Chefen kan kigge med på din telefon

Det tænkte eksempel er næppe sandsynligt, medmindre man har en meget kynisk chef. Men det er ikke desto mindre muligt. For hvis virksomheden betaler ens telefon, vil der i mange tilfælde også være installeret såkaldt MDM-software (Mobile Device Management) i telefonen – og med den kan arbejdsgiveren se dig over skulderen.

For nylig henvendte et medlem sig til Djøf. Hans arbejdsgiver havde installeret et MDM-program på hans telefon. Da han skulle skifte arbejdsgiver og ville frikøbe sin telefon, kunne han ikke slette programmet. Den er i dag stadig under den tidligere arbejdsgivers kontrol. Og nu advarer Datatilsynet mod, at din arbejdsgiver kan få informationer om dig, som arbejdsgiveren ikke bør have.

Med mobiltelefonens – og særligt smartphonens – udbredelse er det blevet muligt at arbejde effektivt, fleksibelt og ja, mobilt. Og det er virksomheden vældig interesseret i, at du gør. Men hvis du vil bruge virksomhedens data (mails, filer, systemer osv.), vil virksomheden gerne sørge for, at de data er beskyttet. Problemet er, at både dit privatliv og virksomhedens data kan være i fare.

Effektivitet og sikkerhed

Der er to årsager til, at arbejdsgiveren installerer MDM-software, fortæller system-administrator i Djøfs it-afdeling, Nils Christian Ørbech.

”For det første vil virksomheder gerne gøre nogle funktioner eller programmer tilgængelige for medarbejderen, og for det andet vil virksomheden af sikkerhedsmæssige årsager gerne sikre sig, at man ikke installerer programmer, der kan bringe virksomhedens data i fare,” fortæller han.

Effektivitet og sikkerhed er altså, hvad arbejdsgiveren har i tankerne, når de installerer ’overvågningssoftware’ på din mobil. Men hvad giver de her systemer adgang til? Ifølge Nils Christian Ørbech er der to væsentlige informationer om dig, din arbejdsgiver kan hente fra MDM-programmet. For det første en liste over, hvilke apps du har installeret, og for det andet en gps-position.

Persondatabrud?

Det lyder måske uskyldigt nok. Men det mener Samir Maktabi ikke.

Han er strategisk rådgiver inden for mobilitet og sikkerhed – herunder MDM-løsninger, og han er ikke i tvivl. Visse MDM-løsninger beskytter overhovedet ikke medarbejdernes privatliv. Og det kan være ulovligt i henhold til GDPR-forordningen, der netop skal sikre borgernes personfølsomme oplysninger.

”En liste over apps er i høj grad personfølsomme oplysninger. Dating-apps som Tinder eller Grinder siger noget om ens seksualitet. Hvis du har en lang række betting-apps, kunne det måske tyde på, at du har problemer med ludomani. De oplysninger bør virksomheden ikke have,” siger han og oplister en række scenarier.

”Hvad nu hvis den it-ansvarlige står til at blive fyret og ligger inde med personlige oplysninger om direktøren? Hvad nu hvis den it-ansvarlige kommer til at tale over sig om de 17 forskellige dating-apps, en medarbejder har installeret?” spørger Samir Maktabi.

Der findes dog teknologi, som både kan sikre medarbejderens privatliv og virksomhedens data, forklarer Samir Maktabi.

Hvis  man har en telefon, som bruger styresystemet Android, er der fx udviklet software, der indeholder en funktion, der deler telefonen op i to. Selv om man fysisk kun har én telefon, vil data være splittet i to. Desuden kan man på Apple-telefoner lukke alle sine arbejdsrelaterede funktioner såsom mail, kontakter og kalender ned i en app, som så skal åbnes med en kode.

Samir Maktabi mener desuden, at det skal kunne 'logges', når virksomheden skaffer sig adgang til private oplysninger på mobilen. Og det kan sagtens lade sig gøre, siger han.

Løsningerne findes altså. Men alligevel kan virksomheden krænke medarbejderens privatliv og bringe egne data i fare, hvis MDM-softwaren ikke er sat ordentlig op.

”Og så er der rigtig mange organisationer, som endnu ikke har en MDM-løsning, som gør, at de kan styre telefonerne og derved leve op til lovgivningen,” siger Samir Maktabi.

Der kan være legitime årsager

Det er Datatilsynet, der i sidste ende håndhæver reglerne for virksomhedernes efterlevelse af GDPR-lovgivningen. Og cand.jur. og it-sikkerhedsspecialist i Datatilsynet, Allan Frank, medgiver, at det kan være svært at navigere i for både medarbejdere og virksomheder. Det er ikke en 'open-and-shut-case', som han siger.

Han understreger dog, at der kan være legitime årsager til, at en virksomhed kan kontrollere medarbejdernes telefoner – og dermed have adgang til personfølsomme oplysninger.

”Det hensyn, der fx ligger i, at virksomheden kan opretholde en sikker infrastruktur og ikke har enheder, der kompromitterer sikkerheden, er legitimt,” siger Allan Frank.

Men det betyder ikke, at virksomhederne bare kan overvåge løs. For det kræver nemlig to ting, før overvågningen er rimelig. Dels kræver det, at informationerne ”begrænses til det, som er nødvendigt for at sikre mobilen og virksomhedens infrastruktur,” og at virksomheden tager nogle sikkerhedsforanstaltninger, som at de begrænser adgangen til informationerne, og at det herudover bliver logget hver gang en it-ansvarlig er inde og kigge på medarbejderens oplysninger.

Desuden er det vigtigt, at medarbejderen er ordentligt informeret og klar over, hvad spillereglerne er. Lever virksomheden op til dette, vil en vis overvågning være legitim, vurderer han.

Det store spørgsmål er naturligvis, om virksomhederne så lever op til det, Allan Frank taler om. Selv om han mener, at virksomheder har et stort fokus på at overholde reglerne, kan udviskningen af grænsen mellem arbejde og privatliv give anledning til tvivl.

”Som mennesker og teknologibrugere kan vi blive betaget af alle de muligheder, som de her systemer har. Nogle gange, når man bliver betaget af mulighederne, kan man sætte nogle digitale fodspor, som man ikke engang selv havde tænkt på,” siger Allan Frank.

Selv har han givet køb på fleksibiliteten til fordel for sikkerheden.

”Jeg har to telefoner. Jeg blander slet ikke arbejdet med det private. Ud fra en it-sikkerhedsmæssig betragtning synes jeg, det er en rigtig dårlig idé.”

Virksomhedens data er også i fare

Som tidligere nævnt er grunden til, at virksomhederne installerer MDM-software, at de vil beskytte virksomhedens data.Og det er blevet langt sværere i dag.

Hvis du åbner en arbejdsfil på din telefon, vil den typisk gemmes i din private Icloud, dropbox eller google drive. Og hvis du så ovenikøbet har givet andre apps (som Facebook, Endomondo eller Snapchat) lov til at dele dine informationer, er virksomhedens data pludselig helt ude af kontrol.

”Jo mere sammenblandet det private er med arbejdet, jo større er chancen for, at det går galt,” siger Allan Frank.

Ifølge formand for Rådet for Digital Sikkerhed, it-sikkerhedschef Henning Mortensen, laver fornuftige organisationer en risikovurdering. Nogle medarbejdere arbejder med mere følsomme sager, og de vil formentlig skulle finde sig i mere overvågning.

”Det største problem er, hvis de, der implementerer dem, ikke har gjort sig tanker om risikovurdering. Hvis de bare har givet den fuld skrue og ikke har lavet afvejning mellem medarbejderens personfølsomme oplysninger og virksomhedens pligt til at beskytte sine data,” siger han.

’Hvis man vil læse mails, koster det lidt på privatsfæren’

Senior mobility specialist i WeDoMobility, der bl.a. hjælper virksomheder med at installere MDM-software, Michael Gylling Hviid, mener, at virksomhederne har god grund til at installere MDM-systemerne.

”Firmaerne får så meget mere ud af systemet, end hvis de ikke havde det. De får sikkerhed for, at deres data ikke bliver misbrugt eller kommer i forkerte hænder,” siger han.  

Han er enig i, at det kan være problematisk, at arbejdsgiveren kan se, hvilke apps medarbejderen har installeret. Men i sidste ende er det et nødvendigt onde, mener han.

”Pointen er, at en medarbejder altid kan melde sig ud. Der er ingen, der siger, du skal læse mails. Hvis man vil dét, koster det lidt på privatsfæren,” siger Michael Gylling Hviid.

Med andre ord, man kan ligesom Allan Frank fra Datatilsynet bare have to telefoner. Men det er nok de færreste, der vil synes, at det er en ideel løsning.

Har du overset noget?

Hvis man som medarbejder ikke er klar over, om man har en aftale, har man enten overset noget, eller også lever arbejdsgiveren ikke op til sit ansvar, lyder det fra formand for Rådet for Digital Sikkerhed, Henning Mortensen.

”Virksomheden har en forpligtigelse til at oplyse medarbejderen,” siger han.

Hvis de ikke har gjort det, kan medarbejderen rimelig nemt finde ud af, om de har en MDM-løsning, siger han.

”Det vil være den app, som man hverken selv eller mobilselskabet har installeret, og som man ikke kan slette. Og ellers bør man kigge på intranettet og undersøge, om der er en politik, man har overset,” siger Henning Mortensen.

Allan Frank fra Datatilsynet opfordrer til, at både arbejdsgivere og medarbejdere giver området større opmærksomhed. Han minder også om, at selv om det kan synes ligegyldigt for de fleste, kan det have store konsekvenser ikke at have styr på, hvad arbejdsgiveren kan følge med i.

”Man skal huske på, at det altid er nemmere, når man er gode venner med sin arbejdsgiver. Men hvis det lige pludselig går galt, er der en risiko for, at der er noget viden på den ene side af hegnet, som der ikke burde være.”