Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet en maak kans op zijn boek
"De wet op internet".
Arnoud is van alle markten thuis, maar vindt vooral in technische / hacking vragen een uitdaging. Vragen over licenties worden niet behandeld, aangezien die geen raakvlak met beveiliging hebben. De Juridische vraag is een rubriek op Security.nl, waar wetgeving en security centraal staan. Elk kwartaal kiest Arnoud de meest creatieve vraag, die dan zijn boek zal ontvangen.
Vraag: Steeds meer bedrijven en organisaties maken zich zorgen over het weglekken van gevoelige bedrijfsgegevens. Nu zijn er tools beschikbaar die alle in- en uitgaande communicatie kunnen monitoren en alarm kunnen slaan. Zo kan bijvoorbeeld worden gedetecteerd dat iemand bepaalde bedrijfsgeheimen naar buiten mailt, dan wordt alarm geslagen en de mail naar het management als bewijs doorgestuurd. Maar mag dat allemaal wel van de privacywet? Het voelt als de omgekeerde wereld: iedereen fouilleren omdat er wellicht iemand iets fout zou doen.
Antwoord: Ook op het werk heb je recht op privacy. Niet zo veel als thuis, maar wel degelijk "enige" privacy. Wil je werkgever daar inbreuk op maken, dan moet hij aantonen dat deze inbreuk noodzakelijk is voor de bedrijfsbelangen én dat er geen minder inbreukmakende manier is om die bedrijfsbelangen te dienen. En als het bedrijf een OR heeft, dan is de werkgever verplicht om hun instemming te vragen alvorens een privacybeperkende maatregel in te voeren.
Het monitoren van netwerkverkeer kán een privacyschending zijn. Het hangt er wel vanaf hoe je het doet. Een geautomatiseerd spamfilter dat verdachte bijlages weggooit, is geen privacyschending. Als er geen mens is die kennisneemt van de inhoud van die bijlages, zie ik niet hoe je privacy geschonden kan worden. Maar een mens van alles laten monitoren mag niet zomaar.
Een filter dat scant op woorden of iets dergelijks uit een database met bedrijfsgeheimen lijkt me in dezelfde lijn als een spamfilter. Het verschil is hier wel dat alle verdachte mails doorgestuurd worden naar een mens, en dat lijkt me op het eerste gezicht wel een privacyschending op te leveren. Ik zou dat dus niet zo doen. Waarom niet de mails gewoon terugkaatsen met een verwijzing naar het bedrijfsreglement over vertrouwelijke informatie?
Inderdaad is iedereen fouilleren omdat er mogelijk iemand iets naar buiten smokkelt, in het algemeen niet aanvaardbaar. Pas bij een concrete aanleiding zou je dat mogen doen, en dan ook nog eens alleen voor korte tijd en specifiek ergens op gericht. Bij een beursgenoteerd bedrijf zou dat wellicht de weken voor publicatie van de jaarcijfers kunnen zijn, omdat het echt een groot probleem is als die naar buiten lekken.
Bovendien: iemand die de informatie naar buiten wil smokkelen, heeft genoeg middelen om het filter te misleiden. Ik zou met zo'n filter dus vooral false positives verwachten, en dat is onaanvaardbaar vanuit privacyoogpunt.
Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. In 2008 verscheen zijn boek "De wet op internet".
Deze posting is gelocked. Reageren is niet meer mogelijk.