Heb jij een interessante vraag op het snijvlak van privacy, cybersecurity en recht? Stuur je vraag naar juridischevraag@security.nl. Elke week geeft ict-jurist Arnoud Engelfriet in deze rubriek antwoord.

Juridische vraag: Ons bedrijf werkt met Teams, en wij nemen alle interne gesprekken standaard op. Dit omdat de bedrijfsjurist zegt dat dit moet vanwege "compliance/regulatory" eisen. Een bewaartermijn krijg ik niet. Mag dit wel van de wet? We vragen werknemers immers niet om toestemming.

Antwoord: Toestemming is in de werksfeer eigenlijk nooit aan de orde, van de AVG kán een werknemer geen toestemming geven. De werknemer zal immers (zo denkt de toezichthouder) altijd maar braaf ja zeggen omdat zhij bang is voor ontslag, geen salarisverhoging of vast contract. Wie dus toestemming vraagt aan personeel, doet het fout.

Maar goed, als het gaat om compliance doeleinden, dan zou dat geen probleem moeten zijn. Als het moet van wet X, dan mag het automatisch van de AVG. Iedere werkgever bewaart van al zijn medewerkers een kopie paspoort met bsn, dat moet in het kader van zwartwerkbestrijding dus dat mag van de AVG. Medewerkers die dat niet willen, hebben pech.

Waar dit echter vaak naar vertaald wordt, is “ik laat alle data 7 jaar staan zodat het management/afdeling compliance erbij kan”. Dat mag niet: er moet een duidelijk doel zijn, de bewaartermijn moet daarop afgestemd zijn en ook de toegang moet ingeregeld zijn op het compliance doel. Die paspoorten zitten in een afgesloten kluis waar alleen HR erbij kan (of de arbeidsinspectie, als deze een inval doet). Die opnames moeten dus ook beperkt toegankelijk zijn, en vastgelegd moet zijn wélke compliancedoeleinden dat dan zijn, wie voor die doelen erbij mogen en na welke termijn ze weg moeten.

Alles loggen “voor compliance/regulatory” is dus een juridisch zinloze uitspraak die ik helaas vaak zie bij mensen die te veel Amerikaanse bangmaakfilmpjes hebben gezien. Hoofdregel: je mag niets bewaren, alles moet weg na direct gebruik. Doet dat pijn? Motiveer je reden én geef aan tot hoe lang het pijn blijft doen, daarna moet het weg. Als je antwoord “oneindig” is dan is het fout. Als je motivatie bij meerdere soorten gebruik past dan is ie fout. Als de motivatie speculatief is dan is ie fout. Als de motivatie neerkomt op “het is een optie in Teams” dan is ie fout.

Arnoud Engelfriet is Ict-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.