Bring your own device juridisch bekeken

Zo bepaalt de wet dat de werkgever de “gereedschappen” waarmee het werk wordt gedaan, zo moet inrichten dat de werknemer daar redelijkerwijs geen schade door zou kunnen lijden. Dit geldt ook voor het bedrijfsnetwerk, en daarmee is de werkgever dus aansprakelijk als virussen of andere rommel het zelf meegenomen apparaatvan de werknemer schade berokkenen. Mits de werkgever redelijkerwijs had kunnen voorkomen dat deze schade zou optreden.

De werknemer is naar de werkgever of naar derden toe nooitaansprakelijk, tenzij de schade een gevolg is van zijn opzet of bewuste roekeloosheid. Wel moet sprake zijn van schade die binnen de uitvoering van de arbeidsovereenkomst valt. Een werknemer die met een BYOD apparaat bedrijfsmail leest, waarna een Outlookworm op dat apparaat een bedrijfsgeheim doormailt naar Rusland, handelt binnen de uitvoering want hij was werkmail aan het afhandelen. Een werknemer die illegale games downloadt, handelt niet binnen de arbeidsovereenkomst want dat behoort totaal niet tot zijn werk. Hij is dus zelf aansprakelijk voor die schade.

Een regel die niet een verwerking van persoonsgegevens inhoudt en die niet ziet op het waarnemen van het “gedrag, aanwezigheid of prestaties” van de werknemer, valt hierbuiten. De regel “eigen apparatuur moet voorzien zijn van adequate virusscanners” kan dus gesteld worden zonder instemming van de OR. Maar de regel “werknemer dient op verzoek IT toegang te geven tot opgeslagen informatie op de privésmartphone” vereist wel instemming. Net als de regel “werknemer dient GPS-beaconsoftware te installeren zodat werkgever te allen tijde de locatie van het apparaat kan vaststellen”.

Beveiliging afdwingen 

Werkgevers mogen wél instructies geven over de beveiliging. Dat valt binnen hun algemene bevoegdheid, en zolang de instructies redelijk zijn, kan de werkgever deze eenzijdig opleggen. Een werkgever kan dus eisen dat er adequate beveiliging wordt gehanteerd, of dat persoonsgegevens niet mogen worden doorgemaild of verwerkt op andere computers.

Die instructies kunnen gekoppeld zijn aan technische maatregelen, zoals een scan of de privéapparatuur wel de laatste beveiligingsupdates heeft. Dat is toegestaan. Wanneer de maatregelen leiden tot monitoring door of rapportage aan het management, komt de werkgever in grijs gebied. Dergelijke maatregelen vallen onder de Algemene verordening gegevensbescherming (AVG), omdat ze raken aan de privacy van de werknemer. Hier moet een duidelijke rechtvaardigingsgrond voor zijn, én er moet geen ander middel zijn dan dit om die grond te kunnen realiseren. Zomaar monitoren of meekijken is dus niet mogelijk.