image

Juridische vraag: Mag baas privémail kapen?

woensdag 23 maart 2011, 10:38 door Arnoud Engelfriet, 27 reacties

Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet en maak kans op zijn boek
"De wet op internet".

Arnoud is van alle markten thuis, maar vindt vooral in technische / hacking vragen een uitdaging. Vragen over licenties worden niet behandeld, aangezien die geen raakvlak met beveiliging hebben. De Juridische vraag is een rubriek op Security.nl, waar wetgeving en security centraal staan. Elk kwartaal kiest Arnoud de meest creatieve vraag, die dan zijn boek zal ontvangen.

Vraag: Een werknemer verlaat de organisatie. Hij heeft een keurige out-of-office aangezet op zijn e-mail account waarin hij aangeeft niet meer bij de organisatie werkzaam te zijn. De werkgever verwijdert echter het account en zet de 'catch-all' aan. Hij vangt zo alle nog binnenkomende mail af en leest die ook, zowel de zakelijke als de privé-mail. Hij stuurt het niet door. Mag dat?

Antwoord: Het onderwerp "lezen mail medewerkers" leeft het sterkst bij de lezers van Security.nl zo blijkt, ik krijg er haast wekelijks vragen over.

Trouwe lezers weten: het lezen van mails van werknemers is alleen toegestaan als daar een concrete aanleiding voor is, bijvoorbeeld klachten van collega's of klanten dat deze de mail misbruikt. Een werkgever mag niet zonder aanleiding mails van werknemers gaan scannen op mogelijk ongepast of niet-werkgerelateerd gebruik.

Er is dus geen duidelijk "ja dat mag" of "nee ben je betoeterd" mogelijk op een vraag als deze. Alles hangt af van de afwegingen van de belangen en de omstandigheden van de situatie - een antwoord waar ik zelf ook een hekel aan heb, maar het is niet anders.

Belangrijk is in ieder geval dat je als bedrijf regels stelt (bijvoorbeeld via een internetprotocol) over wat er wel en niet mag met de faciliteiten van kantoor. En daarbij moeten die regels ruimte laten voor enig privégebruik. Een regel zou dus eerder moeten zeggen "zolang het werk er geen last van heeft, en je de mails in een mapje privé opbergt, is het toegestaan" dan "privé internetten doe je maar thuis".

Hier is het nog iets lastiger, omdat het gaat om mail van ex-werknemers. Daarbij krijg je ineens het belang van continuïteit van dienstverlening aan klanten. Je moet als werkgever zulke mails kunnen afvangen en daarop reageren, want een klant die alleen een out-of-office (out-of-job?) bericht krijgt, gaat wellicht een andere leverancier zoeken. Maar dan kan de werkgever ook privémails afvangen en dat is dan weer niet de bedoeling. Helaas is daar geen eenvoudige juridische oplossing voor. Hoe filter je berichten als privé/niet-privé zonder ze te lezen?

Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. In 2008 verscheen zijn boek "De wet op internet".

Reacties (27)
23-03-2011, 10:45 door SirDice
Waar het eigenlijk op neer komt is dat je weliswaar privé mail mag versturen via de baas z'n netwerk maar dat je het beter niet doet als je je privacy wil behouden.
23-03-2011, 11:06 door Anoniem
Was handig geweest als je je privé contacten vooraf had laten weten dat je weg bent...
23-03-2011, 11:14 door Anoniem
Nou ja, versturen is ok. Het is het ontvangen dat het probleem is. Een reply-to header biedt hier uitkomst.
23-03-2011, 12:50 door N4ppy
Ik zou zeggen dat er in dit geval de ex-werknemer zijn maatregelen moet nemen. Hij werkt daar niet meer dus heeft dan ook geen recht op geoorloofd prive gebruik.
Over het algemeen is er een opzegtermijn dus is er ruim de tijd om maatregelen te nemen.
Uitzondering zou kunnen zijn als iemand vechtend de tent verlaat maar dan is er over het algemeen toch al reden om extra vorozichtig om te gaan met zo'n mailbox.

Maar is wel een goede om ons internet protocol nog eens tegenaan te houden. :)
23-03-2011, 13:59 door Anoniem
Door N4ppy: Ik zou zeggen dat er in dit geval de ex-werknemer zijn maatregelen moet nemen. Hij werkt daar niet meer dus heeft dan ook geen recht op geoorloofd prive gebruik.
Over het algemeen is er een opzegtermijn dus is er ruim de tijd om maatregelen te nemen.

Enigszins vergelijkbaar: Onze organisatie wisselt nog wel eens van (sub)domein voor e-mail. Dan verstuur je geen mail meer met het oude adres. Replies komen dan goed aan. Maar het oude adres staat vaak nog jaren in adreslijsten. Zelfs als iemand een nieuw adres doorgeeft, kan het oude adres soms weer als prefered adres naar voren komen als iemand naar je wilt mailen.

Peter
23-03-2011, 14:33 door Anoniem
De catch-all lezen? Met alle spam die daarin terechtkomt? Veel plezier daarmee. Als je de nieuwe mail wil zien die naar een bepaald adres verstuurd wordt ben je waarschijnlijk beter af dat adres toe te voegen als alias aan het mail-account van de ledinggevende of opvolger.

Ik vraag me af wat de rechten zijn van een ex-werknemer op een email-adres en dergelijke.
23-03-2011, 14:43 door Anoniem
We maken het moeilijker dan het is.
Vergelijk het maar met de 'oude' post.
Je laat je privé post toch ook niet op je werk bezorgen, wel?

En iedereen weet dat email, zeker in privé zaken, niet direct beantwoord wordt.
Is er wel haast bij dan bellen de meeste mensen.
Dus er is ook geen belang bij om privé mail tijdens werktijden bij te houden.
23-03-2011, 14:46 door Anoniem
Geen moeilijk vraag toch, heb je pech, deze mail krijg je niet meer.

Je gebruikt na een ontslag toch ook je leaseauto en/of laptop/telefoon van de zaak niet meer? Ook al mocht je ze toentertijd gebruiken voor privé. De zakelijke mails zijn belangrijker als jou privacy op dat moment, tenslotte is de hele mailadres daar ook voor in gebruik genomen
23-03-2011, 17:11 door Arnoud Engelfriet
Inderdaad heb je als ex-werknemer geen recht meer om nog in je oude mailbox te mogen lezen, ook niet als daar privémails staan. Waar het in deze vraag om ging, is dat kennissen je nog mails kunnen sturen op je oude zakelijke adres. Mag je werkgever die lezen, ondanks dat er wellicht nog privéinformatie in staat.
23-03-2011, 17:31 door Anoniem
Ik snap sowieso niet zo heel goed waarom mensen moeilijk doen over privémail op het werk. Een zakelijke mailbox is voor zakelijke correspondentie en een privéadres gebruik je voor je privécommunicatie. Neem een adresje bij Hotmail, Google of Yahoo voor je eigen mail of, als je technisch onderlegd bent, zet zelf een mailservertje op. Zakelijk en privé moet je gescheiden houden.

Het lijkt mij dat het belang van de werkgever hier veel zwaarder weegt dan het belang van de ex-werknemer.

Leuke vraag in het verlengde hiervan... Stel dat een bedrijf failliet gaat, de domeinnaam vrijkomt en wordt opgekocht door een ander (mogelijk zelfs een oud-werknemer van het bedrijf). Mag die persoon de mail die binnenkomt op dat domein wel lezen? ;-)
23-03-2011, 17:32 door Anoniem
Ja maar je kan geen geautomatiseerd systeem de privé en zakelijke mail laten scheiden, dus om de onderscheid te kunnen maken moeten ze gelezen worden. In principe is het vergelijkbaar met sturen naar het verkeerde (email) adres.

Eigenlijk niet in principe, want de gene die je wil bereiken zit niet achter dat (mail)adres, dus dan moet je maar naar het goeie adres sturen. Daarnaast kunnen de meeste IT beheerders al alle mails lezen, maar er zit een verschil in kunnen en doen en hoe wil je bewijzen dat je ex-baas je privé mails leest? Zo lang je dat niet kan aantonen denk ik dat je geen poot hebt om op te staan.

Simpel gezegd, als je niet wilt dat je baas je privé mail kan lezen, gebruik dan niet je zakelijke mail voor privé mails.
23-03-2011, 18:02 door Anoniem
@Arnoud, ik ga er vanuit dat de werkgever deze zeker niet mag lezen - niet vanwege de privacy van de (ex-)werknemer maar meer op basis van de onrechtmatige verwerking van persoonsgegevens van de zender. Het lijkt mij dat de werkgever geen gerechtvaardigd doel heeft om deze persoonsgegevens te verwerken en de e-mail daarom niet alleen niet mag lezen maar sterker nog, direct dient te verwijderen.

Groet,
Wesley
23-03-2011, 19:35 door Anoniem
Wat is dat toch altijd met die mensen die prive en werk door elkaar mengen...
Hoe lastig is het om een los prive mail adres te gebruiken?
Al zal het maar een gmail account zijn!
24-03-2011, 00:00 door Anoniem
Ik ben het eens met de laatste reacties: hou privé en zakelijk gescheiden. Zo voorkom je dit soort problemen. Je baas kan je dan niet verwijten dat je de zakelijke mail voor privédoeleinden gebruikt. Andersom blijft privé-informatie alleen voor jou beschikbaar, zoals het hoort. Het aantal aanbieders voor een gratis E-mail account zijn overweldigend. Wil je niet op een website je mail lezen en beantwoorden, dan kan je gewoon een mail-programma installeren.
Wil je toch af en toe tussendoor privé kunnen mailen dan is een eigen smartfoon een goed idee.

Kortom, er hoeft helemaal geen probleem te zijn.
24-03-2011, 06:40 door Above
Ik blijf het maar niet snappen. Catch-all?
Zal wel niet om een Exchange server gaan anders krijg je echt alles binnen en de rest van de gebruikers in het bedrijf krijg je ook alles van te lezen.

Privé e-mail via je zakelijke adres snap ik ook niet. Doe dat lekker via webmail met je eigen e-mailaccount.
Het is gewoon vragen om problemen.
Zakelijk en privé moet je gescheiden houden.
24-03-2011, 08:55 door Arnoud Engelfriet
@Wesley: Prima, maar hoe wéét je als werkgever dat een binnenkomende mail voor een ex-werknemer privé dan wel zakelijk is? Het kan net zo goed een klant zijn die een nieuwe offerte wil of die klaagt over slechte dienstverlening.

@Above: catch-all is een instelling bij mailservers waarbij je alle mail krijgt naar niet-bestaande adressen. Maar juridisch gezien doet dat er niet toe. De werkgever had ook het wachtwoord van de mailbox kunnen veranderen zodat hij bij de mailbox kan, of een forward in kunnen stellen zodat nieuwe mail naar zijn eigen mailbox gaat.
24-03-2011, 09:10 door Anoniem
Door Anoniem: Ik snap sowieso niet zo heel goed waarom mensen moeilijk doen over privémail op het werk. Een zakelijke mailbox is voor zakelijke correspondentie en een privéadres gebruik je voor je privécommunicatie. Neem een adresje bij Hotmail

Zoals al eerder aangegeven stuurt ook je werkgever je soms persoonlijke mail. Al is het alleen al salarisstroken, verslagen van beoordelingsgesprekken, meldingen t.a.v. gratificaties en bevorderingen.

Het lijkt mij dat het belang van de werkgever hier veel zwaarder weegt dan het belang van de ex-werknemer.

Een werkgever kijkt naar zijn eigen belang als hij besluit die gegevens naar interne (electronische zowel als fysieke) mailboxen te sturen.

Leuke vraag in het verlengde hiervan... Stel dat een bedrijf failliet gaat, de domeinnaam vrijkomt en wordt opgekocht door een ander (mogelijk zelfs een oud-werknemer van het bedrijf). Mag die persoon de mail die binnenkomt op dat domein wel lezen? ;-)

Dat is zeker een interessante vraag. Privacy heeft ook te maken met het feit of je de informatie kunt herleiden tot een persoon. Als er in een dergelijk geval een mailtje binnenkomt met de tekst "was het lekker in de sauna gister?" en de huidige houder van het domein heeft geen nadere kennis van wie welk adres vroeger had, dan is het volgens mij niet echt een schending van de privacy. Als het een oud-medewerker is, denk ik dat er een groter probleem is.

Peter
24-03-2011, 09:13 door Anoniem
Door Anoniem: We maken het moeilijker dan het is.
Vergelijk het maar met de 'oude' post.
Je laat je privé post toch ook niet op je werk bezorgen, wel?

Mijn baas legt soms een brief in mijn fysieke mailbox met persoonlijke informatie. Ik heb er hier toevallig net eentje liggen met een uitnodiging voor een medische keuring.

Daarnaast ken ik best wel een aantal bedrijven die de mogelijkheid bieden aan hun medewerkers om het vestigingsadres van het bedrijf als postadres voor pakketjes te gebruiken.

Peter
24-03-2011, 09:44 door Anoniem
@Arnoud, Goed punt, daar word het lastiger voor de werkgever om vast te stellen wat er prive is en wat wellicht een klant/relatie is. Ik zou zeggen dat een werkgever daar in redelijkheid naar de subject line moet kijken en bij twijfel pas de e-mail mag openen. Of wellicht dat wanneer de (ex-)werknemer een aantal afzenders identificeerd dat de werkgever daar vanaf dient te blijven... Lijkt me een interessante casus wanneer een (ex-)werknemer expliciet aangeeft welke afzenders strikt zakelijk zijn en de werkgever deze toch leest (naast de vraag hoe je daar achter komt).

@Above, eens dat men in principe prive en zakelijk gescheiden dient te houden, het gaat hier echter om de juridische gevolgen wanneer men toch de zakelijke mail voor prive doeleinden gebruikt (wat in redelijke mate toegestaan is).

Wesley
24-03-2011, 09:53 door Anoniem
En als je nou in het bedrijfsregelement zet dat de werkgever de mail, na ontslag / ontslag genomen gewoon de mail mag bekijken? Is dat rechtvaardig of mag dit niet?
24-03-2011, 10:02 door Anoniem
"Een werknemer verlaat de organisatie. Hij heeft een keurige out-of-office aangezet op zijn e-mail account waarin hij aangeeft niet meer bij de organisatie werkzaam te zijn. De werkgever verwijdert echter het account en zet de 'catch-all' aan."

Het lijkt mij niet meer dan normaal, gezien de zakelijke informatie die op de mailbox binnenkomt. Indien je niet meer werkzaam bent bij de organisatie, dan kan je ook moeilijk meer aanspraak maken op het adres. Heb je ook nagedacht over de eigen verantwoordelijkheid als medewerker, immers kan je zelf mensen ook op de hoogte stellen van je vertrek.

"Hij vangt zo alle nog binnenkomende mail af en leest die ook, zowel de zakelijke als de privé-mail. Hij stuurt het niet door. Mag dat?"

Het al dan niet doorsturen van de persoonlijke berichten lijkt mij eerder een gunst dan een plicht voor de werkgever richting de ex-medewerker.
24-03-2011, 10:12 door Anoniem
Door Anoniem: Zoals al eerder aangegeven stuurt ook je werkgever je soms persoonlijke mail. Al is het alleen al salarisstroken, verslagen van beoordelingsgesprekken, meldingen t.a.v. gratificaties en bevorderingen.

[KNIP, KNIP]

Een werkgever kijkt naar zijn eigen belang als hij besluit die gegevens naar interne (electronische zowel als fysieke) mailboxen te sturen.

Dat is volgens mij niet relevant. Dit is niet zozeer privé, als wel vertrouwelijk. En als de werkgever zelf deze informatie stuurt naar een van de mailboxen van zijn eigen bedrijf, heeft hij sowieso al toegang tot de informatie.

Als een werknemer (of, zoals in dit geval, ex-werknemer) dergelijke mail van andere partijen dan zijn eigen werkgever naar deze mailbox laat sturen, is hij in mijn ogen gevaarlijk bezig. Nog afgezien van de vraag of het juridisch wel of niet kosher is, begeef je je vrijwillig op glad ijs. Je weet namelijk dat je werkgever hoe dan ook de technische middelen heeft om je mail te lezen.

Mijn advies is dan ook: hou zakelijk en privé gescheiden, ook qua e-mail :-)

En natuurlijk is het altijd een goed idee om PGP te gebruiken. Ik had vroeger een baas die er voor uitkwam dat hij al onze e-mail las. Ik heb toen geregeld dat elk mailtje dat binnenkwam voor mij, automatisch werd versleuteld. In mijn functie als beheerder van o.a. de mailservers kon ik dat :-)
24-03-2011, 12:59 door Anoniem
Door Anoniem: Dat is volgens mij niet relevant. Dit is niet zozeer privé, als wel vertrouwelijk. En als de werkgever zelf deze informatie stuurt naar een van de mailboxen van zijn eigen bedrijf, heeft hij sowieso al toegang tot de informatie.

Men verwart nogal eens "werkgever" met "specifieke medewerker" van die werkgever. Als de personeelsfunctionaris vertrouwelijke mail stuurt naar een bepaald persoon, zal die mail privacygevoelige informatie bevatten. Omdat die personeelsfunctionaris dat doet namens de werkgever, wil dat niet zeggen dat de mailbeheerder vervolgens, omdat hij toch ook een medewerker is die werk verricht namens de werkgever, die mail mag lezen.

Peter
24-03-2011, 15:53 door Anoniem
Het ontvangen van mail van personeelszaken omtrent loonstrookjes, etc. is toch ook gewoon zakelijke mail? Het is wel persoonlijk gerichte mail en daarom niet meer dan logisch dat het naar de desbetreffende persoon is gestuurd. Er verandert echter niets aan het zakelijke karakter ervan omdat het gerelateerd is aan jouw baan en het bedrijf waar je voor werkt.

Als je een collega vraagt of hij na werktijd mee een borrel gaat drinken, dan vind ik dat een twijfelgeval.
Stuur je een mail naar een persoon die geen binding heeft met het bedrijf; bijv.: je vraagt een vriend om 's avonds een borrel te komen drinken dan is het uiteraard puur een privé-situatie.
24-03-2011, 16:50 door Anoniem
Door Anoniem: Het ontvangen van mail van personeelszaken omtrent loonstrookjes, etc. is toch ook gewoon zakelijke mail? Het is wel persoonlijk gerichte mail en daarom niet meer dan logisch dat het naar de desbetreffende persoon is gestuurd. Er verandert echter niets aan het zakelijke karakter ervan omdat het gerelateerd is aan jouw baan en het bedrijf waar je voor werkt.{/quote]

Het heeft een zakelijk karakter met het is wel privacygevoelige informatie. En als het bijvoorbeeld een diagnose door de bedrijfsarts bevat is het misschien ook nog erg prive.

Peter
26-03-2011, 12:17 door Anoniem
Ik blijf zaken zoals privé mail sturen/ontvangen m.b.v. een zakelijk account van je werkgever een uiterst vreemde zaak vinden.
Alleen al i.v.m. privacy lijkt me de aanschaf van een van de talloze gratis e-mail accounts een toch veel betere oplossing.
28-03-2011, 18:46 door Patio
Door Anoniem:
Door Anoniem: Het ontvangen van mail van personeelszaken omtrent loonstrookjes, etc. is toch ook gewoon zakelijke mail? Het is wel persoonlijk gerichte mail en daarom niet meer dan logisch dat het naar de desbetreffende persoon is gestuurd. Er verandert echter niets aan het zakelijke karakter ervan omdat het gerelateerd is aan jouw baan en het bedrijf waar je voor werkt.{/quote]

Het heeft een zakelijk karakter met het is wel privacygevoelige informatie. En als het bijvoorbeeld een diagnose door de bedrijfsarts bevat is het misschien ook nog erg prive.

Peter

Beste Peter, diagnoses van artsen gaan alleen in uiterste noodzaak via e-mail. Dat ze egenwoordig überhaupt (wel eens? , vaak?) digitaal worden geregistreerd is al een twijfelachtige zaak. Voor die loonstrookjes geldt bijna hetzelfde. Bij de bedrijven waar ik gewerkt heb, werden die altijd per papieren post naar het huisadres gestuurd. Alleen op expliciet verzoek van mezelf (toen ik er één niet ontvangen had) kon ik van P&O (dat tegenwoordig helaas human resource management moet heten) een ingescand exemplaar via een door mij opgegeven e-mail adres ontvangen. Dit bedrijf weet (in ieder geval wist, het is overgenomen) hoe het hoort! Nu ben ik zzp'er...
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.