Monitoren van werknemers, hoe ver mag je gaan?

Ook op het werk bestaat privacy. Werkgevers mogen niet zomaar bijhouden wat werknemers doen, ook niet bij privé-gebruik van internet, e-mail of telefoon. De regels over wat wel en niet mag, en wat de werkgever kan controleren, moeten in een ICT- en internetreglement worden vastgelegd. Je maakt eenvoudig een ICT- en internetreglement met onze generator. En een reglement dat neerkomt op "privégebruik is verboden" is in strijd met de wet.

> Lees onze laatste factsheet: Privacy en Monitoring van medewerkers onder de AVG

Redelijk niveau van privacy

Bedrijfsmiddelen zoals internettoegang krijg je omdat ze nodig zijn voor het werk. Ze zijn eigendom van de werkgever. Deze mag dus eisen stellen aan het gebruik van die middelen, en monitoren of mensen zich daar wel aan houden. Maar als het gaat om internettoegang of computergebruik gaat, dan wordt het lastig: de werknemer heeft recht op privacy, óók bij privégebruik van computer of internet.

De grenzen tussen privé en zakelijk vervagen steeds meer. Werkgevers moeten accepteren dat werknemers privézaken regelen en hun persoonlijke netwerk onderhouden onder werktijd. Net zo goed als werknemers moeten accepteren dat het werk niet altijd om vijf uur klaar is. Dit betekent dat een werkgever niet zomaar privégebruik van internet volledig kan verbieden. Je hebt een ‘redelijk niveau’ van privacy op de werkplek, zo blijkt uit de rechtspraak.

Legitiem doel

Het bijhouden van wat werknemers doen op hun PC of via de bedrijfsinternetverbinding is een verwerking van persoonsgegevens. Dat mag alleen met een legitiem doel, zo bepaalt de Algemene Verordening Gegevensbescherming (AVG of GDPR). En daarbij geldt dat de privacy van de werknemer onder normale omstandigheden boven het bedrijfsbelang gaat. De regel “Privé internetten is verboden” is daarmee niet legitiem, en zo'n vérgaand verbod mag een werkgever dus niet instellen. Wel kan hij misbruik van faciliteiten verbieden, of activiteiten die disproportioneel veel verkeer vergen.

Ook moet het bijhouden zo veel mogelijk worden beperkt – je mag alleen monitoren wat strikt noodzakelijk is. In de praktijk betekent dit dat monitoren en loggen van internet- of computergebruik zo veel mogelijk anoniem moet gebeuren. Pas als daarna wangedrag boven tafel komt, is het toegestaan uit te zoeken wie daar voor verantwoordelijk is. Wel moet de werkgever daarbij uitkijken dat andere werknemers niet onnodig ook gemonitord worden. Zo mocht een vervoersbedrijf van de rechter niet zomaar al haar medewerkers heimelijk filmen omdat er klachten waren van klanten over enkele chauffeurs.

Internetreglement

Een internetreglement is een vereiste wanneer een werkgever wil nagaan wat er gebeurt met zijn computers of internetverbinding. Daarin moet zijn vastgelegd wat er bijgehouden wordt, met welk doel en wat er met de gegevens gebeurt. Zo zou uit het reglement bijvoorbeeld moeten blijken wanneer een werknemer individueel gevolgd kan worden of wanneer de manager toegang tot een mailbox kan krijgen.

Vaak voorkomende legitieme doelen zijn:

• Kosten: internetverkeer kost geld, en voor bedrijven bestaan vaak geen contracten met "onbeperkt internetten voor een vast bedrag". Privé-gebruik van internet kan de werkgever dus op kosten jagen. Een ander kostenaspect is onderhoud: het gebruik van zelf geïnstalleerde software kan een bedrijfscomputer instabiel maken.
• Beveiligingsrisico's: een werknemer kan virussen of spyware downloaden, die gevoelige bedrijfsgegevens in gevaar kunnen brengen. Via filesharing software kan hij per ongeluk een map met bedrijfsgegevens delen met de hele wereld.
• Public relations: als een werknemer die vanaf een bedrijfsnetwerk of met een zakelijk e-mailadres met anderen communiceert, zouden anderen kunnen denken dat hij namens het bedrijf spreekt. Zeker als hij of zij bijvoorbeeld reageert op een bericht over het bedrijf, of blogt over zijn werk. Maar ook het op die manier publiceren van smadelijke of racistische teksten heeft consequenties voor het bedrijf.
• Juridische risico's: een werknemer kan misdrijven plegen of mensen schade berokkenen vanaf het bedrijfsnetwerk, bijvoorbeeld door het illegaal verspreiden van muziek of films, of door het downloaden en installeren van software die niet bedrijfsmatig gebruikt mag worden.
• Arbeidsconflicten: het bekijken en zeker het binnen het bedrijf rondsturen van pornografie of racistische teksten of beeldmateriaal kan de sfeer op de werkvloer negatief beïnvloeden. En als iemand de hele dag alleen op internet zit te surfen en zijn werk niet doet, kan dat kwaad bloed zetten bij collega's.

Als het bedrijf een ondernemingsraad heeft, moet deze overigens haar instemming geven over de inhoud van het internetreglement. Veel bedrijven vergeten dit nogal eens.

Blokkeren

Een alternatief voor controleren is blokkeren. Zo kan het installeren van software door werknemers technisch onmogelijk gemaakt worden. Voor het werk niet relevante sites (zoals Facebook) kunnen op een zwarte lijst worden gezet zodat werknemers daar niet bij kunnen. Ook kan men het installeren van ongewenste software bemoeilijken. Dat is in principe toegestaan, omdat dit de privacy van werknemers niet raakt. Het kan natuurlijk wél kwaad bloed zetten: mensen willen even hun privémail bij Gmail controleren of krabbelen dat het wat later wordt, en dat mag dan niet. Het al te streng blokkeren van websites of diensten lijkt mij dan ook niet echt raadzaam.

Een bedrijf moet wel nagaan hoe de verboden zich onderling verhouden. Een verbod op gebruik van Gmail in combinatie met verboden op het gebruik van de zakelijke mail voor privédoeleinden is bijvoorbeeld zeer dubieus.

Natuurlijk is zo'n blokkade te omzeilen. Door een proxy of een "anonymizer" te gebruiken, kunnen werknemers sites bezoeken ondanks het filter. En door het administrator-wachtwoord te kraken, kun software worden geïnstalleerd terwijl dat niet de bedoeling was. Dergelijke handelingen zijn echter meestal illegaal. Bovendien kunnen ze in het bedrijfsreglement over internetgebruik verboden zijn. Wie een dergelijke regel overtreedt, hoeft bij de rechter op weinig sympathie te rekenen.

Ontslag wegens internetten

Toen internet nog een nieuw fenomeen was voor veel bedrijven, werd misbruik van de internetfaciliteiten streng bestraft. Het enkele bezoeken van een privé-site kon al reden zijn voor ontslag, soms zelfs op staande voet. Tegenwoordig is de rechter lang niet meer zo makkelijk in het toekennen van een ontslag.

Uit de rechtspraak blijkt dat de rechter vooral kijkt naar de schade die de werknemer aanrichtte en in hoeverre het invloed had op het werk. De hele dag gigabytes porno downloaden is duidelijk niet de bedoeling. Collega's daarmee lastigvallen al helemaal niet. Ontslag op staande voet daarvoor is een gepaste remedie, zo vindt de arbeidsrechter. Maar op een rustig moment je privémail controleren of om half vijf op Buienradar kijken of je droog thuiskomt met de fiets doet niemand kwaad en kan en mag dus geen probleem zijn.

En daar zit dan ook meteen de algemene regel: zolang de werknemer geen kwaad doet met zijn computer- of internetgebruik, is er geen reden voor de werkgever om in te grijpen of te monitoren. Dus geef werknemers de ruimte – maar zorg wel dat je kúnt ingrijpen als er problemen ontstaan.

Meer weten over onze privacyadviezen & -diensten?