og ansatte.

Sikring av brukers filer og e-post

Ved en brukers dødsfall sikres brukerens filer og e-post i seks måneder. Dette er fastslått i IKT-reglementet.

Brukerens kontoer på NTNUs lagringsløsninger blir inaktive.

Hvis avdødes fysiske datautstyr skal gjenbrukes før det har gått 6 måneder, må leder eller den leder delegerer til, kontakte IT-avdelingen via NTNU Hjelp for bistand.

Dersom brukeren har slettet materiale før dødsfallet skal NTNU respektere denne handlingen. Slikt slettet materiale skal ikke hentes fra backup.

Rett til innsyn i brukers e-post og filer

For alt innsyn i avdød brukers e-post og filer skal NTNUs rutiner for innsyn i brukers e-post og filer følges.

De restriksjoner og sikkerhetskrav som er gitt ved klassifisering av materialet, satt av systemeier, eier eller forvalter av informasjonen, skal etterleves. Se NTNUs retningslinje om klassifisering av informasjonsverdier.

Personvernregelverket

Opplysninger om avdøde personer er ikke omfattet av personvernregelverket, jf. fortalepunkt 27 i personvernforordningen (GDPR). Likevel kan informasjon om en avdød person inneholde personopplysninger om andre, for eksempel etterlatte eller ansatte ved NTNU, og dermed være omfattet av personvernreglene.

For eksempel: informasjon om at avdøde Ola var gift med Karl er en personopplysning om Karl. Familiebildene som Ola har lagret på PC-en som han fikk av arbeidsgiveren, er personopplysninger om de avbildede familiemedlemmene.

NTNUs rett til innsyn i materialet

Ved en brukers død, skal NTNU som hovedregel avslutte og slette innholdet i e-postkassen, samt innhold lagret på brukerens filområder.

For avdøde ansatte reguleres arbeidsgivers rett til innsyn av e-postforskriften. Avdøde studenter/andre personer tilknyttet NTNU omfattes ikke av e-postforskriften. Likevel gjelder personvernforordningen (GDPR) dersom materialet inneholder opplysninger om nålevende personer.

NTNUs rett til innsyn i ansattes materiale

I enkelte tilfeller kan det være nødvendig at NTNU gjør innsyn i ansattes e-postkasse eller filområder for å finne virksomhetsrelatert informasjon. Et slikt innsyn kan innebære en behandling av personopplysninger om levende personer, for eksempel andre ansatte i virksomheten, og dermed omfattes av personvernreglementet.

Arbeidsgivers rett til å foreta innsyn i e-post eller annet elektronisk materiale følger av forskrift om arbeidsgivers innsyn i e-postpostkasse og annet elektronisk lagret materiale (e-postforskriften). E-postforskriften § 2 gir en uttømmende angivelse av når arbeidsgiver har rett til innsyn.

For at innsyn skal være lovlig, må det være nødvendig for å ivareta virksomhetens daglige drift eller andre berettigede interesser. Eksempler på daglig drift kan inkludere oppfølging av virksomhetsrelatert korrespondanse og informasjon. Når det gjelder «andre berettigede interesser», må det gjennomføres en avveining der behovet for innsyn veier tyngre enn hensynet til personvernet til de registrerte. Denne vurderingen samsvarer med vurderingen av «berettigede interesser» i personvernforordningen (GDPR) artikkel 6 nr. 1 bokstav f. Videre må det vurderes om informasjonen kan innhentes på en annen, mindre inngripende måte. I så tilfelle vil innsyn anses som unødvendig og derfor ikke være tillatt.

Innsyn som er nødvendig for å ivareta virksomhetens daglige drift eller andre berettigede interesser, og som ikke kan oppnås på annen måte, kan derfor være tillatt. Arbeidsgiver har imidlertid som hovedregel ikke en berettiget interesse i å undersøke privat materiale. For å unngå at privat informasjon eksponeres, bør det på forhånd tas nødvendige grep for å skille ut slik informasjon. Innsynet må begrenses til det som er strengt nødvendig, og det bør gjennomføres målrettede søk basert på relevante søkeord.

Videre varierer kravene til innsyn avhengig av typen elektronisk utstyr. Innsyn i en arbeidstakers mobiltelefon vil for eksempel anses som særlig inngripende, spesielt dersom arbeidsgiveren har dekket telefonen, og den brukes både til private og arbeidsrelaterte formål. Dette skyldes at det ofte er upraktisk for ansatte å ha en separat privat telefon, og arbeidstelefonen kan derfor inneholde personlig informasjon som bilder og private samtaler. Slike tilfeller krever en særlig høy terskel for lovlig innsyn.

Disse prinsippene gjelder også ved innsyn i e-post og andre kommunikasjonskanaler, og understreker at arbeidsgivers tiltak for innsyn må være så målrettede og skånsomme som mulig, i tråd med både lovverket og hensynet til de berørtes personvern.

NTNUs rett til innsyn i studenters/andre personers materiale

E-postforskriften, som regulerer arbeidsgivers innsyn i e-post og filer, gjelder kun for ansatte og dermed ikke studenter eller andre personer tilknyttet NTNU.

Selv om personvernforordningen (GDPR) ikke gjelder for avdøde personer, vil den fortsatte komme til anvendelse dersom avdødes digitale materiale inneholder opplysninger om nålevende personer.

NTNU må ha rettslig grunnlag for å behandle slikt materiale, vanligvis hjemlet i personvernforordningen (GDPR) artikkel 6 nr. 1 bokstav f, som gjelder behandlingsgrunnlaget «berettiget interesse». For at NTNU skal kunne påberope seg en berettiget interesse, må det gjennomføres en konkret interesseavveining. Det innebærer at NTNU må vurdere om den berettigede interessen – for eksempel institusjonens behov for tilgang til virksomhetsrelatert informasjon – veier tyngre enn hensynet til personvernet for de nålevende personene som omtales i materialet. Det må også vurderes om formålet med innsynet kan oppnås på en mindre inngripende måte. Hvis det finnes alternative metoder som i mindre grad griper inn i personvernet, vil det som hovedregel ikke være tillatt å gjennomføre innsyn.

Etterlattes rett til innsyn i materialet

De etterlatte etter en brukers død har ikke uten videre krav på innsyn i den avdødes e-postkasse eller annet elektronisk lagret materiale.

Hovedregelen er at e-postkassens innhold, innhold lagret i andre elektroniske kommunikasjonsmedier eller innhold lagret elektronisk på den avdødes personlige filområde, skal slettes.

For at brukers filer eller kopier av e-post skal kunne utleveres, må det foreligge særskilt hjemmel som gir grunnlag for dette. Dersom bruker har etterlatt seg testamente eller andre dokumenter som regulerer innsyn eller utlevering av privat materiale, skal bestemmelsene i disse følges. Dersom slik dokumentasjon ikke finnes, må arbeidsgiver vurdere de etterlatte sine ønsker etter personvernreglene.

Etter personvernregelverket kan personer kreve innsyn i personopplysninger om seg selv, ikke om andre. Det betyr at pårørende bare har innsynsrett i opplysninger om seg selv. Pårørende har med andre ord ikke innsynsrett i opplysninger om andre personer.

Dersom etterlatte ønsker å få utlevert personopplysninger om andre enn den avdøde eller seg selv, må arbeidsgiver gjøre en konkret vurdering før det skjer en utlevering. NTNU må vurdere om den etterlatte har en berettiget interesse etter personvernforordningen (GDPR) artikkel 6 nr. 1 bokstav f, og om formålet veier tyngre enn hensynet til eventuelle tredjepersoners personvern.

Det er avgjørende at innsynsbegjæringen er konkretisert, slik at materialet kan lokaliseres ved hjelp av enkle søk. Dersom innsynsbegjæringen ikke er tilstrekkelig konkretisert, taler det for å ikke gjøre videre søk.

Politi og påtalemyndighetens rett til innsyn i materialet

Dersom politi eller etterforskningsmyndigheter krever tilgang til, og utlevering av det lagrede materialet tillates det etter NTNUs rutiner for slik tilgang. Dette gjelder alt materiale som brukeren har lagret, også på private dataområder. Dersom brukeren aktivt har slettet materiale skal det ikke tas ut materiale fra backup med mindre det foreligger hjemmel i lov eller beslutning fra politi, påtalemyndighet eller retten.

Prosedyrer for innsyn på vegne av NTNU

Arbeidsgiver skal varsle dødsboet før innsyn gjennomføres, og gi det anledning til å uttale seg. I varselet skal det fremgå hvorfor arbeidsgiver mener vilkårene for innsyn er oppfylt, samt informasjon om dødsboets rettigheter.

Dødsboets representant skal gis mulighet til å være til stede under selve gjennomføringen av innsynet.

Dersom innsyn gjennomføres uten forutgående varsel, skal dødsboet så snart som mulig etterpå motta en skriftlig underretning. Underretningen skal, i tillegg til opplysningene nevnt ovenfor, inneholde opplysninger om hvilken metode for innsyn som ble benyttet, hvilke e-poster eller andre dokumenter som ble åpnet samt resultatet av innsynet.

Innsyn skal gjennomføres på en måte som sikrer at informasjonen i minst mulig grad endres, og at frembrakte opplysninger kan etterprøves. Åpnede e-poster, dokumenter eller tilsvarende som det viser seg at ikke er nødvendige eller relevante for formålet med innsynet, skal straks lukkes. Eventuelle kopier skal slettes.

Utlevering av brukers filer og e-post

Med utlevering forstås utlevering av kopi av materialet eller at materialet på annen måte gjøres tilgjengelig. Ved behov kan deler av materialet utleveres separat.

Materialet utleveres først når rettigheten til materialet er endelig avklart. Utlevering av data skjer mot utfylling av en erklæring med liste over utleverte data, der mottaker underskriver på at denne:

• har mottatt data, og
• erkjenner at utleveringen ikke medfører noen endring i faktisk eierforhold.

Sletting av brukers materiale

Avdødes e-postkasse og filområder, inkludert dets innhold slettes seks måneder etter dødsfallet, med mindre offentlige myndigheter eller andre berettigede parter har krevd innsyn og kan fremlegge skriftlig begjæring. Backup slettes etter NTNUs rutiner for dette.

Dokumentasjon og arkivering

For saker av denne typen er det dokumentasjonsplikt. All dokumentasjon angående saken og behandling av brukerens materiale arkiveres i NTNUs arkiv.

NTNUs arkivrutine skal følges.

Revisjoner og endringer

Revisjon av dokumentet inngår i den rutinemessige revisjonen av de sentrale rutiner og retningslinjer for Informasjonssikkerhet. Ved behov oppdateres dokumentet fortløpende.

Referanser og lenker

• NTNUs nettside om informasjonssikkerhet
• NTNUs rutine ved medarbeiders dødsfall
• NTNUs rutine ved students dødsfall
• Datatilsynet om behandling av personopplysninger ved arbeidstakers død

Sist revidert: 13.05.2025
Ansvarlig for rutinen: HR- og HMS-avdelingen