E-mail

De wet betreffende de elektronische communicatie verbiedt dat de werkgever kennis neemt van elektronische online communicatiegegevens die de werknemer verstuurt of ontvangt via het professionele netwerk. Mag de werkgever dan wel controles uitvoeren?

Artikel 124 van de wet betreffende de elektronische communicatie bevat inderdaad een aantal verbodsbepalingen. Artikel 125 van dezelfde wet bevat hierop echter een aantal uitzonderingen, bijvoorbeeld “wanneer de wet het stellen van de bedoelde handelingen toestaat of oplegt”. De Autoriteit is van oordeel dat de arbeidsovereenkomstenwet, die het gezagsrecht van de werkgever verwoordt, een wet is die het verbod van artikel 124 opheft.

Worden professionele e-mails op de werkplaats wettelijk beschermd?

Ook professionele e-mails bevatten persoonsgegevens en zijn dus niet zo maar controleerbaar (verwerkbaar) volgens de Privacywet. De werkgever moet bij controle dus de basisprincipes van de Privacywet respecteren: een welbepaald doel voor ogen hebben, niet systematisch alles controleren en de werknemer informeren over mogelijke controle.

Worden professionele e-mails op de werkplaats wettelijk beschermd?

Ook professionele e-mails bevatten persoonsgegevens en zijn dus niet zo maar controleerbaar (verwerkbaar) volgens de Privacywet. De werkgever moet bij controle dus de basisprincipes van de Privacywet respecteren: een welbepaald doel voor ogen hebben, niet systematisch alles controleren en de werknemer informeren over mogelijke controle.

Wat met werkgeverscontrole op private e-mails van werknemers?

Persoonlijke e-mails moeten, net omdat ze persoonlijk zijn, nog meer worden afgeschermd voor de werkgever. Ze mogen pas worden gecontroleerd bij een vermoeden van misbruik, en dan nog gaat het in eerste instantie enkel om een controle van metagegevens zoals frequentie en niet van inhoud.

Wat als het e-mailsysteem van de werkgever enkel mag worden gebruikt voor professionele doeleinden en het tegelijk ook verboden is gebruik te maken van privémailaccounts om privémail te versturen tijdens de werkuren?

Volgens de Niemitz-rechtspraak van het Europees Hof voor de Rechten van de Mens is de werkvloer de uitgelezen plaats voor het aangaan van privérelaties, privécommunicatie en privécorrespondentie, omdat werknemers op die plek eigenlijk de meeste uren van hun leven doorbrengen. Die persoonlijke ruimte is dus ook op de werkplek een fundamenteel mensenrecht. Werkgevers moeten daarom een zekere privécommunicatie door hun personeelsleden op de werkvloer tolereren. Als zij geen enkele mogelijkheid zouden laten om met de buitenwereld te communiceren, gaan zij in tegen de rechtspraak van het Europees Hof. Ook de Groep 29, de overkoepelende organisatie van Europese privacycommissies, stelt dat een algemeen verbod op persoonlijk gebruik van internet door werknemers op de werkvloer niet redelijk is en niet in verhouding staat tot het nut van het internet voor werknemers in hun dagelijkse leven.

Moet de basisaanbeveling inzake het gebruik van dubbele mailboxen (die van de werkgever voor het werk en een privéaccount voor persoonlijke berichten) worden nageleefd?

Deze aanbeveling heeft geen enkel dwingend of verplichtend karakter. De Autoriteit heeft hiermee enkel willen aangeven dat het verstandig is zakelijke mail van privémail te scheiden om de privacy van werknemers te waarborgen. Eén manier om dat te doen is de werknemer twee verschillende e-mailadressen laten gebruiken, zodat alle communicatie via het e-mailsysteem van de werkgever als professioneel beschouwd wordt, en de werkgever dus gerechtigd is om die te controleren zonder specifieke maatregelen te nemen om privé-informatie (die er immers in principe niet zal zijn) te beschermen.

Voor sommige organisaties is deze oplossing misschien niet wenselijk of sluitend (bv. voor binnenkomende persoonlijke e-mail op de professionele account waarop de werknemer geen vat heeft), en dan hebben werknemers onvermijdelijk een gemengde elektronische mailbox. In dat geval moet de werkgever wel specifieke maatregelen nemen om bij een zoektocht naar professionele berichten (waarop de werkgever evident recht heeft), persoonlijke berichten zoveel mogelijk te beschermen (bv. door toegang te laten verlopen via een intermediaire vertrouwenspersoon).

Op welke manier mag de werkgever de e-mails lezen van een afwezige werknemer met de bedoeling de continuïteit van de dienst te garanderen?

Vooreerst moeten preventieve maatregelen worden getroffen zodat de behoefte hieraan zeer klein is (documentenbeheer van de professionele e-mails, invoegen van een automatisch antwoord bij afwezigheid - “out of office reply”,…).

Instaan voor de continuïteit van de dienst geldt als een rechtmatig doeleinde en de werkgever kan zich hierop beroepen om toegang te hebben tot de mailbox van een afwezige werknemer.

Het is aangewezen om in de ICT-gedragscode van de onderneming - die iedere werknemer voorafgaand heeft ontvangen - de toegangsregels tot de mailbox nader te omschrijven.

Wanneer een gemengd gebruik (privé en professioneel) van de mailbox is toegestaan en wanneer het voor de werknemer onmogelijk is om zijn niet behandelde professionele e-mails door te sturen, wordt aangeraden om beroep te doen op een vertrouwenspersoon en idealiter wordt ervoor gezorgd dat de verrichtingen traceerbaar zijn.

Wanneer de werkgever dan toegang heeft tot de berichten, moet hij erover zorgen dat hij uitsluitend die e-mails leest die relevant blijken voor de continuïteit van de dienst.

Moet de werknemer zijn toestemming geven vooraleer de werkgever in het kader van de opvolging van de dienstwerkzaamheden, zijn e-mails mag lezen?

Nee, door de ondergeschiktheidsband die eigen is aan een arbeidsovereenkomst, is het niet mogelijk om een vrije toestemming te geven. Het is trouwens deze band van ondergeschiktheid die de gegevensverwerking rechtvaardigt net als het feit dat de werkgever zijn onderneming op een normale en gebruikelijke manier moet kunnen besturen.

De ICT-gedragscode die waarschijnlijk na sociaal overleg tot stand kwam, bepaalt de toegangsvoorwaarden tot de mailbox van een afwezige werknemer. Daarmee is de informatie aan de werknemer gegarandeerd. Na de overhandiging van de Gedragscode aan de werknemers, volgt idealiter een sensibilisering van de werknemers.

Mag de werkgever zelf een systeem invoeren waarmee de e-mails van de afwezige werknemer automatisch worden doorgezonden?

Deze methode heeft het nadeel dat er over de betrokken werknemer, zij het onopzettelijk persoonlijke - of zelfs gevoelige - informatie kan worden onthuld zonder zijn medeweten maar ook zonder medeweten van zijn correspondent. Er is immers geen controle op de binnenkomende e-mails (bijv. verplaatsen van een medisch onderzoek,…).

Het is daarom aangewezen om in de mailbox een automatisch bericht in te voeren dat iedere correspondent ervan verwittigt dat de werknemer afwezig is en waarin ook de contactgegevens worden meegegeven van de persoon (of algemeen e-mailadres) die in de plaats van de afwezige werknemer kan worden aangesproken.

Mogen alleen de e-mails worden gelezen van de werknemer die onvoorzien afwezig is?

Er moet eerst worden onderzocht of de werkgever daar behoefte aan heeft, gelet op de preventieve maatregelen die hij had kunnen nemen om een dergelijke situatie te beheersen.

Is dit het geval en als de mailbox niet gebruikt mag worden voor privédoeleinden, kunnen de e-mails worden beschouwd als professionele e-mails en bijgevolg mogen ze in principe ten behoeve van de continuïteit van de onderneming worden gelezen. Indien de werknemer geen vat heeft op de ontvangen e-mails, kunnen deze evenwel niet puur op een vermoeden worden gekwalificeerd. Het proportionaliteitsbeginsel van de privacywet vereist dat op basis van het nagestreefde doeleinde, alleen de toereikende, ter zake dienende en niet overmatige gegevens mogen worden verwerkt. De nadere regels voor toegang tot de mailbox moeten worden beperkt tot wat strikt noodzakelijk is om het nagestreefde doeleinde te realiseren, namelijk de continuïteit van de dienst.

Wanneer het toegelaten is om de professionele mailbox ook voor privédoeleinden te gebruiken of als de e-mails niet op vermoedens kunnen worden gekwalificeerd, is het aangewezen om – indien de omstandigheden dat toelaten - de betrokken werknemer te vragen zijn niet behandelde professionele e-mails door te sturen en als dat niet kan, een vertrouwenspersoon in te schakelen die wanneer dat nodig is, toegang zal hebben tot de mailbox van de afwezige werknemer om er uitsluitend de professionele e-mails uit te filteren die noodzakelijk zijn voor de continuïteit van de dienst.

Alleen de e-mails die dateren uit de periode waarin de werknemer afwezig is of van een korte periode vòòr die afwezigheid, waaraan geen “out of office” bericht werd gekoppeld, kunnen worden gelezen mits deze e-mails relevant blijken te zijn voor de continuïteit van de activiteiten van de onderneming.

Kan de werkgever zonder voorwaarden de veronderstelde professionele e-mails van de afwezige werknemer lezen?

Deze e-mails kunnen eveneens persoonsgegevens bevatten en dus kunnen zij niet onvoorwaardelijk worden verwerkt. Als de werkgever ze in de periode dat de werknemer afwezig is, wil lezen om de continuïteit van de diensten te verzekeren, moet hij de principes van de privacywet naleven: de werknemer is vooraf geïnformeerd van dit soort toegang tot de mailbox (bijvoorbeeld via de ICT-gedragscode van de onderneming), zich beperken tot de e-mails die verband lijken te houden met de behandeling van de lopende dossiers en in principe tijdens de afwezigheidsperiode van de werknemer waarin zijn correspondenten niet op de hoogte waren van zijn afwezigheid. Het is slechts wanneer heel specifieke elementen dit kunnen rechtvaardigen dat de werkgever de andere e-mails en/of de professionele contactgegevens van de afwezige werknemer mag lezen mits die noodzakelijk zijn voor de continuïteit van de diensten van de onderneming.

Mag de professionele mailbox op naam van een werknemer actief blijven nadat hij zijn functie heeft neergelegd?

Nee, de werkgever wordt aangeraden om zo snel mogelijk de mailbox te blokkeren van de werknemer die niet meer in dienst is, nadat hij een automatisch bericht heeft ingevoerd die iedere latere correspondent ervan verwittigt dat de werknemer niet langer meer in dienst is en dit gedurende een redelijke periode (a priori 1 maand).

Idealiter wordt na deze periode de mailbox van de betrokkene afgesloten. Het professionele e-mailadres van de vroegere werknemer mag in geen geval nog verder worden gebruikt. Dergelijke handelingen komen neer op een naamvervalsing of -verduistering en zijn strafbaar.

Wat moet er gebeuren met de mailbox van een werknemer die definitief de onderneming heeft verlaten?

Indien mogelijk wordt aangeraden om de kwestie van de mailbox ter regelen voor het vertrek van de werknemer. Net zoals aan de werknemer de tijd wordt gelaten om zijn persoonlijke zaken te verzamelen, kan hij de mogelijkheid krijgen om zijn privé e-mails te wissen of mee te nemen. Indien het voor de goede werking van de onderneming nodig blijkt te zijn om een deel van de inhoud van de mailbox te recupereren, moet dit gebeuren in het bijzijn van de werknemer en vòòr zijn vertrek. Bij een geschil is de tussenkomst aanbevolen van een vertrouwenspersoon als de werkgever vreest dat de betrokken werknemer opzettelijk professionele gegevens zou lekken.

Kan een ontslagen werknemer verzoeken zijn persoonlijke e-mails en contacten te recupereren alvorens de onderneming te verlaten en op welke manier moet dat gebeuren?

Er wordt aanbevolen om de kwestie van de mailbox op naam van de werknemer (recupereren van de niet behandelde professionele e-mails, deleten van privé e-mails,…) te regelen voor zijn vertrek en in zijn bijzin en bij een geschil in het bijzijn van een derde neutrale partij – vertrouwenspersoon (externe preventieadviseur,…). Deze operatie zou kunnen worden afgesloten met een schriftelijke verklaring van de werknemer waarin hij vermeldt dat hij alle professionele nog niet overhandigde en onbehandelde e-mails naar de onderneming heeft doorgezonden (via het documentenbeheersysteem) en dat hij over voldoende tijd en omstandigheden beschikte om zijn persoonlijke correspondentie mee te nemen of te wissen.

Het is daarnaast nuttig te weten dat het recht op toegang dat de privacywet toekent aan de betrokken personen deze geen recht geeft op een kopie.

Omdat de werkgever de mailbox van de werknemer die niet langer in dienst is, wettelijk mag vernietigen als het voor hem niet langer noodzakelijk is dat ze wordt bewaard, is het overigens begrijpelijk dat eens een bepaalde periode na zijn uitdiensttreding is verstreken, hij niet langer beschikt over de privé e-mails/contracten van de werknemer.

Mag de werkgever de professionele mailbox van een van zijn werknemer blokkeren?

Een mailbox blokkeren is geen verwerking van persoonsgegevens waarop de privacywet van toepassing is.

Daarom en zoals de Gegevensbeschermingsautoriteit al stelde in haar aanbeveling 05/2102, staat het de werkgever vrij om krachtens het gezag dat hij rechtens uitoefent op zijn werknemers en zijn bezitsrecht op zijn goederen die hij ter beschikking stelt aan de werknemers om het gebruik van de mailbox op het werk toe te laten dan wel te verbieden.

Kan een personeelslid van een werkgever zich ertegen verzetten dat zijn professioneel e-mailadres als contactadres op de website van de werkgever vermeld wordt? Zijn er vanuit de privacywetgeving mogelijke bezwaren?

Betrokkene kan zich niet verzetten tegen een verwerking van persoonsgegevens indien deze noodzakelijk is voor de uitvoering van een contract met de verantwoordelijke voor de verwerking (zie artikel 12 van de privacywet).
De verwerking is allicht nuttig, maar niet strikt noodzakelijk voor de uitvoering van het contract. De klant zou bijvoorbeeld ook in contact kunnen komen met de werkgever via een  e-mailadres op naam van een dienst of bedrijfsentiteit van de werkgever, dan via een ‘gepersonaliseerd’ e-mailadres van een aangestelde.
Een en ander kan ook afhangen van de aard van de functie van die aangestelde. Het lijkt bijvoorbeeld meer proportioneel om zulks te doen voor personeelsleden die contractueel geacht worden eerstelijnsdiensten te verzorgen ten behoeve van klanten, dan voor mensen die meer ‘onzichtbaar’ zijn voor de klant omdat ze in de backoffice van de werkgever werken.
In elk geval zullen derden die gebruik maken van het gepubliceerde emailadres zich moeten houden aan de finaliteit waarvoor het emailadres werd gepubliceerd, met name enkel om in contact te kunnen treden met de betrokkene in het kader van de uitoefening van diens functie.