Offboarding når en ansatt slutter: sjekkliste for IT

Av Redaksjonen i Bedriftsabonnement.no · Publisert 12. oktober 2026 · Sist oppdatert 6. oktober 2026

Offboarding er rutinen som avslutter en ansatts tilganger, kontoer, utstyr og abonnementer når arbeidsforholdet tar slutt. I en liten bedrift uten egen IT-avdeling handler det om fire ting. Innloggingen i Microsoft 365 og alle andre systemer stenges den siste arbeidsdagen. PC og firmatelefon leveres inn og tilbakestilles. Bedriften bestemmer hva som skjer med e-post, filer og telefonnummer. Og det bedriften ikke trenger, slettes innen rimelig tid.

Det er i den siste delen det er lettest å gjøre feil. Microsofts veiledning foreslår å videresende e-posten til en kollega eller gjøre postkassen om til en delt postkasse. I Norge regnes automatisk videresending som innsyn, og hovedregelen i e-postforskriften er at e-postkassen skal avsluttes når arbeidsforholdet opphører.

Av redaksjonen i Bedriftsabonnement.no. Artikkelen bygger på Datatilsynets veiledning om innsyn i e-post og filer, avgjørelser fra Datatilsynet og Personvernnemnda, Prop. 56 LS (2017–2018), Arbeidstilsynet, NSMs grunnprinsipper for IKT-sikkerhet, Microsofts dokumentasjon, Nkom, Altinn, Telia og Apple. Alt er kontrollert 27. september 2026.

Kort fortalt

• Tilbakestill passordet og logg ut alle økter den siste arbeidsdagen. En sperret innlogging i Microsoft 365 kan bruke inntil 24 timer på å tre i kraft.
• Systemer med eget brukernavn og passord, som regnskap, bank, Altinn og leverandørportaler, må stenges hver for seg.
• Automatisk videresending av en tidligere ansatts e-post regnes som innsyn. E-postkassen skal avsluttes, og innhold som ikke trengs i driften, skal slettes innen rimelig tid.
• Flytt bedriftens dokumenter og pågående saker før siste arbeidsdag. Da slipper dere å åpne e-postkassen eller OneDrive senere.
• Telefonnummeret følger abonnementet. Står det på bedriften, avgjør bedriften om den ansatte får ta det med.
• Microsoft sletter e-post, kontakter og kalender 30 dager etter at lisensen er fjernet.

Planlegg offboardingen i oppsigelsestiden

Offboardingen står og faller på om noen har oversikt over hva den ansatte faktisk har tilgang til. NSM anbefaler en formell prosess for kontoer og tilganger som dekker hele livssyklusen, fra opprettelse til deaktivering.

Start med en liste over alt personen logger inn i. Tjenester som bruker Microsoft-kontoen til innlogging, slipper ikke inn nye pålogginger når kontoen er sperret, men økter som allerede er åpne, kan leve til tokenet utløper. Alt med eget brukernavn og passord berøres ikke i det hele tatt. Det gjelder typisk regnskap, nettbank, Altinn, domene, nettbutikk, sosiale medier og leverandørportaler. Spør også etter delte passord til Wi-Fi, skrivere og bedriftens Facebook-side.

Overlevering som gjør innsyn unødvendig

Datatilsynet anbefaler rutiner for fortløpende arkivering og overføring av virksomhetsrelatert informasjon til fagsystemene, nettopp for å unngå at arbeidsgiveren senere må gå inn i en ansatts e-post. For den som slutter, gir det tre oppgaver i oppsigelsestiden. Bedriftens dokumenter i OneDrive flyttes til SharePoint, Teams eller fagsystemet. Pågående kundesaker og tilbud overleveres til en navngitt kollega. Kunder og leverandører får beskjed om ny kontaktperson.

La også den ansatte ta med seg eller slette private e-poster og filer før siste dag. Det er langt enklere enn å skille privat fra jobb i etterkant.

Microsoft 365 steg for steg

Steng innloggingen den siste arbeidsdagen

Microsoft beskriver to grep som gjøres samtidig. Det ene er å tilbakestille passordet og velge «Sign out of all sessions» på brukeren i administrasjonssenteret. Det andre er «Block sign-in». En sperring kan ifølge Microsoft bruke inntil 24 timer på å virke, og det er passordbyttet som stopper innloggingen umiddelbart. Etter utloggingen blir brukeren bedt om å logge inn på nytt innen en time, fordi et tilgangstoken varer i en time.

I Microsoft Entra heter funksjonene «Account enabled» og «Revoke sessions», og Microsoft anbefaler der også å deaktivere enhetene som er registrert på brukeren. Avtal tidspunktet på forhånd. Ved en ordinær oppsigelse stenges tilgangen når arbeidsdagen er over, ved avskjed før samtalen.

Fjern tofaktor og app-passord

Den ansattes mobil er registrert som tofaktormetode på kontoen. I Entra kan en administrator velge «Require re-register MFA», som ifølge Microsoft sletter telefonnumre, Authenticator-apper og programvaretokener fra brukeren. Eldre app-passord slettes i en egen innstilling.

Sjekk også motsatt vei. Står den ansattes mobilnummer som mottaker av engangskoder på bedriftens kontoer hos andre tjenester, går kodene til en person som ikke lenger jobber hos dere. Flytt dem til et nummer eller en app bedriften kontrollerer. Hadde personen administratorrettigheter, må minst én annen ha de samme rettighetene før kontoen stenges. Ellers kan bedriften låse seg selv ute.

E-posten etter Microsofts oppskrift og etter norske regler

Microsofts veiledning for tidligere ansatte gir to valg. E-posten kan videresendes til en kollega, eller postkassen kan gjøres om til en delt postkasse som flere har tilgang til. En delt postkasse under 50 GB krever ikke lisens. Begge løsningene forutsetter at brukerkontoen ikke slettes.

Her kolliderer den globale oppskriften med norsk regelverk. Personvernnemnda har lagt til grunn at automatisk videresending er innsyn, uavhengig av om e-postene åpnes, og at forskriften uansett ikke åpner for videresending etter at den ansatte har sluttet. En delt postkasse gir kolleger tilgang til alt som ligger der. Å åpne og lese den tidligere ansattes e-post er innsyn og bare lov når vilkårene lenger ned er oppfylt.

Det som normalt gjenstår, er et automatisk svar. Forskriften åpner for å holde kontoen åpen en kort periode når det er et særskilt behov. Et svar som forteller at personen har sluttet og hvem avsenderen kan kontakte, dekker ofte behovet uten at noen leser det som kommer inn. Sett en fast sluttdato i rutinen.

Filene i OneDrive

OneDrive er den ansattes personlige lagringsområde i bedriftens Microsoft 365, og Datatilsynet skriver at reglene om innsyn også gjelder arbeidstakerens personlige område i virksomhetens datanettverk. Filer bedriften trenger, bør derfor flyttes av den ansatte selv.

Slettes brukerkontoen, beholdes OneDrive i 30 dager som standard. Administratoren kan endre perioden. Lederen som er registrert på brukeren, får e-post om tilgangen og en påminnelse sju dager før perioden går ut. Deretter ligger OneDrive 93 dager i papirkurven før den slettes permanent, med mindre en oppbevaringsregel eller et hold gjelder. At lederen får tilgang automatisk, er en teknisk funksjon og ingen juridisk vurdering.

Å bare fjerne lisensen og la kontoen stå er ingen varig løsning. Microsoft setter en OneDrive uten lisens i skrivebeskyttet modus etter 60 dager og arkiverer den etter 93 dager. Fra 1. juli 2026 gjelder i tillegg en samlet frist på 365 dager uten betaling før kontoen kan slettes. Skal dere hente data fra en arkivert konto, må den reaktiveres. Hvis brukeren fortsatt finnes, kan en gyldig lisens reaktivere kontoen automatisk innen 24–48 timer uten arkivavgift; ellers må administrator følge Microsofts reaktiveringskrav, som kan innebære aktivert betaling for Microsoft 365 Archive.

Lisensen og brukerkontoen

Når lisensen fjernes, holder Microsoft e-post, kontakter og kalender i 30 dager før innholdet slettes permanent. For å slutte å betale må lisensen både tas fra brukeren og trekkes fra abonnementet, med mindre den skal gå til en nyansatt. Har den ansatte et telefonnummer i Teams, frigjøres det når lisensen fjernes.

En slettet brukerkonto kan gjenopprettes i omtrent 30 dager. NSM anbefaler å deaktivere fremfor å slette kontoer, slik at revisjonssporet bevares. Hvordan brukere og lisenser henger sammen, går vi gjennom i guiden til Microsoft 365 for bedrifter.

Sjekkliste for offboarding

Tabellen gjelder en typisk bedrift med ekstern IT-partner. Har dere intern IT-ansvarlig, tar vedkommende IT-partnerens oppgaver.

Når	Tiltak	Ansvarlig	Hvorfor
Oppsigelsestiden	Kartlegg kontoer, administratorroller og delte passord	Leder og IT-partner	Sperring i Microsoft 365 stenger ikke systemer med eget passord
Oppsigelsestiden	Flytt filer til SharePoint eller Teams og overlever saker	Den ansatte	Gjør innsyn unødvendig
Siste arbeidsdag	Tilbakestill passord, logg ut alle økter, sperr innlogging og slett tofaktormetoder	IT-partner	Sperring alene kan ta inntil 24 timer
Siste arbeidsdag	Ta imot PC, telefon og annet utstyr mot kvittering	Leder	Grunnlag for tilbakestilling
Siste arbeidsdag	Sett automatisk svar med sluttdato, uten videresending	IT-partner	Videresending regnes som innsyn
Første uke	Tilbakestill innlevert utstyr og fjern bedriftens data fra private telefoner	IT-partner	Utstyret skal være tomt før det brukes igjen
Første uke	Fjern tilgang i regnskap, bank, Altinn og andre systemer, og bytt delte passord	Økonomiansvarlig	Disse stenges ikke fra Microsoft 365
Første uke	Gjennomfør eierskifte, overføring eller oppsigelse av mobilabonnementet	Økonomiansvarlig	Bedriften er abonnent og betaler til det er endret
Når autosvaret utløper	Fjern lisensen og trekk den fra abonnementet	IT-partner	E-posten slettes 30 dager senere
Etter 30–90 dager	Kontroller at e-postkassen er avsluttet og unødvendig innhold slettet	Daglig leder	Krav i e-postforskriften
Etter 30–90 dager	Slett kontoen eller avklar OneDrive, og gå gjennom aktive kontoer	IT-partner	Ulisensiert OneDrive låses etter 60 og arkiveres etter 93 dager

PC, firmatelefon og annet utstyr

Lag en utstyrsliste med PC, mobil, nettbrett og sikkerhetsnøkler før siste dag. Er enhetene styrt med Intune eller et annet verktøy for enhetsstyring (MDM), gjøres resten fra administrasjonssenteret. «Wipe» tilbakestiller enheten til fabrikkinnstillinger og fjerner alle data, apper og innstillinger. «Retire» passer for private telefoner som har vært brukt i jobben. Den fjerner bedriftens apper, e-post-, Wi-Fi- og VPN-profiler og jobbdata, men lar personlige bilder og apper være, og utføres neste gang enheten tar kontakt med Intune. Se også Microsoft Intune for bedrifter.

Uten MDM kan administratoren i Exchange slette jobbkontoen fra telefonen og sperre den for e-post, men velg kommando med omhu. Bruker den ansatte telefonens innebygde e-postapp, sletter kommandoen «Wipe Data» hele telefonen, også bilder og private filer. «Account Only Remote Wipe» fjerner bare e-post, kalender og kontodata. I Outlook-appen for iPhone og Android fjernes bare det som ligger i Outlook.

Firmatelefoner fra Apple har en felle. Aktiveringslåsen slås på automatisk når Find My er aktivert, og den skal hindre at andre tar telefonen i bruk. Be den ansatte logge ut av Apple-kontoen og slette telefonen før innlevering. Enheter som er registrert i bedriftens MDM, kan håndteres annerledes.

Ikke bla gjennom en innlevert telefon. Datatilsynet skriver at det skal svært mye til før innsyn i en arbeidstakers mobiltelefon er lovlig, fordi telefonen ofte brukes like mye privat som i jobben.

Mobilabonnement og telefonnummer

Telefonnummeret følger abonnementet. Står abonnementet på bedriftens organisasjonsnummer, er bedriften abonnent og avgjør om den ansatte kan ta nummeret med. Les mer om hvem som har retten til telefonnummeret når du slutter i jobben. Nkom beskriver at en ny tilbyder må ha skriftlig fullmakt fra kunden før nummeret flyttes. Når kunden er bedriften, kan en ansatt altså ikke flytte nummeret uten at bedriften medvirker.

Tre løsninger går igjen. Nummeret kan gis til etterfølgeren, noe som ofte er riktig for numre kundene kjenner. Det kan overføres til den ansatte ved eierskifte. Hos Telia starter bedriftens administrator prosessen i Min Bedrift ved å avslutte nummeret og gjøre det klart til overføring, og den ansatte får deretter en SMS om videre fremgangsmåte. Eller abonnementet kan sies opp. Sjekk bindingstid og eventuell nedbetaling av telefonen først, og skriv beslutningen inn i sluttoppgjøret.

Får nummeret engangskoder for bedriftens kontoer, må kodene flyttes til et annet nummer før eierskiftet.

Regnskap, bank, Altinn og delte passord

Kontoer utenfor Microsoft 365 vises ikke i administrasjonssenteret, så la økonomiansvarlig eie denne delen. I regnskapssystemet fjernes brukeren, og dere sjekker om personen var attestant eller godkjenner av fakturaer. En godkjenningsflyt som venter på en som har sluttet, stopper betalingene. I bedriftsnettbanken fjerner bedriftens administrator, eller banken, den ansattes tilgang og eventuelle disposisjonsrettigheter. BankID-en er personlig og berøres ikke.

I Altinn kan hovedadministrator eller tilgangsstyrer slette fullmakter under Tilgangsstyring og Brukere. Altinn gir automatisk hovedadministrator-tilgang til roller i Enhetsregisteret, blant annet daglig leder og styrets leder. Var den som slutter, registrert med en slik rolle, følger tilgangen rollen til Enhetsregisteret er oppdatert.

Delte passord krever egen opprydding. NSM anbefaler at kontoer kan spores til en ansvarlig person, at brukere får minst mulig rettigheter, og at delte og upersonlige kontoer unngås. Der deling ikke lar seg unngå, bør passordene ligge i en passordhåndterer med delte hvelv, slik at dere ser hva personen hadde tilgang til. Alt vedkommende kjente, byttes den første uken.

Personvern etter at den ansatte har sluttet

Hovedregelen er at e-postkassen avsluttes

Forskrift om arbeidsgivers innsyn i e-postkasse og annet elektronisk lagret materiale, ofte kalt e-postforskriften, er en forskrift til arbeidsmiljøloven. Den gjelder både nåværende og tidligere ansatte og må praktiseres sammen med personvernforordningen (GDPR), som gjelder i Norge gjennom personopplysningsloven. Reglene ble videreført fra den tidligere personopplysningsforskriften, slik regjeringen foreslo i Prop. 56 LS (2017–2018).

Personvernnemnda har gjengitt forskriftens § 4 i en avgjørelse. E-postkassen skal avsluttes ved arbeidsforholdets opphør, med mindre det er et særskilt behov for å holde kontoen åpen en kort periode. Innhold som ikke er nødvendig for den daglige driften, skal slettes innen rimelig tid. Hvor lenge en konto kan holdes åpen, må ifølge nemnda vurderes konkret. Avslutning betyr ifølge Datatilsynet at kontoen slutter å eksistere, slik at det ikke lenger er mulig å sende e-post til den.

Brudd får konsekvenser. Datatilsynet ga i 2021 en virksomhet 150 000 kroner i overtredelsesgebyr etter at daglig leder hadde byttet passord og logget seg inn i en tidligere ansatts e-postkasse hver dag i seks uker. Tilsynet mente også at virksomheten hadde brutt sletteplikten i personvernforordningen artikkel 17, og påla den å lage rutiner. I en annen sak opprettholdt Personvernnemnda et gebyr på 75 000 kroner mot en arbeidsgiver som hadde videresendt en tidligere ansatts e-post i nesten ett år og ni måneder.

Når innsyn likevel er lov

Datatilsynet beskriver to situasjoner der arbeidsgiver kan gå inn i nåværende eller tidligere ansattes e-post eller private filer. Den ene er når det er nødvendig for å ivareta driften eller andre berettigede interesser. Den andre er begrunnet mistanke om grove brudd på arbeidstakerens plikter. Det er ikke nok at innsyn er praktisk. Finnes det en mindre inngripende løsning, som et automatisk svar eller å spørre kolleger som har kopi av korrespondansen, er innsyn ikke nødvendig. Samtykke er heller ikke et gyldig grunnlag.

Skal innsyn gjøres, skal den tidligere ansatte så langt det er mulig varsles på forhånd med begrunnelse, få uttale seg og få være til stede, gjerne med tillitsvalgt eller en annen representant. Søkeordene bestemmes på forhånd, og private e-poster lukkes straks. Reglene gjelder også opplysninger på sikkerhetskopier. Å hente frem e-post fra backup av Microsoft 365 er derfor like mye innsyn som å åpne postkassen.

Skriv rutinen før noen slutter

Datatilsynet anbefaler skriftlige retningslinjer for innsyn og for avvikling av e-postkasser, og at de ansatte får vite hva som gjelder. Innsyn i e-post er ifølge Datatilsynet et kontrolltiltak etter arbeidsmiljøloven kapittel 9, og Arbeidstilsynet skriver at kontrolltiltak skal drøftes med de ansatte eller deres representanter før de utformes og settes i verk. En rutine for offboarding av ansatte bør derfor si hvor lenge autosvaret står, når e-postkassen avsluttes, når innholdet slettes og hvem som kan beslutte innsyn.

Neste steg

Lag rutinen på én side og bruk den neste gang noen slutter. Begynn med tre tiltak. Skriv ned hvem som har administratortilgang i Microsoft 365 og i banken, lag en liste over systemer med egen innlogging, og avtal med IT-partneren hvem som stenger kontoen den siste arbeidsdagen. Har dere ingen fast IT-partner, finner du priser og avtaleformer i guiden til IT-support for bedrifter.

Kilder

Kontrollert 27. september 2026.

• Datatilsynet: Innsyn i e-post og annet elektronisk lagret materiale: forskriften gjelder nåværende og tidligere ansatte og personlig område i datanettverket, automatisk videresending, de to grunnlagene for innsyn, nødvendighet, samtykke, prosedyrekrav, sikkerhetskopier, mobiltelefon, retningslinjer, rutiner for arkivering og overføring, arbeidsmiljøloven kapittel 9.
• Datatilsynet: Gebyr for innsyn i tidligere ansatts e-postkasse og manglende avslutning av e-postkassen (2021): 150 000 kroner, innlogging hver dag i seks uker, tilgang i over fem måneder, pålegg om rutiner.
• Datatilsynet: Arbeidsgivers behov for innsyn: hva avslutning og sletting av e-postkontoen betyr.
• Personvernnemnda: PVN-2018-16: ordlyden i dagens § 4 i e-postforskriften, automatisk videresending er innsyn, konkret vurdering av hvor lenge en konto kan holdes åpen, gebyr på 75 000 kroner.
• Regjeringen: Prop. 56 LS (2017–2018), kapittel 31.3.4: videreføring av reglene om innsyn i e-post i forskrift til arbeidsmiljøloven kapittel 9.
• Arbeidstilsynet: Kontroll og overvåking: drøftingsplikt før kontrolltiltak, saklig grunn og minst belastende tiltak.
• NSM: Grunnprinsipper for IKT-sikkerhet 2.6, Ha kontroll på identiteter og tilganger: livssyklus for kontoer, deaktivering fremfor sletting, oppfølging av ubrukte kontoer, minste privilegium, sporbarhet, delte kontoer.
• Microsoft Learn: Remove a former employee med steg 1, steg 3, steg 4, steg 5, steg 6 og steg 7: passordbytte og utlogging, sperring inntil 24 timer, «Account Only Remote Wipe», videresending og delt postkasse under 50 GB, 30 dager etter fjernet lisens, reduksjon av lisenser, Teams-nummer, gjenoppretting innen 30 dager.
• Microsoft Learn: Revoke user access in Microsoft Entra ID: «Account enabled», «Revoke sessions», deaktivering av registrerte enheter, tilgangstoken på én time.
• Microsoft Learn: Manage user authentication methods: «Require re-register MFA» og sletting av app-passord.
• Microsoft Learn: OneDrive retention and deletion: 30 dager som standard, e-post til leder og påminnelse sju dager før, 93 dager i papirkurven.
• Microsoft Learn: Manage unlicensed OneDrive user accounts: gjelder fra 1. juli 2026, skrivebeskyttet etter 60 dager, arkivert etter 93 dager, reaktivering krever betaling.
• Microsoft Learn: Wipe og Retire i Intune: fabrikktilbakestilling, hva som fjernes og beholdes på private enheter, utføres ved neste innsjekk.
• Microsoft Learn: Perform a remote wipe on a mobile phone in Exchange Online: forskjellen på «Wipe Data» og «Account Only Remote Wipe» i innebygd e-postapp og i Outlook.
• Nkom: Nummerportering ved bytte av tilbyder: retten til å beholde nummeret og skriftlig fullmakt fra kunden.
• Telia: Eierskifte når ansatt slutter: fremgangsmåten i Min Bedrift og SMS til den ansatte.
• Altinn: Tilgangspakker og Slett fullmakter på andre: hvem som kan administrere fullmakter, roller i Enhetsregisteret med hovedadministrator-tilgang, sletting under Tilgangsstyring og Brukere.
• Apple: Activation Lock for iPhone and iPad og What to do before you sell, give away, or trade in your iPhone: aktiveringslåsen, utlogging og sletting før enheten gis videre.

Forbehold: Artikkelen gir generell informasjon og er ikke juridisk rådgivning. Om innsyn i en konkret e-postkasse er lovlig, og hvor lenge en konto kan holdes åpen, må vurderes i hvert enkelt tilfelle. Microsofts frister og funksjoner gjelder på kontrolltidspunktet og kan endres, og hvilke funksjoner dere har, avhenger av lisens og oppsett. Rutinene for eierskifte varierer mellom operatørene.