Wat is het standpunt van de Gegevensbeschermingsautoriteit?
De Geschillenkamer van de Gegevensbeschermingsautoriteit legt sancties op aan ondernemingen die de mailbox van hun voormalige werknemers niet deactiveren. Zij beschouwt dit immers als een schending van een aantal fundamentele principes van de AVG.
Hieronder vind je vier richtlijnen van de GBA over hoe je dient om te gaan met de mailbox van je voormalige werknemers.
De werknemer de kans geven om mailberichten te sorteren
Je moet je werknemer in staat stellen om privéberichten te sorteren en over te dragen naar een persoonlijke e-mailaccount. Je werknemer moet vóór zijn vertrek ook alle elektronische privéberichten kunnen wissen.
Als er bovendien berichten moeten worden gerecupereerd voor de goede werking van het bedrijf, moet dit gebeuren vóór het vertrek van je werknemer en in diens aanwezigheid. Bij conflict kan een vertrouwenspersoon bemiddelen.
Deactiveren van e-mail en instellen van een automatisch bericht
De GBA is van mening dat je de elektronische mailbox dient te blokkeren van een werknemer die het bedrijf heeft verlaten, uiterlijk op de dag van diens effectieve vertrek.
Voordat je de e-mail blokkeert, moet je een automatisch bericht instellen. Dit bericht deelt correspondenten mee dat je voormalige werknemer niet langer voor je werkt. In dit bericht deel je ook de gegevens mee van de contactpersoon.
Dit automatische bericht moet worden ingesteld voor een redelijke periode (a priori 1 maand). Je kan deze periode verlengen tot maximaal drie maanden, afhankelijk van de context en de mate van verantwoordelijkheid van jouw voormalige werknemer. Een dergelijke verlenging moet worden gemotiveerd, en bij voorkeur gebeuren met instemming van de voormalige werknemer. Deze moet ten minste op de hoogte worden gesteld. Na deze periode moet je de mailbox en het automatische bericht definitief verwijderen.
Ook moet je jouw voormalige werknemer op de hoogte stellen van de hierboven vermelde deactivering en automatische berichten.
Automatische overdracht van e-mails naar een ander e-mailadres van het bedrijf
Het is niet toegestaan om e-mails van je ex-werknemer door te sturen naar een ander e-mailadres van je bedrijf. De Geschillenkamer geeft de voorkeur aan het instellen van een automatisch antwoordbericht.
Bij een automatische overdracht is er geen controle over binnenkomende e-mails. Hierdoor kunnen privégegevens openbaar worden gemaakt zonder dat je ex-werknemer en de correspondent hiervan op de hoogte zijn. Omdat dit vermeden moet worden, raadt de Geschillenkamer een automatische overdracht af.
Intern ondernemingsbeleid
De GBA beveelt aan een duidelijk en transparant beleid in te voeren over het gebruik van IT-hulpmiddelen wanneer werknemers het bedrijf verlaten. Een dergelijk document zal het bedrijf helpen om zijn verplichtingen onder de AVG effectief uit te voeren. Dit zal heel wat geschillen helpen voorkomen.
Advies
Staat je werknemer op het punt je bedrijf te verlaten en weet je niet wat je met diens mailbox moet doen? Hier is een checklist die je kan volgen om mogelijk zware financiële sancties te voorkomen.
-
Waarschuw je werknemer dat diens mailbox uiterlijk op de dag van effectief vertrek geblokkeerd zal worden. Geef hem of haar de kans om privé-mailberichten op te halen, door te sturen of te verwijderen (indien mogelijk). Aarzel niet om voor diens vertrek een overeenkomst op te stellen waarin hij of zij ermee instemt de mailbox open te houden en de afzenders van berichten te laten weten dat het adres niet langer actief is. Een modelovereenkomst kan je bekomen bij jouw Securex-adviseur.
-
Als bovendien een deel van de berichten moet worden gerecupereerd voor de goede werking van het bedrijf, moet dit ook gebeuren vóór het vertrek van je werknemer en in diens aanwezigheid.
-
Zorg niet voor een automatische overdracht van e-mails naar een ander e-mailadres van het bedrijf.
-
Voordat je de mailbox blokkeert, voer je een automatisch bericht in om eventuele correspondenten te waarschuwen dat jouw werknemer niet langer voor het bedrijf werkt. Voer ook de gegevens van de contactpersoon in voor een redelijke periode (1 maand, maar verlengbaar tot 3 maanden, afhankelijk van de context en de mate van verantwoordelijkheid).
-
Verwijder de e-mail na deze periode.
-
Vergeet niet om een intern beleid op te stellen voor het beheer van elektronische hulpmiddelen om te anticiperen op mogelijke toekomstige problemen.
Wat doet Securex voor jou?
Bij vragen over het beheer van de e-mailadressen van je werknemers, aarzel niet om contact op te nemen met je Legal Advisor bij Securex via myHR@securex.be.
Je kan ook een intern beleid bestellen via je Legal Advisor bij Securex. + link naar de e-shop: Securex e-Shop: bestel je arbeidsreglement en -documenten (gdpr) | Securex e-Shop
Bronnen
-
Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens.
