Postkassen til den som har sluttet: behandlingen ingen dokumenterer

Det er verdt å motstå trangen til å legge dette bort som en belgisk sak. Av alle behandlinger en virksomhet utfører, er postkassen til den som har sluttet antakelig den mest universelle og nesten alltid den som mangler i protokollen. Ingen bestemmer den: den skjer. På avgangsdagen står kontoen åpen fordi «det kan komme noe viktig», en måned senere husker ingen å lukke den, og ett år etter finnes det en beholder med korrespondansen til en person som ikke er der lenger, lest av kolleger hun aldri har gitt tillatelse til.

Argumentet som brukes til forsvar for praksisen er alltid det samme: berettiget interesse i driftskontinuitet. Argumentet er ikke latterlig, det er bare mye kortere enn bruken man gjør av det. I dagene rett etter avgangen finnes det virkelig en interesse i ikke å miste en ordre eller en frist. Den interessen er oppbrukt når korrespondentene har hatt tid til å endre adresse, og den tiden måles i uker. Deretter er det som står igjen ikke kontinuitet, men bekvemmeligheten av ikke å ha omorganisert noe, og bekvemmelighet er ikke et rettslig grunnlag.

• Postkassen skal deaktiveres senest den dagen forholdet avsluttes. Ikke «så snart som mulig»: den dagen.
• I stedet et automatisk svar som oppgir en alternativ adresse, uten å forklare hvor personen har gått og uten å oppgi hennes private kontaktopplysninger.
• Etter en rimelig frist — i prinsippet én måned, forlengbar til høyst tre med dokumenterte grunner — slettes både postkassen og det automatiske svaret.
• Innholdet leses ikke. Trengs et dokument virkelig, må det finnes med et målrettet, dokumentert søk, og den berørte informeres på forhånd.
• Personen skal vite alt dette før avgangen, ikke oppdage det etterpå: det er informasjonsplikten, ikke en høflighet.

For personvernombudet er det fire ting å skrive ned, og ingen av dem krever et prosjekt: linjen i protokollen over behandlingsaktiviteter, med formål, grunnlag og atskilte frister for deaktivering og for sletting; avsnittet i personalinformasjonen som beskriver hva som skjer med postkassen etter avgangen; offboarding-rutinen som gir én navngitt person oppgaven med å lukke, med en dato; og protokollen over enhver tilgang til innholdet, dersom tilgang har funnet sted. Uten det fjerde punktet kan virksomheten ikke påvise at ingen har lest noe, og bevisbyrden er dens egen.

En detalj om det automatiske svaret, for det er den delen som oftest skrives dårlig. «Vår kollega arbeider ikke hos oss lenger, du finner ham på denne nye adressen» formidler til enhver som skriver en opplysning om karriereveien til en person som ikke har bedt om å få den offentliggjort. Den riktige teksten sier to ting og stopper: at denne adressen ikke er i bruk lenger, og hvilken adresse man skal skrive til. Ikke grunnen, ikke bestemmelsesstedet, ikke de gode ønskene.

Hva man gjør i dag, konkret. Den som håndterer etterlevelse i en virksomhet kan på en halvtime fastslå hvor mange postkasser til personer som har sluttet som fremdeles er aktive, siden når, og om noen videresendes til en kollega. Er tallet ikke null, trengs ingen personvernkonsekvensvurdering: det trengs en liste med en dato ved hver linje. Det belgiske vedtaket har ikke oppstilt noe nytt prinsipp — tilsynets linje har vært den samme minst siden 2020, da et selskap fikk 15 000 euro for adresser som ikke var lukket da medarbeidere sluttet. Det som har endret seg, er prisen.