Infobrochure “cybersurveillance”

Infobrochure
“cybersurveillance”
I. “Cybersurveillance”: een woordje uitleg
Op 2 mei 2012 heeft de Privacycommissie een aanbeveling uitgebracht over
werkgeverscontrole van e-mail en internetgebruik op de werkvloer (“cybersurveillance”). Deze aanbeveling werd vooraf onderworpen aan een publieke
consultatie en de respons hierop heeft mee bijgedragen tot o.a. deze brochure
als eindresultaat.
Uitgangspunt van de aanbeveling
Een werkgever mag bijvoorbeeld een e-mail van een van zijn werknemers raadplegen, of kijken wanneer die naar welke website gesurft heeft, omdat hij als werkgever de communicatie van zijn bedrijf of organisatie moet kunnen beheren. Het
arbeidsrecht erkent namelijk de uitoefening van het gezag van de werkgever over
de werknemer voor deze doelstelling. Een werkgever kan de elektronische communicatie van een werknemer raadplegen, enerzijds wanneer die laatste afwezig
is en de dienstverlening toch moet kunnen worden verdergezet, en anderzijds in
het geval van een gerichte controle op de naleving van het arbeidscontract. De
werkgever moet in beide gevallen wel een aantal regels respecteren.
Voor een privacyvriendelijke raadpleging van elektronische communicatie moet
de werkgever de volgende drie basisbeginselen voor ogen houden:
1. hij moet een welbepaald doel voor ogen hebben;
2. hij mag niet systematisch alles controleren;
3. de betrokken werknemer moet weten dat de werkgever controles kan
uitvoeren. Opgelet: dit impliceert dus niet dat de werknemer zijn toestemming moet geven, enkel dat hij hierover vooraf geïnformeerd moet
zijn.
Deze drie basisbeginselen zijn van toepassing op zowel professionele als persoonlijke communicatie van de gecontroleerde werknemer, al geldt een nog
striktere bescherming voor de tweede categorie, die enkel relevant wordt voor
de werkgever wanneer persoonlijke communicatie een correcte uitvoering van
de taken van de werknemer in het gedrang brengt. In dat geval is vaak enkel de
frequentie van persoonlijke boodschappen al voldoende als bewijs van misbruik,
en niet de inhoud ervan.
Wanneer het informaticasysteem van de werkgever gebruikt wordt voor zowel
professionele als persoonlijke communicatie, is een strikte scheiding van beide
categorieën moeilijk houdbaar. In het elektronische postvak van de werknemer
ziet de werkgever dan onvermijdelijk ook privémails, al was het maar de afzender
of het onderwerp ervan. Daarom beveelt de Privacycommissie aan om de werknemer voor privécommunicatie een apart adres te laten gebruiken. Een bijkomend
voordeel is dat er dan geen extra beschermende maatregelen nodig zijn in het
professionele postvak van de werknemer, zoals privécorrespondentie systematisch laten voorafgaan door “Private” in de onderwerpregel bijvoorbeeld.
Concrete tips voor de privacyvriendelijke werkgever
— werk het controlebeleid uit in overleg met de werknemersvertegenwoordiging;
— leg dit beleid vast in een geschreven document;
— zorg ervoor dat de werknemers het controlebeleid kennen en begrijpen;
— voorkomen is beter dan genezen: neem preventiemaatregelen tegen misbruik van internet en e-mail door werknemers, zoals de installatie van filters
voor webbrowsers;
— controleer enkel wanneer er een vermoeden van misbruik bestaat, en doe dit
volgens het stappenplan van cao nr. 81;
— probeer in eerste instantie enkel metagegevens te controleren (wie verstuurt
welke mails en hoe vaak). Pas als die niet voldoende informatie bieden, is het
gerechtvaardigd de inhoud van een e-mail te controleren;
— laat de werknemer zijn pc beveiligen met een persoonlijk paswoord;
— duid een specifieke persoon aan die de pc van de werknemers kan consulteren wanneer een bevoegde persoon daartoe de opdracht geeft;
— respecteer altijd de drie basisbeginselen voor privacybescherming: doelgerichtheid, proportionaliteit en transparantie;
— zorg ervoor dat de geconsulteerde gegevens na de controle even goed beschermd blijven als voordien;
— baseer belangrijke beslissingen tegen een werknemer niet louter op informatie die ingezameld werd tijdens een controle van persoonsgegevens en bied
de betrokkene de mogelijkheid zijn standpunt naar voren te brengen;
— houd logbestanden bij van wie wanneer tot welke gegevens toegang heeft
gehad;
— stel een personeelslid aan dat controles kan beoordelen op hun noodzakelijke en rechtmatige karakter (een zogenaamde “aangestelde voor de gegevensbescherming”);
— informeer zowel werknemers als toezichthoudend personeel over goede
praktijken voor gegevensbescherming.
Conclusie
Het arbeidsrecht erkent specifieke rechten en plichten voor zowel werkgever als
werknemer. Binnen de gezagsrelatie tussen beide partijen mag de werkgever
elektronische communicatie(gegevens) van de werknemer verwerken op voorwaarde dat hij de bepalingen van de Privacywet en cao 81 naleeft. De aanbevelingen van de Privacycommissie vormen daarbij een leidraad, om de belangen
van de werkgever en de bescherming van de rechten van de werknemer zoveel
mogelijk met elkaar te verzoenen.
II. Veelgestelde vragen
Hieronder heeft de Privacycommissie de meest gestelde vragen verzameld die
zij krijgt in het kader van “cybersurveillance”. Voor een uitgebreid juridisch
dossier kunt u terecht op de website http://www.privacycommission.be (Privacythema’s > Themadossiers > Cybersurveillance.)
V: De wet betreffende de elektronische communicatie, die van toepas-
sing is op e-mailverkeer, verbiedt dat de werkgever kennis neemt van
elektronische online communicatiegegevens die de werknemer verstuurt of ontvangt via het professionele netwerk. Mag de werkgever
dan wel controles uitvoeren?
A: Artikel 124 van de wet betreffende de elektronische communicatie bevat inderdaad
een aantal verbodsbepalingen. Artikel 125 van dezelfde wet bevat hierop
echter een aantal uitzonderingen, bijvoorbeeld “wanneer de wet het stellen van
de bedoelde handelingen toestaat of oplegt”. De Privacycommissie is van oordeel
dat de arbeidsovereenkomstenwet, die het gezagsrecht van de werkgever verwoordt, een wet is die het verbod van artikel 124 opheft.
V: Worden professionele e-mails op de werkplaats wettelijk beschermd?
A: Ook professionele e-mails bevatten persoonsgegevens en zijn dus niet zo
maar controleerbaar (verwerkbaar) volgens de Privacywet. De werkgever
moet bij controle dus de basisprincipes van de Privacywet respecteren: een
welbepaald doel voor ogen hebben, niet systematisch alles controleren en
de werknemer informeren over mogelijke controle.
V: Wat met werkgeverscontrole op private e-mails van werknemers?
A: Persoonlijke e-mails moeten, net omdat ze persoonlijk zijn, nog meer worden afgeschermd voor de werkgever. Ze mogen pas worden gecontroleerd
bij een vermoeden van misbruik, en dan nog gaat het in eerste instantie enkel om een controle van metagegevens zoals frequentie en niet van inhoud.
V: Is toestemming van de werknemer nodig voor e-controle?
A: Neen, aangezien er een arbeidsrelatie bestaat tussen werkgever en werkne-
mer, en die laatste dus onmogelijk een vrije toestemming kan geven voor de
verwerking van zijn gegevens.
De verwerking is het noodzakelijke en onvermijdbare gevolg van de arbeidsverhouding. Het is in dat geval zelfs misleidend de controle te wettigen via
de toestemming van de werknemer. Zijn privacy kan beter beschermd worden door:
— gebruik te maken van de in het sociaal recht uitgewerkte onderhandelings- en overleginstrumenten tussen werkgevers en werknemers die
erop gericht zijn deze ongelijke relatie in evenwicht te brengen;
— het controlebeleid “voorzienbaar” te maken voor de personeelsleden in
een geschreven, door alle werknemers makkelijk raadpleegbaar document.
V: Als
de arbeidsovereenkomstenwet de wettelijke grondslag is voor
e-controle, wat dan met werknemers die geen arbeidsovereenkomst
hebben, maar een statuut, zoals een ambtenaar?
A: In het geval van een ambtenaar, die onderworpen is aan een statuut, zijn er
gelijkaardige wettelijke bepalingen die het gezag verwoorden van werkgevers uit de openbare sector, zoals art. 7 § 1 van het Koninklijk besluit van
2 oktober 1937 houdende het statuut van het rijkspersoneel.
V: Gezag is volgens de aanbeveling de basis voor kennisname en ver-
werking van elektronische communicatiegegevens van werknemers
in het kader van de dienstbetrekking. Wat dan met de controlemogelijkheden van werkgevers t.a.v. medewerkers met wie zij geen gezagsverhouding hebben?
A: In dit geval kan de grondslag gevonden worden in andere wettelijke bepalingen zoals eigendomsrecht, contractrecht, aansprakelijkheidsrecht,....
Een aantal medewerkers, zoals bv. consultants, bevinden zich overigens in
een minder zwakke juridische uitgangspositie dan “loutere” werknemers:
omdat zij niet onder het rechtstreekse gezag staan van de organisatie waarvoor zij een consultancyopdracht uitvoeren, kunnen zij in principe wel geldig instemmen met de kennisname en verwerking van hun elektronische
communicatiegegevens door deze organisatie. Dit moet dan wel in het samenwerkingscontract tussen de organisatie en de consultant zijn opgenomen.
V: Wat als het e-mailsysteem van de werkgever enkel mag worden ge-
bruikt voor professionele doeleinden en het tegelijk ook verboden is
gebruik te maken van privémailaccounts om privémail te versturen
tijdens de werkuren?
A: Volgens de Niemitz-rechtspraak van het Europees Hof voor de Rechten van
de Mens is de werkvloer de uitgelezen plaats voor het aangaan van privérelaties, privécommunicatie en privécorrespondentie, omdat werknemers
op die plek eigenlijk de meeste uren van hun leven doorbrengen. Die persoonlijke ruimte is dus ook op de werkplek een fundamenteel mensenrecht.
Werkgevers moeten daarom een zekere privécommunicatie door hun personeelsleden op de werkvloer tolereren. Als zij geen enkele mogelijkheid
zouden laten om met de buitenwereld te communiceren, gaan zij in tegen
de rechtspraak van het Europees Hof. Ook de Groep 29, de overkoepelende
organisatie van Europese privacycommissies, stelt dat een algemeen verbod
op persoonlijk gebruik van internet door werknemers op de werkvloer niet
redelijk is en niet in verhouding staat tot het nut van het internet voor werknemers in hun dagelijkse leven.
V: Kan een vage wettelijke bepaling die het algemeen gezagsrecht van
een werkgever verwoordt wel volstaan om binnen te dringen in de
persoonlijke levenssfeer van het personeel? Moet die wettelijke bepaling niet duidelijker/gedetailleerder zijn?
A: Elke werkgever heeft een algemene wettelijke opdracht tot toezicht en controle op zijn personeelsleden, en dus ook op het gebruik dat werknemers
maken van de hun ter beschikking gestelde (online) communicatiemiddelen. Deze wettelijke opdracht volstaat als rechtsbasis voor het controlebeleid, maar controles moeten uiteraard “voorzienbaar” worden gemaakt
voor de personeelsleden, in een schriftelijk en makkelijk raadpleegbaar document. Verder moet de werkgever altijd de uitzonderingen en de waarborgen van o.a. de Privacywet respecteren.
V: Moet in de bepaling van artikel 125, § 1, 1° van de wet betreffende
de elektronische communicatie, de term “wet” beschouwd worden in
materiële zin of in formele zin? En wat dan met cao nr. 81, die duidelijk
geen wet is in de formele zin van het woord?
A: In de openbare sector bepalen weliswaar vaak besluiten de bevoegdheden
van de werkgever en het statuut van de werknemer omdat dit toekomt aan
de uitvoerende macht. Dit is echter het gevolg van wetten in de formele zin
van het woord, zoals de Grondwet, en vormt dus geen probleem.
Cao nr. 81, die uiteraard geen wet is in de formele zin van het woord, kadert dan weer in het wettelijke en regelgevende geheel van het arbeidsrecht.
Bovendien is cao 81 de concrete uitwerking van de wettelijke bepalingen
die het gezag verwoorden van een werkgever, zoals de arbeidsovereenkomstenwet of gelijkaardige wettelijke bepalingen die betrekking hebben op
het openbaar ambt. Deze wettelijke bepalingen vallen onder de wettelijke
uitzondering omschreven in artikel 125 van de wet betreffende de elektronische communicatie, waardoor het principiële verbod om kennis te nemen
van e-mail voor de werkgever niet geldt.
V: Cao nr. 81 geldt niet voor het openbaar ambt. Betekent dit dat werkgevers uit die sector de bepalingen van deze cao zomaar naast zich
neer kunnen leggen bij e-controle?
A: Werkgeverscontrole op persoonsgegevens op de werkplek moet volgens de
privacywet passend en noodzakelijk zijn, voor legitieme doeleinden gebeuren en transparant zijn. Deze basisverplichtingen worden voor controle op
onlinecommunicatiegegevens gespecificeerd door cao 81. Hoewel een cao
inderdaad niet van toepassing is op de publieke sector, kunnen werkgevers
uit die sector cao 81 dus niet naast zich neerleggen omdat die ze een verbijzondering is van de Privacywet die wel op hen van toepassing is.
V: Moet de basisaanbeveling inzake het gebruik van dubbele mailboxen
(die van de werkgever voor het werk en een privéaccount voor persoonlijke berichten) worden nageleefd?
A: Deze aanbeveling heeft geen enkel dwingend of verplichtend karakter. De
Privacycommissie heeft hiermee enkel willen aangeven dat het verstandig
is zakelijke mail van privémail te scheiden om de privacy van werknemers te
waarborgen. Eén manier om dat te doen is de werknemer twee verschillende
e-mailadressen laten gebruiken, zodat alle communicatie via het e-mailsysteem van de werkgever als professioneel beschouwd wordt, en de werkgever
dus gerechtigd is om die te controleren zonder specifieke maatregelen te
nemen om privé-informatie (die er immers in principe niet zal zijn) te beschermen.
Voor sommige organisaties is deze oplossing misschien niet wenselijk of
sluitend (bv. voor binnenkomende persoonlijke e-mail op de professionele
account waarop de werknemer geen vat heeft), en dan hebben werknemers
onvermijdelijk een gemengde elektronische mailbox. In dat geval moet de
werkgever wel specifieke maatregelen nemen om bij een zoektocht naar
professionele berichten (waarop de werkgever evident recht heeft), persoonlijke berichten zoveel mogelijk te beschermen (bv. door toegang te laten verlopen via een intermediaire vertrouwenspersoon).
V: Dringt een nieuwe wettelijke regeling voor elektronisch toezicht op de
werkvloer zich niet op?
A: Ondanks het gebrek aan een specifieke wet in deze context, volstaat het
huidige wettelijke arsenaal om als werkgever controle uit te oefenen op
werkinstrumenten en op het gebruik dat de werknemer ervan maakt voor
zijn taken, ook wanneer dit gebruik persoonlijke elektronische online communicatie inhoudt. Een controlebeleid is privacyvriendelijk wanneer het
voldoet aan de algemene principes van de Privacywet (een welbepaald doel
voor ogen hebben, niet systematisch alles controleren en de werknemer informeren over mogelijke controle). Tegelijk is er op deze manier ook nog
voldoende ruimte om in te spelen op de specifieke situatie van elke organisatie.