Kan arbeidsgiver se hva ansatte gjør på mobilen?

Av Håger Nitteberg · Publisert 23. juli 2026

Kort svar: Nei, arbeidsgiver kan ikke overvåke hva ansatte gjør på mobilen. E-postforskriften forbyr overvåking av ansattes bruk av elektronisk utstyr, inkludert internettbruk, og Datatilsynet skriver rett ut at det «skal svært mye til for at innsyn i mobiltelefon er lovlig». Det arbeidsgiver derimot kan se, er forbruksdata i operatørens adminportal, jobbappene på telefonen og hele applisten på en firmaeid mobil med full styring. SMS, bilder, nettleserhistorikk og passord er ikke synlige for arbeidsgiver gjennom noen av de vanlige administrasjonsverktøyene. Denne guiden går gjennom hva som faktisk er synlig, kanal for kanal, og hvilke regler som gjelder. Faktagrunnlaget er kontrollert mot Lovdata, Datatilsynet og leverandørenes egen dokumentasjon 23. juli 2026.

Hovedregelen: overvåking av mobilbruk er forbudt

Mange tror dette er et grått område. Det er det ikke. Forskrift om arbeidsgivers innsyn i e-postkasse og annet elektronisk lagret materiale, i dagligtale e-postforskriften, sier i § 2 andre ledd:

«Arbeidsgiver har ikke rett til å overvåke arbeidstakers bruk av elektronisk utstyr, herunder bruk av Internett, med mindre formålet med overvåkingen er a. å administrere virksomhetens datanettverk eller b. å avdekke eller oppklare sikkerhetsbrudd i nettverket.»

Forskriften gjelder ikke bare e-post. Datatilsynet presiserer at den omfatter «PC, mobiltelefon og nettbrett» som arbeidsgiver har stilt til disposisjon. Jobbmobilen er altså dekket på lik linje med jobb-PC-en.

De to unntakene er formålsbestemte og snevre: drift av nettverket og informasjonssikkerhet. Datatilsynet er tydelig på at overvåking for ethvert annet formål er ulovlig, «uansett hvor aktverdige disse er». Å måle hvor mye tid ansatte bruker på sosiale medier eller nettaviser er derfor ikke lov, selv om loggene i utgangspunktet ble samlet inn til et lovlig sikkerhetsformål. Datatilsynet regner dessuten selve loggingen som overvåking, også når ingen faktisk leser loggene.

I tillegg gjelder arbeidsmiljølovens generelle regler om kontrolltiltak. Etter § 9-1 må ethvert kontrolltiltak ha saklig grunn i virksomhetens forhold og ikke være en uforholdsmessig belastning for de ansatte. Etter § 9-2 skal tiltaket drøftes med tillitsvalgte så tidlig som mulig, og de ansatte skal informeres om formål, praktiske konsekvenser og antatt varighet før det settes i verk. Arbeidstilsynet nevner uttrykkelig «overvaking av telefonbruk», GPS-sporing og «kontroll av e-post eller kva for internettsider som blir besøkte» som kontrolltiltak underlagt disse reglene.

Dette kan arbeidsgiver faktisk se, kanal for kanal

At overvåking er forbudt, betyr ikke at arbeidsgiver er blind. Noen opplysninger er lovlig og legitimt tilgjengelige. Tabellen viser hovedbildet, og avsnittene under utdyper.

Kanal	Dette ser arbeidsgiver	Dette ser arbeidsgiver ikke
Operatørens adminportal (Min Bedrift, Din Bedrift o.l.)	Datamengde, kostnader og fakturaer per abonnement, bindinger, SIM-kort	Innhold i samtaler og meldinger; spesifisert samtaleliste krever den ansattes samtykke
MDM på firmaeid mobil (full styring)	Hele applisten, enhetsinfo (modell, IMEI, OS), mulighet til å filtrere nettrafikk; posisjon kun i tapt-modus, som låser telefonen og varsler på skjermen	SMS og e-postinnhold, anrops- og nettleserhistorikk, bilder, kontakter, kalender, passord
Jobbprofil på privat mobil (Android) / User Enrollment (iPhone)	Kun jobbappene og jobbdataene; på iPhone ikke engang serienummer eller IMEI	Alt privat: apper, bilder, meldinger, posisjon, bruk
Sikkerhetsfilter i mobilnettet (Nettvern, SafeZone, Trygg Surfing)	Aggregert blokkeringsstatistikk hos enkelte leverandører	Den enkeltes surfehistorikk; Telenor oppgir eksplisitt at tjenestene ikke sporer hvilke sider den ansatte besøker
Jobb-wifi med brannmur eller DNS-logging	Metadata på domenenivå (hvilke nettsteder enheten kobler til, tidspunkt, datamengde), der slik logging er lovlig satt opp for sikkerhetsformål	Innholdet i kryptert trafikk: konkrete undersider, søk, meldinger og innlogginger

Operatørens adminportal viser forbruk, ikke innhold

I Telenors Min Bedrift kan administrator ta ut rapporter om dataforbruk og kostnader per abonnement, se de dyreste abonnementene og laste ned fakturaer. Telias Min Bedrift gir tilsvarende oversikt over abonnement, tjenester og fakturadetaljer, og Phoneros Din Bedrift er bygget for kostnadskontroll med grafisk forbruk tilbake i tid. Felles for alle tre: Portalene viser forbruk og kostnad, ikke hvem det ringes til eller hva det surfes på. Samtalespesifikasjon er ikke oppført som rapporttype hos noen av dem.

MDM ser mindre enn mange tror

Mobile Device Management, altså administrasjonsverktøy som Microsoft Intune, brukes av stadig flere norske bedrifter. Microsofts egen dokumentasjon lister opp hva organisasjonen aldri kan se på en registrert enhet: anrops- og nettleserhistorikk, innhold i e-post og SMS, kontakter, kalender, passord, bilder og innholdet i brukerens egne dokumenter. Dette gjelder både firmaeide og private enheter.

Det organisasjonen alltid ser, er enhetsinformasjon: modell, produsent, serienummer, IMEI og operativsystem. Utover det avhenger synligheten av eierskapet. På en firmaeid telefon ser administrator hele applisten og fullt telefonnummer. På en privat telefon ser administrator bare jobbappene og de fire siste sifrene i nummeret. Posisjon er aldri synlig på privat enhet, og på firmaeid enhet kun når den meldes tapt. Da låses telefonen samtidig, og en melding vises på låseskjermen. Skjult posisjonssporing er med andre ord ikke mulig gjennom disse verktøyene, verken hos Microsoft, Apple eller Google.

Jobbprofil skiller jobb og privat

På Android løses skillet med jobbprofil: en egen, adskilt del av telefonen for jobbapper. Google formulerer prinsippet slik: IT har full kontroll over jobbapper og jobbdata, «but has no visibility into personal apps». Fra Android 11 kan ikke jobbapper engang lese SMS i den private profilen, og arbeidsgiver kan ikke nullstille hele telefonen, bare slette jobbprofilen.

Apple løser det samme med User Enrollment for private iPhoner. Der er begrensningene enda strengere: Arbeidsgivers verktøy får ikke hente serienummer, IMEI eller posisjon, kan ikke slette hele enheten og kan ikke fjerne skjermlåsen. En firmaeid iPhone satt opp som «supervised» gir derimot full styring, og da opplyser Apple at brukeren får beskjed i innstillingene om at organisasjonen kan overvåke internettrafikk og lokalisere enheten. Også her gjelder at lokalisering krever tapt-modus med låsing og varsel på skjermen.

Sikkerhetsfiltrene rapporterer ikke surfehistorikk

Operatørenes sikkerhetstjenester, som Telenor Nettvern og SafeZone, Telia Trygg Surfing og Phonero Trygg Surfing, filtrerer svindel- og skadevaresider i mobilnettet. Et naturlig spørsmål er om sjefen dermed kan se hvor de ansatte surfer. Telenor svarer selv: Nettvern «sporer ikke hvilke sider du går inn på», og om SafeZone heter det at ingen persondata overføres og at tjenesten ikke lagrer eller analyserer brukerens surfedata. Telia og Phonero beskriver kun blokkering og dokumenterer ingen rapportering av enkeltpersoners surfing til arbeidsgiver. Vi har gått gjennom disse tjenestene i detalj i sammenligningen av svindelsperre og sikkerhet i bedriftsabonnement.

Fakturaen: den ansatte må samtykke til spesifisering

Et punkt få kjenner til, og som ble tydeligere med det nye ekomregelverket: Når bedriften eier abonnementet og den ansatte bruker det, kan ikke operatøren utlevere spesifisert faktura til bedriften uten videre. Ekomforskriften fra desember 2024 sier i § 4-4 tredje ledd at når «den som bruker abonnementet er en annen enn sluttbruker, skal bruker samtykke til at spesifisert faktura gis til sluttbruker». I praksis: Arbeidsgiver får totalbeløp per abonnement, men en detaljert liste over oppringte numre krever at den ansatte sier ja. Vernet ligger altså i samtykkekravet, ikke i at numre skjules.

Når har arbeidsgiver rett til innsyn?

Innsyn i innholdet på jobbmobilen eller i e-postkassen er noe annet enn løpende overvåking, og kan være lovlig i to situasjoner. E-postforskriften § 2 første ledd krever enten at innsynet er nødvendig for den daglige driften eller andre berettigede interesser ved virksomheten, eller at det foreligger begrunnet mistanke om at bruken innebærer et grovt pliktbrudd som kan gi grunnlag for oppsigelse eller avskjed. Datatilsynet understreker at begrunnet mistanke krever mer enn en løs antakelse, og at terskelen for mobiltelefon er særlig høy fordi den «vel så mye brukes til privat aktivitet» og gjerne inneholder svært private bilder og meldinger.

Er vilkårene oppfylt, stiller § 3 strenge krav til gjennomføringen. Den ansatte skal så langt som mulig varsles på forhånd, med begrunnelse og orientering om egne rettigheter, og skal få anledning til å være til stede med tillitsvalgt eller annen representant. Skjer innsynet uten varsel, skal den ansatte ha skriftlig underretning straks etterpå, med opplysning om metode, hvilke dokumenter som ble åpnet og resultatet. E-poster og filer som viser seg å være irrelevante, skal lukkes straks, og kopier slettes. Forskriften kan ikke fravikes ved avtale eller instruks til ugunst for den ansatte, heller ikke i personalhåndboken.

For privat mobil gjelder forskriften ikke, men det gjør personvernforordningen, og Datatilsynet skriver at det «skal svært mye til» før innsyn i ansattes private kommunikasjonsmidler kan gjennomføres lovlig, selv når de brukes i jobben.

GPS og sporing av ansatte

Posisjonsdata er kontrolltiltak på samme måte. Datatilsynets veiledning om sporing av yrkesbiler legger til grunn at flåtestyring, sikring av kjøretøy og ansattes sikkerhet kan være berettigede interesser, men behandlingen må være nødvendig og forholdsmessig, og opplysningene kan ikke gjenbrukes til andre formål. Tilsynets eget eksempel: Data samlet inn for å gi sanntidsinformasjon om rutetider kan ikke senere brukes til å vurdere de ansattes jobbprestasjoner. For mobiltelefoner er den tekniske virkeligheten som beskrevet over: Administrasjonsverktøyene fra Microsoft, Apple og Google tilbyr ikke skjult sporing, og posisjon utleveres bare i tapt-modus med varsel til brukeren.

Dette koster det å trå feil

Datatilsynet har ilagt en rekke overtredelsesgebyrer i denne kategorien de siste årene. En virksomhet fikk 400 000 kroner i gebyr for automatisk videresending av en ansatts e-post, aktivert under sykefravær. En annen fikk 250 000 kroner etter å ha pålagt en ansatt å videresende e-posten sin til en felles postkasse. En daglig leder som byttet passord og logget seg inn i en tidligere ansatts e-postkasse daglig i seks uker, kostet virksomheten 150 000 kroner, og automatisk videresending etter en fratreden ga 100 000 kroner i gebyr i 2022. Datatilsynet slår i tillegg fast at automatisk videresending av ansattes e-post aldri er tillatt. Arbeidslivssaker utgjorde 27 prosent av alle henvendelsene til tilsynets veiledningstjeneste i 2021, så dette er ikke teoretiske problemstillinger.

Rådene våre til bedriften

Etter vår vurdering er det tre grep som skiller ryddige arbeidsgivere fra dem som havner i Datatilsynets vedtaksarkiv. For det første: Velg løsninger som skiller jobb og privat teknisk, altså jobbprofil på Android og User Enrollment på iPhone for private telefoner, og full styring bare på firmaeide enheter. Da er personvernet bygget inn, og IT slipper diskusjoner om hva de kan se. For det andre: Drøft kontrolltiltak med de ansatte før de innføres, skriv ned formålet og informer åpent, slik arbeidsmiljøloven § 9-2 krever. For det tredje: Ikke improviser ved mistanke om misbruk. Følg prosedyren i e-postforskriften § 3, og hent juridisk råd før innsyn i en jobbmobil.

Ordnet administrasjon starter for øvrig med riktig abonnement. Operatørenes adminportaler gir kostnadskontrollen bedriften trenger, uten å røre de ansattes personvern. Skal dere rydde i mobilavtalene, kan dere sammenligne bedriftsabonnement her eller lese vurderingen vår av operatørene. Se også reglene for firmatelefon og guiden om utkjøp av mobiltelefon fra arbeidsgiver.

Ofte stilte spørsmål

Kan sjefen lese SMS-ene mine på jobbtelefonen?

Ikke gjennom administrasjonsverktøyene. Microsoft og Google oppgir uttrykkelig at meldingsinnhold ikke er tilgjengelig via MDM, og Apples MDM-rammeverk har ingen funksjon for å lese meldinger. Innsyn i innhold på en jobbmobil kan bare skje etter e-postforskriftens vilkår og prosedyre, og Datatilsynet legger til grunn at terskelen for mobil er svært høy. Meldinger i jobbsystemer som Teams og jobb-e-post ligger derimot i arbeidsgivers systemer, og der gjelder de samme innsynsreglene.

Kan arbeidsgiver se hva jeg surfer på i mobilnettet?

Nei. Løpende overvåking av internettbruk er forbudt etter e-postforskriften § 2 andre ledd, og operatørenes sikkerhetsfiltre rapporterer ikke enkeltpersoners surfehistorikk til arbeidsgiver. På jobbens wifi kan nettverksutstyr logge hvilke domener enheter kobler til når det er lovlig satt opp for sikkerhetsformål, men ikke innholdet, og loggene kan ikke brukes til å kartlegge de ansattes surfevaner.

Må jeg godta MDM på privatmobilen min?

Arbeidsgiver kan stille krav for at du skal få jobbdata på privat telefon, for eksempel at jobbprofil eller User Enrollment installeres. Det er et kontrolltiltak som skal drøftes og informeres om etter arbeidsmiljøloven § 9-2. Løsningene er laget slik at arbeidsgiver bare ser jobbdelen. Vil du ikke ha noe av dette på egen telefon, er alternativet i praksis en firmaeid telefon i tillegg.

Kan arbeidsgiver spore hvor jeg befinner meg via mobilen?

Ikke skjult. Posisjon er aldri tilgjengelig på privat enhet, og på firmaeid enhet bare i tapt-modus, som samtidig låser telefonen og viser et varsel på skjermen. Sporing som kontrolltiltak, for eksempel i yrkesbiler, krever saklig grunn, forholdsmessighet og informasjon på forhånd.

Kan arbeidsgiver se hvem jeg har ringt?

Anropshistorikken på telefonen er ikke synlig via MDM. En spesifisert oppstilling av samtaler fra operatøren krever ditt samtykke etter ekomforskriften § 4-4 når bedriften er avtalepart. Uten samtykke ser arbeidsgiver totalforbruk og kostnad, ikke numrene.

Hva skjer med e-posten min når jeg slutter?

E-postkassen skal avsluttes ved arbeidsforholdets opphør, med mindre det finnes et særskilt behov for å holde den åpen i en kort periode. Automatisk videresending av e-posten din er aldri tillatt, og Datatilsynet har gitt gebyrer på opptil 150 000 kroner for innlogging i tidligere ansattes e-post.

Kilder

Faktagrunnlaget er kontrollert 23. juli 2026 mot følgende primærkilder:

«Vårt mål er å hjelpe deg og din bedrift med å finne riktig og kostnadsbesparende mobilabonnement»

Har du noen spørsmål?

Vi besvarer gjerne dine spørsmål dersom det er noe du lurer på.