Wanneer een werknemer het bedrijf verlaat, roept dit verschillende operationele en juridische vragen op met betrekking tot het beheer en de opvolging van de werkmailbox.
Met de groeiende aandacht voor gegevensbescherming en privacy, is het van cruciaal belang voor werkgevers om zorgvuldig om te gaan met de gegevens in de mailbox van een vertrokken werknemer.
In dit blogbericht zullen we ingaan op enkele veel gestelde vragen en bespreken we praktische tips, rekening houdend met de wetgeving, alsook de aanbevelingen en beslissingen van de Belgische gegevensbeschermingsautoriteit (GBA).
1. Mag de mailbox van de werknemer nog actief gebruikt worden na zijn vertrek?
Neen. De mailbox op naam van de uit dienst getreden werknemer mag niet meer actief gebruikt worden.
De werkgever kan wel een gerechtvaardigd belang hebben om de mailbox nog even te laten bestaan voor de goede werking en om de continuïteit van de activiteit te waarborgen.
De Belgische Gegevensbeschermingsautoriteit (GBA) is in dat kader van mening dat de mailbox nog gedurende 1 maand kan blijven bestaan met een automatisch antwoordbericht (zie hieronder, vraag 2).
Afhankelijk van de context wordt een langere termijn, tot maximaal 3 maanden, aanvaard. Dat zou bv. het geval kunnen zijn als de werknemer een grote verantwoordelijkheid had of het enige aanspreekpunt voor klanten/leveranciers van de werkgever was.
Na deze termijn, moet de mailbox volledig gedeactiveerd worden (tenzij de vertrekkende werknemer na de uitdiensttreding zijn toestemming geeft om de mailbox nog een langere termijn actief te houden).
Waarom is dat zo?
Een e-mailadres en de bijhorende mailbox zijn persoonsgegevens.
Het doel van de professionele mailbox is dat de werknemer in het kader van zijn professionele activiteit e-mails kan ontvangen en versturen.
Enkel voor dat doel kan de mailbox blijven bestaan. Als de werknemer uit dienst treedt, vervalt dat doel en mogen de gegevens niet langer bewaard worden.
2. Een automatisch antwoordbericht instellen? Wat moet erin vermeld worden?
De GBA verwacht dat, als een mailbox van een vertrekkende werknemer nog gedurende een korte periode blijft bestaan, de werkgever uiterlijk op de dag van het feitelijk vertrek een automatisch antwoordbericht voorziet.
De werknemer moet daarvan (en de inhoud ervan) vooraf verwittigd worden.
Het automatische bericht bevat best:
de mededeling dat de medewerker zijn activiteiten binnen het bedrijf niet meer uitoefent (geen communicatie over de omstandigheden van het vertrek! - zie https://www.commitlaw.be/blog/communiceren-ontslag-gdpr);
de contactgegevens van een persoon (of een algemeen e-mailadres) die in de plaats van de medewerker moet gecontacteerd worden.
3. Kunnen inkomende e-mails aan de vertrekkende medewerker automatisch doorgestuurd worden naar een collega of een algemeen e-mailadres?
Neen.
De reden hiervoor is dat bij een automatische ‘forward’ er geen controle is over inkomende e-mails, zeker niet als de afzender van de e-mail hierover niet geïnformeerd zou worden.
Bij het automatisch doorsturen van de e-mail kunnen privégegevens openbaar worden gemaakt zonder dat de vertrekkende werknemer én de afzender van de e-mail hiervan op de hoogte zijn.
4 Wat met e-mails die dateren van voor het vertrek? Kunnen die ingezien worden?
We maken een onderscheid tussen e-mails met een privé- en professioneel karakter.
Privémails
Privémails in de professionele inbox mogen niet ingezien worden door de werkgever.
Werknemers moeten bovendien de kans krijgen om privémailberichten te wissen of te kopiëren naar een persoonlijk e-mailaccount. Bij het sorteren van deze e-mailberichten (privé, dan wel professioneel) kan de aanwezigheid van een derde/vertrouwenspersoon aangewezen zijn.
Het is raadzaam om dit te regelen in een transparant beleidsdocument.
Professionele e-mails
Vaak komt het voor dat de werkgever, bij uitdiensttreding van een medewerker, nog e-mailberichten wil recupereren voor de goede werking van het bedrijf.
De recuperatie en/of inzage van professionele e-mails is niet altijd onrechtmatig. De werkgever kan een gerechtvaardigd belang hebben om e-mails in te zien. Maar er zijn een aantal belangrijke voorwaarden.
De GBA geeft aan dat dit in principe moet gebeuren vóór het vertrek van de medewerker en, indien mogelijk, in zijn aanwezigheid. Bij conflict kan een vertrouwenspersoon bemiddelen.
Daarnaast vormen de drie klassieke privacy-principes ook hier een leidraad:
Finaliteit: de inzage van de professionele e-mails moet een gerechtvaardigd doel hebben. Bv. het goed functioneren van de organisatie, de continuïteit, de verdediging in rechte, …
Transparantie: de medewerker moet duidelijk geïnformeerd worden over de mogelijkheid tot inzage in zijn e-mails en de manier waarop dit gebeurt. Dit moet geregeld worden in een intern beleidsdocument. Daarbij kan best ook de hypothese van ontslag of enige andere vorm van stopzetting van de activiteit, en de gevolgen daarvan, vermeld worden.
Proportionaliteit: de inzage in de professionele e-mails mag niet verder gaan dan nodig om het doel te bereiken. Bv. het opvragen van e-mails van 5 jaar geleden, wordt normaal niet aanvaard. De werkgever moet ook passende maatregelen nemen om de proportionaliteit te garanderen. Zo kan bv. bepaald worden op welke manier (met welke criteria) gezocht wordt naar welbepaalde professionele e-mails en kan bepaald worden welke (vertrouwens)personen hierbij betrokken zijn.
5. Wat met de e-mails die binnenkomen na het vertrek (in de korte periode waarin de mailbox nog blijft bestaan)?
Volgens ons heeft de werkgever normaal gezien niet het recht om e-mails die na het vertrek van de werknemer binnenkomen in zijn mailbox in te zien.
Het gerechtvaardigd belang om professionele e-mails van voor het vertrek te recupereren (zie vraag 4) zal wellicht niet gelden voor binnenkomende e-mails die dateren van na het vertrek, omdat de werknemer uit dienst is en omdat de afzenders een automatisch antwoordbericht zullen ontvangen hebben.
Enkel als de vertrokken werknemer (na zijn vertrek) daarvoor de expliciete toestemming geeft, zou de werkgever of een specifieke collega de mailbox mogen opvolgen (inzien).
Omgekeerd kan ook overeengekomen worden dat de betrokken werknemer na zijn vertrek alsnog gedurende een bepaalde periode toegang kan hebben tot zijn mailbox.
Algemene aanbeveling: transparant intern beleid
Bij alle stappen in het beheer van de werkmailbox van een vertrokken werknemer is het van cruciaal belang om te voldoen aan de wetgeving inzake gegevensbescherming, zoals de AVG.
De GBA beveelt aan een duidelijk en transparant beleid in te voeren over het gebruik van IT-hulpmiddelen wanneer werknemers het bedrijf verlaten. De GBA noemt dit document een ‘handvest’. In dat handvest moet geregeld worden onder welke voorwaarden een werkgever de zakelijke mailboxen van zijn werknemers kan raadplegen of hun IT-hulpmiddelen kan controleren. Dit kan in een bijlage aan de arbeidsovereenkomst, in een bijlage aan het arbeidsreglement, of in een minder formele policy (voor zover bewezen kan worden dat de werknemer daarover werd geïnformeerd). Een dergelijk document zal het bedrijf helpen om zijn verplichtingen onder de AVG effectief uit te voeren. Dit zal heel wat geschillen helpen voorkomen.
Indien u vragen over dit blogbericht hebt, of als u begeleiding wenst bij het opstellen van een beleidsdocument, kan u ons altijd contacteren.
Karel Theuns
Ondanks alle zorg die besteed is aan het opstellen van deze tekst, blijven vergissingen en/of onvolkomenheden mogelijk. De auteur en Commit Advocaten bv kunnen daarvoor geen aansprakelijkheid aanvaarden.