Når ansatte slutter: sjekkliste for Microsoft 365, e-post og utstyr
Når noen slutter, er det lett å tenke at IT-delen handler om å slette en bruker. I praksis er det en av de mest risikable dagene i året for en liten bedrift. Kontoen har tilgang til e-post, kundedata, delte filer og ofte flere systemer enn noen husker. Samtidig gjelder egne norske regler for hva arbeidsgiver kan gjøre med e-postkassen etterpå.
Denne sjekklisten går gjennom hele løpet i Microsoft 365: hva som bør skje før siste arbeidsdag, i det øyeblikket kontoen stenges, og i ukene etterpå.
Kort fortalt
- Planlegg stengingen før siste arbeidsdag, og gi den ansatte tid til overlevering og til å rydde bort private e-poster.
- Blokker pålogging, bytt passord og logg ut alle økter samtidig. Én av dem er ikke nok.
- Ikke videresend e-posten til en kollega. Bruk autosvar som forteller hvem kunden skal kontakte.
- Innsyn i en tidligere ansatts e-post eller OneDrive er regulert, og gjelder også etter at arbeidsforholdet er over.
- Slett kontoen innen rimelig tid. En slettet bruker kan gjenopprettes i 30 dager.
Hvorfor dette er mer enn å slette en bruker
En Microsoft 365-konto er mer enn en e-postadresse. Den eier ofte Teams-team, SharePoint-sider og delte lenker, den kan være registrert som kontaktperson hos leverandører, og den har gjerne en innlogget telefon og PC som fortsatt synkroniserer data.
Sletter du brukeren for tidlig, kan du miste filer og møteserier som andre fortsatt trenger. Venter du for lenge, står en aktiv konto åpen hos en person som ikke lenger jobber hos dere. Begge deler skjer oftere enn man skulle tro, og ingen av dem merkes før det er for sent.
Før siste arbeidsdag
De viktigste stegene skjer mens personen fortsatt er på jobb. Det er da du får overlevert kunnskap og filer uten å måtte gå inn i noens e-post i etterkant.
- Avtal tidspunkt for stenging. Bestem dato og klokkeslett for når kontoen stenges. Ved en vanlig oppsigelse er det typisk ved arbeidstidens slutt siste dag. Ved en konflikt bør det skje i samme øyeblikk som beskjeden gis.
- Be om overlevering av filer. Jobbdokumenter som ligger i den ansattes OneDrive bør flyttes til Teams eller SharePoint, der kollegaene skal jobbe videre med dem.
- Gi tid til å rydde private ting. Den ansatte bør få mulighet til å slette private e-poster og filer før kontoen stenges. Det er både god skikk og det beste vernet mot at dere senere må vurdere innsyn.
- Kartlegg hva personen eier. Teams-team, SharePoint-sider, møteserier, skjemaer i Forms og planer i Planner bør få ny eier. Sjekk også om personen har en administratorrolle.
- Finn tjenester registrert på personens e-post. Domenet, nettsiden, sosiale medier, leverandørportaler og banktjenester er ofte knyttet til én persons adresse. Flytt dem til en rolleadresse før kontoen stenges.
- Avlys og gjenopprett møteserier. Faste møter som personen har opprettet kan ikke endres når kontoen er borte. Det er enklest at en kollega oppretter dem på nytt.
Tips
Bruk felles rolleadresser som post@, faktura@ og support@ til alt som skal leve videre i bedriften. Da blir det aldri kritisk å stenge én persons e-post.
I det øyeblikket kontoen stenges
Disse stegene gjøres i Microsoft 365 administrasjonssenter under Brukere og Aktive brukere. Gjør dem samlet og i denne rekkefølgen.
- Blokker pålogging. Personen kan ikke lenger logge inn på nye enheter eller nettlesere.
- Tilbakestill passordet. Velg et sterkt passord som ingen får vite.
- Logg av alle økter. Innlogginger som allerede er aktive, for eksempel Outlook på privat mobil, kan ellers fortsette å synkronisere en stund. Denne handlingen tvinger fram ny innlogging overalt.
- Fjern påloggingsmetoder. Slett registrerte metoder for tofaktorautentisering, slik at Authenticator på den gamle telefonen ikke lenger kan brukes til å godkjenne noe.
- Fjern administratorroller og spesielle rettigheter. Sjekk også om personen har tilgang til Send som eller fullstendig tilgang til andre postbokser.
- Sett opp autosvar. Fortell at personen har sluttet, og hvem avsenderen kan kontakte i stedet. Det kan gjøres av en administrator uten å åpne e-postkassen.
- Samle inn PC og mobil. Er enhetene administrert med Microsoft Intune, kan du slette bedriftsdata eksternt, også fra en privat telefon, uten å røre personens bilder og private apper.
Viktig
Bare å blokkere pålogging er ikke nok på egen hånd. Uten å tilbakestille passordet og logge av alle økter kan en allerede innlogget app fortsette å hente e-post en periode.
E-postkassen: dette sier reglene
Her skiller norske forhold seg fra det mange internasjonale guider anbefaler. Det vanlige rådet er å gjøre postboksen om til en delt postboks og gi en kollega tilgang. I Norge er det ikke så enkelt.
Forskrift om arbeidsgivers innsyn i e-postkasse og annet elektronisk lagret materiale gjelder også for tidligere ansatte. Utgangspunktet er at arbeidsgiver ikke har innsyn. Innsyn kan bare skje når det er nødvendig for den daglige driften eller andre berettigede interesser, eller ved begrunnet mistanke om grove pliktbrudd. Den ansatte skal så langt det er mulig varsles og få anledning til å uttale seg på forhånd.
For en tidligere ansatt betyr det i praksis:
- Ingen automatisk videresending. Datatilsynet regner automatisk videresending av en tidligere ansatts e-post som en form for overvåking. Bruk autosvar i stedet.
- Ikke gi kolleger fast tilgang til postboksen. Å gjøre postboksen om til en delt postboks og gi andre full tilgang er i realiteten innsyn, og må vurderes etter de samme reglene.
- Avslutt kontoen innen rimelig tid. E-postkassen skal ikke stå åpen på ubestemt tid. Skriv ned hvor lenge dere beholder den, og hvorfor.
- Har dere behov for innsyn senere, for eksempel for å finne en bestemt kundeavtale, må det skje etter forskriften: avgrenset søk, få personer involvert, og varsel til den tidligere ansatte.
Dette er ikke juridisk rådgivning, men det viser hvorfor overleveringen før siste dag er så viktig. Jo bedre overleveringen er, jo mindre grunn har dere til å åpne noe i etterkant.
Delt postboks som parkering
Å gjøre postboksen om til en delt postboks kan likevel være nyttig, så lenge ingen får tilgang. Da kan autosvaret gå videre en periode, innholdet bevares, og lisensen frigjøres. En delt postboks trenger ikke lisens så lenge den er under 50 GB og ikke har arkiv eller juridisk oppbevaring aktivert.
OneDrive og filer
Innsynsreglene gjelder ikke bare e-post, men også andre personlige lagringsområder som OneDrive. Derfor er overleveringen før siste dag den beste løsningen også her.
Etter at brukeren er slettet, beholdes OneDrive i en oppbevaringsperiode som administratoren styrer, før den går til papirkurven. Microsoft har også innført regler for OneDrive-kontoer uten lisens: de blir skrivebeskyttet etter 60 dager og arkivert etter 93 dager, og det kan påløpe kostnader for å hente dem fram igjen.
Det praktiske rådet er enkelt: få jobbfilene flyttet til Teams eller SharePoint mens personen fortsatt er der, og la ikke en ulisensiert OneDrive bli stående uten en plan. Er dere usikre på hva som hører hjemme hvor, forklarer vi forskjellen i Teams, SharePoint eller OneDrive.
Hva skjer med hva?
| Hva | Hva skjer | Hva du bør gjøre |
|---|---|---|
| E-post | Blir liggende til kontoen slettes | Autosvar, ingen videresending, slett innen rimelig tid |
| OneDrive | Beholdes en periode etter sletting | Flytt jobbfiler før siste dag |
| Filer i Teams-kanaler | Ligger i SharePoint og påvirkes ikke | Ingenting, de tilhører teamet |
| Filer delt i Teams-chat | Ligger i avsenderens OneDrive | Flytt viktige filer før siste dag |
| Teams-team og SharePoint-sider | Mister eieren hvis personen var eneste eier | Legg til ny eier før stenging |
| Faste møter personen har opprettet | Kan ikke endres etterpå | Avlys og opprett på nytt |
| Lisens | Frigjøres når den fjernes fra brukeren | Fjern eller bruk på ny ansatt |
| Mobil og PC | Fortsetter å synkronisere til økter avsluttes | Logg av alle økter og slett bedriftsdata |
I ukene etterpå
- Fjern lisensen når postboksen er gjort om, eller bruk den på en ny ansatt.
- Bytt delte passord personen kjente, for eksempel til trådløst nett, felles kontoer og alarmsystem.
- Sjekk faktura og abonnement som var knyttet til personen, særlig tjenester betalt med personens kort eller registrert på personens adresse.
- Slett kontoen når oppbevaringsperioden dere har bestemt er over. En slettet bruker kan gjenopprettes i 30 dager. Etter det er den borte.
- Oppdater rutinen med det dere lærte. Neste gang går det dobbelt så raskt.
Når noen slutter brått
Ved avskjed, oppsigelse i en konflikt eller mistanke om at noen tar med seg data, bør stengingen skje i samme øyeblikk som samtalen starter. Blokker pålogging, tilbakestill passord og logg av alle økter mens samtalen pågår. Er det mistanke om at data er kopiert ut, bør dere sikre loggene i Microsoft 365 før noe annet endres, og vurdere å få hjelp.
Vanlige spørsmål
Kan vi videresende e-posten til den som tar over?
Nei, ikke automatisk. Datatilsynet regner automatisk videresending av en tidligere ansatts e-post som overvåking. Bruk autosvar som forteller hvem avsenderen skal kontakte.
Hvor lenge kan vi beholde e-postkassen til en som har sluttet?
Regelverket sier ikke et eksakt antall dager, men kontoen skal avsluttes innen rimelig tid. Bestem en fast periode i rutinen deres, og begrunn den, for eksempel at autosvaret skal gå i en avgrenset periode.
Trenger en delt postboks lisens?
Ikke så lenge den er under 50 GB og verken har arkiv eller juridisk oppbevaring aktivert. Da kan lisensen brukes på en ny ansatt.
Vi slettet brukeren for tidlig. Kan vi få den tilbake?
Ja, i 30 dager kan en slettet bruker gjenopprettes fra Microsoft 365 administrasjonssenter med e-post og OneDrive. Etter det er dataene som regel borte for godt, med mindre dere har egen backup.
Kan vi gi den nye ansatte samme e-postadresse?
Det frarådes. E-post som var ment for den tidligere ansatte vil da havne hos en ny person. Bruk heller rolleadresser til det som skal leve videre i bedriften.
Sjekklisten passer for de fleste små og mellomstore bedrifter med Microsoft 365. Har dere flere systemer i tillegg, for eksempel regnskap, CRM eller en nettbutikk, bør de inn i samme rutine.
