HR, tillidsrepræsentanter og samarbejdsudvalg: hvem skal inddrages?

En red team-øvelse, der omfatter social engineering eller fysisk adgang, berører medarbejdere, og så er det ikke kun et anliggende for sikkerhedsfunktionen og ledelsen. Hvem der skal inddrages, afhænger af jeres organisation, overenskomster og interne aftaler, og det kan ikke besvares generelt. Det, der kan siges, er, at HR næsten altid har en rolle, at medarbejdernes repræsentanter kan have brug for at kende rammen, og at begge dele kan ske uden at afsløre, hvornår og hvordan øvelsen finder sted. Afklar spørgsmålet internt med HR og jurist, før planlægningen går i gang. Teksten er ikke juridisk rådgivning.

Hvorfor spørgsmålet skal afklares tidligt

Det er fristende at holde kredsen lille, fordi en skjult øvelse kræver fortrolighed. Men hvis HR først hører om øvelsen, når en ked af det medarbejder ringer, er det for sent at planlægge hensynet. Og hvis medarbejdernes repræsentanter opdager bagefter, at kolleger er blevet mødt af en henvendelse uden at kende rammen, kan det skade samarbejdet om sikkerhed i lang tid. → Fortrolighed om øvelsen

Der kan også være formelle grunde. Datatilsynet skriver om arbejdsgiveres kontrolforanstaltninger, at der skal være et driftsmæssigt formål, at foranstaltningen ikke må være krænkende for de ansatte, og at der skal søges opnået en aftale med de ansatte. Om en red team-øvelse er en kontrolforanstaltning i den forstand, er en konkret vurdering, som bør foretages, før I beslutter, hvem der inddrages, og hvordan.

HR: den nødvendige samarbejdspartner

HR kender medarbejderne og personalepolitikken på en måde, sikkerhedsfunktionen ikke gør. Det gør HR til en naturlig del af white team eller til en fast kontakt for white team, når øvelsen omfatter mennesker. Opgaverne kan være:

Undtagelser · at pege på medarbejdere, der ikke bør være mål, uden at begrunde det over for holdet. → Personer, der ikke må være mål
Personalepolitik · at sikre, at løftet om ingen personlige konsekvenser hænger sammen med de regler, organisationen ellers bruger.
Støtte · at være kontakt for medarbejdere, der bliver påvirket under eller efter øvelsen.
Debriefing · at planlægge, hvem der orienterer de berørte, og i hvilken rækkefølge.

Det er en fordel at vælge én person i HR, som kan holde på fortroligheden og har mandat til at træffe beslutninger, når en situation opstår. → White team

Tillidsrepræsentanter: rammen frem for detaljerne

Tillidsrepræsentanter repræsenterer medarbejderne og kan være dem, kolleger går til, hvis de føler sig dårligt behandlet. Det er derfor en fordel, at de på forhånd kender den ramme, organisationen øver inden for: at der kan forekomme sikkerhedsøvelser, hvad de har til formål, og hvilke hensyn der tages.

Det kræver ikke, at de kender tidspunkt, scenarie eller hvem der kan blive kontaktet. Nogle organisationer skelner mellem rammen, som kan drøftes åbent, og den enkelte øvelse, som holdes fortrolig. Hvis en tillidsrepræsentant skal kende til en bestemt øvelse, fx fordi den berører en gruppe, vedkommende repræsenterer, kan det ske med en fortrolighedsaftale som for andre i white team.

Overvej også, hvad der sker, hvis en tillidsrepræsentant selv bliver mødt af holdet. Det er ikke nødvendigvis en grund til at holde personen ude, men det bør være overvejet.

Samarbejdsudvalget: retningslinjer for øvelser

Har organisationen et samarbejdsudvalg eller et tilsvarende forum, kan det være stedet at drøfte generelle retningslinjer for sikkerhedsøvelser. Det kan fx være, at medarbejdere oplyses om, at der gennemføres øvelser, uden at tidspunkterne meldes ud, at resultater ikke bruges om enkeltpersoner, og at berørte altid får en forklaring.

Databeskyttelsesforordningens artikel 88 åbner for, at medlemsstaterne ved lov eller kollektive overenskomster kan fastsætte mere specifikke regler for behandling af medarbejderes personoplysninger. Det er et argument for at undersøge, om jeres overenskomster eller interne aftaler siger noget, der berører øvelsen. Hvad de siger, og hvad det betyder, må vurderes i hvert enkelt tilfælde.

En aftalt ramme gør det lettere at gennemføre den næste øvelse. Medarbejderne ved, at øvelser kan forekomme, og at de foregår efter regler, der er drøftet med deres repræsentanter.

Andre funktioner, der kan have en rolle

HR og repræsentanterne er ikke de eneste, der bør kende til øvelsen, når mennesker indgår. Overvej også disse funktioner:

Databeskyttelsesrådgiveren · kan vurdere behandlingen af oplysninger om medarbejdere og aftalerne om opbevaring og sletning.
Arbejdsmiljøorganisationen · kan have synspunkter på, hvordan en henvendelse påvirker kolleger, og hvordan uro håndteres.
Juridisk funktion · kan vurdere, om interne aftaler og ansættelsesvilkår sætter grænser for øvelsen.
Kommunikation · kan forberede et svar, hvis øvelsen bliver kendt uden for den lille kreds.

Ikke alle skal kende den konkrete øvelse. Det kan være nok, at de har været med til at formulere rammen og ved, hvem de skal kontakte, hvis de bliver spurgt. Det, der skal undgås, er, at en funktion med et legitimt ansvar for medarbejderne hører om øvelsen første gang fra en kollega, der føler sig dårligt behandlet. Skriv derfor ned, hvilke funktioner der er orienteret om rammen, og hvilke der kender den konkrete øvelse.

Rækkefølge og fortrolighed

En praktisk rækkefølge kan være: først afklaring med HR og jurist af, hvad der gælder i jeres organisation; derefter en drøftelse af rammen med repræsentanter eller samarbejdsudvalg; og til sidst den konkrete planlægning, hvor kun white team kender detaljerne. → Kommunikationsplan

Rækkefølgen gør det muligt at være åben om principperne og fortrolig om den enkelte øvelse. Den sikrer også, at de rette personer allerede kender rammen, når en medarbejder bagefter har spørgsmål.

Det skal I lade være med

At inddrage HR, når nogen allerede er ked af det · HR skal være med fra planlægningen.
At antage, at der ingen regler er · overenskomster og interne aftaler kan berøre øvelsen.
At forveksle rammen med detaljerne · principperne kan drøftes åbent, tidspunktet ikke.
At give repræsentanter detaljer uden fortrolighedsaftale · samme regler gælder for alle, der kender øvelsen.
At glemme, at repræsentanter også er kolleger · de kan selv blive mødt af holdet.

Hvad kan og ikke kan konkluderes

En tidlig inddragelse af HR og en drøftet ramme for øvelser gør det lettere at tage hensyn og bevare tilliden. Den sikrer ikke i sig selv, at øvelsen er i overensstemmelse med regler og aftaler, der gælder for jeres organisation. Hvem der formelt skal høres eller informeres, kan kun afgøres ud fra jeres konkrete forhold.

Tjekliste før planlægningen

☐ Har HR og jurist vurderet, hvad der gælder for øvelsen i jeres organisation?
☐ Er det afklaret, om overenskomster eller interne aftaler berører øvelsen?
☐ Er en person i HR udpeget som kontakt for white team?
☐ Kender medarbejdernes repræsentanter rammen for sikkerhedsøvelser?
☐ Er det besluttet, hvem der kender den konkrete øvelse, og under hvilken fortrolighed?

Kilder

Datatilsynet: Optagelser og tv-overvågning: om arbejdsgiverens kontrolforanstaltninger, herunder driftsmæssigt formål, at de ikke må være krænkende, og at der skal søges opnået en aftale med de ansatte.
Forordning (EU) 2016/679 (databeskyttelsesforordningen): artikel 88, stk. 1, om mere specifikke regler ved lov eller kollektive overenskomster for behandling af personoplysninger i ansættelsesforhold.

Senest gennemgået: oktober 2026.