Juridische vraag: personeel ontvangt privémail op werk-pc
Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet en maak kans op zijn boek
"De wet op internet".
Arnoud is van alle markten thuis, maar vindt vooral in technische / hacking vragen een uitdaging. Vragen over licenties worden niet behandeld, aangezien die geen raakvlak met beveiliging hebben. De Juridische vraag is een rubriek op Security.nl, waar wetgeving en security centraal staan. Elk kwartaal kiest Arnoud de meest creatieve vraag, die dan zijn boek zal ontvangen.
Vraag: Binnen onze organisatie mag een medewerker (mits beperkt) privé e-mail versturen en ontvangen vanaf de werk-pc. Deze mails staan verspreid tussen werkgerelateerde mails. Op het moment dat de medewerker de organisatie verlaat, dan is het gebruikelijk dat de (al dan niet tijdelijke) opvolger of manager toegang krijgt tot de werkgerelateerde informatie van deze medewerker, vanwege bedrijfscontinuïteit. Het is dan natuurlijk niet de bedoeling dat deze gaat grasduinen in de privémails, maar hoe regel je dat organisatorisch? Wat zou je bv. in het arbeidscontract kunnen regelen?
Antwoord: Op zich heeft deze organisatie het keurig geregeld: zoals de wet voorschrijft, is er ruimte voor enige privacy op het werk. Je mag in beperkte mate privé mailen en internetten, dat kan niet worden verboden. Wil men daarboven nog monitoren, dan moet er een privacyreglement zijn dat regelt hoe en wanneer dit mag gebeuren.
Hier is er sprake van een bijzondere situatie. Na vertrek van een medewerker ontstaat er een legitieme behoefte tot toegang tot diens mailbox. Tegelijkertijd kan daarmee toegang worden gekregen tot privémails, en dat is niet de bedoeling. Dat is vooral een praktisch probleem, de wet bevat hierover geen specifieke regels.
Ik zou zeggen, het is enerzijds de taak van de werknemer die weggaat om te zorgen dat zijn privémails afgeschermd zijn en anderzijds de taak van de werkgever om te zorgen dat er niet nodeloos in privémails gegrasduind wordt.
Hoe je dat afdwingt, is een lastige. In je privacyreglement kun je bepalen dat werknemers privémails moeten markeren als zodanig, bv. door ze in een mapje "privé" te moeten opslaan of in de subject "privé" te zetten. Je zou ook kunnen eisen dat men privémails zo veel mogelijk weggooit op de laatste werkdag. Alles mag, zolang het maar redelijk is en van een werknemer gevergd kan worden.
Kom je dan toch nog een privémail tegen, dan is dat denk ik onvermijdelijk. Natuurlijk moet de ontvanger daarover zo veel mogelijk zijn of haar mond houden, maar het is de vraag of je dat kunt afdwingen.
Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. In 2008 verscheen zijn boek "De wet op internet".
Leg de verantwoording neer bij de medewerker. Bij vertrek moet men zelf zorgen voor verwijdering van de persoonlijke emails. Indien er toch emails blijven staan, dan is dat primair de eigen verantwoording van de ex-medewerker. Al moet je in dat geval ook zorgvuldig met de informatie om gaan.
Eeuh SirDice, das leuk maar dat haalt echt niks uit........ teminste voor de mail die ouder is dan 24 uur (naar alle waarschijnlijkheid) Men maakt vaak elke 24 uur een back-up van de gegevens en dus ook de mailboxes, je kan dan wel al jou mail verwijderen maar wanneer gevraagd wordt om de back-up van gister weer terug te zetten is alle verwijderde mail gewoon weer terug.
Privé mailen met het account van het werk mag dan misschien wel in beperkte mate, maar wanneer iemand vind dat ook zijn privé mail niet gelezen mag worden na zijn vertrekt moet hij geen gebruik maken van de mogelijkheid. het is immers kinderlijk éénvoudig om werk en prive mail te scheiden en tijdens je werk je privémail via webmail op te halen .....
partijen zoals hotmail, gmail en tegewoordig ook facebook kun je dan beter proberen te vermijden omdat deze partijen meer gegevens van jou verzamelen en met de buitenwereld delen dan jou werkgever ooit zou doen ...
Werkgevers zullen sowieso problemen hebben met prive-mailtjes vooral omdat er na het ontslag nog nieuwe prive-mailtjes binnen kunnen komen! Want lang niet iedereen beseft onmiddelijk dat de account ondertussen opgeheven is.
-
Prive mailen met je werk-account vergelijk ik met het boodschappen doen met je lease-auto of het gereedschap op je werk gebruiken om je vogelhuisje voor in je tuin mee te bouwen. Je maakt gebruik van materiaal van je werkgever dus wordt je tevens geacht daar zorgvuldig mee om te gaan. Als je dus gevoelige priva-mails ontvangt op je werk-account dan is er altijd het risico dat je werkgever dit ontdekt.
-
Doet mij denken aan een anekdote bij mijn vorige werkgever. Het bedrijf stond op de rand van faillisement en mijn baas had het idee om het personeel dan maar onder te brengen bij een detacherings-bedrijf voor wat extra inkomsten. Ik was zelf ook al op zoek naar een andere werkgever en had een aanbod van een ander bedrijf gekregen om eens langs te komen. Vervolgens kwam mijn baas ook met een leuke detacherings-klus bij -toevallig genoeg- hetzelfde bedrijf als waar ik al stiekem had gesolliciteerd! Was achteraf best lollig! :-) Ben uiteindelijk bij het nieuwe bedrijf in vaste dienst gekomen.
Eeuh SirDice, das leuk maar dat haalt echt niks uit........ teminste voor de mail die ouder is dan 24 uur (naar alle waarschijnlijkheid) Men maakt vaak elke 24 uur een back-up van de gegevens en dus ook de mailboxes, je kan dan wel al jou mail verwijderen maar wanneer gevraagd wordt om de back-up van gister weer terug te zetten is alle verwijderde mail gewoon weer terug.
Als bedrijf heb je de plicht om een administratie van je binnengekomen en uitgaande stukken bij te houden, dus je moet sowieso de ontvangers, verzenders en het tijdstip al opslaan van elk e-mailbericht. Voor eventuele aansprakelijkheid is het verstandig om gewoon alles in z'n geheel op te slaan, dus dat adviseer ik dan ook meestal.
De argumenten zijn leuk maar ze geven eerder aan dat er iets procesmatig niet klopt en dat heeft niets met mail te maken.
Als bedrijf heb je de plicht om een administratie van je binnengekomen en uitgaande stukken bij te houden, dus je moet sowieso de ontvangers, verzenders en het tijdstip al opslaan van elk e-mailbericht. Voor eventuele aansprakelijkheid is het verstandig om gewoon alles in z'n geheel op te slaan, dus dat adviseer ik dan ook meestal.
leuk dat je dat er in zet, maar zelf hun werk e-mail mag jij als werkgever niet zo maar lezen. Wanneer je dit ongevraagd doet overtreed je als nog gewoon de wet en bij jij als werkgever strafbaar of je dit nu in een reglement zet of niet, de wet is leidend.
Bovengenoemd regelement is in strijd met de wet. De werkgever heeft namelijk geen inzage in prive mails, ook niet wanneer deze onder werk vanaf een zakelijk account worden verstuurd. Het regelement is daardoor op dit punt niet rechtsgeldig.
"De werknemer weet zo dus dat hij geen privacy heeft op z'n werkmail en je biedt de mogelijkheid om de eigen mail wel te controleren. "
Dat recht heeft de werknemer dus wel degelijk.
Tsja, ik weet niet of je het privacy beleid van Gmail wel eens hebt bekeken.....
Dat klopt, maar je kan wel verbieden dat hierbij de zakelijke mailbox wordt gebruikt. Privémailen doe je maar lekker via je eigen mailprovider, gmail, hotmail of wat dan ook.
Veel managers en directeuren leven alleen nog in het jaar 0 en denken nog te veel normatief en snappen daardoor niet dat je mensen positief moet betrekken in de processen en dat je daardoor helemaal geen zaken hoeft af te dwingen.
Veel managers en directeuren leven alleen nog in het jaar 0 en denken nog te veel normatief en snappen daardoor niet dat je mensen positief moet betrekken in de processen en dat je daardoor helemaal geen zaken hoeft af te dwingen.
De rest van de emailtjes zijn in principe gedaan uit naam van je werkgever, want je hebt zijn mailserver daarvoor gebruikt. Gezien het aantal email-alternatieven zou je als werkgever dus gewoon kunnen claimen dat je personeel geen eigen email accounts hebben maar dat het allen bedrijfs-accounts zijn die per werknemer zijn onderverdeeld. Dan zijn alle emailtjes dus ook van de werkgever, niet van de werknemer, en mag de manager er zonder problemen door bladeren.
Maar dat moet dan wel duidelijk in de arbeids-voorwaarden staan! Je moet namelijk als werknemer weten dat de mail accounts van het bedrijf niet voor prive-zaken zijn bedoeld. Voor prive-zaken kun je gewoon je prive-account gebruiken...
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
