Verantwoordingstekst De Commissie acht de tijd gekomen om zich

Verantwoordingstekst
De Commissie acht de tijd gekomen om zich nog eens ten gronde uit te spreken over de
problematiek van internet en emailcontrole op de werkplaats. Zij doet dit aan de hand van
een rapport met verschillende bijlagen.
Onderhavige verantwoordingstekst maakt deel uit van die bijlagen en motiveert waarom de
Commissie zich opnieuw uit eigen beweging over deze problematiek wenst te buigen.
Er worden namelijk meer en meer conflicterende vragen en situaties voorgelegd aan de
Commissie (werkgevers, werknemers, vakbonden, privacy-officers, advocaten,…) en zij
getuigen soms van de vertwijfeling die bepaalde analyses op basis van de regels inzake
bescherming
van
persoonsgegevens
en
inzake
bescherming
van
het
telecommunicatiegeheim oproepen:
-er zou geen onderscheid mogelijk zijn tussen professioneel en privaat gebruik van de
telecommiddelen van de werkgever, waardoor de meest absolute bescherming dus
permanent gegarandeerd moet worden, ongeacht de aard van het gebruik;
-de individuele toestemming (vrij, specifiek en wel geïnformeerd) van alle betrokken fysieke
personen aan de telecommunicatie zou telkens nodig zijn om kennis te kunnen nemen van
een bepaalde informatie (verkeer, inhoud,…) gelieerd aan het gebruik van het patronale
telecommiddel;
-De CAO nr. 81 die de controle van het (privé)gebruik van de patronale telecommiddelen
omkadert, zou ingaan tegen de vereisten van hogere rechtsnormen en moet derhalve als
nietig beschouwd worden.
Dergelijke analyses leiden in de praktijk tot een impasse: de controle door de werkgever van
het gebruik van de elektronische communicatiemiddelen in het kader van de arbeidsrelatie
zou enerzijds quasi onmogelijk zijn, tenzij hij de wet overtreedt, terwijl die middelen
anderzijds nochtans de belangrijkste werkinstrumenten geworden zijn van de werknemers in
ondernemingen en besturen.
Het gevaar bestaat dan ook dat indien de wet zogezegd niet helemaal kan worden nageleefd
-hoe goed de verantwoordelijke voor de verwerking (de werkgever) ook probeert- ze
helemaal niet meer zal worden nageleefd, omdat de verantwoordelijke voor de verwerking
uiteindelijk geen verband ziet tussen de daartoe te leveren inspanningen (kosten en moeite)
en het bereikte resultaat (dat hoe dan ook onwettig is).
Ook de Commissie moet in dat verband een mea culpa slaan. Dit onderwerp kan immers niet
worden aangesneden zonder te verwijzen naar het basisadvies van de Commissie ter zake,
met name advies nr. 10/2000 uit eigen beweging betreffende het toezicht door de werkgever
op het gebruik van het informaticasysteem op de werkplaats. Dit advies, dat werd
uitgebracht op 3 april 2000, kwam er op een moment dat inzake de problematiek van
controle van het gebruik van internet en e-mail op het werk nog geen specifieke wettelijke of
reglementaire bepalingen bestonden, behoudens misschien het Koninklijk Besluit van 27
augustus 1993 betreffende het werken met beeldschermapparatuur1, welke overigens
onvermeld werd gelaten in het advies.
Eigenlijk werd in dit advies koudweg geponeerd dat de werkgever geen enkele (wettelijke)
controlemogelijkheid heeft over het bestaan en de inhoud van zowel private als professionele
communicatie, behalve indien alle “betrokkenen” ermee instemden. Het advies sprak
inderdaad enkel van artikel 109terD van de toenmalige wet van 21 maart 1991 betreffende
de hervorming van sommige economische overheidsbedrijven (“toestemming van de
deelnemers”)
als
enig
mogelijke
uitzondering
op
de
bescherming
van
het
telecommunicatiegeheim, terwijl niet werd stilgestaan bij de juridische vragen die dit
uitgangspunt met zich bracht (bv. hoe de vrije toestemming bekomen van een
ondergeschikte in een hiërarchische arbeidsrelatie). Er werd ook geen enkel onderscheid
gemaakt tussen de „onthullingsgraad‟ van de communicatie verbonden aan het gebruik van
het
telecommiddel
(enkel
transmissiegegevens
of
de
inhoud
van
elektronische
communicatie), noch tussen de aard van de communicatie (privé- of beroepsmatige
communicatie). Er werd ten slotte evenmin gesproken over eventuele andere uitzonderingen,
zoals bv. het artikel 109terE, 1° (“als de wet het toelaat of oplegt”) van de toenmalige wet
van 21 maart 1991 om de werkgever toe te laten kennis te nemen van communicatie zonder
1
Dat KB schrijft in zijn bijlage voor dat zonder medeweten van de werknemers geen gebruik mag worden gemaakt van een
kwantitatief of kwalitatief controlemechanisme. A contrario laat dit KB werkgevers dus met medeweten van de werknemers toe
gebruik te maken van een kwantitatief of kwalitatief controlemechanisme. Dit zal enkel kunnen door registratie en/of
kennisname van bepaalde persoonsgegevens van de eindgebruiker
toelating van de deelnemers. Integendeel, ongeacht de dwingende bepalingen van het
arbeidsrecht, werd op de werkplek de strengste bescherming geëist, waardoor de werkgever
dus van alle betrokken fysieke personen telkens de toestemming nodig had om hem toe te
laten kennis te kunnen nemen van een bepaalde communicatie ontvangen of verzonden door
werknemers via zijn netwerk.
Het werkgeversgezag, uitgedrukt in verschillende bepalingen (artikelen 2, 3, 4, 5, 16 en 17)
van de wet van 3 juli 1978 betreffende de arbeidsovereenkomsten (hierna WAO) of in
overeenkomstige bepalingen in de rechtspositieregeling van ambtenaren, vormde nochtans
een (begin van) wettelijke toelating in de zin van artikel 109terE, 1° van de toenmalige wet
van 21 maart 1991 om als werkgever kennis te kunnen nemen van bepaalde communicatie
ontvangen of verzonden door werknemers via het netwerk van de onderneming of het
bestuur.
Het
advies
van
2000
was
dus
onbuigzaam,
niet
alleen
onder
de
toenmalige
telecomwetgeving, doch zeker onder de actueel vigerende wetgeving.
Sedert het uitbrengen van het basisadvies is het achterliggend juridisch kader inderdaad
grondig van gedaante veranderd, inz. met de komst van de collectieve arbeidsovereenkomst
nr. 81 van 26 april 2002 tot bescherming van de persoonlijke levenssfeer van de werknemers
ten opzichte van de controle op de elektronische on-linecommunicatiegegevens (hierna CAO
81) en de wet van 13 juni 2005 betreffende de elektronische communicatie (hierna de WEC),
die nieuwe juridische mogelijkheden scheppen voor de werkgever om kennis te nemen van
elektronische communicaties van werknemers.
De in het basisadvies onbesproken wettelijke uitzondering van artikel 109terE, 1° van de
toenmalige wet van 21 maart 1991, is nu opgenomen in artikel 125, 1° van de WEC en het
wettelijk verankerd werkgeversgezag vormt nog steeds de (embryonale) juridische toelating
om patronale controle uit te oefenen op elektronische communicatiegegevens die de
werknemer verstuurt of ontvangt via het netwerk van de onderneming zonder toestemming
van de participanten.
Maar met de komst van CAO nr. 81 weet de werkgever nu bovendien heel concreet hoe hij
die wettelijke toelating van artikel 125, 1° WEC moet uitoefenen teneinde te kunnen spreken
van een controle met respect voor de privacy van werknemers. Dit is namelijk enkel het
geval als de gelaagde en gefaseerde aanpak waarin die CAO nr. 81 voorziet wordt nageleefd.
De CAO nr. 81 geeft de werkgever namelijk het recht controle uit te oefenen op het
werkinstrument en op het gebruik dat de werknemer ervan maakt in het kader van zijn
dienstbetrekking, ook wanneer dit gebruik het versturen of ontvangen van persoonlijke
elektronische online-communicatiegegevens omvat.
Wanneer de werkgever op zijn werkplek elektronische communicatiegegevens wil
verzamelen om ze te controleren en te verwerken zodat ze aan een werknemer kunnen
worden toegeschreven en dit gebeurt met de in CAO nr. 81 bepaalde toepassingsregels, dan
is er sprake van de eerbiediging van het recht van de werknemers op bescherming van hun
persoonlijke levenssfeer.
De CAO nr. 81 doet niets anders dan de principes van de WVP te concretiseren voor de
problematiek die ze wenst te regelen. Zij bepaalt hoe de finaliteits-, proportionaliteits- en
transparantiebeginselen in het kader van de dienstbetrekking moeten worden toegepast, in
de eerste plaats ten aanzien van de installatie van de controle en in de tweede plaats op het
ogenblik dat de elektronische on-linecommunicatiegegevens die met het oog op een controle
werden verzameld, verwerkt worden om ze aan een geïdentificeerde of identificeerbare
werknemer toe te schrijven.
Dit maakt meteen dat ook werkgevers in de openbare sector eigenlijk de facto onderworpen
zijn aan de CAO nr. 81, aangezien zij in elk geval de WVP moeten naleven. De beste manier
om de WVP na te leven in deze materie is inderdaad het volgen van de gelaagde en
geleidelijke aanpak van CAO nr. 81 (eerst een anonieme controle en pas daarna een
geïndividualiseerde controle) en mits respect voor de individualiseringsregels waarin CAO nr.
81 voorziet.
Hoewel een collectieve arbeidsovereenkomst als juridisch instrument om in te grijpen op
privacy door sommigen wordt bekritiseerd, biedt CAO nr. 81 inhoudelijk een juist evenwicht
tussen de conflicterende belangen. Deze CAO nr. 81 heeft minstens op praktisch vlak zijn nut
reeds bewezen of kan zijn nut bewijzen. De inhoudelijke doelmatigheid van CAO nr. 81
inzake toezicht op het privégebruik van internet en email op het werk kan moeilijk worden
betwist. Mits CAO nr. 81 in zijn juiste draagwijdte wordt opgevat is deze overigens niet
noodzakelijk in strijd met de hogere rechtsnormen. De wettelijke fundering voor de ingreep
op de privacy, de persoonsgegevens en de telecommunicatiegegevens wordt geleverd door
de
bepalingen
met
betrekking
tot
het
werkgeversgezag
in
de
WAO
en
het
ambtenarenstatuut, terwijl CAO nr. 81 de modaliteiten en de reikwijdte van die wettelijk
voorziene ingreep (de aard, de doeleinden, de omvang van de controle, de wijze waarop ze
wordt uitgevoerd,..) nader omschrijft, precies met de bedoeling te komen tot een beheerste
vorm van patronale controle dat recht doet aan de privacy van werknemers.
De WEC introduceerde bovendien in artikel 128 de “callcenteruitzondering” en de
uitzondering in verband met de registratie van elektronische communicatie ten bewijze van
een commerciële transactie of van een andere zakelijke communicatie om in te grijpen op de
principiële geheimhouding van elektronische communicatie waarin artikel 124 WEC voorziet.
Ook al is de draagwijdte van deze laatste uitzondering eerder beperkt, dit neemt niet weg
dat dit artikel eigenlijk illustreert dat de werkgever communicatiegegevens van werknemers
met een beroepsmatig karakter uiteindelijk soepeler moet kunnen verwerken dan
communicatiegegevens van werknemers met een privékarakter. Of omgekeerd, dat bij de
verwerking van communicatiegegevens van werknemers met een persoonlijk karakter er
meer waarborgen zullen moeten worden geboden.
Naast het aldus gewijzigd wetgevend kader, moet tevens gewag worden gemaakt van de
jurisprudentiële omwenteling die zich heeft voorgedaan met betrekking tot het leerstuk van
het onrechtmatig verkregen bewijs. Deze rechtspraak is gekend onder de benaming
“Antigoon” en werkt ook door in de arbeidsverhouding. Deze rechtspraak maakt dat
patronale bewijsvergaring die geen recht doet aan privacy (bijvoorbeeld het verzamelen van
bewijzen omtrent overmatig privaat gebruik van het emailsysteem van de werkgever in strijd
met de spelregels van CAO nr. 81) weliswaar een onrechtmatig verkregen bewijs oplevert,
waarbij de strafrechter en recent ook de arbeidsrechter evenwel van oordeel kunnen zijn dat
deze niet naleving niet wegneemt dat het verkregen bewijs tegen betrokkene met succes
kan aangevoerd worden, aangezien de begane onwettigheid de betrouwbaarheid van het
bewijs niet aantast, het recht op een eerlijk proces niet schendt of geen schending uitmaakt
van op straffe van nietigheid voorgeschreven vormvoorschriften.
De Commissie wijst er ten slotte nog op dat een aantal standpunten ingenomen in het
basisadvies hoe dan ook reeds werden verlaten of minstens genuanceerd -misschien op
onopvallende wijze- door later uitgebrachte adviezen. Zo bekeken is het juridisch rapport
eigenlijk geen radicale ommezwaai in vergelijking met het basisadvies, maar eerder een
consolidatie van standpunten die in de loop van de tijd hoe dan ook reeds waren
geëvolueerd. Zij werpt hierna een blik in de achteruitkijkspiegel om deze evolutie kort te
schetsen.
In een advies van 18 december 2003 (advies n° 47/2003), maakte de Commissie reeds een
eerste opening voor de patronale controle op cybermobbing gepleegd op de werkplek. Hierin
heeft de Commissie immers aanvaard dat de verplichtingen en verantwoordelijkheden die in
het kader van de wet van 4 augustus 1996 betreffende het welzijn van de werknemers bij de
uitvoering van hun werk bij de werkgever rusten, een voldoende juridische basis verlenen
om in toepassing van artikel 109terE, 1° van de toenmalige wet van 21 maart 1991 (nieuw
artikel 125 §1, 1° WEC) als wettelijke uitzondering te gelden op het strafrechtelijk
beschermd telecommunicatiegeheim. Meer bepaald aanvaardde de Commissie dat het de
werkgever toegelaten is om op basis van de door de ontvanger vrijgegeven inhoud van een
emailbericht (dat kan worden gekwalificeerd als pesterij, ongewenst seksueel gedrag of als
een andere vorm van gewelddadig gedrag) en aan de hand van de loggegevens, het
werkstation te traceren van waaruit het emailbericht werd verzonden (en dit zonder
toestemming van de verzender).
In een advies van 9 november 2005 (advies n° 18/2005), herinnerde de Commissie eraan
dat, wat het verzamelen van de communicatiegegevens -en onder meer van eventuele
loggings betreft- het beginsel van vertrouwelijkheid van de communicatiegegevens
toepasselijk is, dit echter zonder afbreuk te doen aan de noodzakelijke invoering van
technische en organisatorische veiligheidsmaatregelen zoals voorzien bij artikel 16 van de
WVP, bedoeld om de toegang tot het netwerk te beveiligen en op globale wijze de veiligheid
van persoonsgegevens te verzekeren.
In hetzelfde advies wees de Commissie erop dat men zich niet enkel mag laten leiden door
de
bescherming
van
de
persoonlijke
levenssfeer
van
de
gebruikers
van
de
informatiesystemen, maar dat ook de privacy van de burgers, wier persoonsgegevens
worden verwerkt in die informaticasystemen, moet voor ogen gehouden worden: ook deze
dient beschermd te worden. En dit kan in sommige gevallen vereisen dat de
verantwoordelijken kunnen nagaan of de gebruikers van het systeem hebben gewerkt in
overeenstemming met deze laatste vereiste. De regelgeving dient dan ook een evenwicht na
te streven tussen enerzijds de rechtsbescherming van de gebruiker en anderzijds de
bescherming van de persoonsgegevens die door de gebruikers worden verwerkt.
In laatstgenoemd advies wees de Commissie er dus eigenlijk op dat de eisen van e-security
op gespannen voet kunnen komen te staan met de privacy van werknemers, niet omdat dit
in het loutere belang is van de werkgever, maar omdat de werkgever wettelijk verplicht is
ook het privacybelang van andere personeelsleden en derden (klanten, leveranciers,…) te
waarborgen. De werknemer moet, vanuit dit oogpunt bekeken, als het ware een stuk eigen
privacy prijsgeven ter bescherming van andermans privacy. De logging van de toegang en
de analyse van de logbestanden om ieder eventueel oneigenlijk gebruik achteraf te kunnen
traceren is, zo bekeken, dan ook een tweesnijdend zwaard: het laat toe de werknemer te
identificeren, hetzij eventueel als slachtoffer van schendingen van privacy door anderen (dus
in zijn voordeel), maar ook eventueel als dader van schendingen van andermans privacy
(dus in zijn nadeel).
In een advies van 12 juli 2006 (advies n° 21/2006), wees de Commissie ten slotte op het
bestaan van alle uitzonderingen op het principe van de vertrouwelijkheid van de
communicatie, zoals gewaarborgd door artikel 124 van de WEC en de artikelen 259bis en
314bis van het Strafwetboek. Volgens de WEC is dat onder meer het geval indien daartoe
toestemming werd verkregen van alle andere, direct of indirect betrokken personen (artikel
124 in fine WEC), of wanneer de wet het stellen van de bedoelde handelingen toestaat of
oplegt of wanneer de bedoelde handelingen worden gesteld met als enig doel de goede
werking van het netwerk na te gaan en de goede uitvoering van een elektronische
communicatiedienst te garanderen (artikel 125 § 1, 1° en 2° WEC).
De belangrijkste leemte in het basisadvies is het gegeven dat het ten slotte enkel focust op
de patronale toegang tot de in de eindapparatuur van werknemers bewaarde privéinformatie
(ter
controle
op
onregelmatigheden
bij
het
gebruik
van
de
elektronische
on-
linecommunicatiemiddelen). Het laat de patronale toegang tot de in de eindapparatuur van
werknemers bewaarde professionele informatie (dus een toegang in functie van het beheer
en de organisatie van de activiteiten van de werkgever) volledig onderbelicht.
Nochtans is het concrete operationele gebruik dat de werkgever beoogt met de kennisname
van elektronische communicatie(gegevens) die de werknemer verstuurt of ontvangt via het
netwerk van de onderneming of het bestuur, van cruciaal belang om de evenredigheid van
die kennisname te kunnen beoordelen. De finaliteit van de verwerking die wordt beoogd is
inderdaad de hoeksteen van de privacybescherming.
De Commissie maakt in haar nieuw rapport wel dit onderscheid in doelstellingen, doch blijft
voor het overige van oordeel dat, ongeacht het doel van de patronale toegang (controle of
beheer), ongeacht de omvang van de toegang (de communicaties zelf of de elektronische
communicatiegegevens) en ongeacht de aard van de gegevens die het voorwerp uitmaken
van die toegang (privé of professioneel), deze toegang alleen kan worden toegestaan indien
is voldaan aan de 3 belangrijkste beginselen uit de WVP, waarvan de naleving essentieel
wordt geacht voor de bescherming van de persoonlijke levenssfeer van werknemers bij de
verwerking van hun persoonsgegevens: het finaliteitsbeginsel, het proportionaliteitsbeginsel
en het transparantiebeginsel. Dit betekent dus de nood aan een toegang voor legitieme
doeleinden,
met
medeweten
van
de
betrokken
gebruikers
en
conform
het
evenredigheidsbeginsel. Deze laatste toets kan alleen gedaan worden in het licht van het
beoogde operationeel gebruik.
Wordt met de toegang de verderzetting van de dienstverlening aan de klanten van de
werkgever beoogd of is het daarentegen de bedoeling te controleren op privatief abusievelijk
gebruik door werknemers in de zin van CAO nr. 812?
In het eerste geval kan de toegang zich ook uitstrekken tot de inhoud van elektronische
onlineberichten en zeker indien de werkgever er redelijkerwijze vanuit mag gaan dat hij
enkel toegang krijgt tot emails van werknemers met een beroepsmatig karakter. Dit is
bijvoorbeeld het geval indien de werkgever in zijn ICT-policy heeft aangekondigd en
opgelegd dat werknemers hun private email verplicht via een persoonlijk emailaccount
(genre hotmail) moeten laten verlopen, en niet via het emailadres dat hen ter beschikking
werd gesteld om de professionele bezigheden te kunnen uitvoeren. Een systematisch, op vrij
2
Controle op persoonlijke elektronische on-linecommunicatiegegevens is maar toegestaan mits een of meer van de volgende
doeleinden worden nagestreefd:
-het voorkomen van ongeoorloofde of lasterlijke feiten, feiten die strijdig zijn met de goede zeden of de waardigheid van een
andere persoon kunnen schaden;
-de bescherming van de economische, handels- en financiële belangen van de onderneming die vertrouwelijk zijn alsook het
tegengaan van ermee in strijd zijnde praktijken;
-de veiligheid en/of de goede technische werking van de IT-netwerksystemen van de onderneming, met inbegrip van de
controle op de kosten die ermee gepaard gaan alsook de fysieke bescherming van de installaties van de onderneming;
-het te goeder trouw naleven van de in de onderneming geldende beginselen en regels voor het gebruik van onlinetechnologieën.
algemene motieven (nl. om de continuïteit van de dienstverlening en de goede werking van
de onderneming/het openbaar bestuur te verzekeren) steunende toegang tot de inhoud van
beroepsmatige
elektronische
on-linecommunicatiegegevens,
is
principieel
mogelijk,
inzonderheid ingeval van onbeschikbaarheid van de werknemer.
In
het
tweede
geval
moet
de
toegang
zich
beperken
tot
de
elektronische
communicatiegegevens zelf (en in principe niet de inhoud ervan) en dit volgens de
voorwaarden, procedures en modaliteiten waarin de CAO nr. 81 voorziet. Een punctuele, op
zeer specifieke motieven (er zijn feitelijke elementen die redelijkerwijze doen vermoeden dat
een personeelslid zijn contractuele en wettelijke verplichtingen ten overstaan van de
werkgever verzuimt) steunende toegang tot de inhoud van persoonlijke elektronische onlinecommunicatiegegevens is slechts exceptioneel mogelijk, inz. als de loutere kennisname
van het bestaan van die communicatie de werkgever niet toelaat de niet-eerbiediging van de
door hem opgestelde regels aan te tonen.
Uiteindelijk is deze benadering niet meer dan logisch. Hoewel de omvang van de toegang tot
persoonlijke elektronische on-linecommunicatiegegevens dus beperkter is (van de inhoud
mag in principe geen kennis worden genomen), moet een dergelijke toegang niettemin met
meer waarborgen worden omringd voor de betrokkene, net omdat de toegang dan controle
impliceert van private communicatiebewegingen die bij uitstek binnen de bescherming van
de persoonlijke levenssfeer van de werknemer vallen. De striktere toegangsregeling tot dit
type van elektronische communicatie(gegevens) houdt daarmee gelijke tred met de toename
van de privacyrisico‟s voor de betrokkene.