Belgisch bedrijf schond AVG met openhouden mailbox ex-werknemer
Een Belgisch bedrijf heeft de AVG geschonden door de mailbox van een ex-werknemer langer dan noodzakelijk na diens ontslag open te houden, zo oordeelt de Gegevensbeschermingsautoriteit (GBA). De werknemer was in zijn functie verantwoordelijk voor het beheer van dertig woningen. Eind 2020 werd hij op staande voet ontslagen omdat de werkgever dacht dat hij verschillende fouten had gemaakt.
Na het ontslag van de werknemer hield de werkgever diens zakelijk e-mailadres actief. Volgens de werkgever was dit nodig om de werkzaamheden aan de opvolger over te dragen en was er daarom sprake van een gerechtvaardigd belang. De maand na zijn ontslag diende de werknemer een verwijderverzoek in. De werkgever gaf daar geen gehoor aan, waarop de ex-werknemer in december 2020 een klacht bij de GBA indiende. De privacytoezichthouder kwam onlangs tot een oordeel.
De GBA stelt dat het e-mailadres van de ex-werknemer persoonlijke data is, aangezien het om informatie gaat voor het identificeren van een persoon. Daarnaast was het adres voor zakelijke doeleinden aangemaakt en zou gezien het beginsel van doelbinding zoals beschreven in de AVG de mailbox moeten worden gesloten na het ontslag van de werknemer. De GBA voegt toe dat de werkgever, voordat de mailbox zou worden gesloten, een automatische reply had moeten activeren waarin werd uitgelegd dat de werknemer niet meer bij het bedrijf werkzaam was en er een ander adres gebruikt moet worden.
De toezichthouder erkende ook dat in sommige gevallen, bijvoorbeeld bij een directeur of iemand die als enige voor iets in de organisatie verantwoordelijk is, een periode van drie maanden acceptabel is. Het Belgische bedrijf in kwestie hield de mailbox van de ontslagen medewerker langer dan vijf maanden open. Volgens de GBA zorgde dit voor een buitensporige impact op de rechten van medewerker, en dan met name het principe van dataminimalisatie.
De GBA komt tot de conclusie dat de werkgever geen gerechtvaardigd belang had en de AVG heeft overtreden. Daarnaast heeft het bedrijf de AVG ook overtreden door geen reactie op het verzoek van de ex-werknemer te geven en dit ook niet uit te voeren. Vanwege de overtredingen kreeg het bedrijf een berisping (pdf). Eind 2020 kreeg een Belgisch bedrijf van de GBA nog een boete van vijftienduizend euro omdat het de e-mailadressen van een ex-werknemer bijna drie jaar na diens ontslag nog steeds niet had afgesloten.
Het bedrijf heeft na vijf maanden (na de klacht bij het GBA?) de mailbox gesloten. Hiermee werkt het bedrijf niet meer met de persoonsgegevens van de ex-medewerker.
Kost wat meer, maar als bedrijf is het wellicht handiger om ook “afdelings emailadressen” te hebben. Denk in dit geval aan woningbeheer@bedrijf.be. Ook handig bij vakanties etc. zodat een andere medewerker de mails kan oppakken.
Wat als e-mails naar zo'n adres ook beantwoord worden met als afzender dat adres? Of er "gewoon" mails worden verzonden vanaf zo'n adres, "want Dylan deed altijd de mailings"?
Waar is deze drie maanden op gebaseerd? Staat dit ergens beschreven heeft de Belgische toezichthouder deze termijn zelf bepaald? Was dit al voor deze uitspraak bekend en had de werkgever dit kunnen weten, of hebben ze dat nu bepaald n.a.v. deze zaak? En geldt deze termijn nu enkel in België of in alle landen waar de AVG geldt?
Nee, mensen die reageren als jij nu doet zijn gevaarlijk en moeten in de gaten gehouden worden en gelukkig hebben we daar instanties voor.
Waar is deze drie maanden op gebaseerd? Staat dit ergens beschreven, of heeft de Belgische toezichthouder deze termijn zelf bepaald? Was dit al voor deze uitspraak bekend en had de werkgever dit kunnen weten, of hebben ze dat nu bepaald n.a.v. deze zaak? En geldt deze termijn nu enkel in België of in alle landen waar de AVG geldt?
Hier hoort nog 'of' te staan.
Verder heb ik even gekeken wat de AP hierover schrijft. Ze schrijven niets over oud medewerkers, wel over medewerkers die een langere tijd afwezig zijn door vakantie of ziekte:
Privémail van de werknemer moet u daarom bij het checken van de e-mail zo veel mogelijk ontzien. Blijkt bijvoorbeeld uit de titel van een bericht dat de e-mail persoonlijk is? Dan mag u dat bericht niet lezen.
Als werkgevers e-mailadressen van medewerkers willen blijven hergebruiken, moeten ze deze pseudonimiseren. Denk aan am23@example·nl voor Account Manager nummer 23. Als medewerker ben je wel héél stom als je dat voor privé-mails gaat gebruiken.
Maar let op waar het hier over gaat: het in gebruik houden van het e-mailadres. Je zakelijke e-mailadres is aan je persoon gekoppeld, als jij weg bent bij een organisatie mogen ze niet je e-mailadres blijven gebruiken alsof je daar nog werkt. Ze hoeven nergens inhoudelijk naar te kijken om dat e-mailadres te blokkeren. Ze kunnen, zoals het artikel aangeeft, een automatische foutmelding terugsturen met een ander e-mailadres om te gebruiken. Dat betekent echt niet dat de inhoud van de mailbox verloren gaat. Die kan veiliggesteld worden en na het blokkeren van het e-mailadres uitgeplozen worden om zakelijke e-mails die bewaard moeten worden te scheiden van alles wat weg kan, inclusief alles wat privé is. Dat moet zorgvuldig en tijdig gebeuren om de AVG niet te schenden, maar dat betekent absoluut niet dat het e-mailadres in gebruik moet blijven zolang het uitzoekwerk niet afgerond is.
Verder heb ik even gekeken wat de AP hierover schrijft. Ze schrijven niets over oud medewerkers, wel over medewerkers die een langere tijd afwezig zijn door vakantie of ziekte:
Privémail van de werknemer moet u daarom bij het checken van de e-mail zo veel mogelijk ontzien. Blijkt bijvoorbeeld uit de titel van een bericht dat de e-mail persoonlijk is? Dan mag u dat bericht niet lezen.
Het feit dat er niets te vinden is over oud medewerkers, is op zijn zachtst gezegd jammer. Er zijn nog altijd naar mijn idee veel onduidelijkheden wat nu onze rechten en plichten zijn, de uitkomst van deze rechtzaak staat namelijk weer haaks op wat hier is besproken:
https://www.security.nl/posting/843433/Is+er+toestemming+nodig+voor+toegang+tot+de+data+van+een+%28ex%29werknemer%3F
https://www.security.nl/posting/842722/Emails+inzien+van+%28ex%29+werknemers
Het zou mij niet eens gaan om iets te halen voor mijzelf maar gewoon om mijn gelijk te halen.
Bedrijven, instanties en dergelijke gaan maar gewoon aan de haal met van alles en nog wat en houden zich niet of nauwelijks aan de AVG.
Of er nu iets veranderd voor de toekomst boeit me dan niet als ik mijn gelijk maar haal :)
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Information Security Officer
Ben jij de Information Security Officer met hart voor de zorg? Wil je een bijdrage leveren aan Informatiebeveiliging binnen het Erasmus MC? Word onderdeel van ons team! Samen met de CISO en een team van Information Security Officers zorg je ervoor dat informatiebeveiliging en gegevens-bescherming binnen Erasmus MC de benodigde aandacht krijgt.
GRC Officer
Als digitaal knooppunt hebben wij te maken met veel verschillende opdrachtgevers en klanten in het zorgveld. Deze opdrachtgevers en klanten vertrouwen erop dat de onze dienstverlening veilig is en continu voldoet aan alle (voortdurende wijzigende) relevante wet- en regelgeving. Als GRC Officer ben jij op de hoogte van die wet- en regelgeving en weet je de vertaalslag te maken naar de praktijk van VECOZO.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.